Hermes Agent pour Zendesk : comment le connecter en toute sécurité (2026)

Pourquoi j'ai regardé Hermes sur Zendesk

Mon travail chez eesel est de construire des intégrations, et Zendesk est le helpdesk dans lequel j'ai passé le plus de temps. Ce n'est pas un hasard : la marketplace Zendesk a été l'un des premiers canaux de croissance d'eesel, et nous mettons de l'IA sur des files Zendesk réelles depuis des années. La leçon qui revient sans cesse : le modèle est la partie facile. Le plus dur est de décider ce que l'IA peut toucher, puis de prouver qu'elle est prête avant qu'un client ne découvre qu'elle ne l'est pas.

Hermes Agent est l'agent open source auto-hébergé de Nous Research, avec 252,613 étoiles GitHub sous licence MIT. J'ai traité la question générale dans Hermes Agent for customer support et la version Freshdesk dans Hermes Agent for Freshdesk. Zendesk a droit à son propre article, parce que sa réponse est façonnée par une échéance que les autres helpdesks n'ont pas.

Hermes ne fournit rien de spécifique à Zendesk. Son catalogue sélectionné de 68 serveurs MCP n'a aucune entrée Zendesk, et je n'ai trouvé personne sur Hacker News, Reddit ou X décrivant une configuration Hermes plus Zendesk. Tout ce qui suit, je l'ai assemblé à partir de la documentation des deux éditeurs et du code communautaire, ce qui est de toute façon la façon dont vous devriez le construire.

L'échéance Zendesk qui façonne chaque configuration

La plupart des tutoriels Hermes vers helpdesk commencent par "collez votre clé d'API dans .env." Sur Zendesk, ce conseil a désormais une date d'expiration. Le guide de migration OAuth de Zendesk s'ouvre avec elle : "Zendesk API tokens will be permanently deactivated on April 30, 2027."

Les trois phases, toutes tirées de ce guide :

• 28 juillet 2026. Tout jeton inutilisé pendant 30 jours est désactivé automatiquement, et les comptes créés après cette date ne peuvent pas du tout utiliser de jetons.
• 27 octobre 2026. Aucun compte ne peut créer de nouveau jeton d'API, ni par l'interface ni par l'API.
• 30 avril 2027. Tous les jetons restants cessent de fonctionner.

La règle des 30 jours est la sournoise pour un agent : une tâche cron Hermes que vous mettez en pause pendant les fêtes peut retrouver un jeton mort. Et les raisons qu'invoque Zendesk pour retirer les jetons sont exactement les risques qu'il y a à en confier un à un agent : "No expiry", "No scope restrictions", et la référence d'authentification ajoute qu'un jeton "can be used to impersonate anyone in the account, including admins."

OAuth règle cela, mais change pas mal la plomberie. Les jetons d'accès durent 30 minutes par défaut et 48 heures au maximum, donc un en-tête Authorization statique dans le config.yaml de Hermes ne survivra pas. Quelque chose doit renouveler le jeton. Hermes sait faire de l'OAuth lui-même avec auth: oauth, mais seulement pour des serveurs MCP distants, et Zendesk n'en exploite pas encore un vers lequel le pointer. En pratique, le renouvellement se fait à l'intérieur du serveur MCP Zendesk que vous choisissez, et bien choisir ce serveur est l'essentiel du travail ; mon guide sur l'authentification de l'API Zendesk détaille davantage les types de jetons.

Quatre façons de connecter Hermes à Zendesk

Voici toutes les voies que j'ai trouvées, et qui détient vos identifiants Zendesk dans chacune :

Et celle que vous attendez peut-être : le Zendesk MCP Server. Zendesk l'a annoncé à Relate le 19 mai 2026, avec une note de bas de page indiquant "Early access this summer." Je n'ai trouvé aucun avis de disponibilité générale dans les notes de version de septembre 2026 de Zendesk ni dans sa liste d'accès anticipé. Ne le confondez pas avec le client MCP passé en disponibilité générale le 10 août 2026, qui permet à l'IA de Zendesk d'appeler d'autres serveurs et ne sert à rien pour Hermes.

Aujourd'hui, je choisirais le serveur de reminia. Il a été réécrit pour OAuth avant l'échéance des jetons et renouvelle les jetons tout seul. Son README défend aussi un point avec lequel je suis d'accord : chaque opérateur s'autorise "with their own Zendesk login," donc Zendesk applique exactement les permissions qu'il applique dans l'interface. Swifteq est le plus simple si vous ne voulez rien héberger, avec 500 appels MCP gratuits par mois et par compte, puis 49 EUR par mois à partir du 1er octobre 2026, mais vos données de tickets transitent alors par un tiers. La voie webhook est moins une quatrième option qu'un déclencheur : elle indique à Hermes qu'un ticket est arrivé, et Hermes a toujours besoin de l'une des autres pour agir.

Comment le configurer en sécurité

Voici l'ordre que je suivrais. Les étapes semblent tatillonnes, mais chacune existe à cause d'un réglage par défaut précis de Zendesk ou de Hermes qui vous mord si vous le laissez tel quel.

1. Donnez à Hermes son propre utilisateur agent léger

Cette étape compte plus que les autres. L'outil create_ticket_comment de reminia prend un indicateur public, et dans son code source cet indicateur vaut True par défaut. Si le modèle oublie de passer public: false, le "brouillon" part chez le client comme une réponse et est envoyé par e-mail. Le filtre d'outils de Hermes peut masquer un outil, mais il ne peut pas figer un argument : le filtre seul ne vous sauvera donc pas.

Le système de rôles de Zendesk, lui, le peut. Selon la documentation des agents légers de Zendesk : "Ticket comments by light agents are private, including the first comment of any tickets they create." Donc, si Hermes s'authentifie comme agent léger, Zendesk transforme chaque commentaire en note interne, quoi que le modèle envoie.

Créez un utilisateur nommé par exemple "Hermes (draft only)", donnez-lui le rôle d'agent léger et laissez-le voir tous les tickets (ou seulement les groupes pour lesquels il doit rédiger). Les sièges d'agent léger sont inclus dans la plupart des offres Suite : jusqu'à 50 sur Growth, 100 sur Professional, 1,000 sur Enterprise, et un module complémentaire sur Team. Deux réserves. Zendesk interdit d'utiliser l'API pour donner aux agents légers plus que ce qu'ils ont dans l'interface, ce que cette configuration ne fait pas. Et comme un siège est normalement l'identifiant d'une personne, je confirmerais auprès de votre contact Zendesk qu'un utilisateur bot dessus est acceptable ; sinon, prévoyez un siège complet et appuyez-vous davantage sur l'étape 3. Les rôles et permissions de Zendesk couvrent le reste de la configuration des rôles.

2. Enregistrez un client OAuth avec des scopes étroits

Dans Admin Center, allez dans Apps and integrations > APIs > OAuth clients et créez un client public, puisque le serveur de reminia utilise PKCE plutôt qu'un secret stocké. Définissez Allowed scopes, que Zendesk décrit comme un plafond : "no token issued by this client can exceed these scopes." Pour un bot de rédaction, tickets:read tickets:write users:read hc:read suffit. Si vous sautez les scopes, Zendesk prend par défaut read write complet.

Connectez-vous ensuite avec l'agent léger Hermes et lancez uv run zendesk-auth une fois. C'est la seule étape dans le navigateur. Après cela, le serveur renouvelle les jetons tout seul, fait tourner le jeton de rafraîchissement à chaque fois et garde le fichier en permissions 0600. Une seconde raison de préférer ce flux, directement du README de reminia : les jetons client credentials "are attributed to the Zendesk user who created the OAuth client," généralement un administrateur, donc chaque note semblerait écrite par votre admin. Mon pas-à-pas sur l'app OAuth Zendesk contient des captures du formulaire du client.

3. Ajoutez le serveur et filtrez ses outils

Hermes garde les serveurs MCP sous mcp_servers dans ~/.hermes/config.yaml, et tools.include établit une liste blanche d'outils par serveur (documentation MCP de Hermes). Voici mon assemblage à partir du README de reminia et de la syntaxe de Hermes. Ce n'est pas un exemple officiel de l'un ou l'autre projet :

mcp_servers:
  zendesk:
    command: "uv"
    args: ["--directory", "/opt/zendesk-mcp-server", "run", "zendesk"]
    env:
      ZENDESK_SUBDOMAIN: "yourcompany"
      ZENDESK_CLIENT_ID: "${ZENDESK_CLIENT_ID}"
      ZENDESK_OAUTH_SCOPES: "tickets:read tickets:write users:read hc:read"
    tools:
      include:
        - get_ticket
        - get_ticket_comments
        - get_tickets
        - create_ticket_comment

Omettre update_ticket et create_ticket signifie que Hermes ne peut ni changer le statut ni réassigner, ni ouvrir de nouveaux tickets, ce dont un bot de rédaction n'a aucune raison de faire. Hermes a aussi une clé trust par serveur. Sur un serveur untrusted, "every write-capable tool call... requires user approval" (référence de configuration MCP), mais la valeur par défaut est full. Si quelqu'un surveille Hermes dans Slack, untrusted vous offre un second contrôle sur chaque note.

4. Choisissez un déclencheur : chat, cron ou webhook

Hermes doit savoir quand regarder un ticket :

• À la demande. Un agent colle un numéro de ticket dans Slack et demande un brouillon. Un humain reste dans la boucle tout du long.
• Interrogation par cron. Le planificateur de Hermes tourne toutes les 60 secondes, et un script de pré-vérification peut afficher {"wakeAgent": false} pour que le modèle ne s'exécute que lorsqu'il y a du nouveau (documentation cron).
• Webhook. Un déclencheur Zendesk lance un webhook vers une route comme https://your-server:8644/webhooks/zendesk.

Le webhook est le plus rapide et aussi le plus délicat, car chaque côté signe les requêtes différemment. Zendesk envoie X-Zendesk-Webhook-Signature, un HMAC en base64 de l'horodatage plus le corps (documentation Zendesk). Hermes rejette toute requête sans "a recognized signature header," et sa liste est celle de GitHub, de GitLab, de Standard Webhooks ou son propre X-Webhook-Signature-V2 encodé en hexadécimal (documentation des webhooks). Aucune ne correspond au format de Zendesk.

Il existe un pont, même si je ne l'ai pas exécuté de bout en bout : voyez-y ma lecture des deux documentations. Les webhooks Zendesk prennent en charge l'authentification par clé d'API, qui envoie un nom d'en-tête et une valeur que vous choisissez. Le schéma GitLab de Hermes est une simple correspondance de secret sur X-Gitlab-Token. Réglez l'en-tête de clé d'API du webhook Zendesk sur X-Gitlab-Token avec le secret de votre route comme valeur, et Hermes devrait l'accepter. C'est plus faible qu'un HMAC (pas de protection contre le rejeu), donc gardez la route derrière HTTPS.

Deux détails de plus. Les exécutions par webhook démarrent avec un jeu d'outils par défaut restreint : la route a donc besoin d'une autorisation manuelle toolsets: ["mcp-zendesk"] avant de pouvoir lire des tickets. Et Zendesk donne à chaque webhook un délai d'expiration de 12 secondes et réessaie les expirations jusqu'à cinq fois (documentation des webhooks) : un hôte Hermes lent peut donc voir le même ticket plusieurs fois. Le paramètre coalesce au niveau de la route dans Hermes, qui regroupe les événements répétés d'un même ticket en une seule exécution, aide ici.

5. Testez sur d'anciens tickets avant de lui faire confiance

C'est là que je passerais le plus de temps, et c'est aussi là que Hermes aide le moins. Il n'a pas de mode de rejeu pour exécuter les tickets du mois dernier et noter les brouillons par rapport à ce que votre équipe a réellement envoyé.

Vous pouvez en construire un : récupérez des tickets résolus via l'API d'export incrémental, lancez Hermes dessus dans un profil bac à sable et comparez. Les exports incrémentaux sont plafonnés à 10 requêtes par minute (limites de débit) : mieux vaut donc récupérer le jeu de données une fois et le mettre en cache. Pour voir ce que veut dire "assez bon", consultez mon guide pour entraîner l'IA sur une base de connaissances.

Avant la mise en production, passez ceci en revue. C'est la liste que j'aimerais voir cochée avant qu'un bot ne touche une vraie file :

Ce que coûte réellement Hermes sur Zendesk

La licence est gratuite. Tout ce qui l'entoure ne l'est pas.

Le siège du bot. Un siège d'agent léger si votre offre en inclut un, sinon un siège d'agent complet. La page de tarifs de Zendesk indique Support Team à $19, Suite Team à $55 et Suite Professional à $115 par agent et par mois en facturation annuelle. Ma synthèse sur les tarifs Zendesk couvre les autres niveaux.

Marge d'API. Hermes partage la limite de débit de votre compte avec toutes les autres intégrations. Un brouillon utile représente environ quatre appels : le ticket, ses commentaires, des tickets similaires, puis la note.

Les limites proviennent de la page des limites de débit de Zendesk. Aux volumes de rédaction, vous ne les atteindrez pas, même si le point de terminaison Update Ticket a son propre plafond de 100 requêtes par minute et par compte, et qu'une intégration chargée de l'API Zendesk ailleurs peut grignoter la part de Hermes.

Jetons du modèle et un serveur. Apportez votre propre clé de fournisseur ou prenez un abonnement Nous Portal, plus un petit VPS pour faire tourner la passerelle et le serveur MCP.

La construction. C'est celle que les gens oublient. Un responsable support d'une entreprise de suivi de bus, avec environ 200 tickets Zendesk par mois, nous a décrit l'objectif ainsi lors d'un appel commercial :

"create an application that will be able to handle 60% of the incoming zendesk tickets and know when to pull a real person in for better analysis and resolution."

Cette phrase, c'est tout un produit. Il y a le traitement et la logique d'escalade, puis la partie "know when", qui est la plus difficile. Avec Hermes, c'est vous qui la construisez, et vous payez en heures d'ingénieur en plus des jetons et des sièges. Ma synthèse construire ou acheter chiffre cela.

Là où Hermes sur Zendesk atteint ses limites

Tout ce qui précède suppose le modèle de rédaction. Dès que vous pointez Hermes directement vers les clients Zendesk, vous heurtez les mêmes murs que dans l'analyse générale du support :

• La mémoire est par profil, pas par demandeur. La mémoire intégrée se compose de MEMORY.md (2,200 caractères) et de USER.md (1,375), chargés dans chaque session que le profil exécute (documentation de la mémoire). Ce qu'il retient du ticket d'un client reste dans le prompt du suivant.
• Aucune cible de livraison Zendesk. Les options deliver d'une exécution par webhook sont des plateformes de chat, l'e-mail ou un journal. Renvoyer la réponse dans le ticket passe toujours par un appel d'outil.
• Aucune répétition. Traité plus haut, et c'est la lacune à laquelle j'accorderais le plus de poids.
• Le bot natif existe déjà. Les agents IA Zendesk sont inclus dans chaque offre Suite, avec 5 résolutions automatisées par agent et par mois sur Team et 10 sur Professional, puis $1.50 avec engagement ou $2.00 en paiement à l'usage. Si vous voulez un bot orienté client dans Zendesk, Hermes reconstruirait ce que le helpdesk vend déjà.

La description la plus honnête de la construction de brouillons que j'ai trouvée venait de quelqu'un qui le faisait sur un autre helpdesk :

"My current set up…Hermes agent logs into front with write only API token and reads whole context of customer thread. Then tries to look in our software for answers. (Unreliable right now). Then writes draft. This has been way harder than I expected. Been a side project for a while. Really focused on it right now. Goal - save CSR 80% of email writing time."

Nolan Gore (@TheNolanGore), X

Notez la forme : lire et chercher, puis rédiger, avec un humain qui envoie. C'est la configuration que je défendrais aussi sur Zendesk. Le "way harder than I expected" vient de la recherche d'informations et de l'exigence de qualité, pas du câblage.

Hermes vs Zendesk AI vs eesel sur Zendesk

Pour le champ plus large, mon panorama best AI for Zendesk et la liste Zendesk AI alternatives vont plus loin, tandis que Hermes Agent alternatives couvre les agents généralistes. Si vous comparez d'autres configurations centrées sur le modèle, Claude for Zendesk et ChatGPT for Zendesk soulèvent les mêmes questions de câblage.

Faut-il faire tourner Hermes sur votre file Zendesk ?

Après avoir lu les deux documentations et le code communautaire, voici où j'atterris.

Oui, si vous avez un ingénieur que cela amuse, que la tâche consiste à rédiger des notes internes pour des agents qui les relisent, et que vous acceptez de porter un client OAuth et un banc d'évaluation. Le serveur de reminia, un siège d'agent léger et une liste include de quatre outils, c'est une configuration que vous pouvez défendre. Hermes convient aussi bien comme chatbot de support interne que votre propre équipe interroge dans Slack.

Non, si vous voulez une IA qui répond aux clients, ou si vous avez besoin d'un historique de chaque action de l'IA qu'un responsable support peut lire sans SSH. Même réponse si personne ne peut maintenir un fichier YAML pendant la migration des jetons. L'analyse de sécurité de Zendesk que vous feriez sur n'importe quel éditeur devient une analyse que vous faites sur votre propre serveur.

Le câblage, c'est un week-end de travail. Ce qui reste ensuite, c'est le problème des hallucinations de l'IA, plus la répétition et les garde-fous autour, et c'est le vrai travail de mettre de l'IA sur une file.

eesel pour Zendesk

Si vous avez regardé Hermes parce que vous voulez une IA qui travaille vos tickets Zendesk, eesel est la collègue conçue exactement pour cela. Vous connectez Zendesk via un lien d'approbation, connecté en tant qu'agent, donc aucun jeton d'API à migrer, et elle apprend de votre centre d'aide, de vos macros et de vos anciens tickets (documentation eesel).

Voici comment cela répond aux lacunes ci-dessus :

• Répétition d'abord. La skill Simulation rejoue d'anciens tickets Zendesk et note l'écart avant de répondre à qui que ce soit.
• Vous choisissez le niveau d'écriture. Laisser une note interne, retenir un brouillon pour approbation dans le tableau de bord, ou envoyer. Elle peut aussi étiqueter, assigner à une personne ou une équipe et clore, ce qui couvre aussi le triage de tickets Zendesk.
• Déclencheurs Zendesk intégrés. Elle s'exécute à chaque message client, seulement au premier, à la clôture d'un ticket, ou quand un collègue tape @eesel dans une note.
• Tarification simple. Un ticket vaut 1 crédit, quelle que soit la longueur du fil. Les offres commencent à $299 par mois pour 500 crédits, et l'offre gratuite inclut 100 crédits.

Et si la moitié de l'attrait de Hermes était le terminal, eesel l'a aussi. La CLI eesel pilote la même collègue que vous voyez dans le tableau de bord : ce que vous configurez dans l'un apparaît dans l'autre. eesel integrations connect zendesk lance la connexion (une personne l'approuve toujours dans le navigateur), eesel integrations download start zendesk copie votre centre d'aide, vos macros et vos tickets, et eesel automations liste et active ce que fait l'agent par déclencheur. eesel integrations zendesk actions affiche chaque action avec son réglage d'approbation, ce qui permet de voir depuis un terminal si elle a le droit d'envoyer ou seulement de rédiger. Chaque commande affiche du JSON, ce qui signifie que Claude Code, Cursor ou Codex peuvent exécuter toute la configuration Zendesk à votre place. Il y en a plus dans mon article CLI for customer support.

Gardez Hermes pour les tâches où il excelle. Pour la file Zendesk, essayez eesel d'abord sur vos vrais tickets.