Microsoft Entra ID endurece CSP en inicio de sesión

Introducción

Microsoft está reforzando la experiencia de inicio de sesión de Microsoft Entra ID como parte de la Secure Future Initiative (SFI). La próxima aplicación de Content Security Policy (CSP) está diseñada para evitar la inyección de scripts externos durante la autenticación—un área a la que los atacantes apuntan con frecuencia—limitando qué scripts pueden cargarse y ejecutarse en la página de inicio de sesión.

Qué hay de nuevo

Microsoft agregará y aplicará un encabezado CSP más estricto para la experiencia de inicio de sesión de Entra ID en login.microsoftonline.com. Los cambios clave incluyen:

• Descargas de scripts restringidas a dominios CDN de Microsoft de confianza Solo se permitirá cargar scripts obtenidos de redes de entrega de contenido aprobadas por Microsoft.

• Ejecución de scripts inline restringida a orígenes de Microsoft de confianza (basado en nonce) Los scripts inline se controlarán mediante patrones de nonce de CSP, evitando que se ejecute código inline arbitrario.

• Alcance limitado a inicios de sesión en el navegador en login.microsoftonline.com Esto es específico de las páginas de inicio de sesión interactivas en un navegador.

• Sin impacto en Microsoft Entra External ID Microsoft indica que las experiencias de Entra External ID no se ven afectadas por esta actualización.

Cronograma

• Aplicación global: Microsoft Entra ID aplicará la CSP actualizada de mediados a finales de octubre de 2026.
• Comunicaciones: Microsoft enviará actualizaciones periódicas antes del despliegue.

Impacto en administradores de TI y usuarios finales

Para la mayoría de las organizaciones, esto será una mejora de seguridad “silenciosa”. Sin embargo, los entornos que usen extensiones del navegador, scripts o herramientas de terceros que inyecten código en la página de inicio de sesión deberían esperar fallos en esa funcionalidad inyectada.

Matiz importante: Microsoft indica que, incluso si las herramientas inyectadas dejan de funcionar, los usuarios aún pueden iniciar sesión—pero cualquier superposición, instrumentación, personalización o lógica de ayuda que dependa de la inyección puede fallar.

Elementos típicos a revisar incluyen:

• Gestores de contraseñas o extensiones de “seguridad” que modifican páginas de inicio de sesión
• Superposiciones de mesa de ayuda o de solución de problemas de SSO
• Branding personalizado o modificaciones de UX implementadas mediante inyección
• Herramientas de monitoreo o analítica que se enganchan a la UI de inicio de sesión mediante scripting del navegador

Acciones recomendadas / próximos pasos

1. Inventariar y reducir dependencias de inyección en la página de inicio de sesión Microsoft recomienda explícitamente evitar extensiones o herramientas que inyecten código en la experiencia de inicio de sesión de Entra.

2. Probar los flujos de inicio de sesión con Developer Tools abiertas Recorre tus escenarios habituales de inicio de sesión (dispositivos administrados, dispositivos no administrados, distintos navegadores, variaciones de conditional access) con la consola de desarrollador del navegador abierta y busca violaciones de CSP (normalmente se muestran en rojo).

3. Evaluar diferentes perfiles de usuario y flujos Como las violaciones pueden aparecer solo para equipos o configuraciones específicas (debido a extensiones o herramientas locales), prueba con múltiples grupos de usuarios y configuraciones de dispositivo.

4. Sustituir las herramientas afectadas por alternativas sin inyección Si encuentras herramientas críticas para el negocio que dependan de la inyección de scripts, empieza a evaluar alternativas ahora—la inyección de scripts en la página de inicio de sesión dejará de estar soportada una vez que comience la aplicación.

Por qué esto importa

Las páginas de autenticación son objetivos de alto valor. Aplicar CSP en el límite del inicio de sesión es un paso significativo para reducir la superficie de ataque frente a scripts inyectados o maliciosos, mejorando la resiliencia contra ataques modernos de identidad basados en web, mientras se mantiene intacta la experiencia de inicio de sesión para configuraciones compatibles.