Microsoft Entra ID : CSP stricte sur la connexion

Introduction

Microsoft renforce l’expérience de connexion Microsoft Entra ID dans le cadre de la Secure Future Initiative (SFI). La future application de la Content Security Policy (CSP) est conçue pour empêcher l’injection de scripts externes pendant l’authentification — une zone fréquemment ciblée par les attaquants — en limitant quels scripts peuvent être chargés et exécutés sur la page de connexion.

Quoi de neuf

Microsoft va ajouter et appliquer un en-tête CSP plus strict pour l’expérience de connexion Entra ID sur login.microsoftonline.com. Les principaux changements incluent :

• Téléchargements de scripts limités aux domaines Microsoft CDN de confiance Seuls les scripts provenant de réseaux de distribution de contenu approuvés par Microsoft seront autorisés à se charger.

• Exécution des scripts inline limitée à des sources Microsoft de confiance (basée sur des nonce) Les scripts inline seront régis via des modèles de nonce CSP, empêchant l’exécution de code inline arbitraire.

• Périmètre limité aux connexions via navigateur sur login.microsoftonline.com Cela concerne spécifiquement les pages de connexion interactives dans un navigateur.

• Aucun impact sur Microsoft Entra External ID Microsoft indique que les expériences Entra External ID ne sont pas affectées par cette mise à jour.

Calendrier

• Application globale : Microsoft Entra ID appliquera la CSP mise à jour de mi à fin octobre 2026.
• Communications : Microsoft enverra des mises à jour périodiques en amont du déploiement.

Impact pour les administrateurs IT et les utilisateurs finaux

Pour la plupart des organisations, il s’agira d’une amélioration de sécurité « silencieuse ». En revanche, les environnements qui utilisent des extensions de navigateur, des scripts ou des outils tiers injectant du code dans la page de connexion doivent s’attendre à une rupture de cette fonctionnalité injectée.

Nuance importante : Microsoft indique que même si les outils injectés cessent de fonctionner, les utilisateurs peuvent toujours se connecter — mais toute superposition, instrumentation, personnalisation ou logique d’assistance qui dépend de l’injection peut échouer.

Éléments typiques à examiner :

• Gestionnaires de mots de passe ou extensions de « sécurité » qui modifient les pages de connexion
• Superpositions de helpdesk ou de dépannage SSO
• Personnalisation de marque ou modifications UX implémentées via injection
• Outils de supervision ou d’analytics qui s’accrochent à l’UI de connexion via scripting navigateur

Actions recommandées / prochaines étapes

1. Inventorier et réduire les dépendances à l’injection sur la page de connexion Microsoft recommande explicitement d’éviter les extensions ou outils qui injectent du code dans l’expérience de connexion Entra.

2. Tester les flux de connexion avec les Developer Tools ouverts Exécutez vos scénarios de connexion courants (appareils gérés, appareils non gérés, différents navigateurs, variations de conditional access) avec la console dev du navigateur ouverte et recherchez les violations CSP (généralement affichées en rouge).

3. Évaluer différents profils utilisateurs et parcours Comme les violations peuvent n’apparaître que pour certaines équipes ou configurations utilisateur (à cause d’extensions ou d’outils locaux), testez avec plusieurs groupes d’utilisateurs et configurations d’appareils.

4. Remplacer les outils impactés par des alternatives sans injection Si vous identifiez des outils critiques pour l’activité qui reposent sur l’injection de scripts, commencez à évaluer des alternatives dès maintenant — l’injection de scripts dans la page de connexion ne sera plus prise en charge une fois l’application effective.

Pourquoi c’est important

Les pages d’authentification sont des cibles à forte valeur. Appliquer une CSP à la frontière de la connexion est une étape significative pour réduire la surface d’attaque des scripts injectés ou malveillants, améliorant la résilience face aux attaques modernes d’identité basées sur le web, tout en conservant une expérience de connexion intacte pour les configurations conformes.