Microsoft Entra ID: CSP più rigorosa nelle pagine di accesso

Introduzione

Microsoft sta rafforzando l’esperienza di accesso di Microsoft Entra ID nell’ambito della Secure Future Initiative (SFI). La prossima applicazione della Content Security Policy (CSP) è progettata per impedire l’iniezione di script esterni durante l’autenticazione—un’area frequentemente presa di mira dagli attaccanti—limitando quali script possono essere caricati ed eseguiti nella pagina di accesso.

Novità

Microsoft aggiungerà e applicherà un header CSP più rigoroso per l’esperienza di accesso di Entra ID su login.microsoftonline.com. Le principali modifiche includono:

• Download degli script limitati a domini CDN Microsoft attendibili Saranno consentiti solo gli script provenienti da content delivery network approvate da Microsoft.

• Esecuzione di script inline limitata a fonti Microsoft attendibili (basata su nonce) Gli script inline saranno regolati tramite pattern di nonce CSP, impedendo l’esecuzione di codice inline arbitrario.

• Ambito limitato agli accessi via browser su login.microsoftonline.com Si tratta specificamente delle pagine di accesso interattive in un browser.

• Nessun impatto su Microsoft Entra External ID Microsoft afferma che le esperienze di Entra External ID non sono interessate da questo aggiornamento.

Tempistiche

• Applicazione globale: Microsoft Entra ID applicherà la CSP aggiornata da metà a fine ottobre 2026.
• Comunicazioni: Microsoft invierà aggiornamenti periodici prima del rollout.

Impatto per amministratori IT e utenti finali

Per la maggior parte delle organizzazioni, si tratterà di un miglioramento di sicurezza “silenzioso”. Tuttavia, gli ambienti che utilizzano estensioni del browser, script o strumenti di terze parti che iniettano codice nella pagina di accesso dovrebbero aspettarsi l’interruzione di tale funzionalità iniettata.

Un aspetto importante: Microsoft indica che, anche se gli strumenti iniettati smettono di funzionare, gli utenti possono comunque accedere—ma qualsiasi overlay, strumentazione, personalizzazione o logica di supporto che dipende dall’iniezione potrebbe non funzionare.

Elementi tipici da verificare includono:

• Password manager o estensioni “di sicurezza” che modificano le pagine di accesso
• Overlay di helpdesk o troubleshooting SSO
• Branding personalizzato o modifiche UX implementate tramite iniezione
• Strumenti di monitoraggio o analytics che si agganciano alla UI di accesso tramite scripting nel browser

Azioni consigliate / prossimi passi

1. Inventariare e ridurre le dipendenze dall’iniezione nella pagina di accesso Microsoft raccomanda esplicitamente di evitare estensioni o strumenti che iniettano codice nell’esperienza di accesso di Entra.

2. Testare i flussi di accesso con Developer Tools aperti Eseguite i vostri scenari di accesso più comuni (dispositivi gestiti, dispositivi non gestiti, browser diversi, varianti di conditional access) con la console dev del browser aperta e cercate violazioni CSP (tipicamente mostrate in rosso).

3. Valutare diverse tipologie di utenti e flussi Poiché le violazioni possono comparire solo per team o configurazioni utente specifiche (a causa di estensioni o strumenti locali), testate con più gruppi di utenti e configurazioni dei dispositivi.

4. Sostituire gli strumenti impattati con alternative che non usano iniezione Se individuate strumenti business-critical che dipendono dall’iniezione di script, iniziate a valutare alternative fin da ora—l’iniezione di script nella pagina di accesso non sarà più supportata una volta avviata l’applicazione.

Perché è importante

Le pagine di autenticazione sono obiettivi di alto valore. Applicare la CSP al confine dell’accesso è un passo significativo per ridurre la superficie d’attacco per script iniettati o malevoli, migliorando la resilienza contro i moderni attacchi di identità basati sul web e mantenendo intatta l’esperienza di accesso per configurazioni conformi.