Microsoft Entra ID CSP op aanmeldpagina’s strenger

Introductie

Microsoft versterkt de Microsoft Entra ID-aanmelding als onderdeel van de Secure Future Initiative (SFI). De aankomende afdwinging van Content Security Policy (CSP) is bedoeld om externe scriptinjectie tijdens authenticatie te voorkomen—een gebied dat vaak door aanvallers wordt geviseerd—door te beperken welke scripts op de aanmeldpagina mogen laden en uitvoeren.

Wat is er nieuw

Microsoft voegt een strengere CSP-header toe en gaat deze afdwingen voor de Entra ID-aanmelding op login.microsoftonline.com. Belangrijke wijzigingen zijn:

• Scriptdownloads beperkt tot vertrouwde Microsoft CDN-domeinen Alleen scripts die afkomstig zijn van door Microsoft goedgekeurde content delivery networks mogen laden.

• Uitvoering van inline scripts beperkt tot vertrouwde Microsoft-bronnen (nonce-gebaseerd) Inline scripts worden beheerd via CSP nonce-patronen, waardoor willekeurige inline code niet kan worden uitgevoerd.

• Scope beperkt tot browsergebaseerde aanmeldingen op login.microsoftonline.com Dit is specifiek voor interactieve aanmeldpagina’s in een browser.

• Geen impact op Microsoft Entra External ID Microsoft geeft aan dat Entra External ID-ervaringen niet worden beïnvloed door deze update.

Tijdlijn

• Wereldwijde afdwinging: Microsoft Entra ID gaat de bijgewerkte CSP afdwingen midden tot eind oktober 2026.
• Communicatie: Microsoft stuurt periodieke updates voorafgaand aan de uitrol.

Impact op IT-beheerders en eindgebruikers

Voor de meeste organisaties is dit een “stille” beveiligingsverbetering. Omgevingen die echter browserextensies, scripts of tools van derden gebruiken die code injecteren in de aanmeldpagina moeten rekening houden met het wegvallen van die geïnjecteerde functionaliteit.

Belangrijke nuance: Microsoft geeft aan dat zelfs als geïnjecteerde tools stoppen met werken, gebruikers nog steeds kunnen aanmelden—maar overlays, instrumentatie, aanpassingen of helperlogica die afhankelijk zijn van injectie kunnen falen.

Typische onderdelen om te beoordelen zijn:

• Password managers of “security”-extensies die aanmeldpagina’s aanpassen
• Helpdesk- of SSO-troubleshooting-overlays
• Custom branding of UX-aanpassingen die via injectie zijn geïmplementeerd
• Monitoring- of analytics-tools die via browser scripting inhaken op de aanmeld-UI

Aanbevolen acties / volgende stappen

1. Inventariseer en verminder afhankelijkheden van injectie op de aanmeldpagina Microsoft raadt expliciet aan om extensies of tools te vermijden die code injecteren in de Entra-aanmelding.

2. Test aanmeldflows met Developer Tools geopend Doorloop je gebruikelijke aanmeldscenario’s (beheerde apparaten, niet-beheerde apparaten, verschillende browsers, variaties in conditional access) met de dev console van de browser geopend en let op CSP-violations (meestal rood weergegeven).

3. Beoordeel verschillende user persona’s en flows Omdat overtredingen mogelijk alleen zichtbaar worden voor specifieke teams of gebruikersopstellingen (door extensies of lokale tooling), test met meerdere gebruikersgroepen en apparaatconfiguraties.

4. Vervang getroffen tools door alternatieven zonder injectie Als je bedrijfskritische tooling vindt die afhankelijk is van scriptinjectie, begin dan nu met het evalueren van alternatieven—scriptinjectie in de aanmeldpagina wordt niet langer ondersteund zodra de afdwinging start.

Waarom dit belangrijk is

Authenticatiepagina’s zijn doelwitten met hoge waarde. CSP afdwingen aan de aanmeldgrens is een betekenisvolle stap om het aanvalsoppervlak voor geïnjecteerde of kwaadaardige scripts te verkleinen, en de weerbaarheid tegen moderne webgebaseerde identity-aanvallen te verbeteren, terwijl de gebruikersaanmelding intact blijft voor conforme configuraties.