Microsoft Entra ID reforça CSP no início de sessão

Introdução

A Microsoft está a reforçar a experiência de início de sessão do Microsoft Entra ID como parte da Secure Future Initiative (SFI). A próxima aplicação da Content Security Policy (CSP) foi concebida para impedir a injeção de scripts externos durante a autenticação — uma área frequentemente visada por atacantes — ao limitar que scripts podem carregar e executar na página de início de sessão.

O que há de novo

A Microsoft vai adicionar e aplicar um cabeçalho CSP mais rigoroso para a experiência de início de sessão do Entra ID em login.microsoftonline.com. As principais alterações incluem:

• Downloads de scripts restringidos a domínios de CDN Microsoft de confiança Apenas scripts obtidos a partir de content delivery networks aprovadas pela Microsoft serão autorizados a carregar.

• Execução de scripts inline restringida a fontes Microsoft de confiança (baseado em nonce) Scripts inline serão controlados através de padrões de nonce no CSP, impedindo a execução de código inline arbitrário.

• Âmbito limitado a inícios de sessão via browser em login.microsoftonline.com Isto é específico das páginas de início de sessão interativas num browser.

• Sem impacto no Microsoft Entra External ID A Microsoft afirma que as experiências do Entra External ID não são afetadas por esta atualização.

Cronograma

• Aplicação global: o Microsoft Entra ID irá aplicar o CSP atualizado de meados até ao final de outubro de 2026.
• Comunicações: a Microsoft irá enviar atualizações periódicas antes do rollout.

Impacto para administradores de TI e utilizadores finais

Para a maioria das organizações, isto será uma melhoria de segurança “silenciosa”. No entanto, ambientes que utilizem extensões de browser, scripts ou ferramentas de terceiros que injetem código na página de início de sessão devem esperar falhas nessa funcionalidade injetada.

Uma nuance importante: a Microsoft indica que, mesmo que ferramentas injetadas deixem de funcionar, os utilizadores ainda conseguem iniciar sessão — mas qualquer overlay, instrumentação, personalização ou lógica de apoio que dependa de injeção poderá falhar.

Itens típicos a rever incluem:

• Gestores de palavras-passe ou extensões de “segurança” que modificam páginas de login
• Overlays de helpdesk ou troubleshooting de SSO
• Branding personalizado ou alterações de UX implementadas via injeção
• Ferramentas de monitorização ou analytics que se ligam ao UI de início de sessão via scripting no browser

Ações recomendadas / próximos passos

1. Inventariar e reduzir dependências de injeção na página de início de sessão A Microsoft recomenda explicitamente evitar extensões ou ferramentas que injetem código na experiência de início de sessão do Entra.

2. Testar fluxos de início de sessão com as Developer Tools abertas Execute os seus cenários comuns de início de sessão (dispositivos geridos, dispositivos não geridos, diferentes browsers, variações de conditional access) com a consola de dev do browser aberta e procure violações de CSP (normalmente apresentadas a vermelho).

3. Avaliar diferentes personas e fluxos de utilizador Como as violações podem surgir apenas para equipas específicas ou configurações específicas de utilizador (devido a extensões ou tooling local), teste com vários grupos de utilizadores e configurações de dispositivos.

4. Substituir ferramentas afetadas por alternativas que não injetem Se identificar tooling crítico para o negócio que dependa de injeção de scripts, comece a avaliar alternativas agora — a injeção de scripts na página de início de sessão deixará de ser suportada quando a aplicação começar.

Porque isto é importante

Páginas de autenticação são alvos de elevado valor. Aplicar CSP no limite do início de sessão é um passo relevante para reduzir a superfície de ataque de scripts injetados ou maliciosos, melhorando a resiliência contra ataques modernos de identidade baseados na web, mantendo intacta a experiência de início de sessão do utilizador para configurações conformes.