Microsoft está aplicando una política de seguridad de contenido (CSP) a las páginas de inicio de sesión de Microsoft Entra ID. Desde ahora solo se ejecutarán scripts de dominios de confianza de Microsoft, de modo que las extensiones o herramientas que inyectan código en esa página dejarán de funcionar. El despliegue empezó a mediados de octubre y debía completarse a finales del mes.
Qué cambia en la página de inicio de sesión
Según el aviso MC1191924 del Centro de mensajes, Entra ID añadirá un encabezado Content Security Policy a las páginas de autenticación alojadas en login.microsoftonline.com. Con ese encabezado, solo se permitirán scripts procedentes de dominios de red de entrega de contenido de confianza de Microsoft, y la ejecución de scripts en línea quedará limitada a fuentes de confianza de Microsoft. El código externo o inyectado sin autorización queda bloqueado.
El cambio no requiere configuración en el inquilino. Afecta a los inicios de sesión desde navegador. Los flujos de autenticación de aplicaciones y API que usan MSAL no se ven afectados, y los inquilinos de Microsoft Entra External ID tampoco.
Antes
La página de inicio de sesión podía cargar scripts de extensiones del navegador o de herramientas de terceros que se inyectaban en la página.
Ahora
Solo se ejecutan scripts de dominios de confianza de Microsoft. Lo inyectado desde fuera se bloquea, aunque el usuario puede seguir iniciando sesión.
Quién puede notar el cambio
Microsoft explica que la mayoría de las infracciones que detectó provienen de extensiones de navegador externas o de scripts inyectados por herramientas de terceros. Si su organización no usa nada de eso, no tiene que hacer nada. Si lo usa, esas herramientas dejarán de funcionar en la página de inicio de sesión, aunque los usuarios podrán autenticarse con normalidad.
Gestores de contraseñas y autocompletado
Algunas extensiones modifican la página de inicio de sesión. Conviene verificar que sigan funcionando como se espera.
Herramientas de monitoreo o personalización
Soluciones que inyectan elementos o scripts en la página pueden quedar bloqueadas.
Marcas y temas personalizados
Si una herramienta de terceros altera la apariencia del inicio de sesión, revise su comportamiento.
Aplicaciones con MSAL
Según Microsoft, los flujos de autenticación de aplicaciones y API no se ven afectados.
Lo que no estaba autorizado a ejecutarse en la página de inicio de sesión ahora simplemente no se ejecutará.
Cómo prepararse
Microsoft recomienda probar a fondo los flujos de inicio de sesión y usar su guía de Content Security Policy para identificar infracciones en el propio inquilino. Si descubre una dependencia de una herramienta que inyecta código, la indicación es reemplazarla por una alternativa que no lo haga o trabajar con el proveedor. Como el despliegue ya debía estar completo a finales de octubre, la prueba más útil hoy es sencilla: pedir a unos cuantos usuarios de distintas áreas que inicien sesión con sus extensiones habituales y anotar cualquier comportamiento distinto.
La página del aviso no registra cambios de fecha, y Microsoft indicó que enviaría comunicaciones periódicas antes del lanzamiento. Cada organización debe consultar el Centro de mensajes de su inquilino para confirmar si el cambio ya llegó a su entorno.
Una mejora de seguridad con efectos prácticos
Bloquear scripts externos en la página donde se escriben las credenciales reduce una vía de ataque conocida. Para el equipo de TI, el costo es revisar qué extensiones y herramientas se usan hoy. En Sistemas JVR ayudamos a levantar ese inventario y a validar el inicio de sesión de los usuarios clave, para que una mejora de seguridad no se convierta en un problema de soporte.
¿Sabe qué extensiones o herramientas tocan su inicio de sesión de Microsoft 365?
Un experto de Sistemas JVR puede ayudarle a revisar sus flujos de autenticación de Entra ID y detectar dependencias antes de que generen tickets de soporte.
