Microsoft zapowiedział istotne usprawnienie bezpieczeństwa, które ma chronić przepływy uwierzytelniania Entra ID przed wstrzykiwaniem zewnętrznych skryptów i atakami typu XSS; wdrożenie nastąpi w połowie lub pod koniec października 2026 r.
🛡️ Co się zmienia?
Microsoft będzie egzekwował bardziej restrykcyjną politykę Content Security Policy (CSP), która zezwala na:
- ✔️ Pobieranie skryptów wyłącznie z zaufanych przez Microsoft domen CDN
- ✔️ Wykonywanie skryptów wbudowanych wyłącznie z źródeł zatwierdzonych przez Microsoft
- ❌ Brak wstrzykiwania skryptów zewnętrznych podmiotów podczas uwierzytelniania
Chroni to przed kradzieżą poświadczeń, cross-site scriptingiem, złośliwymi rozszerzeniami i zmanipulowanymi przepływami logowania.
🌐 Na co to wpłynie?
- Dotyczy wyłącznie logowań przy użyciu przepływów w przeglądarce na:
👉https://login.microsoftonline.com/* - Entra External ID nie jest objęty zmianą
- Starsze rozszerzenia/narzędzia wstrzykujące kod na strony logowania przestaną działać
🧪 Wymagane działania dla zespołów IT i bezpieczeństwa
Microsoft apeluje do organizacji o przetestowanie ścieżek uwierzytelniania przed wdrożeniem:
- Otwórz konsolę deweloperską przeglądarki podczas logowania
- Szukaj czerwonych komunikatów o naruszeniu CSP
- Zidentyfikuj narzędzia/rozszerzenia, które wstrzykują skrypty
- Zaktualizuj lub usuń niezgodne przepływy automatyzacji
🚫 Przestań używać rozszerzeń przeglądarki, które modyfikują strony logowania — po wejściu zmian w życie nie będą działać.
🏗️ Część inicjatywy Secure Future Initiative Microsoftu
Ta aktualizacja następuje po dużych usprawnieniach SFI w całym ekosystemie, w tym:
- Blokowaniu dostępu do SharePoint / OneDrive starszym metodom uwierzytelniania
- Wyłączeniu wszystkich kontrolek ActiveX w Microsoft 365
- Nowych zabezpieczeniach w Teams blokujących przechwytywanie ekranu podczas spotkań
To mocny krok w stronę eliminacji powierzchni ataku i poprawy bezpieczeństwa tożsamości.
🔎 Zalecenie:
Przejrzyj swoje przepływy uwierzytelniania teraz, przed październikiem 2026 r., aby upewnić się, że żadne nie opiera się na wstrzykiwanym JavaScripcie podczas logowania.
