С середины октября 2026 года Microsoft начнет блокировать внешние скрипты на страницах входа Entra ID. Для компаний это не косметическая настройка безопасности, а изменение, которое может сломать привычные браузерные расширения и внутренние инструменты, если они вмешиваются в форму авторизации, сообщает BleepingComputer.
Речь идет о новых правилах Content Security Policy, или CSP. Microsoft будет разрешать выполнение скриптов во время входа только с доверенных CDN-доменов самой компании. Все остальное — сторонний код, расширения, самописные вставки, инструменты, которые внедряют JavaScript в страницу логина, — должно быть заблокировано. Развертывание начнется в середине октября и, по плану Microsoft, завершится к концу месяца.
Главная цель — снизить риск атак через инъекцию внешних скриптов, включая XSS. В таком сценарии злоумышленник пытается подсунуть вредоносный код на страницу, где пользователь вводит логин, пароль, одноразовый код или проходит другой этап аутентификации. Для IAM-системы это особенно неприятная зона: если страница входа становится местом исполнения чужого JavaScript, дальше уже пахнет не багом в интерфейсе, а кражей учетных данных.
Microsoft впервые объявила о планах усилить защиту входа от таких атак еще в ноябре 2025 года. Теперь компания напоминает администраторам, что дедлайн близко и лучше не проверять совместимость утром после выката. Изменение включат по умолчанию в рамках сервисного обновления. Настраивать tenant отдельно не потребуется, отключателя для любителей жить опасно Microsoft в сообщении не описывает.
Под удар попадают не пользователи как таковые, а инструменты вокруг них. Microsoft прямо советует корпоративным клиентам отказаться от браузерных расширений и решений, которые добавляют собственный код на страницы входа. Это могут быть вспомогательные панели, кастомные подсказки, старые средства мониторинга, внутренние автоматизации или расширения, которые когда-то быстро прикрутили к процессу логина и потом забыли. Пользователь по-прежнему сможет войти, но такой инструмент может перестать работать.
Проверка относительно простая: администраторам предлагают прогнать ключевые сценарии входа и открыть консоль разработчика в браузере. Если CSP начнет ругаться на заблокированные скрипты, нарушения будут видны в консоли, обычно красным текстом, с деталями о том, какой именно ресурс не прошел политику. Для больших организаций это повод пройтись не только по стандартному логину, но и по SSO-сценариям, условному доступу, MFA, VDI, корпоративным браузерным профилям и рабочим местам, где любят жить «временные» расширения пятилетней давности.
Есть важное исключение: Microsoft Authentication Library и API-based authentication flows не затронуты. Новая CSP применяется к браузерному входу через login.microsoftonline.com. Для разработчиков это означает довольно прямой вывод: если приложение корректно использует MSAL или API-потоки, переписывать авторизацию из-за этого обновления не нужно. Если же вокруг логина есть хаки на уровне DOM, внедрение скриптов или зависимость от стороннего расширения, пора доставать фонарик и смотреть, кто там шевелится в консоли.
Для бизнеса изменение выглядит как еще один шаг Microsoft в сторону более жесткой модели безопасности по умолчанию. Это часть Secure Future Initiative — программы, которую компания запустила после взлома почтовых ящиков Exchange Online у десятков организаций и сотен частных лиц в мае и июне 2023 года. В ту же линию укладываются отключение ActiveX controls в Windows-версиях Microsoft 365 и Office 2024, а также обновления security defaults в Microsoft 365, блокирующие доступ к файлам Office, SharePoint и OneDrive через устаревшие протоколы аутентификации.
Практический смысл для русскоязычных IT-команд простой: окно на проверку небольшое, а последствия могут всплыть в самый неудобный момент — на helpdesk, в HR-онбординге или у подрядчика, который входит в корпоративные ресурсы раз в неделю. Лучше заранее составить список расширений и инструментов, связанных с авторизацией, проверить сценарии входа в тестовых и рабочих окружениях, а все кастомные вставки вынести из страницы логина туда, где им место. Entra ID становится менее терпимым к чужому JavaScript, и это редкий случай, когда такая нетерпимость выглядит вполне здоровой.
