Microsoft Enforces Content Security Policy on Entra ID Sign-ins
Microsoft plans to enforce a Content Security Policy (CSP) on browser-based sign-in pages for Entra ID starting mid-October 2026, aiming to restrict script execution to its trusted content delivery network domains to prevent XSS attacks that steal credentials. The change applies automatically only to the login.microsoftonline.com domain, excluding Entra External ID, MSAL, and API-based authentication flows. Organizations are advised to stop using browser extensions and script-injection tools and to test sign-in scenarios before the deadline.
- تعتزم Microsoft تطبيق سياسة أمان المحتوى على تسجيلات دخول Entra ID عبر المتصفح بدءاً من منتصف أكتوبر 2026.
- تهدف السياسة إلى حصر تشغيل النصوص البرمجية على نطاقات شبكة توصيل المحتوى الموثوقة لمنع هجمات XSS وسرقة بيانات الاعتماد.
- يقتصر التطبيق على نطاق login.microsoftonline.com ويستثني Entra External ID ومكتبة MSAL وتدفقات المصادقة عبر API.
- دعت المؤسسات إلى إيقاف استخدام إضافات المتصفح وأدوات حقن الشيفرات واختبار سيناريوهات الدخول لتفادي أي اضطراب تشغيلي.
- يأتي التحديث ضمن مبادرة Secure Future Initiative التي أطلقتها Microsoft بعد اختراق حسابات Exchange Online في 2023.