Microsoft reforça segurança do Entra ID contra injeção de script a partir de outubro

A Microsoft eleva o nível de segurança no Entra ID com a adoção de uma Content Security Policy (CSP), combatendo diretamente a injeção de script. Essencialmente, a CSP funciona como uma barreira que dita quais scripts, imagens e outros recursos podem ser carregados e executados em uma página web. Para o Entra ID, isso significa que apenas scripts originados da Content Delivery Network (CDN) da própria Microsoft serão permitidos nas páginas de login hospedadas em login.microsoftonline.com.

Essa medida foca na prevenção de ataques de Cross-Site Scripting (XSS), onde cibercriminosos injetam código malicioso em sites legítimos. Com a CSP, a Microsoft quer proteger dados de credenciais, impedindo que scripts externos capturem informações de login. A iniciativa se alinha à Secure Future Initiative (SFI), um esforço mais amplo da empresa para fortalecer a segurança de seus produtos, como visto na desativação de controles ActiveX no Microsoft 365 e a atualização dos padrões de segurança do Microsoft 365 para bloquear protocolos de autenticação legados.

Em novembro de 2025, a Microsoft já havia anunciado planos para fortalecer a proteção do Entra ID contra injeção de script. Agora, em outubro de 2026, essa promessa se concretiza com a aplicação da Content Security Policy (CSP). O que antes era um aviso ou uma intenção, agora se transforma em uma implementação efetiva, reforçando a segurança do acesso e autenticação na plataforma de identidade da Microsoft. É a passagem do planejamento para a execução na vida real.

Para empresas e usuários, esta atualização é crítica. Aumenta significativamente a proteção contra ataques que buscam roubar credenciais e informações sensíveis através de injeção de código malicioso. Ao limitar a execução de scripts apenas para fontes confiáveis da Microsoft, a superfície de ataque é drasticamente reduzida, tornando o processo de login no Entra ID muito mais seguro. É um passo robusto para manter a integridade das identidades digitais.