Les 49 propietats que Entra retira del teu login no són de disseny

El 26 d'octubre Microsoft deixa d'obeir una llista de propietats de CSS a la pàgina on la teva gent escriu la seva contrasenya. Són 49 entrades repartides en dos avisos diferents, i entre elles hi ha position, z-index, opacity, visibility, clip-path i pointer-events: bona part del que cal perquè una pàgina ensenyi una cosa i reculli el clic en una altra. Ens treuen una funció per la qual algunes empreses van pagar un disseny, i ens sembla bé. El que mereix discussió és qui tenia permís per fer-la servir.

Tres avisos, dos canvis

Això és el primer que cal ordenar, perquè el compte no surt si ho busques en un sol lloc. La retirada del CSS va arribar en dos avisos del centre de missatges, amb un mes de diferència: el segon amplia la llista del primer. El tercer avís és una altra cosa i comparteix calendari per casualitat. Les persones que han d'actuar tampoc no són les mateixes.

Tres exclusions que convé tenir a mà abans que algú obri un tiquet pel que no és. La política de seguretat de contingut s'aplica a l'experiència d'inici de sessió en navegador: els fluxos amb MSAL i els que van per API queden fora, així que si la teva aplicació autentica sense pintar una pàgina, això no la frega. Els inquilins de Microsoft Entra External ID tampoc no estan afectats, i la documentació ho diu als dos llocs. I el 26 d'octubre de la taula és la data a partir de la qual deixa de funcionar el que tinguis posat, no el dia en què s'apaga l'inici de sessió: la gent continuarà entrant.

Un detall que importa si ho vas a buscar tu: les 49 propietats no són en un sol avís. MC1435782 porta el conjunt estret —position, margin, transform, opacity, overflow, filter, pointer-events, clip-path, mix-blend-mode, translate— i la resta, que és més de la meitat, arriba un mes després amb MC1458474. Qui obri el centre de missatges buscant la llista completa sota el primer avís no la trobarà. L'única que hi és sencera i actualitzada és la guia de referència de la documentació, i és la que convé citar al tiquet intern.

La llista de 49, llegida a poc a poc

La documentació de Microsoft publica la llista completa. Són 49 entrades, i dues n'arrosseguen nou més —position inclou top, right, bottom, left i z-index; margin inclou els seus quatre costats—, de manera que són 58 noms de propietat. Agrupades pel que fan surten cinc famílies:

• Amagar: display, visibility, opacity, content-visibility, clip, clip-path, mask i les seves variants, overflow i les seves quatre variants d'eix.
• Superposar: position amb z-index, isolation, mix-blend-mode, inset.
• Moure i redimensionar: transform amb els seus quatre prefixos de fabricant, translate, scale, rotate, perspective, zoom, offset, els marges lògics i tota la graella (grid-area, grid-column, grid-row, order).
• Decidir on cau el clic: pointer-events. Una de sola, i és l'única de la llista l'efecte de la qual no és visual.
• Decorar, i prou: filter, que és blur(), grayscale() o drop-shadow(). També és a la llista, i amb aquesta no hi ha cap doble lectura possible.

Microsoft no ho amaga. La seva documentació diu que aquestes propietats «controlen on apareixen els elements a la pàgina d'inici de sessió i com se superposen, es dimensionen i es mostren», i que «per exemple, poden moure, superposar, redimensionar o amagar contingut de la pàgina». I declara el motiu amb totes les lletres: «Per alinear-se amb la Microsoft Secure Future Initiative i el seu focus en la seguretat de la identitat i la resistència al phishing, Microsoft Entra ID retira el suport de les propietats de CSS de maquetació i posicionament». L'efecte que busca és que la maquetació quedi «coherent i predictible».

Moure, superposar, redimensionar, amagar. Posats en fila, aquests quatre verbs són el repertori del redressing d'interfície: la tècnica amb què una pàgina ensenya un botó i recull el clic en un altre lloc, o tapa el domini real amb un rètol propi. pointer-events hi encaixa de manera natural, perquè el seu efecte no és visual; l'únic que decideix és si el clic aterra en el que veus o en el que hi ha a sota. Aquesta lectura és nostra, no una afirmació de Microsoft.

Convé no estirar-ho més del que dona. Dels 58 noms, onze són margin i les seves variants i vuit són de graella; hi afegeixes order, perspective, zoom i el mateix filter i tens prop d'un 40 % de la llista que és maquetació corrent, la que fa servir qualsevol per centrar una caixa. Ningú no muntarà un engany amb margin-inline-start. El que sosté la lectura és l'altra part: amb position, z-index, opacity, visibility, clip-path, mix-blend-mode i pointer-events al mateix full d'estil es construeix una pantalla que ensenya una cosa i en fa una altra, i això ja no és una hipòtesi: és l'exemple que posa la documentació mateixa quan diu que poden amagar i superposar contingut.

«Però el CSS el poso jo»

Qui digui això té raó en gairebé tot. El CSS de marca no el puja qualsevol des de fora: cal entrar a l'inquilí amb permisos. Un atacant a internet no pot redecorar-te el login. Per arribar-hi ja hauria de ser a dins, i si hi és amb aquests permisos tens un problema més gros del que estem parlant.

I aquí és on la documentació mateixa pitja. Per revisar o canviar la configuració de marca, diu Microsoft, «necessites un compte d'Administrador Global o d'Administrador de Marca». Ves a buscar aquest segon rol a la referència oficial de rols d'Entra i hi trobaràs Organizational Branding Administrator, amb aquesta descripció d'una línia: «Gestionar tots els aspectes de la marca organitzativa en un inquilí». Identificador de plantilla 92ed04bf-c94a-4b82-9729-b799a7a4c178. I, en aquella mateixa taula, no porta la marca de rol privilegiat.

Aquest rol sona a màrqueting. Es reparteix com es reparteix l'accés al gestor de continguts del web corporatiu: a qui porta la imatge de l'empresa, a l'agència de torn, al becari que té el manual de marca. I és el permís que decideix què veu exactament cada empleat en l'instant en què tecleja la seva contrasenya. No coneixem cap cas públic d'abús d'aquest rol i no ens n'inventarem cap; el que assenyalem és la forma del permís. Els inventaris de rols se solen fer preguntant quines dades pot llegir o canviar cadascun, i aquesta pregunta deixa fora una categoria sencera: què pot canviar d'allò que l'usuari veu.

El tercer avís: el que corre en aquella pàgina

Aquest ja està en marxa mentre llegeixes això. El desplegament va començar a mitjans d'octubre i Microsoft espera completar-lo abans que acabi el mes, de manera que login.microsoftonline.com pot estar executant ja només scripts allotjats per Microsoft al teu inquilí. El que es trenca, segons l'avís, són «les extensions de navegador i les eines que injecten scripts» en aquella pàgina: gravadors de sessió, capes d'accessibilitat, mesuradors d'experiència d'usuari, automatismes casolans. Microsoft no publica la llista del que deixa de funcionar, així que l'única resposta honesta a «m'afecta?» és provar-ho avui.

Dona la volta a la frase i queda la part incòmoda. Si una eina teva injecta codi en aquella pàgina, el que ha estat passant fins avui és que codi de tercers s'executava a la pantalla on s'escriuen les contrasenyes de la teva empresa. La política t'està dient el que tenies. I la fallada, quan arribi, arribarà com «el gestor de contrasenyes ha deixat d'emplenar» un dimarts al matí, i algú culparà el gestor de contrasenyes. Escriure avui la causa al registre d'incidències val més que qualsevol pla de comunicació.

Les sis comprovacions que es contesten aquesta tarda

El primer és treure la configuració de marca real de l'inquilí, no mirar la pantalla d'administració i fiar-se'n. Amb un compte amb permisos, a l'explorador de Microsoft Graph:

GET https://graph.microsoft.com/v1.0/organization
GET https://graph.microsoft.com/v1.0/organization/<tenant-id>/branding/localizations

1. Treu totes les localitzacions, no només la de per defecte. És la trampa d'aquest canvi: la marca es configura per idioma, i la propietat retirada pot ser només a la variant catalana o a l'anglesa mentre la castellana està neta. La crida de dalt les retorna totes de cop; la pantalla d'administració, no.
2. Busca les 49 en aquell JSON. Microsoft enllaça un inspector de marca per enganxar-l'hi i que et llisti les propietats retirades per idioma. Avís de criteri nostre: aquell inspector està allotjat a GitHub Pages, fora del domini de Microsoft. El teu CSS de marca no és cap secret, però enganxar la configuració del teu inquilí en una pàgina web de tercers és una decisió, no un tràmit; si no la vols prendre, un grep dels noms de la llista sobre el JSON descarregat contesta el mateix.
3. Treu, no migris. La documentació és explícita: «aquestes propietats no tenen migració ni reemplaçament compatible». No hi ha equivalent per posar-hi. El que es pot fer és redissenyar sense elles.
4. Valida en un inquilí de prova abans de tocar el de producció. Ho recomana Microsoft i ho signem: una pàgina d'inici de sessió trencada a les nou del matí és un incident de disponibilitat, no un detall estètic.
5. Llista qui té avui Administrador de Marca i Administrador Global. Amb nom i cognoms, incloent-hi comptes d'agències i d'antics proveïdors. Si algú d'aquella llista ja no treballa en el que treballava quan se li va donar el rol, allà tens la primera tasca.
6. Fes inventari del que injecta scripts a l'inici de sessió i prova-ho amb un usuari real: extensions desplegades per directiva, capes d'accessibilitat, monitoratge d'experiència. El que falli, falla aquest mes, no al gener.

Si el teu inquilí és nou, això ja no va amb tu

Hi ha dues dates anteriors que expliquen cap on va tot això. Els inquilins creats després del 5 de gener del 2026 no tenen CSS personalitzat en absolut. I des del 21 de juliol del 2026, els inquilins anteriors que no l'usaven ja no el poden configurar. És a dir: la funció fa mesos que està tancada als nous, i ara es retalla als qui la tenien. La documentació ho diu sense embuts: aquest canvi «és el primer pas cap a la retirada completa de la funció de CSS personalitzat».

El cost existeix i toca declarar-lo. Si la teva empresa va vendre internament que la pantalla d'accés «té la nostra cara», això és una regressió que no has triat, arriba amb un preavís de tres mesos i no porta cap alternativa per oferir. És a més la segona retirada d'Entra del trimestre: ja vam explicar que Entra ja va retirar l'SMS com a segon factor amb el seu propi calendari. Que el canvi ens sembli correcte i que a més molesti hi caben perfectament junts; és el que passa quan el fabricant arregla un risc que tu no havies comptabilitzat i et passa la factura en feina.

On encaixa això en el que fem

El mínim privilegi se sol aplicar a les persones i a les aplicacions. El catàleg de rols del proveïdor d'identitat es revisa molt menys, i és on viuen les sorpreses: aquest rol de marca, i també els que ja hi eren abans que arribessis —ja vam veure que al teu inquilí hi ha polítiques d'accés condicional que no vas escriure tu—. Això és el que treballem com a Zero Trust, i s'assembla més a una llista de qui pot fer què i per què ho continua podent que a la compra d'un producte. La governança de l'inquilí de Microsoft 365 —què ve activat de sèrie, quins rols existeixen i qui els té— va al mateix paquet.

Si vols que traguem amb tu les localitzacions de marca del teu inquilí abans de dilluns i repassem qui té avui cada rol d'administració, en parlem. Són dues consultes i una taula; si surt net, ho diem i no hi ha projecte.

Fonts. Les dates, l'abast i les citacions literals dels dos canvis procedeixen dels avisos del centre de missatges de Microsoft 365: MC1435782 («Microsoft Entra ID: Retirement of custom CSS positioning properties in custom branding», publicat el 21 de juliol del 2026 i actualitzat el 31; retirada des d'octubre del 2026, prevista completar a finals de novembre, amb les propietats afectades sense respectar-se des del 26 d'octubre del 2026), MC1458474 («Microsoft Entra ID: Retirement of custom CSS layout and positioning properties in company branding», publicat el 21 d'agost del 2026, que amplia la llista anterior —«des de l'actualització prèvia a MC1435782, estem retirant un conjunt addicional de propietats»— amb data d'actuació del 26 d'octubre del 2026 i retirada global a finals d'octubre del 2026) i MC1481309 («Microsoft Entra ID: Enhance protection of the authentication experience by blocking external script injection», publicat el 28 de setembre del 2026; desplegament de mitjans a finals d'octubre del 2026). La llista completa de 49 entrades —que no figura sencera en cap dels dos avisos, sinó repartida entre tots dos—, les citacions sobre què fan les propietats, el motiu declarat, l'absència de migració o reemplaçament, les dates del 5 de gener i el 21 de juliol del 2026, la frase sobre la retirada completa de la funció, que els inquilins de Microsoft Entra External ID no estan afectats, el requisit de compte d'Administrador Global o de Marca i les dues crides de Microsoft Graph són a la guia de referència de CSS de personalització de marca de Microsoft Learn, i el motiu declarat remet a l'anunci de l'equip d'Entra. La descripció del rol Organizational Branding Administrator, el seu identificador de plantilla i el fet que no figuri marcat com a rol privilegiat són a la referència de rols integrats de Microsoft Entra. El recompte de 49 entrades i 58 noms de propietat, l'agrupació en cinc famílies, la lectura de quatre d'elles com el repertori del redressing d'interfície —amb el matís, també nostre, que prop del 40 % de la llista és maquetació corrent sense doble lectura—, l'observació sobre pointer-events, l'advertiment sobre les localitzacions per idioma, la nota sobre l'inspector allotjat fora del domini de Microsoft i la tesi sobre el rol de marca són criteri nostre, no afirmacions de Microsoft. No coneixem cap cas públic d'abús del rol de marca i no afirmem que n'hi hagi. everyWAN presta serveis gestionats d'identitat i seguretat sobre Microsoft 365: el conflicte d'interès queda declarat, i no som revenedors de llicències de Microsoft. Foto de portada: «Fukuoka Daimyō Garden City Tower the turnstiles on the 3rd floor», de Hirho, Wikimedia Commons, CC BY-SA 4.0.