Las 49 propiedades que Entra retira de tu login no son de diseño

El 26 de octubre Microsoft deja de obedecer una lista de propiedades de CSS en la página donde tu gente escribe su contraseña. Son 49 entradas repartidas en dos avisos distintos, y entre ellas están position, z-index, opacity, visibility, clip-path y pointer-events: buena parte de lo que hace falta para que una página enseñe una cosa y recoja el clic en otra. Nos quitan una función por la que algunas empresas pagaron un diseño, y nos parece bien. Lo que merece discusión es quién tenía permiso para usarla.

Tres avisos, dos cambios

Esto es lo primero que hay que ordenar, porque la cuenta no sale si lo buscas en un solo sitio. La retirada del CSS llegó en dos avisos del centro de mensajes, con un mes de diferencia: el segundo amplía la lista del primero. El tercer aviso es otra cosa distinta y comparte calendario por casualidad. Las personas que tienen que actuar tampoco son las mismas.

Tres exclusiones que conviene tener a mano antes de que alguien abra un ticket por lo que no es. La política de seguridad de contenido se aplica a la experiencia de inicio de sesión en navegador: los flujos con MSAL y los que van por API quedan fuera, así que si tu aplicación autentica sin pintar una página, esto no la roza. Los inquilinos de Microsoft Entra External ID tampoco están afectados, y la documentación lo dice en los dos sitios. Y el 26 de octubre de la tabla es la fecha a partir de la cual deja de funcionar lo que tengas puesto, no el día en que se apaga el inicio de sesión: la gente seguirá entrando.

Un detalle que importa si vas a buscarlo tú: las 49 propiedades no están en un solo aviso. MC1435782 trae el conjunto estrecho —position, margin, transform, opacity, overflow, filter, pointer-events, clip-path, mix-blend-mode, translate— y el resto, que es más de la mitad, llega un mes después con MC1458474. Quien abra el centro de mensajes buscando la lista completa bajo el primer aviso no la va a encontrar. La única que está entera y actualizada es la guía de referencia de la documentación, y es la que conviene citar en el ticket interno.

La lista de 49, leída despacio

La documentación de Microsoft publica la lista completa. Son 49 entradas, y dos de ellas arrastran otras nueve —position incluye top, right, bottom, left y z-index; margin incluye sus cuatro lados—, así que son 58 nombres de propiedad. Agrupadas por lo que hacen salen cinco familias:

• Ocultar: display, visibility, opacity, content-visibility, clip, clip-path, mask y sus variantes, overflow y sus cuatro variantes de eje.
• Superponer: position con z-index, isolation, mix-blend-mode, inset.
• Mover y redimensionar: transform con sus cuatro prefijos de fabricante, translate, scale, rotate, perspective, zoom, offset, los márgenes lógicos y toda la rejilla (grid-area, grid-column, grid-row, order).
• Decidir dónde cae el clic: pointer-events. Una sola, y es la única de la lista cuyo efecto no es visual.
• Decorar, sin más: filter, que es blur(), grayscale() o drop-shadow(). También está en la lista, y con esta no hay doble lectura posible.

Microsoft no lo esconde. Su propia documentación dice que estas propiedades «controlan dónde aparecen los elementos en la página de inicio de sesión y cómo se superponen, se dimensionan y se muestran», y que «por ejemplo, pueden mover, superponer, redimensionar u ocultar contenido de la página». Y declara el motivo con todas las letras: «Para alinearse con la Microsoft Secure Future Initiative y su foco en la seguridad de la identidad y la resistencia al phishing, Microsoft Entra ID retira el soporte de las propiedades de CSS de maquetación y posicionamiento». El efecto que busca es que la maquetación quede «coherente y predecible».

Mover, superponer, redimensionar, ocultar. Puestos en fila, esos cuatro verbos son el repertorio del redressing de interfaz: la técnica con la que una página enseña un botón y recoge el clic en otro sitio, o tapa el dominio real con un rótulo propio. pointer-events encaja ahí de forma natural, porque su efecto no es visual; lo único que decide es si el clic aterriza en lo que ves o en lo que hay debajo. Esa lectura es nuestra, no una afirmación de Microsoft.

Conviene no estirarlo más de lo que da. De los 58 nombres, once son margin y sus variantes y ocho son de rejilla; añade order, perspective, zoom y el propio filter y tienes cerca de un 40 % de la lista que es maquetación corriente, la que usa cualquiera para centrar una caja. Nadie va a montar un engaño con margin-inline-start. Lo que sostiene la lectura es la otra parte: con position, z-index, opacity, visibility, clip-path, mix-blend-mode y pointer-events en la misma hoja de estilo se construye una pantalla que enseña una cosa y hace otra, y eso ya no es una hipótesis: es el ejemplo que pone la propia documentación cuando dice que pueden ocultar y superponer contenido.

«Pero el CSS lo pongo yo»

Quien diga esto tiene razón en casi todo. El CSS de marca no lo sube cualquiera desde fuera: hace falta entrar en el inquilino con permisos. Un atacante en internet no puede redecorarte el login. Para llegar ahí ya tendría que estar dentro, y si está dentro con esos permisos tienes un problema mayor del que estamos hablando.

La documentación añade el matiz que cambia la conversación. Para revisar o cambiar la configuración de marca, dice Microsoft, «necesitas una cuenta de Administrador Global o de Administrador de Marca». Ve a buscar ese segundo rol en la referencia oficial de roles de Entra y encontrarás Organizational Branding Administrator, con esta descripción de una línea: «Gestionar todos los aspectos de la marca organizativa en un inquilino». Identificador de plantilla 92ed04bf-c94a-4b82-9729-b799a7a4c178. Y, en esa misma tabla, no lleva la marca de rol privilegiado.

Ese rol suena a marketing. Se reparte como se reparte el acceso al gestor de contenidos de la web corporativa: a quien lleva la imagen de la empresa, a la agencia de turno, al becario que tiene el manual de marca. Y es el permiso que decide qué ve exactamente cada empleado en el instante en que teclea su contraseña. No conocemos ningún caso público de abuso de este rol y no vamos a inventarnos uno; lo que señalamos es la forma del permiso. Los inventarios de roles se suelen hacer preguntando qué datos puede leer o cambiar cada uno, y esa pregunta deja fuera una categoría entera: qué puede cambiar de lo que el usuario ve.

El tercer aviso: lo que corre en esa página

Este ya está en marcha mientras lees esto. El despliegue empezó a mediados de octubre y Microsoft espera completarlo antes de que acabe el mes, de modo que login.microsoftonline.com puede estar ejecutando ya sólo scripts alojados por Microsoft en tu inquilino. Lo que se rompe, según el aviso, son «las extensiones de navegador y las herramientas que inyectan scripts» en esa página: grabadores de sesión, capas de accesibilidad, medidores de experiencia de usuario, automatismos caseros. Microsoft no publica la lista de lo que deja de funcionar, así que la única respuesta honesta a «¿me afecta?» es probarlo hoy.

Dale la vuelta a la frase y queda la parte incómoda. Si una herramienta tuya inyecta código en esa página, lo que ha estado pasando hasta hoy es que código de terceros se ejecutaba en la pantalla donde se escriben las contraseñas de tu empresa. La política te está diciendo lo que tenías. Y el fallo, cuando llegue, llegará como «el gestor de contraseñas ha dejado de rellenar» un martes por la mañana, y alguien va a culpar al gestor de contraseñas. Escribir hoy la causa en el registro de incidencias vale más que cualquier plan de comunicación.

Las seis comprobaciones que se contestan esta tarde

Lo primero es sacar la configuración de marca real del inquilino, no mirar la pantalla de administración y fiarse. Con una cuenta con permisos, en el explorador de Microsoft Graph:

GET https://graph.microsoft.com/v1.0/organization
GET https://graph.microsoft.com/v1.0/organization/<tenant-id>/branding/localizations

1. Saca todas las localizaciones, no sólo la de por defecto. Es la trampa de este cambio: la marca se configura por idioma, y la propiedad retirada puede estar sólo en la variante catalana o en la inglesa mientras la castellana está limpia. La llamada de arriba las devuelve todas de golpe; la pantalla de administración, no.
2. Busca las 49 en ese JSON. Microsoft enlaza un inspector de marca para pegarlo y que te liste las propiedades retiradas por idioma. Aviso de criterio nuestro: ese inspector está alojado en GitHub Pages, fuera del dominio de Microsoft. Tu CSS de marca no es un secreto, pero pegar la configuración de tu inquilino en una página web de terceros es una decisión, no un trámite; si no quieres tomarla, un grep de los nombres de la lista sobre el JSON descargado contesta lo mismo.
3. Quita, no migres. La documentación es explícita: «estas propiedades no tienen migración ni reemplazo compatible». No hay equivalente que poner en su lugar. Lo que se puede hacer es rediseñar sin ellas.
4. Valida en un inquilino de prueba antes de tocar el de producción. Lo recomienda Microsoft y lo firmamos: una página de inicio de sesión rota a las nueve de la mañana es un incidente de disponibilidad, no un detalle estético.
5. Lista quién tiene hoy Administrador de Marca y Administrador Global. Con nombre y apellidos, incluidas cuentas de agencias y de antiguos proveedores. Si alguien de esa lista ya no trabaja en lo que trabajaba cuando se le dio el rol, ahí tienes la primera tarea.
6. Haz inventario de lo que inyecta scripts en el inicio de sesión y pruébalo con un usuario real: extensiones desplegadas por directiva, capas de accesibilidad, monitorización de experiencia. Lo que falle, falla este mes, no en enero.

Si tu inquilino es nuevo, esto ya no va contigo

Hay dos fechas anteriores que explican hacia dónde va todo esto. Los inquilinos creados después del 5 de enero de 2026 no tienen CSS personalizado en absoluto. Y desde el 21 de julio de 2026, los inquilinos anteriores que no lo usaban ya no pueden configurarlo. Es decir: la función lleva meses cerrada a los nuevos, y ahora se recorta a los que la tenían. La documentación lo dice sin rodeos: este cambio «es el primer paso hacia la retirada completa de la función de CSS personalizado».

El coste existe y toca declararlo. Si tu empresa vendió internamente que la pantalla de acceso «tiene nuestra cara», esto es una regresión que no has elegido, llega con un preaviso de tres meses y no trae alternativa que ofrecer. Es además la segunda retirada de Entra del trimestre: ya contamos que Entra ya retiró el SMS como segundo factor con su propio calendario. Que el cambio nos parezca correcto y que además moleste caben perfectamente juntos; es lo que pasa cuando el fabricante arregla un riesgo que tú no habías contabilizado y te pasa la factura en trabajo.

Dónde encaja esto en lo que hacemos

El mínimo privilegio se suele aplicar a las personas y a las aplicaciones. El catálogo de roles del proveedor de identidad se revisa mucho menos, y es donde viven las sorpresas: este rol de marca, y también los que ya estaban puestos antes de que llegaras —ya vimos que en tu inquilino hay políticas de acceso condicional que no escribiste tú—. Eso es lo que trabajamos como Zero Trust, y se parece más a una lista de quién puede hacer qué y por qué sigue pudiéndolo que a la compra de un producto. La gobernanza del inquilino de Microsoft 365 —qué viene activado de serie, qué roles existen y quién los tiene— va en el mismo paquete.

Si quieres que saquemos contigo las localizaciones de marca de tu inquilino antes del lunes y repasemos quién tiene hoy cada rol de administración, hablamos. Son dos consultas y una tabla; si sale limpio, lo decimos y no hay proyecto.

Fuentes. Las fechas, el alcance y las citas literales de los dos cambios proceden de los avisos del centro de mensajes de Microsoft 365: MC1435782 («Microsoft Entra ID: Retirement of custom CSS positioning properties in custom branding», publicado el 21 de julio de 2026 y actualizado el 31; retirada desde octubre de 2026, prevista completar a finales de noviembre, con las propiedades afectadas sin respetarse desde el 26 de octubre de 2026), MC1458474 («Microsoft Entra ID: Retirement of custom CSS layout and positioning properties in company branding», publicado el 21 de agosto de 2026, que amplía la lista anterior —«desde la actualización previa en MC1435782, estamos retirando un conjunto adicional de propiedades»— con fecha de actuación del 26 de octubre de 2026 y retirada global a finales de octubre de 2026) y MC1481309 («Microsoft Entra ID: Enhance protection of the authentication experience by blocking external script injection», publicado el 28 de septiembre de 2026; despliegue de mediados a finales de octubre de 2026). La lista completa de 49 entradas —que no figura entera en ninguno de los dos avisos, sino repartida entre ambos—, las citas sobre qué hacen las propiedades, el motivo declarado, la ausencia de migración o reemplazo, las fechas del 5 de enero y el 21 de julio de 2026, la frase sobre la retirada completa de la función, que los inquilinos de Microsoft Entra External ID no están afectados, el requisito de cuenta de Administrador Global o de Marca y las dos llamadas de Microsoft Graph están en la guía de referencia de CSS de personalización de marca de Microsoft Learn, y el motivo declarado remite al anuncio del equipo de Entra. La descripción del rol Organizational Branding Administrator, su identificador de plantilla y el hecho de que no figure marcado como rol privilegiado están en la referencia de roles integrados de Microsoft Entra. El recuento de 49 entradas y 58 nombres de propiedad, la agrupación en cinco familias, la lectura de cuatro de ellas como el repertorio del redressing de interfaz —con el matiz, también nuestro, de que cerca del 40 % de la lista es maquetación corriente sin doble lectura—, la observación sobre pointer-events, la advertencia sobre las localizaciones por idioma, la nota sobre el inspector alojado fuera del dominio de Microsoft y la tesis sobre el rol de marca son criterio nuestro, no afirmaciones de Microsoft. No conocemos ningún caso público de abuso del rol de marca y no afirmamos que lo haya. everyWAN presta servicios gestionados de identidad y seguridad sobre Microsoft 365: el conflicto de interés queda declarado, y no somos revendedores de licencias de Microsoft. Foto de portada: «Fukuoka Daimyō Garden City Tower the turnstiles on the 3rd floor», de Hirho, Wikimedia Commons, CC BY-SA 4.0.