Custom scripting og klassiske publiceringswebsteder i SharePoint Online

Custom scripting betyder, at brugere med rettigheden Add and Customize Pages kan lægge script på sider og websteder, fx med webdelene Script Editor og Content Editor, egne master pages eller SharePoint Designer. Rettigheden har brugerne som standard på de websteder, de selv har oprettet (Microsoft). På webstedet hedder indstillingen DenyAddAndCustomizePages (i PnP PowerShell NoScriptSite). Står den til sand, kan der ikke længere tilføjes eller ændres script. Scripts, der allerede ligger, kører videre.

Microsoft har indskrænket det tre gange og har meldt en fjerde runde. Det samme står derfor i flere af månedsnoterne, med datoer der flyttede sig undervejs.

Overblik#

1. 9. februar 2024

   Annonceret: indstillingen Custom Script fjernes fra admin center, og DenyAddAndCustomizePages sættes til sand på eksisterende websteder (MC714186)

   Kan udskydes?: Ja, til midten af november 2024

2. Primo maj 2024

   Planlagt gennemførelse, flyttet fra marts

3. 15. september 2025

   Custom scripting slås fra som standard på klassiske publishing-skabeloner, og nye klassiske publishing-sites kan ikke oprettes. Annonceret 18. juli 2025 (MC1117115)

   Kan udskydes?: Ja, på klassiske publishing-sites til 15. marts 2026

4. Medio januar 2026

   App Catalog-webstedet. Annonceret 14. november 2025 (MC1186368)

   Kan udskydes?: Pr. websted, 24 timer

5. 15. marts 2026

   Tenantparameteren til at udskyde på klassiske publishing-sites slutter

6. 1. marts 2027

   Fase 1: ingen nye klassiske publishing-sites for alle tenants. Annonceret 31. august 2026 (MC1464926)

   Kan udskydes?: Nej, ifølge Microsoft

7. 1. oktober 2028

   Fase 2: klassiske brugeroprettede sider bliver skrivebeskyttede, og custom scripting kan ikke tillades

   Kan udskydes?: Nej, ifølge Microsoft

Hvad man ikke kan, når custom scripting er slået fra#

Microsofts liste er lang. De, der oftest mærkes (Microsoft):

• Gem som skabelon er væk for websteder, biblioteker og lister. Skabeloner fra før kan stadig bruges.
• Webdele: Script Editor, Content Editor, HTML Form, Embed, Page Viewer (uden at kunne angive adressen) og en række andre. SPFx-webdele med requiresCustomScript sat til sand forsvinder fra webdelsvælgeren og vises ikke længere på de sider, hvor de er tilføjet.
• Master pages og page layouts kan ikke oprettes eller rettes, heller ikke på publishing-sites. Design Manager giver adgang nægtet.
• SharePoint Designer kan ikke længere opdatere sider, der ikke er HTML, og Create Form og Custom Action virker ikke.
• Filtyper som .aspx, .master, .ascx og .xap kan ikke uploades, kopieres, flyttes eller åbnes i et bibliotek. Det, der ligger, er upåvirket.
• Sandbox-løsninger kan ikke tilføjes eller opdateres, og SharePoint 2010-workflows kan ikke publiceres.
• Webstedets property bag kan som standard ikke opdateres. Det kan slås til med Set-SPOTenant -AllowWebPropertyBagUpdateWhenDenyAddAndCustomizePagesIsEnabled $true, hvilket Microsoft indførte med ændringen i 2025 (MC1117115).

2024: indstillingen i admin center fjernes#

Indstillingen Custom Script under Classic settings bestemte, om brugere kunne køre custom script på personlige websteder og på websteder, de selv oprettede. Den fjernes, og DenyAddAndCustomizePages sættes til sand på alle eksisterende SharePoint- og OneDrive-websteder, med undtagelse af nogle skabeloner (MC714186). Tilladelse til script på et websted gives derefter pr. websted og falder tilbage til Not allowed inden for 24 timer (Microsoft):

1# Allow custom script on one site (reverts within 24 hours)
2Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/Legacy" -DenyAddAndCustomizePages 0
3
4# Same with PnP PowerShell
5Set-PnPSite -Identity "https://contoso.sharepoint.com/sites/Legacy" -NoScriptSite $false

På en enkelt brugers OneDrive kan custom script ikke tillades. Microsoft henviser til Baseline security mode som den permanente måde at blokere nye scripts på.

Udskydelsen og datoerne, der flyttede sig#

Set-SPOTenant -DelayDenyAddAndCustomizePagesEnforcement $true lod tilladelser bevare sig i stedet for at falde tilbage efter 24 timer. Kommandoen kræver SharePoint Online Management Shell 16.0.24524.12000 eller nyere og gav en fejl, indtil indstillingerne var rullet ud (MC714186). Opslaget er revideret mindst ni gange siden annonceringen. Udgaverne er læst i arkivet over Message center (merill/mc):

Undtagelserne i nyeste udgave er BLANKINTERNETCONTAINER#0, CMSPUBLISHING#0, BLANKINTERNET#0 (klassiske publishing-skabeloner), APPCATALOG#0 og CSPCONTAINER#0 (SharePoint Embedded). Månedsnoterne februar 2024, marts 2024, april 2024 og august 2024 har hver deres trin af forløbet.

Hvad der skete, da udsættelsen udløb i midten af november 2024, står ikke i nogen kilde, der er læst. Microsofts sidste udgave skriver, at tilladelser derefter falder tilbage inden for 24 timer uanset indstillingen.

2025: klassiske publishing-sites lukkes for nyt#

Det næste opslag (MC1117115, annonceret 18. juli 2025) gælder fra 15. september 2025:

1. Custom scripting slås fra som standard på websteder lavet med skabelonerne BLANKINTERNETCONTAINER#0 (Publishing Portal), CMSPUBLISHING#0 (Publishing Site), BLANKINTERNET#0 (Publishing Site Blank) og CSPCONTAINER#0 (SharePoint Embedded). Den 2. september 2025 blev det tilføjet, at det også gælder eksisterende klassiske publishing-sites, og at scripts, der allerede ligger, ikke afbrydes.
2. Nye klassiske publishing-site collections kan ikke oprettes, og publishing-funktionerne kan ikke aktiveres i eksisterende, hverken i brugerfladen eller via API. Det gælder ti skabeloner: de tre første i listen ovenfor samt ENTERWIKI#0 (Enterprise Wiki), SRCHCEN#0 (Enterprise Search Center), SPSSITES#0 (Site Directory), SPSNHOME#0 (News Home Site), PRODUCTCATALOG#0 (Product Catalog), SPSREPORTCENTER#0 (Report Center) og SPSTOPIC#0 (Topic Area). Eksisterende publishing-sites kan fortsat bruges, også til at oprette underwebsteder.

Hertil hører to tenantparametre, som kræver SharePoint Online Management Shell 16.0.26211.12010 eller nyere (MC1117115; parametrene står i Set-SPOTenant):

1# Allow creation of classic publishing site collections again (default is $false)
2Set-SPOTenant -AllowClassicPublishingSiteCreation $true
3
4# Keep custom script changes on classic publishing sites (announced to end 15 March 2026)
5Set-SPOTenant -DelayDenyAddAndCustomizePagesEnforcementOnClassicPublishingSites $true

Opt-outen til 15. marts 2026 stod i opslaget fra første udgave den 18. juli 2025. I påmindelsen den 29. januar 2026 blev den omformuleret til, at kommandoen “will be retired starting March 15, 2026”. Ud over den kan en tenantadministrator stadig tillade custom scripting på ét websted af en hvilken som helst skabelon i 24 timer med Set-SPOSite. Om 15. september 2025 og 15. marts 2026 faktisk slog igennem som planlagt, er ikke bekræftet i nogen kilde fra tiden efter. Månedsnoterne juli 2025, august 2025 og september 2025 har hver deres trin af forløbet.

App Catalog-webstedet (APPCATALOG#0) var undtaget i 2024. Fra midten af januar 2026 er DenyAddAndCustomizePages sand som standard også der. Upload, opdatering og udrulning af apps påvirkes ikke, og eksisterende tilpasninger bevares (MC1186368). Se november 2025.

2027 og 2028: klassiske sider bliver skrivebeskyttede#

Den 31. august 2026 meldte Microsoft to faser ud, med den begrundelse at under fem procent af de månedligt aktive tenants bruger klassiske funktioner (SharePoint-bloggen, Microsoft):

De sider, der bliver skrivebeskyttede, er wikisider, webdelssider, blogsider, publishing-sider og egne ASPX-sider lavet med SharePoint Designer eller tredjepartsværktøjer. Visninger og formularsider er ikke med, men scripts i dem rammes af reglen om custom scripting. Intet indhold slettes, og siderne kan stadig åbnes. Moderne sider og SPFx-løsninger er ikke berørt. Udrulningen på Worldwide er planlagt fra primo marts 2027 til primo april 2027 (MC1464926). Månedsnoten for august 2026 har meldingen som den stod ved annonceringen.

Til forskel fra 2024 og 2025 nævner Microsoft ingen udskydelse. Indstillingerne beskrives som “cannot be changed”. Klassiske publishing-sites kan efter 1. marts 2027 heller ikke migreres som de er fra SharePoint Server til en nyoprettet klassisk publishing-site i SharePoint Online (Microsoft).

Find ud af, hvor det bruges#

• Websteder, der tillader script. I SharePoint admin center under Sites → Active sites findes kolonnen Custom script og visningen Custom script allowed sites. De viser, hvilke websteder der er sat til at tillade script, også hvis der ikke ligger noget script på dem (Microsoft).
• Klassiske sider i brug. Purview Audit (Standard) har kategorien SharePoint Classic Activities med hændelserne ClassicPageCreated, ClassicPageEdited og ClassicPageViewed.
• Omfanget. Microsoft 365 Assessment Tool finder klassiske sider, webdele og tilpasningsmønstre og vurderer, hvor svært de er at modernisere (Microsoft).

Til selve moderniseringen peger Microsoft på PnP Modernization til sider, der kan omskrives af regler, og på SharePoint Page Migration Agent (preview, uden Microsofts support). Til sider der er bare lidt avanceret er det en bedre ide at starte forfra og lave nye.

Ikke bekræftet#

• Hvad der skete i november 2024, da udsættelsen af 2024-ændringen udløb. Månedsnoten for marts 2024 skriver også, at tidspunktet for den faktiske fjernelse ikke er fundet.
• Om ændringen den 15. september 2025 faktisk blev gennemført på alle tenants den dag.
• Om DelayDenyAddAndCustomizePagesEnforcementOnClassicPublishingSites stadig kan sættes efter 15. marts 2026. Parameteren står endnu i Microsofts dokumentation.
• Datoerne for GCC, GCC High og DoD i 2027. Teksten i Message center har en åbenbar tastefejl i året for GCC.