HTML-sider i SharePoint

Lægger man en .html-fil i et bibliotek i SharePoint Online, bliver den downloadet, når nogen klikker på den. Sådan har det været, siden Microsoft afskaffede den såkaldte permissive filhåndtering ved udgangen af 2018 (Microsoft). Grunden var god: en bruger med almindelig redigeringsret kunne lægge en HTML-fil med JavaScript, som så kørte med rettighederne hos den, der åbnede den (Microsoft).

Nu kommer der en vej udenom. En HTML-fil i biblioteket Site Pages kan vises som en side, ved siden af de almindelige sider, og den kan redigeres, publiceres og deles. Siden laves med Copilot eller uploades (Microsoft). Microsoft fortæller historien som en Copilot-funktion, men det interessante sker et andet sted. /

Hvad en HTML-side er#

Det er ikke en moderne side med sektioner og webdele. Det er en HTML-fil, som SharePoint viser i en sandboxed iframe, adskilt fra sitets header, navigation og footer, og med en Content Security Policy som ekstra lag (Microsoft).

Inde i sandkassen gælder ifølge supportartiklen (Microsoft):

• JavaScript er tilladt, når det står i selve filen.
• Fem biblioteker kan bruges fra en CDN, som Microsoft står for: Chart.js, Mermaid, React, Fluent UI og Babylon. Andre biblioteker fra en CDN virker ikke.
• Live data fra lister og Excel understøttes, men ikke fra andre systemer som Jira.
• Blokeret: vilkårlige fetch-kald, udgående API-kald, adgang til localStorage og kommunikation med andre tenants.
• Billeder som base64 eller fra samme domæne. Video kun som overlay. Office-filer og PDF åbnes i en ny fane, ikke inde på siden.
• Links inden for tenanten virker. Links ud af tenanten kræver, at domænet står på sitets liste under HTML Field Security.
• Højst 10 MB pr. fil.

HTML Field Security er den gamle indstilling, der styrer, hvilke domæner Embed-webdelen må vise i en iframe. Den sættes af site collection-administratoren under Site settings (Microsoft).

Sider, Copilot laver, får sitets tema og skrifttype. Uploadet HTML får det ikke af sig selv (Microsoft).

Fra Script Editor til sandkasse#

I 2014 skjulte jeg felter i SharePoint-formularer med jQuery i en Script Editor-webdel. Det virkede, fordi scriptet kørte med fuld adgang til siden og brugerens session. Det er netop derfor, Script Editor forsvinder, når custom script er blokeret (Microsoft), og custom script bliver slået fra som standard i alle tenants fra 1. oktober 2028 (Microsoft). På moderne sider blokerer Content Security Policy desuden inline script siden marts 2026.

HTML-siderne går den anden vej: inline script er tilladt, men i en sandkasse, der hverken kan læse sessionen eller sende data ud. Supportartiklen nævner ikke custom script, og upload kræver kun ret til at tilføje filer i Site Pages, ikke Add and Customize Pages (Microsoft). Det tyder på, at funktionen ikke afhænger af custom script, men det står der ikke direkte.

Sådan kommer en side ind#

Først skal en site owner tillade HTML-filer: i Site Pages vælges File types og derefter Allow HTML files. Samme sted slås det fra igen (Microsoft).

Derefter er der flere veje (Microsoft):

1. + New → HTML page på sitet, eller + Create → HTML page på Publish-siden. Her kan man både bede Copilot om en side og uploade en fil.
2. Copilot-knappen nederst til højre. Man beskriver siden og kan vedhæfte filer som kontekst. Copilot laver et udkast og åbner det i redigering. Man skal selv tjekke, at siden er havnet i Site Pages.
3. Upload i Site Pages: Create or upload → Upload HTML page eller Upload HTML folder. Billeder og andre filer fra en mappe lægges i Site assets.
4. En HTML-fil, der allerede ligger i et bibliotek: Edit → Edit in SharePoint flytter den til Site Pages og åbner den. Filen forsvinder fra det oprindelige bibliotek.

Tekst kan rettes direkte på siden. Alt andet sker gennem Copilot-chatten, og Microsoft skriver, at man ikke behøver at redigere HTML-koden (Microsoft). Fra oktober kan man også skrive kommentarer på en genereret side og bede Copilot rette efter dem (Microsoft).

Publish gør siden synlig for dem, der allerede har læseadgang. Det giver ingen nye rettigheder. Bagefter kan den deles med Share som alle andre filer (Microsoft).

_html: en manual til sprogmodeller#

I september fik hver tenant en vejledning på _html. Den er skrevet til AI-assistenter som GitHub Copilot, Copilot Studio eller andre, så de laver HTML, der virker i sandkassen, også med live-forbundne lister. Den opdateres, når tenanten får nye muligheder (Microsoft).

“SharePoint-sikker HTML” er altså ikke en offentlig standard, men en instruktion, man giver en sprogmodel. Blogindlægget skriver adressen som https://[tenantname].sharepoint.com_html uden skråstreg, så den rigtige er sandsynligvis https://<tenant>.sharepoint.com/_html.

Det kræver#

Fra Microsofts tabel (Microsoft):

Funktionen kan altså bruges uden Copilot: upload i Site Pages, ret teksten, publicér. HTML’en kan man lave i hvad som helst. Med Copilot er det en del af den almindelige Microsoft 365 Copilot-licens og bruger ikke Copilot Credits (Microsoft).

Det kan den ikke#

En HTML-side mangler meget af det, en almindelig side kan (Microsoft):

• Den kan ikke blive et nyhedsopslag eller sendes videre til Teams og Viva Engage.
• Ingen skabeloner, private kladder eller planlagt publicering.
• Ingen samtidig redigering, reaktioner eller kommentarer.
• Den kan ses, men ikke redigeres, i SharePoint-appen i Teams på mobilen.
• Ingen udgående kald, så data fra andre systemer kræver stadig SPFx.

Statistik fungerer omtrent som for almindelige sider.

Administration#

Der er ingen kontakt på tenantniveau. Microsofts svar på, om HTML-sider kan slås fra eller begrænses for hele tenanten, er et kort “No” (Microsoft). Det, en administrator har, er:

• Allow HTML files i hvert sites Site Pages, styret af site owner.
• HTML Field Security for, hvilke eksterne domæner der må linkes til.
• Copilot-styringen: licenstildeling, Site AI settings og Restricted Content Discovery, som fjerner Copilot fra et site (Microsoft). Det rammer kun oprettelse med Copilot, ikke upload.

Ingen af kilderne nævner en PowerShell-parameter.

Status#

Roadmap-posten blev oprettet 11. august med generel tilgængelighed i oktober (Roadmap 569208). Message center-opslaget fra 25. september flyttede datoerne: public preview i begyndelsen af oktober, generel tilgængelighed fra midten af november til sidst i december 2026, Worldwide (MC1479517). Copilot in SharePoint findes ikke i GCC, GCC High, DoD eller 21Vianet (Microsoft). Om upload-delen kommer dertil, står der ikke.

Faldgruber#

• Fortalt som Copilot, men det er sandkassen, der er nyheden. Message center og bloggen taler om Copilot og “polished web content”. Det, der faktisk er nyt, er, at SharePoint kan vise en HTML-fil med script uden at åbne for det hul, der fik Microsoft til at slå visningen fra i 2018. Det er en reel ændring, og den virker uden Copilot-licens. Men + New → HTML page kræver ifølge Microsofts egen tabel en licens, selvom samme skærm har en upload-knap.
• En side i navnet. Uden nyhedsopslag, skabeloner, planlægning, kommentarer og samtidig redigering er det ikke en afløser for moderne sider. Det er et godt sted til en rapport, et dashboard over en liste eller en engangsside, og ikke meget mere.
• Ingen kontakt for hele tenanten. Alle med ret til at tilføje filer i Site Pages kan uploade en fuldt designet side, når site owner har slået det til. Sandkassen forhindrer, at scriptet stjæler data, men ikke, at en side på en ægte sharepoint.com-adresse ligner en loginside eller en officiel meddelelse. Om HTML-formularer til eksterne adresser blokeres, står der ikke.
• Hvem vedligeholder den? Ud over tekstrettelser redigeres siden gennem Copilot. En side, som kun kan ændres med en sprogmodel, er teknisk gæld, når den, der lavede den, er væk, eller licensen er.
• Meget er udokumenteret. Versionshistorik, indholdsgodkendelse, søgning i sidens tekst, tilgængelighed for skærmlæsere og audit er ikke nævnt nogen steder. Det samme gælder, hvordan siden henter listedata, når fetch er blokeret.