Wie aktualisiere ich AuthTailor?

Gar nicht von Hand: Chrome und Edge holen neue Versionen selbst aus dem Chrome Web Store.

Kostet eine neue Version etwas?

Nein. AuthTailor ist kostenlos, ohne Konto und ohne Lizenz.

Neue Versionen kommen über den Chrome Web Store von selbst. Welche du hast, steht unter Über.

SAP App Router: Bei der Anmeldung über einen SAP App Router (etwa Integration Suite oder Build Work Zone) meldet der Tracer unter Über den ganzen Ablauf SAP App Router: Das Token bleibt auf dem Server – mit Subaccount, Region, XSUAA-Client, Trust (origin) und IdP. Fehlendes state und PKCE sind dort nur noch Hinweise; bei anderen Apps bleibt die Warnung. Siehe SAP.
SAP ID Service und OIDC zwischen den IdPs: Lief die BTP-Anmeldung über den Standard-Trust sap.default statt über den eigenen IAS, sagt der Tracer das – mit dem Weg zum eigenen IdP. Wege per OIDC (XSUAA → IAS, IAS → Firmen-IdP) nennt er samt Hinweis auf die IAS Troubleshooting Logs und die Anmeldeprotokolle des Firmen-IdP. Siehe SAP.
Website: Der Link im Store und in der Extension zeigt auf authtailor.com. Die Datenschutzerklärung der Extension steht unter Datenschutz – derselbe Text wie unter Über.

Erste Veröffentlichung im Chrome Web Store. Edge installiert die Extension aus demselben Eintrag, für Firefox (ab 115) gibt es ein Paket auf Anfrage.

Live-Mitschnitt einer Anmeldung im Browser, Host-Zugriff nur während der Aufzeichnung; optional Bearer-JWTs aus API-Aufrufen und Header je Schritt, maskiert. Siehe Live mitschneiden.
Einfügen oder Ablegen von SAML, JWT, OAuth- und OIDC-URLs, Token-Anfragen und -Antworten, Discovery, JWKS, HAR und Fehlermeldungen. Siehe Einfügen und Beispiele.
Urteil, Ampel in fünf Bereichen, Ablaufdiagramm Browser – App – IdP mit Querprüfungen und Markdown-Bericht. Siehe Das Ergebnis lesen.
Signaturen echt geprüft: SAML mit eigener XML-Kanonisierung, RSA, RSA-PSS und ECDSA mit SHA-1 bis SHA-512; JWTs mit den Schlüsseln des Ausstellers. Grafische Anatomie für JWT und SAML. Siehe Tokens und SAML.
Angriffsmuster und Lecks: Signature Wrapping, doppelte IDs, Kommentar in der NameID, DTD und Transforms; jku, x5u und jwk im Kopf, kid-Injection; Code oder Token im Referer, Tokens in der Query, Client-Secret aus dem Browser; Session Fixation, Skripte ohne SRI, offene Weiterleitungen, Doppelgänger- und Punycode-Hosts.
Abmeldung, Discovery und Metadaten bewertet; DPoP-Proofs und Rotation von Refresh-Tokens geprüft.

Werkzeuge: Passkeys, Zertifikate, Schlüssel, CSP, Security-Header, CORS, Anmelde-Links und Secret-Suche prüfen; HAR bereinigen; Seitenspeicher durchsuchen. Siehe Werkzeuge.
SAP: XSUAA- und IAS-Tokens, „Warum 403?“, Reviews von xs-security.json und xs-app.json, Service-Keys, Destinations und Anmeldetickets; fünf BTP-Abläufe und sechs Kapitel. Siehe SAP.
Lernen: 13 Abläufe als Sequenzdiagramm, Grundlagen in Kapiteln, Glossar, Fehlerkatalog und Checkliste vor dem Go-live. Siehe Lernen.
Über: was AuthTailor macht, Datenschutz, Berechtigungen mit dem Stand des Host-Zugriffs, gespeicherte Einstellungen und die vollständige Datenschutzerklärung. Siehe Berechtigungen und Datenschutz.
Oberfläche auf Deutsch und Englisch, hell und dunkel nach System.