Wird das Eingefügte irgendwo gespeichert?

Nein. Eingefügte Inhalte liegen nur im Arbeitsspeicher des Panels, solange es offen ist, und werden nie gesendet.

Muss ich eine SAML Response vorher dekodieren?

Nein. AuthTailor nimmt XML, Base64, URL-kodierte Werte und die deflated Redirect-Bindung und dekodiert selbst.

Woher bekomme ich den Fingerabdruck für die erwarteten Werte?

Aus den SAML-Metadaten deines Identity Providers: Es ist der SHA-256-Fingerabdruck des Signaturzertifikats. AuthTailor zeigt ihn auch in der Karte Zertifikate jeder SAML-Nachricht.

Einfügen und Beispiele

Nicht jede Anmeldung lässt sich live mitschneiden. Dann fügst du ein, was du hast – eine SAML Response aus dem Support-Ticket, ein Token aus dem Log, ein HAR aus den DevTools oder die Fehlermeldung vom Bildschirm. AuthTailor erkennt selbst, was es ist.

Registerkarte: Auth Trace
Dateien: bis 60 MB: .har, .json, .xml, .txt, .log, .jwt
Speicher: nur im Arbeitsspeicher
Beispiele: fünf, mit erfundenen Daten

Das Feld zum Einfügen

Feld Hier einfügen oder ablegen mit Datei öffnen, dem Hinweis Lokal analysiert und den Beispielkacheln — Das Feld nimmt Text, abgelegte Dateien und Beispiele.

Hier einfügen oder ablegen: Text mit Strg+V bzw. ⌘+V einfügen oder eine Datei hineinziehen.
Datei öffnen … wählt eine Datei bis 60 MB. Sehr lange Eingaben zeigt das Feld nur gekürzt an, geprüft wird alles.
„Lokal analysiert · nichts gespeichert oder gesendet · Secrets maskiert“ – die Prüfung läuft im Panel.
Beispiel ausprobieren: SAML Response, OIDC-Code-Ablauf (HAR), SuccessFactors SAML Bearer, ID-Token und Fehlermeldung, alle mit erfundenen Daten und Zeiten relativ zu jetzt.

Was AuthTailor erkennt

Eingabe	Beispiele
SAML	Response, Request, Assertion, Logout, Metadaten – als XML oder Base64, auch URL-kodiert oder deflated aus der Redirect-Bindung
JWT	ID-Token, Access-Token, Logout-Token, DPoP-Proof
OAuth und OIDC	Anmelde-URL (`/authorize`), Rücksprung mit `code` und `state`, Logout-URL, Token-Anfrage, Token-Antwort, Discovery, JWKS
HAR	Export aus den DevTools mit dem ganzen Ablauf – auch mit Antwort-Inhalten, die der Live-Mitschnitt nicht hat
Fehlermeldung	Text mit einem bekannten Code, zum Beispiel `AADSTS50011`, `invalid_grant` oder einem SAML-Status

Unter dem Feld steht nach dem Einfügen Erkannt: mit dem, was AuthTailor gefunden hat. Passkey-Antworten, Zertifikate, CSP oder CORS gehören in Werkzeuge, SAP-Tokens und SAP-Konfigurationen in SAP.

Eine SAML Response prüfen

Den Wert von SAMLResponse kopieren – aus dem Formular-POST in den DevTools, aus einem Log oder einem Ticket.
In das Feld einfügen. Base64 dekodiert AuthTailor selbst.
Urteil, Ampel und die Karte SAML Response lesen. Leeren macht das Feld wieder frei.

Eingefügte SAML Response als Base64, Erkannt SAML Response HTTP-POST, Urteil Alles in Ordnung und der Ablauf SAML vom IdP gestartet — Eine eingefügte SAML Response mit gültiger Signatur.

Leeren entfernt die Eingabe.
Erkannt: SAML Response · HTTP-POST.
Das Urteil: Alles in Ordnung – die Signatur stimmt, Zeiten und Empfänger passen.
Abläufe in dieser Eingabe: Ohne den passenden AuthnRequest ordnet AuthTailor die Response dem Ablauf SAML, vom IdP gestartet (IdP-initiiert) zu. Ein Klick öffnet die Erklärung in Lernen.

Die Karte darunter mit Anatomie, Vertrauenskette und Zertifikat erklärt Tokens und SAML.

Ein HAR einfügen

Ein HAR enthält den ganzen Ablauf samt Antwort-Inhalten, also auch die Token-Antwort. So exportierst du es:

Die DevTools öffnen (F12), Registerkarte Network, Preserve log einschalten.
Die Anmeldung durchspielen.
In der Liste mit der rechten Maustaste Save all as HAR wählen.
Die Datei in das Feld von AuthTailor ziehen.

Erwartete Werte

Viele Anmeldungen scheitern an einem einzigen Zeichen – einem fehlenden Schrägstrich in der Entity-ID, einer anderen Client-ID. Unter Erwartete Werte trägst du ein, was deine App erwartet. AuthTailor vergleicht es Zeichen für Zeichen mit der Nachricht.

Die Felder Audience / Entity-ID des Empfängers, Recipient / ACS- oder Token-URL, Issuer des IdP, Client-ID und Zertifikats-Fingerabdruck (SHA-256) aus den Metadaten des IdP. Alle sind optional.
Uhr-Toleranz: 0, 1, 2, 5 oder 10 Minuten. So weit dürfen die Uhren von Aussteller und Empfänger auseinanderliegen. Voreingestellt sind 2 Minuten.
Zurücksetzen leert alle Felder. Nach einem Mitschnitt übernimmt Aus dem Mitschnitt übernehmen die gefundenen Werte.
Das Urteil Audience passt nicht mit dem nächsten Schritt.

Mit dem Fingerabdruck aus den Metadaten prüfst du, ob die Nachricht wirklich mit dem Zertifikat deines IdP signiert ist – und nicht nur mit irgendeinem Zertifikat, das in der Nachricht mitkommt.

Eine Fehlermeldung einfügen

Zeigt die Anmeldung nur eine Fehlermeldung, füge sie ein. Der Katalog bekannter Fehler kennt Codes von Entra ID, SAP, OAuth und SAML.

Eingefügte Fehlermeldung AADSTS50011, Urteil Entra ID Redirect-URI passt nicht und die Karte Bekannter Fehler mit Ursache und Abhilfe — Eine Fehlermeldung genügt für Ursache und Abhilfe.

Die Fehlermeldung im Feld – hier das eingebaute Beispiel.
Das Urteil mit dem nächsten Schritt.
Bekannter Fehler mit Code, Ursache und Abhilfe. Den ganzen Katalog durchsuchst du in Lernen.

Siehe auch

Funktionen im Überblick Funktionen · Auth Trace
Doku Das Ergebnis lesen
Doku Tokens und SAML
Doku Werkzeuge
Belege Einfügen oder ablegen · Nur im Arbeitsspeicher