Das Ergebnis lesen

Das Urteil

Ganz oben steht, was AuthTailor von der Anmeldung hält – in einem Satz, mit dem nächsten Schritt. Die Bilder zeigen einen Mitschnitt der erfundenen App „Acme Orders“: Die Anmeldung klappt, aber die API lehnt eine Freigabe ab.

1. Das Urteil in vier Stufen: Alles in Ordnung, Einen Blick wert, Hier scheitert die Anmeldung oder Nichts erkannt. Darunter die Ursache in einem Satz.
2. Nächster Schritt: was du jetzt tun solltest.
3. Die Zähler: kritische und hohe Befunde, mittlere Befunde und bestandene Prüfungen.
4. Abläufe in dieser Eingabe: welcher Ablauf erkannt wurde, hier Authorization Code + PKCE. Ein Klick öffnet die Erklärung in Lernen.
5. Schlüssel von … laden holt die öffentlichen Schlüssel des Ausstellers, damit AuthTailor die Signatur der JWTs prüfen kann. Mehr dazu in Tokens und SAML.

Die Sicherheitsbewertung

Auch eine Anmeldung, die funktioniert, kann unsicher sein. Die Sicherheitsbewertung ordnet alle Befunde fünf Bereichen zu und gibt jedem eine Ampel.

1. Die Gesamt-Ampel – so rot wie der schlechteste Bereich.
2. Ein grüner Bereich mit der Zahl der bestandenen Prüfungen.
3. Ein geöffneter Bereich mit seinen Befunden, jeweils mit Folge und Abhilfe.

Rot bedeutet einen kritischen oder hohen Befund, Gelb einen mittleren. Reine Hinweise (i) lassen die Ampel grün. Rein funktionale Befunde wie eine falsche Audience oder ein abgelaufenes Token stehen im Urteil, zählen aber nicht zur Sicherheitsbewertung.

Der Anmeldeablauf

Bei einem Mitschnitt oder HAR zeichnet AuthTailor den Anmeldeablauf als Diagramm mit drei Bahnen: Browser, App und Identity Provider. Anfragen, die nicht zur Anmeldung gehören, blendet es aus.

1. Die Bahnen mit den Hosts – hier orders.acme.example als App und login.acme.example als Identity Provider.
2. Ein Schritt mit Titel, Methode, URL, Status und Zeit seit dem ersten Schritt. Der rote, gestrichelte Pfeil ist der Schritt, an dem es scheitert. Ein Klick öffnet die Details des Schritts.
3. Über den ganzen Ablauf: Prüfungen, die mehrere Schritte zusammen betreffen – kommt state unverändert zurück, passt der PKCE-Verifier zur Challenge, fehlen Schutz-Header?

Header eines Schritts

War beim Mitschnitt die Option Header an, zeigt jeder Schritt seine Anfrage- und Antwort-Header. Werte von Cookies, Authorization und anderen Geheimnissen sind maskiert.

1. Der gewählte Schritt.
2. Nur Probleme blendet in den Karten darunter die bestandenen Prüfungen aus.
3. Header filtern sucht in Namen und Werten.
4. Header kopieren (maskiert) legt die Header in die Zwischenablage, ohne die Geheimnisse.
5. Auffällige Cookie-Attribute sind farbig markiert – hier SameSite=None.

Karten und Bericht

Unter dem Ablauf folgt für jede erkannte Nachricht eine Karte: Token, SAML-Nachricht, Anmelde-URL, Token-Antwort. Was in den Karten steht, beschreibt Tokens und SAML.

• Bericht kopieren legt einen Bericht in Markdown in die Zwischenablage – Urteil, Ablauf, Befunde und Abhilfen, maskiert. Er passt in ein Ticket oder einen Chat.
• Bereinigtes HAR speichern speichert einen Mitschnitt oder ein HAR ohne Geheimnisse: Header, Cookies, Parameter und Inhalte maskiert, JWTs ohne Signatur.
• Erwartete Werte lassen sich nach einem Mitschnitt mit Aus dem Mitschnitt übernehmen füllen, siehe Einfügen und Beispiele.