Werkzeuge

Prüfen

Füge eine Sache ein und lass sie prüfen: eine Passkey-Antwort (WebAuthn), Zertifikate, Schlüssel, CSRs oder ein JWK, eine CSP, die Antwort-Header einer Anmeldeseite, einen CORS-Preflight, einen verdächtigen Anmelde-Link – oder beliebigen Text, der nach Secrets durchsucht wird.

1. Die drei Bereiche: Prüfen, HAR bereinigen, Seitenspeicher.
2. Das Feld nimmt Text oder eine Datei (.txt, .json, .pem, .crt, .cer, .csr, .key, .har, .properties).
3. Erkannt: was AuthTailor gefunden hat – hier CORS.
4. Die Karte mit Befunden und Abhilfe. Hier fehlen PUT und authorization in den erlaubten Methoden und Headern.

Die Beispielkacheln Schwache CSP, Blockierter CORS-Preflight, Verdächtiger Anmelde-Link und Passkey-Anmeldung zeigen, wie ein Ergebnis aussieht. Ein HAR verweist AuthTailor an Auth Trace, SAP-Artefakte an SAP.

Passkey-Antworten

Eine WebAuthn-Antwort (aus den DevTools oder einem Log) zerlegt AuthTailor in ihre Teile. Unter Erwartete Werte trägst du ein, was deine Relying Party erwartet.

1. Origin, RP-ID und Challenge (wie gesendet). Ohne sie prüft AuthTailor Origin und RP-ID nur auf Plausibilität.
2. Die Karte mit Prüfungen – Origin, rpIdHash, Benutzer verifiziert, synchronisierter Passkey, Signaturzähler – und den Feldern samt Flags.

HAR bereinigen

Bevor ein HAR an den Support oder in ein Ticket geht: AuthTailor maskiert Cookies, Authorization- und Sitzungs-Header, Codes, Tokens, Passwörter und geheime Parameter. JWTs bleiben lesbar, verlieren aber ihre Signatur. Alles passiert lokal.

1. Antwort-Inhalte: nur JSON (maskiert), alle entfernen oder alle behalten (maskiert).
2. SAMLResponse/SAMLRequest behalten (enthält Benutzerdaten) – nur anhaken, wenn der Support die SAML-Nachricht wirklich braucht.
3. Bereinigtes HAR speichern lädt die Datei als .sanitized.har herunter, Kopieren legt sie in die Zwischenablage.
4. Die Karte zählt, was maskiert wurde, und sucht im Ergebnis noch einmal nach bekannten Secret-Mustern.

Seitenspeicher

Viele Single-Page-Apps legen Tokens im Browser ab. Seitenspeicher durchsucht den Speicher des aktiven Tabs: localStorage, sessionStorage, IndexedDB und per JavaScript lesbare Cookies.

1. Die App im Tab öffnen und anmelden.
2. Auf diesem Tab das Panel über das Symbol in der Symbolleiste öffnen.
3. In Werkzeuge → Seitenspeicher auf Diese Seite durchsuchen klicken.

1. Diese Seite durchsuchen – nach dem ersten Mal Erneut durchsuchen.
2. Origin und wie viele Einträge in welchem Speicher gefunden wurden.
3. Die Befunde: hier ein Refresh-Token in localStorage – nur ein XSS vom Diebstahl entfernt –, JWTs in localStorage und sessionStorage und gespeicherte ID-Tokens.

Das Durchsuchen läuft einmal auf deinen Klick in der Seite. Zurück kommen nur Art, Länge und harmlose Claims (iss, aud, exp, Scopes) – nie ein Wert. Nichts wird gespeichert.

Hast du das Panel nicht über das Symbol auf diesem Tab geöffnet, heißt der Knopf Zugriff erlauben und durchsuchen. Der Zugriff wird gleich nach dem Durchsuchen wieder abgegeben. Browser-Seiten und den Extension-Store kann AuthTailor nicht durchsuchen.