Fundstellen.
„Zero Trust.“ „Enterprise-grade.“ „Militärische Verschlüsselung.“ – Sicherheitswerkzeuge versprechen viel und belegen wenig. Für ein Werkzeug, das jeden Parameter einer Anmeldung nachprüft, wäre das peinlich. Deshalb hat jede Aussage auf dieser Website eine Fundstelle: Produktaussagen mit unserer Dokumentation und dem Stand Version 1.0.0 vom 08.11.2026, Bücher und Anbieter mit Link und Datum.
Die Gewohnheit teilen alle Geschwister der Tailor-Familie. Bei uns heißt sie: keine Signatur ungeprüft1, keine Behauptung ohne Beleg.
Produkt
Version 1.0.0 vom 8. November 2026
Erste Veröffentlichung als eigenständige Extension. Version 1.0.0 bringt die fünf Registerkarten Auth Trace, Werkzeuge, SAP, Lernen und Über, die Datenschutzerklärung im Panel und den Verweis auf das Impressum der CloudDNA.
AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026
Browser-Extension für Chrome, mit Builds für Edge und Firefox
Eine Codebasis für Chrome und Edge (Manifest V3, Seitenpanel) und Firefox (Sidebar). Der Build erzeugt Pakete für den Chrome Web Store, Microsoft Edge Add-ons und Firefox Add-ons. Oberfläche in Englisch (Standard) und Deutsch.
AuthTailor Produktdokumentation, README und Build-Konfiguration · geprüft am 08.11.2026
Kostenlos, ohne Konto und ohne Lizenz
AuthTailor ist der SAML- & OIDC-Tracer aus iFlowTailor als eigenständiges Plugin – ohne Bindung an SAP, ohne Konto, ohne Lizenz. Es gibt keine Bezahlfunktionen und keine Anmeldung in der Extension.
AuthTailor Produktdokumentation, README · geprüft am 08.11.2026
Der Tracer aus iFlowTailor
Analyse, Mitschnitt und Oberfläche stammen aus iFlowTailor, der Werkbank für SAP Cloud Integration der CloudDNA. Dort steckt der Tracer weiterhin; Änderungen werden in beiden Produkten nachgezogen.
AuthTailor Produktdokumentation, README, Abschnitt „Herkunft des Codes“ · geprüft am 08.11.2026
Fünf Registerkarten
Auth Trace (mitschneiden oder einfügen, prüfen, bewerten), Werkzeuge, SAP, Lernen und Über. Im schmalen Panel entfallen die Symbole der Registerkarten, damit alle fünf passen.
AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026
Bildschirmfotos und Video mit erfundenen Daten
Der Live-Mitschnitt in Bildern und Video ist eine frei erfundene Anmeldung bei „Acme Orders“ (*.acme.example, OpenID Connect mit PKCE, danach ein API-Aufruf). Das Token ist mit einem Wegwerf-Schlüssel signiert, der nur während der Aufnahme existierte. SAML, SAP, Werkzeuge und Lernen zeigen die eingebauten Beispiele. Kein echter Mitschnitt, keine echten Namen, Tenants oder Tokens.
AuthTailor Produktdokumentation, Unterlagen für den Chrome Web Store · geprüft am 08.11.2026
Live mitschneiden in einem beliebigen Tab
„Live mitschneiden“ drücken, in einem beliebigen Tab anmelden: Der Tracer zeigt den Ablauf Browser → App → Identity Provider als Diagramm und prüft state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL und RelayState über den ganzen Ablauf.
AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
Einfügen oder ablegen
SAML Response, AuthnRequest, Assertion, Metadaten (XML, Base64, Redirect-Deflate), JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder eine Fehlermeldung – bekannte Fehlercodes, etwa von Entra ID, SAP Cloud Identity Services, XSUAA und SuccessFactors, mit Ursache und Abhilfe.
AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
Grafische Anatomie von JWT und SAML
JWT in Header, Payload und Signatur zerlegt, Vertrauenskette Aussteller → Signatur → Empfänger, Ausweis mit Scopes und Rollen, Zeiten relativ zu jetzt mit Toleranz für Uhrabweichung; SAML-Bausteine verschachtelt wie im XML, mit Siegel und Befundfarbe.
AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
Signaturen echt geprüft
SAML kryptografisch mit dem Zertifikat aus der Nachricht – eigene XML-Kanonisierung (exklusiv und inklusiv, gegen libxml2 getestet), RSA, RSA-PSS und ECDSA mit SHA-1 bis SHA-512 –, optional abgeglichen mit dem SHA-256-Fingerabdruck aus den Metadaten des IdP. JWTs mit den Schlüsseln des Ausstellers, die ein Klick auf „Schlüssel von … laden“ holt. Warnt vor ablaufenden Zertifikaten und nach einem Schlüsselwechsel fehlenden Schlüsseln.
AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026
Ampel in fünf Bereichen
Sicherheitsbewertung je Bereich: Ablauf & Protokoll, Tokens & Signaturen, Transport & Lecks, Cookies & Sitzung, Browser-Schutz. Rein funktionale Befunde wie eine falsche Audience oder ein abgelaufenes Token zählen nicht zur Sicherheitsbewertung.
AuthTailor Produktdokumentation, Changelog 1.0.0, Sicherheitsprüfung · geprüft am 08.11.2026
Angriffsmuster und Lecks
SAML: Signature Wrapping, doppelte IDs, Kommentar in der NameID, DTD (nie aufgelöst), XSLT- und XPath-Transforms (nie ausgeführt). JWT: jku, x5u und jwk im Kopf, kid-Injection, crit. Lecks: Code oder Token im Referer an Dritte, Tokens in der Query, Client-Secret aus dem Browser, Token-Antwort ohne Cache-Control: no-store. Dazu Session Fixation, Skripte von Dritten ohne SRI auf Anmeldeseiten, offene Weiterleitungen, Doppelgänger- und Punycode-Hosts.
AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026
Header je Schritt, maskiert
Anfrage- und Antwort-Header je Schritt, maskiert, mit SameSite-Prüfung der Cookies beim POST zurück an die App; HSTS, Schutz vor Einbetten und Referrer-Policy der Anmeldeseiten; HttpOnly, Secure und Präfix __Host- der Sitzungs-Cookies.
AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
Bearer-Tokens und DPoP (Option)
Mit der Option „Auch Bearer-Tokens“ zeigt der Tracer JWTs aus dem Authorization-Header von API-Aufrufen, mit dem Ablehnungsgrund aus WWW-Authenticate; DPoP-Proofs werden gegen Methode, URL, ath und cnf.jkt geprüft. Refresh-Tokens: Rotation und Wiederverwendung.
AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
Abmeldung, Discovery und Metadaten
OIDC- und SAML-Logout: ob die Sitzungs-Cookies gelöscht und der IdP abgemeldet wurde. Discovery und SAML-Metadaten bewertet: impliziter und Passwort-Grant, none, PAR, DPoP, mTLS, Logout-Endpunkte; WantAssertionsSigned, SHA-1, transiente NameID.
AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026
Markdown-Bericht, maskiert
Der Bericht fasst Urteil, Ampel, Abläufe, Befunde und Schritte als Markdown zusammen, fertig fürs Ticket. Er enthält nur maskierte Werte.
AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
Werkzeuge: Passkeys, Zertifikate, Websicherheit
Erkennt, was eingefügt wurde: Passkey-Antwort (WebAuthn: Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID, Challenge), Zertifikate, Ketten, CSRs, öffentliche und private Schlüssel, JWK und JWKS (Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname, ob Schlüssel und Zertifikat zusammengehören), Content Security Policy mit strengerem Vorschlag, Security-Header, CORS-Preflight, verdächtige Anmelde-Links (Punycode, Doppelgänger, offene Weiterleitung) und Secrets in beliebigem Text.
AuthTailor Produktdokumentation, README und Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026
HAR bereinigen
Maskiert Cookies, Authorization- und Sitzungs-Header, Codes, Tokens, Passwörter und geheime Parameter in URL, Formular und JSON; JWTs bleiben lesbar, verlieren aber die Signatur. Antwort-Inhalte wahlweise nur JSON, keine oder alle; SAML auf Wunsch behalten. Gespeichert wird eine Datei .sanitized.har.
AuthTailor Produktdokumentation, Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026
Tokens im Seitenspeicher finden – ohne Wert
Auf Klick läuft eine Funktion einmal im aktiven Tab und durchsucht localStorage, sessionStorage, IndexedDB und die Namen der per JavaScript lesbaren Cookies. Zurück kommen nur Art, Länge und harmlose Claims der Tokens (Aussteller, Audience, Ablauf, Scopes), nie ein Wert. Kein Content-Script; Zugriff über activeTab oder eine einmalige Freigabe, die danach wieder abgegeben wird.
AuthTailor Produktdokumentation, README, Berechtigungen; Changelog 1.0.0 · geprüft am 08.11.2026
SAP BTP: Tokens, Konfiguration, Abläufe
XSUAA- und IAS-Tokens (Scopes je App, Rollen-Collections, Zone, Grant), Reviews von xs-security.json, xs-app.json, Service-Keys und Destinations (JSON oder Properties, Secrets nur maskiert), Anmeldetickets (MYSAPSSO2) mit Signaturprüfung, BTP-Abläufe (App Router → XSUAA → IAS, IAS direkt, Principal Propagation, SAML Bearer, CSRF) als Diagramm, SAP-Grundlagen sowie Fehler von SAP Gateway und ICF mit Ursache und Abhilfe.
AuthTailor Produktdokumentation, README und Changelog 1.0.0, SAP · geprüft am 08.11.2026
„Warum 403?“
Token einfügen, erwartete Scopes oder Rollen eintragen: Die Ansicht vergleicht Scope für Scope, was das Token trägt und was die App verlangt, und nennt, was fehlt.
AuthTailor Produktdokumentation, Changelog 1.0.0, SAP · geprüft am 08.11.2026
13 Abläufe, acht Kapitel, Glossar, Fehlerkatalog, Checkliste
13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken und Abspielen (Code + PKCE, BFF, Client Credentials, Refresh, Device Code, On-behalf-of, DPoP, implizit, Passwort-Grant, SAML SP- und IdP-initiiert, SAML Bearer, Abmeldung), mit Risiken und dem, was der Tracer prüft. Dazu Grundlagen in acht Kapiteln, ein Glossar, ein Katalog bekannter Fehlermeldungen mit Ursache und Abhilfe und eine Checkliste vor dem Go-live. Erkannte Abläufe der Eingabe führen direkt zur Erklärung.
AuthTailor Produktdokumentation, README und Changelog 1.0.0, Lernen · geprüft am 08.11.2026
Kein Server, keine Telemetrie
AuthTailor hat keinen Server, kein Konto, keine Analyse, keine Telemetrie, keine Werbung und keinen Code von Dritten. Die Extension sendet keine Daten, weder an CloudDNA noch an andere. Die Auswertung läuft vollständig im Panel auf dem Gerät.
AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, „Kurz gesagt“ · geprüft am 08.11.2026
Die eine Anfrage: öffentliche Schlüssel auf Klick
Nur auf Klick auf „Schlüssel von <Aussteller> laden“ holt das Panel die öffentliche Discovery und die öffentlichen Schlüssel (JWKS) des Token-Ausstellers mit einem HTTP-GET ohne Cookies und ohne Referrer. Von der Eingabe wird nichts gesendet. Ohne diesen Klick stellt die Extension keine Anfrage ins Netz.
AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026
Nur im Arbeitsspeicher, solange das Panel offen ist
Mitschnitte und eingefügte Inhalte – auch Service-Keys, Destinations und Konfigurationen – liegen nur im Arbeitsspeicher, solange das Panel offen ist; sie werden nie auf die Festplatte geschrieben. Gespeichert werden nur die Sprache der Oberfläche, die Option „Header“ und ein Merker im Sitzungsspeicher, ob die Extension die Host-Berechtigung selbst erfragt hat.
AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026
Maskiert schon beim Mitschneiden
Cookie-Werte, Authorization-Werte, CSRF-Tokens, API-Keys, Sitzungs-Header, Client-Secrets und Passwörter werden beim Mitschneiden maskiert. Lange Cookie-Werte bleiben nur als kurzer Fingerabdruck, damit der Tracer eine erneuerte Sitzung erkennt; Refresh-Tokens nur als kurzer Hash, damit er ihre Rotation erkennt. Was das Panel verlässt, kopiert oder speichert der Nutzer selbst – und es enthält nur maskierte Werte.
AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, Maskierung · geprüft am 08.11.2026
Berechtigungen und Host-Zugriff
Fest im Manifest: storage (Sprache und Option „Header“), sidePanel, webRequest (nur beobachtend, ohne Host-Zugriff wirkungslos und ohne Installationswarnung), scripting und activeTab (Seitenspeicher auf Klick, ohne Installationswarnung). Optional: https://*/* – erst bei „Live mitschneiden“ oder einem erlaubten Seiten-Scan erfragt und danach wieder abgegeben. Ein laufender Mitschnitt wird dabei nicht gestört.
AuthTailor Produktdokumentation, README, „Datenschutz und Berechtigungen“; Chrome-Web-Store-Unterlagen · geprüft am 08.11.2026
Hersteller
CloudDNA GmbH – SAP Silver Partner
Die CloudDNA nennt sich SAP-BTP-Partner aus Österreich für den DACH-Raum und SAP Silver Partner; sie begleitet SAP-Projekte in Österreich, Deutschland und der Schweiz. Schwerpunkte laut Website: Integration, Architektur und Clean Core, Fiori und UX, Full-Stack-Entwicklung, Agilität und DevOps sowie Trainings. Martin Koch ist dort als Founder & Managing Director und SAP Champion genannt.
clouddna.at, Startseite und Team · geprüft am 05.11.2026
Bücher zu Sicherheit, Verbindungen und Administration der SAP BTP
Martin Koch und Siegfried Zeilinger: „SAP Business Technology Platform – Sicherheit und Berechtigungen“ (englisch „Security and Authorizations for SAP Business Technology Platform“), „Cloud Connector für SAP“ („Cloud Connector for SAP“) und „SAP Business Technology Platform – Administration“ („Configuring SAP Business Technology Platform“), jeweils bei SAP PRESS im Rheinwerk Verlag.
Rheinwerk Verlag (SAP PRESS), Suche „martin koch“ · geprüft am 05.11.2026
iFlowTailor – Werkbank für SAP Cloud Integration
Browser-Extension der CloudDNA für SAP Integration Suite: Review, Test, Fehleranalyse und Betrieb neben dem iFlow-Editor. Der SAML- & OIDC-Tracer, aus dem AuthTailor entstanden ist, gehört dort zu den Ansichten.
iflowtailor.com · geprüft am 08.11.2026
Fundstellen auf dieser Seite
Die hochgestellten Ziffern im Text verweisen hierher. Antippen zeigt die Fundstelle direkt an der Textstelle, alle Fundstellen der Website stehen gesammelt auf einer Seite.
- 1
Signaturen echt geprüft ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026