Welche Protokolle versteht AuthTailor?

SAML 2.0 (Response, AuthnRequest, Assertion, Metadaten, Logout) und OpenID Connect mit OAuth 2.0 (Autorisierung, Token-Anfrage und -Antwort, Discovery, JWKS, Refresh, DPoP, Logout). Dazu Passkey-Antworten (WebAuthn) unter Werkzeuge.

Muss ich mitschneiden, oder kann ich auch etwas einfügen?

Beides. Ohne Mitschnitt fügst du ein, was du hast: eine SAML Response, ein JWT, eine Anmelde-URL, eine HAR-Datei aus den Entwicklertools oder die Fehlermeldung. Der Tracer erkennt, was es ist.

Prüft AuthTailor Signaturen wirklich oder zeigt es sie nur an?

Es prüft sie: SAML kryptografisch mit dem Zertifikat aus der Nachricht, auf Wunsch abgeglichen mit dem Fingerabdruck aus den Metadaten; JWTs mit den öffentlichen Schlüsseln des Ausstellers, die ein Klick holt.

Kann ich das Ergebnis an Kollegen oder den Support geben?

Ja, als Markdown-Bericht mit Urteil, Ampel, Abläufen, Befunden und Schritten – nur mit maskierten Werten. HAR-Dateien bereinigt die Extension, bevor du sie weitergibst.

Funktionen · Stand Version 1.0.0 vom 08.11.2026

Jeder Schritt, jeder Parameter.

AuthTailor hat fünf Registerkarten. Hier steht, was in jeder steckt – mit Fundstelle zu jeder Aussage. Was wir prüfen, prüfen wir auch an uns selbst.

Kostenlos installieren →Video ansehen

Live-Mitschnitt: Sequenzdiagramm Browser, App und Identity Provider mit geprüften Parametern

Auth Trace

Mitschneiden, einfügen, prüfen, bewerten.

„Live mitschneiden“ drücken und in einem beliebigen Tab anmelden: Der Ablauf Browser → App → Identity Provider erscheint als Diagramm, jeder Schritt mit seinen Parametern.

Den ganzen Ablauf prüfen.state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL und RelayState – nicht je Nachricht, sondern über den ganzen Ablauf.
Alles einfügen.SAML Response, AuthnRequest, Assertion, Metadaten, JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder die Fehlermeldung; bekannte Fehlercodes mit Ursache und Abhilfe.
Das Token sehen.Header, Payload und Signatur, die Kette vom Aussteller zum Empfänger, ein Ausweis mit Scopes und Rollen, Zeiten relativ zu jetzt.
Signaturen echt geprüft.SAML mit dem Zertifikat und dem Fingerabdruck aus den Metadaten, JWTs mit den Schlüsseln des Ausstellers; Warnung vor ablaufenden Zertifikaten und fehlenden Schlüsseln nach einem Wechsel.
Header je Schritt.Anfrage- und Antwort-Header, maskiert, mit SameSite-Prüfung der Cookies beim POST zurück an die App.
Bearer-Tokens und DPoP.Auf Wunsch die JWTs, die eine Single-Page-App an ihre API schickt, samt Ablehnungsgrund aus WWW-Authenticate und geprüften DPoP-Proofs.
Angriffsmuster und Lecks.Signature Wrapping, Kommentar in der NameID, jku/x5u im JWT-Kopf, Codes im Referer, Tokens in der URL, Session Fixation, offene Weiterleitungen.
Abmeldung, Discovery, Metadaten.Ob die Sitzung beim Logout wirklich endet, und was Discovery und Metadaten über die Sicherheit verraten.
Ampel und Bericht.Fünf Bereiche getrennt bewertet; der Markdown-Bericht geht maskiert ins Ticket.

Anatomie eines JWT: Header, Payload, Signatur und Vertrauenskette

Anatomie einer SAML Response: verschachtelte Bausteine mit Siegel

Werkzeuge

Alles, was um die Anmeldung herum schiefgeht.

Einfügen, und die Registerkarte erkennt selbst, was es ist: Passkey-Antwort, Zertifikat, Schlüssel, Richtlinie oder Link.

Werkzeuge: bewertete Content Security Policy mit strengerem Vorschlag

Passkeys.Eine WebAuthn-Antwort zerlegen: Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID und Challenge geprüft.
Zertifikate und Schlüssel.PEM-Ketten, CSRs, öffentliche und private Schlüssel, JWKs – Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname, und ob Schlüssel und Zertifikat zusammengehören.
Websicherheit.Content Security Policy mit strengerem Vorschlag, Security-Header einer Anmeldeseite, CORS-Preflight, Doppelgänger- und Punycode-Links, offene Weiterleitungen.
Secrets und HAR.Secret-Suche in beliebigem Text und ein HAR-Bereiniger, der Cookies, Tokens, Codes und Passwörter maskiert und eine Datei .sanitized.har speichert.
Seitenspeicher.Auf Klick Tokens in localStorage, sessionStorage und IndexedDB des aktuellen Tabs finden – zurück kommen Art und Länge, nie ein Wert.

SAP

SAP BTP: Tokens, Konfiguration, Abläufe.

Für alle, die mit XSUAA, SAP Cloud Identity Services und Destinations arbeiten – und sich fragen, warum die App 403 sagt.

Warum 403: Scopes des Tokens gegen die erwarteten Scopes

XSUAA- und IAS-Tokens.Scopes je App, Rollen-Collections, Zone und Grant, erklärt statt nur dekodiert.
„Warum 403?“Token einfügen, erwartete Scopes oder Rollen eintragen – Scope für Scope, was fehlt.
Konfiguration im Review.xs-security.json, xs-app.json, Service-Keys und Destinations (JSON oder Properties); Secrets erscheinen nur maskiert und bleiben im Arbeitsspeicher.
Abläufe als Diagramm.App Router → XSUAA → IAS, IAS direkt, Principal Propagation, SAML Bearer und CSRF – dazu Anmeldetickets (MYSAPSSO2) mit Signaturprüfung und Fehler von SAP Gateway und ICF.

Hilfe bei SSO auf SAP BTP anfragen →

Lernen

Verstehen, was du gerade siehst.

13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken und Abspielen, mit Risiken und dem, was der Tracer prüft.

Abläufe.Code + PKCE, BFF, Client Credentials, Refresh, Device Code, On-behalf-of, DPoP, implizit, Passwort-Grant, SAML SP- und IdP-initiiert, SAML Bearer, Abmeldung.
Grundlagen.Acht kurze Kapitel – von Protokollen und Tokens über Schlüssel und Zertifikate bis zu Cookies, Abmeldung und Tokens im Browser.
Glossar und Fehlerkatalog.Begriffe in einem Satz und bekannte Fehlermeldungen mit Ursache und Abhilfe.
Checkliste vor dem Go-live.Was vor dem ersten produktiven Login geprüft sein sollte.

Über

Was die Extension tut – in der Extension selbst.

Die Registerkarte „Über“ zeigt, was AuthTailor macht, die vollständige Datenschutzerklärung, die Berechtigungen mit ihrem aktuellen Stand, was gespeichert ist (mit Zurücksetzen), den Herausgeber mit Impressum, Version und Build.

Fundstellen auf dieser Seite

Die hochgestellten Ziffern im Text verweisen hierher. Antippen zeigt die Fundstelle direkt an der Textstelle, alle Fundstellen der Website stehen gesammelt auf einer Seite.

1
Fünf Registerkarten ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026
2
Live mitschneiden in einem beliebigen Tab ↑Produkt · AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
3
Einfügen oder ablegen ↑Produkt · AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
4
Grafische Anatomie von JWT und SAML ↑Produkt · AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
5
Signaturen echt geprüft ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026
6
Header je Schritt, maskiert ↑Produkt · AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
7
Bearer-Tokens und DPoP (Option) ↑Produkt · AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
8
Angriffsmuster und Lecks ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026
9
Abmeldung, Discovery und Metadaten ↑Produkt · AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026
10
Ampel in fünf Bereichen ↑Produkt · AuthTailor Produktdokumentation, Changelog 1.0.0, Sicherheitsprüfung · geprüft am 08.11.2026
11
Markdown-Bericht, maskiert ↑Produkt · AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026
12
Werkzeuge: Passkeys, Zertifikate, Websicherheit ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026
13
HAR bereinigen ↑Produkt · AuthTailor Produktdokumentation, Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026
14
Tokens im Seitenspeicher finden – ohne Wert ↑Produkt · AuthTailor Produktdokumentation, README, Berechtigungen; Changelog 1.0.0 · geprüft am 08.11.2026
15
SAP BTP: Tokens, Konfiguration, Abläufe ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0, SAP · geprüft am 08.11.2026
16
„Warum 403?“ ↑Produkt · AuthTailor Produktdokumentation, Changelog 1.0.0, SAP · geprüft am 08.11.2026
17
13 Abläufe, acht Kapitel, Glossar, Fehlerkatalog, Checkliste ↑Produkt · AuthTailor Produktdokumentation, README und Changelog 1.0.0, Lernen · geprüft am 08.11.2026
18
Berechtigungen und Host-Zugriff ↑Produkt · AuthTailor Produktdokumentation, README, „Datenschutz und Berechtigungen“; Chrome-Web-Store-Unterlagen · geprüft am 08.11.2026

Häufige Fragen

Fragen zu den Funktionen.

Welche Protokolle versteht AuthTailor?: SAML 2.0 (Response, AuthnRequest, Assertion, Metadaten, Logout) und OpenID Connect mit OAuth 2.0 (Autorisierung, Token-Anfrage und -Antwort, Discovery, JWKS, Refresh, DPoP, Logout). Dazu Passkey-Antworten (WebAuthn) unter Werkzeuge.
Muss ich mitschneiden, oder kann ich auch etwas einfügen?: Beides. Ohne Mitschnitt fügst du ein, was du hast: eine SAML Response, ein JWT, eine Anmelde-URL, eine HAR-Datei aus den Entwicklertools oder die Fehlermeldung. Der Tracer erkennt, was es ist.
Prüft AuthTailor Signaturen wirklich oder zeigt es sie nur an?: Es prüft sie: SAML kryptografisch mit dem Zertifikat aus der Nachricht, auf Wunsch abgeglichen mit dem Fingerabdruck aus den Metadaten; JWTs mit den öffentlichen Schlüsseln des Ausstellers, die ein Klick holt.
Kann ich das Ergebnis an Kollegen oder den Support geben?: Ja, als Markdown-Bericht mit Urteil, Ampel, Abläufen, Befunden und Schritten – nur mit maskierten Werten. HAR-Dateien bereinigt die Extension, bevor du sie weitergibst.

Deine Frage ist nicht dabei? Sprich mich an: +43 664 1964199 office@clouddna.at Schreib mir