# AuthTailor: Volltext > SAML- & OIDC-Tracer im Browser. Dieser Text enthält den sichtbaren Inhalt der Website https://authtailor.com als Markdown (Stand 2026-11-08). Kurzfassung: https://authtailor.com/llms.txt. Bitte bei Zitaten die Seite als Quelle nennen. Anbieter: CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich. Telefon +43 664 1964199, E-Mail office@clouddna.at. === DEUTSCH === --- # AuthTailor – SAML- & OIDC-Tracer im Browser Quelle: https://authtailor.com/ > Kostenlose Browser-Extension: SAML- und OIDC-Anmeldung mitschneiden, JWT und SAML zerlegen und sehen, woran Single Sign-on scheitert – lokal, ohne Server. SAML- & OIDC-Tracer im Browser ## Single Sign‑on, sichtbar gemacht. Ein Login scheitert, und der Identity Provider sagt nur „invalid_grant“ oder eine Fehlernummer. AuthTailor ist eine Browser-Extension, die die Anmeldung live mitschneidet, Tokens zerlegt, Signaturen prüft und zeigt, an welchem Schritt es hakt – lokal im Browser, ohne Server. Die kleinen Ziffern sind Fundstellen: Antippen zeigt Quelle und Prüfdatum, alle stehen unten auf der Seite. [Kostenlos im Chrome Web Store ↗](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) Video ansehen [Alle Funktionen](https://authtailor.com/funktionen) - Kostenlos, ohne Konto - Kein Server, keine Telemetrie - Host-Zugriff nur beim Mitschneiden - Keine Cookies auf dieser Seite [Ein Produkt derDie SAP & KI Experten aus Österreich!](https://www.clouddna.at) Außerdem in dieser Ausgabe Fünf Registerkarten – Auth Trace, Werkzeuge, SAP, Lernen und Über, in Bildern [SAP BTP – XSUAA, IAS, „Warum 403?“ und Principal Propagation als Diagramm](https://authtailor.com/funktionen#sap) [Lernen – 13 Abläufe von OAuth, OpenID Connect und SAML zum Durchklicken](https://authtailor.com/funktionen#lernen) [Sicherheit – was die Extension liest, was sie nie sendet, welche Rechte sie wann braucht](https://authtailor.com/sicherheit) Abb. 1 — Live-Mitschnitt einer Anmeldung mit OpenID Connect und PKCE: jeder Schritt als Diagramm, jeder Parameter geprüft. Alle Bilder zeigen erfundene Daten. Warum es AuthTailor gibt ### Single Sign-on funktioniert. Bis es nicht mehr funktioniert. Und dann sagt es nicht, warum. Eine Anmeldung hat viele Stationen, und an jeder kann sie hängen bleiben: - Browser - App - Identity Provider - SAML Response oder Token - Rollensammlung - 403 Forbidden Die Fehlermeldungen sind dabei erstaunlich wortkarg: „invalid_grant“. „Assertion is not valid“. Eine Fehlernummer im Identity Provider, dessen Protokoll in einem anderen Tenant liegt, der einem anderen Team gehört. Und die App sagt einfach 403. Jeder sieht seinen Teil. Den ganzen Ablauf sieht keiner. In der Fliegerei gibt es für solche Momente den Flugschreiber: Nach einem Zwischenfall rät niemand, man liest die Aufzeichnung – jeder Schritt, in der richtigen Reihenfolge, mit Zeitstempel. AuthTailor ist der Flugschreiber für die Anmeldung. Bisher Mit AuthTailor „invalid_grant“ und eine Fehlernummer Der Ablauf als Diagramm, jeder Befund mit Ursache und Abhilfe SAML Response von Hand dekodieren Zerlegt, verschachtelt wie im XML, Signatur geprüft Tokens in fremde Fenster kopieren Zerlegt im Panel, auf dem eigenen Gerät Bei 403 raten, welche Rolle fehlt Scope für Scope, was fehlt Screenshots ins Ticket Ein maskierter Bericht, der ins Ticket passt [Die ganze Geschichte: warum wir den Flugschreiber für Single Sign-on gebaut haben →](https://authtailor.com/story#produkt) Video · mit Ton ### Eine Anmeldung, mitgeschnitten und erklärt. Mitschneiden, anmelden, Token zerlegen, Befund lesen – einmal von vorn bis hinten an einer erfundenen App, mit Sprecher. Erst wenn du auf Abspielen klickst, lädt YouTube (Google) das Video im erweiterten Datenschutzmodus. Vorher geht keine Verbindung zu YouTube. [Details im Datenschutz](https://authtailor.com/datenschutz#youtube). [Direkt auf YouTube ansehen ↗](https://www.youtube.com/watch?v=dUCY52D9mMA) Kapitel und gesprochener Text #### Kapitel - [0:00](https://www.youtube.com/watch?v=dUCY52D9mMA&t=0s) Die Anmeldung hängt: invalid grant - [0:14](https://www.youtube.com/watch?v=dUCY52D9mMA&t=14s) Live mitschneiden und anmelden - [0:28](https://www.youtube.com/watch?v=dUCY52D9mMA&t=28s) Ablauf prüfen: state, nonce und PKCE - [0:38](https://www.youtube.com/watch?v=dUCY52D9mMA&t=38s) Token zerlegen: Aussteller, Empfänger, Rollen - [0:50](https://www.youtube.com/watch?v=dUCY52D9mMA&t=50s) SAML Response, JWT oder HAR-Datei einfügen - [1:01](https://www.youtube.com/watch?v=dUCY52D9mMA&t=61s) SAP BTP: Warum 403? - [1:12](https://www.youtube.com/watch?v=dUCY52D9mMA&t=72s) 13 Abläufe lernen – alles lokal - [1:23](https://www.youtube.com/watch?v=dUCY52D9mMA&t=83s) Ein Produkt der CloudDNA, gratis #### Was im Video gesagt wird Die Anmeldung hängt – und der Identity Provider sagt nur: invalid grant. Mit AuthTailor, einem Produkt der CloudDNA, siehst du, woran es liegt. Direkt im Browser. Zuerst klickst du in AuthTailor auf den Knopf „Live mitschneiden“. Dann meldest du dich in einem beliebigen Tab an. Hier bei einer erfundenen App, mit OpenID Connect und PKCE. AuthTailor zeichnet jeden Schritt zwischen Browser, App und Identity Provider – und prüft state, nonce und PKCE über den ganzen Ablauf. Dann wird das Token zerlegt: wer es ausgestellt hat, für wen es gilt und wer angemeldet ist – mit Scopes und Rollen. Keine Aufnahme zur Hand? Dann füg einfach ein, was du hast: eine SAML Response, ein JWT, eine HAR-Datei – oder die Fehlermeldung. Auf SAP BTP beantwortet AuthTailor die wichtigste Frage: Warum 403? Scope für Scope. Und wer die Abläufe verstehen will, klickt sich durch dreizehn Flows, Schritt für Schritt. AuthTailor läuft lokal. Nichts wird gespeichert, nichts wird gesendet. AuthTailor ist ein Produkt der CloudDNA – der SAP- und KI-Experten aus Österreich. Wir stellen es gratis zur Verfügung, weil uns Single Sign-on selbst immer wieder Probleme bereitet. Hol es dir auf authtailor.com. Fünf Registerkarten ### Alles, was eine Anmeldung verrät – in einem Panel. AuthTailor öffnet sich als Seitenpanel neben dem Tab, in dem du dich anmeldest. Fünf Registerkarten decken ab, was du bei der Fehlersuche sonst in fünf Werkzeugen zusammensuchst. Auth Trace #### Das Token sehen, nicht nur lesen. Mitschneiden oder einfügen: SAML Response, JWT, Anmelde-URL, HAR-Datei oder einfach die Fehlermeldung. Das JWT erscheint zerlegt in Header, Payload und Signatur, mit der Kette vom Aussteller zum Empfänger und einem Ausweis mit Scopes und Rollen. Signaturen werden echt geprüft – SAML mit dem Zertifikat, JWTs mit den Schlüsseln des Ausstellers. Auth Trace · SAML #### SAML, wie es im XML steckt. Response, Assertion, Subject und Conditions verschachtelt wie im XML, mit Siegel an jeder Signatur und einer Farbe je Befund. Dazu die Angriffsmuster, die man im Rohtext übersieht: Signature Wrapping, doppelte IDs, ein Kommentar in der NameID. Werkzeuge #### Was um die Anmeldung herum schiefgeht. Passkey-Antworten, Zertifikate und Schlüssel, Content Security Policy, Security-Header, CORS und verdächtige Anmelde-Links. Ein HAR-Bereiniger maskiert Cookies, Tokens und Passwörter, bevor ein Mitschnitt an den Support geht. SAP #### „Warum 403?“ – Scope für Scope. Für alle auf der SAP BTP: XSUAA- und IAS-Tokens, Reviews von xs-security.json, xs-app.json, Service-Keys und Destinations, Anmeldetickets und die BTP-Abläufe als Diagramm. „Warum 403?“ legt neben das Token, was die App verlangt. Lernen #### Verstehen, was du gerade siehst. 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken, Grundlagen in zehn Kapiteln, ein Glossar, bekannte Fehlermeldungen und eine Checkliste vor dem Go-live. Erkennt der Tracer einen Ablauf, führt ein Klick zur Erklärung. [Alle Funktionen im Detail →](https://authtailor.com/funktionen) MASKIERT. Wer einen Mitschnitt teilt, teilt sonst Cookies, Codes und Tokens. AuthTailor maskiert sie schon beim Mitschneiden, und der Bericht fürs Ticket enthält nur maskierte Werte. Die gelben Marker auf dieser Seite? Hinter jedem steht eine Fundstelle mit Prüfdatum. [Alle Fundstellen](https://authtailor.com/fundstellen) Die Ampel ### Nicht nur, ob es geht. Auch, ob es sicher ist. Eine Anmeldung kann funktionieren und trotzdem ein Loch haben. Die Ampel bewertet fünf Bereiche getrennt – rein funktionale Befunde wie eine falsche Audience zählen dort nicht mit. - Ablauf & Protokoll state, nonce, PKCE, redirect_uri, InResponseTo und RelayState über den ganzen Ablauf. - Tokens & Signaturen Signatur, Aussteller, Audience, Ablauf, Schlüsselwechsel, jku und x5u im Kopf. - Transport & Lecks Codes im Referer, Tokens in der URL, Client-Secrets aus dem Browser. - Cookies & Sitzung SameSite, HttpOnly, Secure, __Host-, Session Fixation und Abmeldung. - Browser -Schutz HSTS, Schutz vor Einbetten, Referrer-Policy und Skripte ohne SRI. Datenschutz ### Kein Server. Kein Konto. Nichts gespeichert. Ein Werkzeug, das Tokens und Anmeldungen sieht, muss sich erklären. Deshalb ist AuthTailor so gebaut, dass es wenig zu erklären gibt. [Sicherheit im Detail →](https://authtailor.com/sicherheit) - Kein ServerDie Auswertung läuft im Panel. Keine Telemetrie, keine Analyse, kein Code von Dritten – die Extension sendet keine deiner Daten. - ArbeitsspeicherNichts auf der Festplatte. Mitschnitte und Eingaben liegen nur im Arbeitsspeicher, solange das Panel offen ist. - Host-ZugriffNur zum Mitschneiden. Der Zugriff auf Websites wird erst beim Mitschneiden erfragt und danach wieder abgegeben. - Eine AnfrageÖffentliche Schlüssel, auf Klick. Nur wenn du Signaturen prüfen willst, holt das Panel die öffentlichen Schlüssel des Ausstellers – ohne Cookies, ohne deine Eingabe. Installieren · Version 1.0.0 ### In zwei Minuten zum ersten Befund. Kostenlos, ohne Konto. Die Extension gibt es für Chrome, mit Builds für Edge und Firefox – für Chrome und Edge im Chrome Web Store. Wir stellen AuthTailor gratis zur Verfügung, weil uns Single Sign-on in unseren eigenen SAP-Projekten immer wieder Probleme bereitet. - [Chrome Web Store Kostenlos installieren ↗](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) - [Microsoft Edge Add-ons Über den Chrome Web Store ↗ In Edge „Erweiterungen aus anderen Stores zulassen“ einschalten.](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) - Firefox Add-ons Paket auf Anfrage[Paket anfragen →](https://authtailor.com/kontakt?thema=Vorabversion) - Installieren und das Panel über das Symbol der Extension öffnen. - Mitschneiden „Live mitschneiden“ drücken; der Browser fragt einmal nach dem Zugriff. - Anmelden im Tab der App, die Probleme macht – oder Nachricht, Token oder HAR einfügen. - Befunde lesen Diagramm, Ampel, Ursache und Abhilfe; der Bericht geht maskiert ins Ticket. Ehrlich gesagt ### Wann dir AuthTailor nicht hilft. Ein Prüfwerkzeug, das nur Vorteile kennt, hat sich selbst nicht geprüft. Hier ist unsere Liste. - Der Fehler liegt zwischen zwei Servern. Client Credentials, SAML Bearer oder Principal Propagation laufen nicht durch den Browser – dort kann nichts mitschneiden. Die Nachrichten lassen sich aber einfügen, und Lernen erklärt den Ablauf. - Du willst die Konfiguration reparieren lassen. AuthTailor zeigt die Ursache und die Abhilfe. Ändern musst du sie im Identity Provider oder in der App – mit Absicht: Die Extension schreibt nirgends hin. - Du suchst ein Werkzeug für Penetrationstests. AuthTailor beobachtet und bewertet, es greift nichts an und verändert keine Anfrage. Für aktive Tests gibt es eigene Werkzeuge. - Dein Browser darf keine Extensions. Dann braucht es zuerst die IT. Für sie steht auf der Seite [Sicherheit](https://authtailor.com/sicherheit#rollout), welche Rechte AuthTailor wann braucht. Von den Autoren bei SAP PRESS ### Aus der Praxis mit SAP BTP und Identity Providern. AuthTailor kommt von der CloudDNA. Ihr Gründer Martin Koch hat mit Siegfried Zeilinger die Bücher zu Sicherheit, Verbindungen und Administration der SAP BTP geschrieben – vieles, was der Tracer prüft, steht dort ausführlich erklärt. - [Sicherheit SAP Business Technology Platform Sicherheit und Berechtigungen Martin Koch, Siegfried Zeilinger Identitäten, Rollen und Vertrauensstellungen auf der SAP BTP – die Grundlage jeder Integration, die Daten bewegt. Deutsch · 394 Seiten · auch auf Englisch Beim Verlag ansehen ↗](https://www.rheinwerk-verlag.de/sap-business-technology-platform-sicherheit-und-berechtigungen/) - [Connectivity Cloud Connector für SAP Martin Koch, Siegfried Zeilinger Der Weg von der Cloud ins eigene Netz: Cloud Connector einrichten, absichern und betreiben. Deutsch · 380 Seiten · auch auf Englisch Beim Verlag ansehen ↗](https://www.rheinwerk-verlag.de/cloud-connector-fuer-sap/) - [Administration SAP Business Technology Platform Administration Martin Koch, Siegfried Zeilinger Accounts, Subaccounts, Lizenzmodelle und Betrieb der SAP BTP – für alle, die den Tenant nicht nur benutzen. Deutsch · 456 Seiten · auch auf Englisch Beim Verlag ansehen ↗](https://www.rheinwerk-verlag.de/sap-business-technology-platform-administration/) Cover: Rheinwerk Verlag (SAP PRESS). Die Links führen zum Verlag. Für SAP Integration Suite ### Der Tracer steckt auch in iFlowTailor. AuthTailor ist aus iFlowTailor entstanden, der Werkbank für SAP Cloud Integration. Wer iFlows baut, hat dort denselben Tracer neben Review, Test und Fehleranalyse. [iFlowTailor ansehen ↗](https://iflowtailor.com) [Beratung zu SSO auf SAP BTP](https://authtailor.com/kontakt?thema=Beratung) Die Familie der Tailors ### Dreizehn Geschwister – jeder für sein Handwerk. Jeder Tailor löst ein Problem, das wir aus der Nähe kennen. Die meisten Geschwister teilen sich die Tailor-Plattform mit EU-Datenhaltung und KI-Schicht. AuthTailor ist das kleinste unter ihnen: kein Server, keine Datenhaltung, nur ein Panel neben deinem Tab. Entstanden ist es als SAML- & OIDC-Tracer in iFlowTailor – dort steckt er bis heute. - A AuthTailor SAML- & OIDC-Tracer im Browser – hier bist du. - [I iFlowTailor Werkbank für SAP Cloud Integration ↗](https://iflowtailor.com) - [P ProbeTailor Abnahmetests für SAP & Fachsoftware ↗](https://www.probetailor.com) - [J JournalTailor Rechnungseingang vor SAP, BMD & DATEV ↗](https://www.journaltailor.com) - [D DocumentTailor Dokumente & Signatur für SAP-Häuser ↗](https://documenttailor.com) - [R RecordTailor Dokumentenmanagement ↗](https://recordtailor.com) - [I ImmoTailor Hausverwaltung & Projektentwicklung ↗](https://www.immotailor.com) - [T TaxTailor Steuerberatung ↗](https://taxtailor.at) - [D DineTailor Restaurants ↗](https://dinetailor.com) - [S StayTailor Hotellerie ↗](https://staytailor.at) - [M MeetingTailor Tagungen & Events ↗](https://www.meetingtailor.com) - [W Weintailor Winzerinnen und Winzer ↗](https://weintailor.com) - [B BuildTailor Bau & Handwerk ↗](https://buildtailor.com) Häufige Fragen ### Kurz beantwortet. **Was ist AuthTailor?** AuthTailor ist eine kostenlose Browser-Extension, die eine Single-Sign-on-Anmeldung mit SAML 2.0 oder OpenID Connect mitschneidet oder aus eingefügten Nachrichten liest. Sie zerlegt Tokens, prüft Signaturen und jeden Schritt des Ablaufs und zeigt, woran die Anmeldung scheitert. Anbieter ist die CloudDNA GmbH aus Österreich. **Was kostet AuthTailor?** Nichts. Wir stellen AuthTailor gratis zur Verfügung, weil uns Single Sign-on in unseren eigenen SAP-Projekten immer wieder Probleme bereitet. Es gibt kein Konto, keine Lizenz und keine Bezahlfunktionen. Wer Hilfe beim Einrichten von Single Sign-on oder einen Workshop möchte, kann die CloudDNA dafür beauftragen – das ist ein eigenes Angebot. **Sieht die CloudDNA meine Tokens oder Mitschnitte?** Nein. AuthTailor hat keinen Server, keine Telemetrie und keine Analyse. Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher des Panels, solange es offen ist. Die eine Anfrage nach außen holt auf deinen Klick die öffentlichen Schlüssel des Token-Ausstellers. **Brauche ich SAP, um AuthTailor zu nutzen?** Nein. Der Tracer arbeitet mit jedem Identity Provider und jeder App, die SAML 2.0, OpenID Connect oder OAuth 2.0 im Browser sprechen. Die Registerkarte SAP ist ein Zusatz für alle, die auf der SAP BTP mit XSUAA, IAS und Destinations arbeiten. **Für welche Browser gibt es AuthTailor?** Für Chrome – kostenlos im Chrome Web Store. Microsoft Edge installiert die Extension ebenfalls aus dem Chrome Web Store, wenn „Erweiterungen aus anderen Stores zulassen“ eingeschaltet ist. Für Firefox gibt es ein Paket auf Anfrage. **Ist AuthTailor ein Produkt der SAP?** Nein. AuthTailor ist ein Produkt der CloudDNA GmbH und arbeitet mit Identity Providern und Apps aller Hersteller. Es ändert nichts an ihnen und ersetzt nicht ihre Protokolle. **Wie finde ich heraus, warum eine SAML- oder OpenID-Connect-Anmeldung scheitert?** Mit AuthTailor drückst du „Live mitschneiden“ und meldest dich im betroffenen Tab an. Die Extension zeichnet jeden Schritt zwischen Browser, App und Identity Provider auf, prüft state, nonce, PKCE, redirect_uri, InResponseTo und die Signaturen und zeigt jeden Befund mit Ursache und Abhilfe. Ohne Mitschnitt geht es auch: SAML Response, JWT, HAR-Datei oder Fehlermeldung einfügen. **Kann ich ein JWT oder eine SAML Response im Browser prüfen, ohne sie hochzuladen?** Ja. AuthTailor zerlegt das JWT oder die SAML Response im Panel auf deinem Gerät und prüft die Signatur – beim JWT mit den öffentlichen Schlüsseln des Ausstellers, bei SAML mit dem Zertifikat aus den Metadaten. Das Token wird nirgends hingeschickt; nur auf deinen Klick holt AuthTailor die öffentlichen Schlüssel des Ausstellers. **Warum bekomme ich auf SAP BTP einen 403, obwohl die Anmeldung klappt?** Meist fehlt im Token ein Scope, den die App verlangt – etwa weil die Rollensammlung dem Benutzer nicht zugewiesen ist. In der Registerkarte SAP fügst du unter „Warum 403?“ das XSUAA- oder IAS-Token ein und trägst die erwarteten Scopes oder Rollen ein; AuthTailor zeigt Scope für Scope, was fehlt. **Was ist ein SAML-Tracer?** Ein SAML-Tracer ist ein Werkzeug im Browser, das die Nachrichten einer SAML-Anmeldung zwischen App und Identity Provider sichtbar macht, damit man Fehler im Single Sign-on findet. AuthTailor ist ein SAML- und OIDC-Tracer: Er liest neben SAML 2.0 auch OpenID Connect und OAuth 2.0 und bewertet den Ablauf, statt nur die Nachrichten zu zeigen. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Funktionen: Auth Trace, Werkzeuge, SAP, Lernen · AuthTailor Quelle: https://authtailor.com/funktionen > Live-Mitschnitt, JWT- und SAML-Anatomie, echte Signaturprüfung, Ampel, Werkzeuge für Zertifikate und HAR, SAP BTP und 13 Abläufe zum Lernen – im Detail. Funktionen · Stand Version 1.0.0 vom 08.11.2026 ## Jeder Schritt, jeder Parameter. AuthTailor hat fünf Registerkarten. Hier steht, was in jeder steckt – mit Fundstelle zu jeder Aussage. Was wir prüfen, prüfen wir auch an uns selbst. [Kostenlos installieren →](https://authtailor.com/#installieren) [Video ansehen](https://authtailor.com/#video) Auth Trace ### Mitschneiden, einfügen, prüfen, bewerten. „Live mitschneiden“ drücken und in einem beliebigen Tab anmelden: Der Ablauf Browser → App → Identity Provider erscheint als Diagramm, jeder Schritt mit seinen Parametern. - Den ganzen Ablauf prüfen. state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL und RelayState – nicht je Nachricht, sondern über den ganzen Ablauf. - Alles einfügen. SAML Response, AuthnRequest, Assertion, Metadaten, JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder die Fehlermeldung; bekannte Fehlercodes mit Ursache und Abhilfe. - Das Token sehen. Header, Payload und Signatur, die Kette vom Aussteller zum Empfänger, ein Ausweis mit Scopes und Rollen, Zeiten relativ zu jetzt. - Signaturen echt geprüft. SAML mit dem Zertifikat und dem Fingerabdruck aus den Metadaten, JWTs mit den Schlüsseln des Ausstellers; Warnung vor ablaufenden Zertifikaten und fehlenden Schlüsseln nach einem Wechsel. - Header je Schritt. Anfrage- und Antwort-Header, maskiert, mit SameSite-Prüfung der Cookies beim POST zurück an die App. - Bearer-Tokens und DPoP. Auf Wunsch die JWTs, die eine Single-Page-App an ihre API schickt, samt Ablehnungsgrund aus WWW-Authenticate und geprüften DPoP-Proofs. - Angriffsmuster und Lecks. Signature Wrapping, Kommentar in der NameID, jku/x5u im JWT-Kopf, Codes im Referer, Tokens in der URL, Session Fixation, offene Weiterleitungen. - Abmeldung, Discovery, Metadaten. Ob die Sitzung beim Logout wirklich endet, und was Discovery und Metadaten über die Sicherheit verraten. - Ampel und Bericht. Fünf Bereiche getrennt bewertet; der Markdown-Bericht geht maskiert ins Ticket. Doku: [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt) · [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele) · [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen) · [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml) → Werkzeuge ### Alles, was um die Anmeldung herum schiefgeht. Einfügen, und die Registerkarte erkennt selbst, was es ist: Passkey-Antwort, Zertifikat, Schlüssel, Richtlinie oder Link. - Passkeys. Eine WebAuthn-Antwort zerlegen: Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID und Challenge geprüft. - Zertifikate und Schlüssel. PEM-Ketten, CSRs, öffentliche und private Schlüssel, JWKs – Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname, und ob Schlüssel und Zertifikat zusammengehören. - Websicherheit. Content Security Policy mit strengerem Vorschlag, Security-Header einer Anmeldeseite, CORS-Preflight, Doppelgänger- und Punycode-Links, offene Weiterleitungen. - Secrets und HAR. Secret-Suche in beliebigem Text und ein HAR-Bereiniger, der Cookies, Tokens, Codes und Passwörter maskiert und eine Datei .sanitized.har speichert. - Seitenspeicher. Auf Klick Tokens in localStorage, sessionStorage und IndexedDB des aktuellen Tabs finden – zurück kommen Art und Länge, nie ein Wert. Doku: [Werkzeuge Schritt für Schritt](https://authtailor.com/doku/werkzeuge) → SAP ### SAP BTP: Tokens, Konfiguration, Abläufe. Für alle, die mit XSUAA, SAP Cloud Identity Services und Destinations arbeiten – und sich fragen, warum die App 403 sagt. - XSUAA- und IAS-Tokens. Scopes je App, Rollen-Collections, Zone und Grant, erklärt statt nur dekodiert. - „Warum 403?“ Token einfügen, erwartete Scopes oder Rollen eintragen – Scope für Scope, was fehlt. - Konfiguration im Review. xs-security.json, xs-app.json, Service-Keys und Destinations (JSON oder Properties); Secrets erscheinen nur maskiert und bleiben im Arbeitsspeicher. - Anmeldung über den App Router. Bei Integration Suite oder Build Work Zone bleibt das Token auf dem Server. AuthTailor erklärt das und zeigt, was der Mitschnitt trotzdem verrät: Subaccount, Region, XSUAA-Client, Trust und IdP. - Abläufe als Diagramm. App Router → XSUAA → IAS, IAS direkt, Principal Propagation, SAML Bearer und CSRF – dazu Anmeldetickets (MYSAPSSO2) mit Signaturprüfung und Fehler von SAP Gateway und ICF. Doku: [SAP Schritt für Schritt](https://authtailor.com/doku/sap) → [Hilfe bei SSO auf SAP BTP anfragen →](https://authtailor.com/kontakt?thema=Beratung) Lernen ### Verstehen, was du gerade siehst. 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken und Abspielen, mit Risiken und dem, was der Tracer prüft. - Abläufe. Code + PKCE, BFF, Client Credentials, Refresh, Device Code, On-behalf-of, DPoP, implizit, Passwort-Grant, SAML SP- und IdP-initiiert, SAML Bearer, Abmeldung. - Grundlagen. Zehn kurze Kapitel – von Protokollen und Tokens über Schlüssel und Zertifikate, Cookies, Abmeldung und Tokens im Browser bis zu Passkeys und der Seite rund um die Anmeldung. - Glossar und Fehlerkatalog. Begriffe in einem Satz und bekannte Fehlermeldungen mit Ursache und Abhilfe. - Checkliste vor dem Go-live. Was vor dem ersten produktiven Login geprüft sein sollte. Doku: [Lernen Schritt für Schritt](https://authtailor.com/doku/lernen) → Über ### Was die Extension tut – in der Extension selbst. Die Registerkarte „Über“ zeigt, was AuthTailor macht, die vollständige [Datenschutzerklärung](https://authtailor.com/datenschutz#extension), die Berechtigungen mit ihrem aktuellen Stand, was gespeichert ist (mit Zurücksetzen), den Herausgeber mit Impressum, Version und Build. Doku: [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz) → Häufige Fragen ### Fragen zu den Funktionen. **Welche Protokolle versteht AuthTailor?** SAML 2.0 (Response, AuthnRequest, Assertion, Metadaten, Logout) und OpenID Connect mit OAuth 2.0 (Autorisierung, Token-Anfrage und -Antwort, Discovery, JWKS, Refresh, DPoP, Logout). Dazu Passkey-Antworten (WebAuthn) unter Werkzeuge. **Muss ich mitschneiden, oder kann ich auch etwas einfügen?** Beides. Ohne Mitschnitt fügst du ein, was du hast: eine SAML Response, ein JWT, eine Anmelde-URL, eine HAR-Datei aus den Entwicklertools oder die Fehlermeldung. Der Tracer erkennt, was es ist. **Prüft AuthTailor Signaturen wirklich oder zeigt es sie nur an?** Es prüft sie: SAML kryptografisch mit dem Zertifikat aus der Nachricht, auf Wunsch abgeglichen mit dem Fingerabdruck aus den Metadaten; JWTs mit den öffentlichen Schlüsseln des Ausstellers, die ein Klick holt. **Kann ich das Ergebnis an Kollegen oder den Support geben?** Ja, als Markdown-Bericht mit Urteil, Ampel, Abläufen, Befunden und Schritten – nur mit maskierten Werten. HAR-Dateien bereinigt die Extension, bevor du sie weitergibst. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Sicherheit: kein Server, maskiert, Zugriff auf Zeit · AuthTailor Quelle: https://authtailor.com/sicherheit > Kein Server, Daten nur im Arbeitsspeicher, Maskierung beim Mitschneiden, Host-Zugriff auf Zeit: wie AuthTailor mit Anmeldungen und Tokens umgeht. Sicherheit · Stand Version 1.0.0 vom 08.11.2026 ## Wenig zu erklären. Ein Werkzeug, das Tokens, Cookies und Anmeldungen sieht, muss sich gegenüber der Security-Abteilung erklären. Wir haben AuthTailor so gebaut, dass die Erklärung kurz ist: kein Server, nichts gespeichert, Zugriff nur auf Zeit. Alles Weitere steht hier – jede Aussage mit Fundstelle. Berechtigungen ansehen[Datenschutzerklärung der Extension](https://authtailor.com/datenschutz#extension) - Kein Server Keine Telemetrie, keine Analyse, keine Werbung, kein Code von Dritten. - Nur im Speicher Mitschnitte und Eingaben nie auf der Festplatte, nur solange das Panel offen ist. - Sofort maskiert Cookies, Authorization, CSRF-Tokens, Secrets schon beim Mitschneiden. - Zugriff auf Zeit Host-Zugriff erst beim Mitschneiden, danach zurückgegeben. - Eine Anfrage Öffentliche Schlüssel des Ausstellers, nur auf Klick, ohne Cookies. Berechtigungen ### Jede Berechtigung, und wofür. Die Liste steht genauso in der Extension unter „Über“, dort mit dem aktuellen Stand. Keine der festen Berechtigungen löst bei der Installation eine Warnung aus. Berechtigung | Wofür | Wann storage | Nur die Sprache der Oberfläche und die Option „Header“ | immer sidePanel | Panel neben der Seite (Chrome, Edge; Firefox nutzt die Sidebar) | immer webRequest | Live-Mitschnitt, nur beobachtend; ohne Host-Zugriff wirkungslos | nur mit Host-Zugriff scripting, activeTab | „Seitenspeicher durchsuchen“: eine Funktion läuft einmal im aktiven Tab und meldet Art, Länge und harmlose Claims, nie einen Wert | auf Klick https://*/* (optional) | Mitschnitt über App, Identity Provider und API hinweg | erst bei „Live mitschneiden“, danach wieder abgegeben Datenfluss ### Was hineinkommt, was hinausgeht. Die Auswertung läuft vollständig im Panel. Hinaus geht nur, was du selbst kopierst oder speicherst. - HineinMitschnitt oder Eingabe. Anfragen des Browsers während einer Anmeldung, oder was du einfügst – Nachrichten, Tokens, HAR-Dateien, Zertifikate, Service-Keys. - Im PanelMaskiert und ausgewertet. Geheimnisse werden maskiert; lange Cookie-Werte bleiben nur als Fingerabdruck, Refresh-Tokens nur als kurzer Hash. - HinausNur auf deine Aktion. „Bericht kopieren“, „Header kopieren (maskiert)“, „Bereinigtes HAR speichern“ – nur mit maskierten Werten. - Ins NetzEine Anfrage, auf Klick. Discovery und JWKS des Ausstellers, als GET ohne Cookies und ohne Referrer. Für die Konzern-IT ### Verteilen, einschränken, prüfen. - Verteilen. AuthTailor lässt sich wie jede Extension über die Browser-Richtlinien von Chrome und Edge installieren. Es gibt keine eigene Konfiguration und keinen Server, der freigeschaltet werden müsste. - Einschränken. Den optionalen Host-Zugriff kann die IT über die Richtlinien des Browsers auf bestimmte Hosts begrenzen oder sperren; der Tracer arbeitet dann mit eingefügten Nachrichten weiter. - Prüfen. Der Datenfluss steht oben, die Berechtigungen in der Tabelle, der Wortlaut für Datenschutzbeauftragte in der [Datenschutzerklärung der Extension](https://authtailor.com/datenschutz#extension). Updates kommen nur über die Browser-Stores. - Schwachstelle gefunden? Bitte vertraulich an [office@clouddna.at](mailto:office@clouddna.at?subject=Security%20AuthTailor). Wir antworten persönlich. Häufige Fragen ### Fragen zur Sicherheit. **Sieht die CloudDNA meine Tokens oder Mitschnitte?** Nein. Es gibt keinen Server der CloudDNA, keine Telemetrie und kein Analyse-Werkzeug. Die Auswertung läuft im Panel auf deinem Gerät; Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher, solange das Panel offen ist. **Warum fragt der Browser nach Zugriff auf alle Websites?** Weil eine Anmeldung über mehrere Hosts läuft – App, Identity Provider, API – und der Mitschnitt alle sehen muss. Der Zugriff ist optional, wird erst beim Klick auf „Live mitschneiden“ erfragt und nach dem Stoppen wieder abgegeben. **Was verlässt das Panel?** Nur, was du selbst kopierst oder speicherst – etwa den Bericht, die maskierten Header oder ein bereinigtes HAR. Diese enthalten nur maskierte Werte. Die eine Verbindung nach außen holt auf deinen Klick die öffentlichen Schlüssel eines Token-Ausstellers. **Kann unsere IT AuthTailor zentral verteilen?** Ja, wie jede Extension über die Browser-Richtlinien von Chrome und Edge. Dort lässt sich auch festlegen, auf welchen Hosts die Extension laufen darf. Sprich uns an, wenn ihr dabei Unterstützung wollt. **Wie melde ich eine Schwachstelle?** Bitte vertraulich an office@clouddna.at, Betreff „Security AuthTailor“. Wir antworten persönlich und nennen dich auf Wunsch, sobald die Lücke geschlossen ist. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Kontakt: Frage, Beratung oder Workshop · AuthTailor Quelle: https://authtailor.com/kontakt > Fragen zu AuthTailor, Hilfe bei Single Sign-on auf SAP BTP, ein Workshop fürs Team oder eine Vorab-Version: Antwort innerhalb eines Werktags, persönlich. Kontakt · persönlich ## Hängt die Anmeldung? AuthTailor ist kostenlos und braucht kein Konto. Schreib mir trotzdem – wenn du eine Frage hast, einen Fehler gefunden hast oder Hilfe bei Single Sign-on brauchst. - Fragen und Rückmeldungen zu AuthTailor - [Single Sign-on auf SAP BTP](https://authtailor.com/funktionen#sap): XSUAA, IAS, Principal Propagation – Einrichten und Fehlersuche - Workshop zu SAML, OpenID Connect und OAuth für dein Team - Paket für Firefox oder für Rechner ohne Zugang zum Chrome Web Store M Martin Koch Geschäftsführer, CloudDNA · Ich lese jede Anfrage selbst und antworte persönlich. [Lieber anrufen: +43 664 1964199](tel:+436641964199) Bitte keine Tokens, Cookies, Passwörter oder Service-Keys mitschicken. Ich melde mich innerhalb eines Werktags, persönlich. Kein Newsletter, keine Weitergabe. Details in der [Datenschutzerklärung](https://authtailor.com/datenschutz). Name Firma Geschäftliche E-Mail Worum geht's? Frage zu AuthTailorHilfe bei SSO auf SAP BTPFehlersuche bei einer AnmeldungWorkshop fürs TeamPaket (Firefox, ohne Store)Rollout im UnternehmenFehler oder Wunsch meldenAnderes Deine Rolle EntwicklungAdministration / BasisIT-SicherheitArchitekturSupportAnderes Umgebung SAP BTPSAP on-premiseOhne SAPGemischtWeiß nicht Nachricht optional – was passiert, welche Fehlermeldung kommt (ohne Tokens) Website Häufige Fragen ### Fragen zum Kontakt. **Kostet die Anfrage etwas?** Nein. AuthTailor ist kostenlos, Fragen dazu beantworten wir gern. Beratung beim Einrichten von Single Sign-on oder ein Workshop sind ein eigenes Angebot der CloudDNA – das besprechen wir vorher. **Soll ich meinen Mitschnitt oder das Token mitschicken?** Bitte nicht. Schick keine Tokens, Cookies, Passwörter oder Service-Keys per Formular oder E-Mail. Beschreib kurz, was passiert und welche Fehlermeldung kommt; wenn wir gemeinsam draufschauen, bleiben die Daten auf deinem Bildschirm. **Wie schnell meldest du dich?** Innerhalb eines Werktags, persönlich. Es gibt keinen Newsletter und keine Weitergabe deiner Daten. **Kann ich auch anrufen oder schreiben?** Ja. Telefonisch erreichst du die CloudDNA GmbH unter +43 664 1964199, per E-Mail unter office@clouddna.at. --- # Story: Martin Koch und warum es AuthTailor gibt · AuthTailor Quelle: https://authtailor.com/story > Pilot, Fluglotse, SAP Champion, Autor bei SAP PRESS: Martin Koch über Anmeldungen, die nicht sagen, warum sie scheitern – und warum AuthTailor gratis ist. Die Geschichte hinter AuthTailor – und hinter allen Tailors ## Never give up. The sky is the limit. Mein Name ist Martin Koch. Ehemals Pilot und Fluglotse, seit 2006 in der SAP-Integration, SAP Champion, Autor von 17 Büchern bei SAP PRESS, heute Gründer der CloudDNA – und alleinerziehender Vater von drei Kindern. Mit 24 Menschen aus dem Südburgenland bauen wir eine Familie von Branchen-Software. AuthTailor ist das kleinste Mitglied dieser Familie und liegt am nächsten an dem Thema, über das ich meine Bücher zur SAP BTP geschrieben habe: Sicherheit und Single Sign-on. Das hier ist die Geschichte dahinter. Kapitel - 01Wer ich bin - 02Zu Hause - 03Ein Satz in Hamburg - 04Der Umbruch - 05Wir bauen das - 06Wir sprechen KI - 07Die Familie der Tailors - 08Warum AuthTailor 01Wer ich bin ### Every life counts. Nicht 999 von 1.000. Bevor ich Software gebaut habe, habe ich zwei Berufe erlernt, in denen es keine 99,9 % gibt: Linienpilot bei Austrian Airlines und Fluglotse bei Austro Control. Die Aufnahmetests für beide gehören zu den schwersten der Welt – der DLR-Test in Hamburg mit seiner Durchfallquote nördlich von 98 %, das mehrtägige Assessment bei Austro Control, in dem Menschen erfahren, wie belastbar sie wirklich sind. Zehntausende bewerben sich, ein paar Dutzend kommen durch. Ich habe beide bestanden. IQ misst, wie schnell jemand denkt. Der Cockpit-Test misst, wie ruhig jemand bleibt, wenn die Anzeige rechts oben schon fünf Sekunden lang etwas Falsches meldet und man es als Erster merken muss. In der Fliegerei zählt das zweite. Und über allem steht ein Prinzip: Es zählt jedes Leben. Every life counts. Nicht 999 von 1.000. Alle. Ob das eine Berufs-Pose oder ein Betriebssystem ist? Als ich im Herbst 2025 nach dreißig Jahren Pause wieder mit Tennis begonnen habe, habe ich mir einen Trainer gesucht, der jahrzehntelang ATP-Top-10-Spieler betreut hat. Nicht, weil ich auf die Tour will – sondern weil ich, wenn ich etwas ernst nehme, wissen will, wo mein Deckel wirklich ist. 02Zu Hause ### Drei Kinder, ein Vater, kein Autopilot. Ich bin alleinerziehender Vater von drei Kindern. Die beiden Jüngeren sind im Schulalter, der Älteste ist volljährig. Wer das kennt, weiß: Es gibt keinen Dienstplan, der hält, und keinen Tag, der so endet, wie er geplant war. Man lernt, Prioritäten in Sekunden zu setzen – und sie am nächsten Morgen neu zu sortieren. Mein ältester Sohn ist schwer behindert. Er lebt mit einem seltenen Gendefekt, einer Mikrodeletion. Er hat mir mehr über Geduld, Verlässlichkeit und das Wesentliche beigebracht als jedes Assessment und jedes Projekt. Meine drei Kinder sind mein Lebensmittelpunkt und meine Motivation – jeden einzelnen Tag. Wenn ich „Every life counts“ sage, ist das kein Satz aus dem Cockpit mehr. Es ist Alltag. Und es ist der Grund, warum ich Software baue, die Menschen Zeit zurückgibt – Zeit, die woanders dringender gebraucht wird. Mein Leben hat sich durch all das massiv verändert. Ich bin noch strukturierter geworden, als ich es aus dem Cockpit gewohnt war – und genau deshalb passt in die frühen Morgenstunden, bevor das Haus aufwacht, jeden Tag eine Stunde Sport: Kettlebell, Rope Skipping, Boxen. Nicht trotz der Verantwortung, sondern wegen ihr. Ich bin überzeugt: Das Wichtigste ist die tägliche Routine. Große Ziele erreicht man nicht mit großen Tagen, sondern mit vielen gewöhnlichen, die verlässlich gleich beginnen. Genau so bauen wir Software: Sie soll die tägliche Routine tragen – unspektakulär, verlässlich, jeden Tag –, damit für das Unplanbare Kopf und Zeit bleiben. Never give up. The sky is the limit. Mein Motto. Kein Poster an der Wand – eine Entscheidung, jeden Morgen. 03Ein Satz in Hamburg ### Wie aus KSIC die CloudDNA wurde. Ich habe die CloudDNA vor über zehn Jahren gegründet – ursprünglich nicht unter diesem Namen. Ich kam von SAP, wo ich Jahre in einem der größten Softwarekonzerne der Welt verbracht hatte. Ein sicherer Hafen. Ich habe ihn trotzdem verlassen. Am Anfang stand ein sperriger Name: die KSIC GmbH – Koch Security, Integration and Cloud Consulting. Vier Buchstaben, die niemand aussprechen konnte. Die Rettung kam bei einem Abendessen in Blankenese, Hamburg, in einem Fischlokal an der Elbe. Mein alter SAP-Kollege Jörg hörte sich zum dritten Mal meine Erklärung an, hob das Glas und sagte einen einzigen Satz: „Martin, du hast die Cloud in deiner DNA.“ Zwei Wochen später hieß die KSIC GmbH nicht mehr KSIC. Mit dabei war damals schon Daniel, mein erster Mitarbeiter – auf seiner allerersten Dienstreise. (Den Steinbutt, Daniel, tut mir bis heute leid.) Angefangen haben wir in einem winzigen Büro in Oberwart. Heute sitzen wir in der ehemaligen Raiffeisenbank in Loipersdorf, mitten in der Thermen- und Weinregion Südburgenland, und schöpfen aus zwei Talentschmieden, die man auf keiner Weltkarte findet: der HTL Pinkafeld und der FH Burgenland. Aus dem Duo ist ein Team von 24 Menschen geworden, und wir haben siebzehn Bücher bei SAP Press veröffentlicht – immer aus der Praxis, nie aus dem Marketing. 04Der Umbruch ### Individualsoftware war ein rotes Tuch. Bis 2023. Ich habe die CloudDNA aufgebaut, um für Konzerne SAP-Integrationen zu bauen – schwere Software, in Monaten getaktet. In dieser Welt mied man Individualsoftware wie der Teufel das Weihwasser: zu teuer, zu langsam, zu riskant. Dann kamen die Sprachmodelle. Mir wurde klar: Das ist keine graduelle Verbesserung, das ist der Umbruch, der unser Handwerk umschreibt. Also habe ich mich selbst hingesetzt und Software gebaut – nachts, am eigenen Editor, mit denselben Werkzeugen, die ich meinem Team empfehle. Man kann niemandem mit einer PowerPoint erklären, wie KI-gestützte Entwicklung funktioniert. Man muss es vorleben. Was früher drei Monate und ein sechsstelliger Betrag war, geht heute in Wochen. Nicht, weil Programmierer zaubern, sondern weil Copiloten die Fleißarbeit übernehmen und Entwickler wieder werden, was sie sein sollten: Handwerker mit Kopf. 05Wir bauen das ### Von „We deliver“ zu „Wir bauen das“. Über zehn Jahre lang hieß unser Versprechen „We deliver“: Ein Kunde beschreibt, wir liefern. Das hat uns groß gemacht. Aber es hat eine Grenze: Wer nur liefert, was bestellt wird, baut selten das, was gebraucht wird. Deshalb bauen wir uns um. Aus Beratern und Entwicklern werden Forward Deployed Engineers und Product Owner. Forward deployed heißt: Sie sitzen dort, wo das Problem entsteht – in der Hausverwaltung, im Weingut, in der Kanzlei – und bauen vor Ort. Product Owner heißt: Sie bleiben, bis es gelöst ist, und verantworten das Produkt, nicht das Ticket. We deliver Wir bauen das Lastenheft Datenprobe mit echten Daten Ticket erledigt Problem gelöst Monate bis zum ersten Ergebnis Wochen, im Pilot neben dem Altsystem Übergabe am Projektende Verantwortung danach Berater beim Kunden Forward Deployed Engineer und Product Owner „Wir bauen das.“ Drei Wörter, die man einem Kunden nur sagen darf, wenn man sie auch meint. 06Wir sprechen KI ### In der KI-Blase und vor allem draußen. In der KI-Blase reden alle über Modelle, Benchmarks und Agenten. Draußen – bei der Hausverwalterin mit tausend Tops, beim Winzer im Südburgenland, beim Wirt mit zwanzig Tischen – zählt eine andere Frage: Spart mir das morgen eine Stunde, und kann ich mich darauf verlassen? Wir übersetzen zwischen diesen Welten. Wir bauen täglich mit Claude von Anthropic und sind auf dem besten Weg, Partner von Anthropic zu werden. Aber was beim Kunden ankommt, ist kein Modell, sondern ein Ablauf, der funktioniert: - Die KI schlägt vor, ein Mensch entscheidet. Mehr Selbstständigkeit gibt es erst nach bestandener Probezeit. - Jede Aktion steht im Prüfpfad. Was die KI getan hat, lässt sich nachlesen. - KI muss sich rechnen. Eigener Schlüssel, feste Kostengrenze je Mandant. - Daten bleiben, wo sie hingehören. Mandanten bis in die Datenbank getrennt. Anthropic und Claude sind Marken der Anthropic PBC. Die Nennung beschreibt unsere Arbeitsweise. 07Die Familie der Tailors ### Maßgeschneidert statt Standard mit hundert Kompromissen. Statt nur über KI-gestützte Entwicklung zu reden, haben wir Branchen ausgesucht, die ich gut genug kenne – oder in denen ich Freunde habe, die mir das Problem so lange erklären, bis es sitzt. Jeder Tailor teilt mit seinen Geschwistern dasselbe Fundament, aber spricht die Sprache seiner Branche: - iFlowTailor – für SAP-Integration, die ich seit 2006 baue: Die Werkzeuge für Entwicklung und Betrieb haben mir nie gereicht – also bauen wir die Werkbank für Entwicklung, Betrieb und Administration in einem. - ProbeTailor – für Abnahmetests in SAP-Projekten und Fachsoftware, weil ich in all den Jahren SAP-Beratung zu viele Abnahmen in Excel-Listen und zu viele Screenshots in Mails gesehen habe. - JournalTailor – für die Kreditorenbuchhaltung vor SAP, BMD und DATEV, weil ich in SAP-Projekten zu oft gesehen habe, wie Rechnungen abgetippt werden, obwohl die Buchung dahinter längst Routine ist. - DocumentTailor – für SAP-Häuser, weil ich selbst fünfzehn Jahre lang Formulare auf den SAP Adobe Document Services gebaut habe und die Nachfolgefrage nicht länger unbeantwortet lassen wollte. - RecordTailor – für alle, die ein DMS brauchen, das nicht nur speichert, sondern liest – weil ich zu oft gesehen habe, wie jemand heimlich Excel öffnet, weil das DMS zu langsam ist. - ImmoTailor – für Hausverwaltungen und Projektentwickler, weil sich dort Buchhaltung, Technik und Portale besonders oft im Weg stehen. - TaxTailor – für Steuerkanzleien, weil ein Freund mir bei einem Glas Wein von seinem Windows-Terminal-Server erzählt hat. - DineTailor – für die Gastronomie, weil ich seit Jahren an fremden Tischen sitze und Champagner an Wirte verkaufe. - StayTailor – für die Hotellerie, weil die Thermenregion voller Betriebe steckt, die sich unter dem Konditionen-Diktat der Portale ducken. - MeetingTailor – für Sitzungen und Gremien, weil Stiftungsräte, Gemeinderäte und Vereinsvorstände in meinem Freundeskreis immer wieder dieselbe Nachtszene beschreiben. - Weintailor – für Winzerinnen und Winzer, weil wir mitten in einer Weinregion sitzen und jede zweite Reise ohnehin zur Weinreise wird. - BuildTailor – für Bau und Handwerk, weil Mängel, Pläne und Regieberichte auf der Baustelle entstehen – nicht im Büro. - AuthTailor – für Single Sign-on, weil in meinen SAP-Projekten immer wieder eine Anmeldung scheitert, ohne zu sagen, warum. Den Tracer haben wir zuerst für uns selbst in iFlowTailor gebaut – jetzt stellen wir ihn allen gratis zur Verfügung. Die CloudDNA ist deshalb kein reiner SAP-Zulieferer mehr, sondern eine Werkstatt mit einer wachsenden Produktlinie. Wirtschaftlich mutiger. Menschlich das Ehrlichste, was wir tun konnten. 08Warum AuthTailor ### Single Sign-on funktioniert. Bis es nicht mehr funktioniert. Und dann sagt es nicht, warum. Mit Siegfried Zeilinger habe ich die Bücher zu Sicherheit und Berechtigungen, Cloud Connector und Administration der SAP BTP geschrieben. Darin steht, wie das Vertrauen zwischen SAP BTP und Identity Provider eingerichtet wird, wie Principal Propagation durch den Cloud Connector läuft und welche Rollensammlung welchen Scope bringt. Was in keinem Buch steht: wie es ist, wenn alles richtig eingerichtet scheint und die Anmeldung trotzdem scheitert. Eine Anmeldung hat viele Stationen, und an jeder kann sie hängen bleiben: - Browser - App - Identity Provider - SAML Response oder Token - Rollensammlung - 403 Forbidden Die Fehlermeldungen sind dabei erstaunlich wortkarg: „invalid_grant“. „Assertion is not valid“. Eine Fehlernummer im Identity Provider, dessen Protokoll in einem anderen Tenant liegt, der einem anderen Team gehört. Und die App sagt einfach 403. Jeder sieht seinen Teil. Den ganzen Ablauf sieht keiner. Die Entwicklertools des Browsers zeigen die Anfragen, aber nicht, was sie bedeuten. Eine SAML Response ist Base64, oft noch komprimiert; ein JWT sind drei Teile Buchstabensalat, getrennt durch Punkte. Wer sie lesen will, kopiert sie von Fenster zu Fenster – und gibt das Token einer echten Anmeldung dabei aus der Hand. Für jemanden, der ein Buch über Sicherheit auf der SAP BTP geschrieben hat, ist das kein Arbeitsablauf, den man empfehlen kann. In der Fliegerei gibt es für solche Momente den Flugschreiber. Nach einem Zwischenfall rät niemand, man liest die Aufzeichnung: jeder Schritt, in der richtigen Reihenfolge, mit Zeitstempel. Genau das wollte ich für eine Anmeldung. Also haben wir den Flugschreiber für Single Sign-on gebaut. Zuerst für uns selbst: als SAML- & OIDC-Tracer in iFlowTailor, der Werkbank für SAP Cloud Integration – dort steckt er bis heute. Dann wurde klar, dass das Problem nicht nur hat, wer mit SAP Cloud Integration arbeitet. Jede App mit SAML oder OpenID Connect hat es, mit SAP oder ohne. Deshalb gibt es AuthTailor als eigene Extension. Bisher Mit AuthTailor „invalid_grant“ und eine Fehlernummer Der Ablauf als Diagramm, jeder Befund mit Ursache und Abhilfe SAML Response von Hand dekodieren Zerlegt, verschachtelt wie im XML, Signatur geprüft Tokens in fremde Fenster kopieren Zerlegt im Panel, auf dem eigenen Gerät Bei 403 raten, welche Rolle fehlt Scope für Scope, was fehlt Screenshots ins Ticket Ein maskierter Bericht, der ins Ticket passt Und warum gratis? Weil uns Single Sign-on in unseren eigenen SAP-Projekten immer wieder Probleme bereitet – und weil es allen, die Anmeldungen einrichten, betreiben oder im Support erklären müssen, genauso geht. Ein Werkzeug, das wir selbst brauchen, hinter eine Bezahlschranke zu stellen, hätte sich falsch angefühlt. AuthTailor ist kostenlos, ohne Konto und ohne Lizenz. Fünf Gedanken, nach denen es gebaut ist: - Gedanke 1 · Der Flugschreiber #### Erst aufzeichnen, dann urteilen. Ein Fehler zeigt sich selten dort, wo er entsteht. AuthTailor schneidet die ganze Anmeldung live mit, in einem beliebigen Tab, und prüft state, nonce und PKCE über alle Schritte hinweg – nicht nur die letzte Anfrage, die rot ist. - Gedanke 2 · Kein Server #### Ein Token gehört auf kein fremdes Gerät. Wer Anmeldungen untersucht, hat echte Tokens vor sich. Deshalb hat AuthTailor keinen Server und keine Telemetrie, hält Mitschnitte nur im Arbeitsspeicher und maskiert Geheimnisse schon beim Mitschneiden. - Gedanke 3 · Freigabe für einen Flug #### Zugriff nur, solange er gebraucht wird. Als Fluglotse gibt man eine Freigabe für genau einen Flug, nicht für den ganzen Tag. So arbeitet auch AuthTailor: Der Zugriff auf Websites wird erst beim Mitschneiden erfragt und danach wieder abgegeben. - Gedanke 4 · Ursache vor Symptom #### „403“ ist kein Befund. Ein Statuscode sagt, dass etwas fehlt, aber nicht, was. Die Ampel zeigt, in welchem Bereich es hakt, und auf der SAP BTP beantwortet „Warum 403?“ die Frage Scope für Scope. - Gedanke 5 · Verstehen statt kopieren #### Wer den Ablauf kennt, findet den Fehler selbst. Das wollten wir mit den Büchern erreichen, und das soll auch das Panel können: 13 Abläufe von OAuth 2.0, OpenID Connect und SAML zum Durchklicken, Schritt für Schritt, mit Glossar und Fehlerkatalog. „Login kaputt? Mitschneiden.“ Kein Slogan – so arbeiten wir selbst. [Kostenlos installieren](https://authtailor.com/#installieren) [Alle Funktionen](https://authtailor.com/funktionen) [Mit mir über SSO auf SAP BTP sprechen](https://authtailor.com/kontakt?thema=Beratung) Die Familie der Tailors ### Dreizehn Geschwister – jeder für sein Handwerk. Jeder Tailor löst ein Problem, das wir aus der Nähe kennen. Die meisten Geschwister teilen sich die Tailor-Plattform mit EU-Datenhaltung und KI-Schicht. AuthTailor ist das kleinste unter ihnen: kein Server, keine Datenhaltung, nur ein Panel neben deinem Tab. Entstanden ist es als SAML- & OIDC-Tracer in iFlowTailor – dort steckt er bis heute. - A AuthTailor SAML- & OIDC-Tracer im Browser – hier bist du. - [I iFlowTailor Werkbank für SAP Cloud Integration ↗](https://iflowtailor.com) - [P ProbeTailor Abnahmetests für SAP & Fachsoftware ↗](https://www.probetailor.com) - [J JournalTailor Rechnungseingang vor SAP, BMD & DATEV ↗](https://www.journaltailor.com) - [D DocumentTailor Dokumente & Signatur für SAP-Häuser ↗](https://documenttailor.com) - [R RecordTailor Dokumentenmanagement ↗](https://recordtailor.com) - [I ImmoTailor Hausverwaltung & Projektentwicklung ↗](https://www.immotailor.com) - [T TaxTailor Steuerberatung ↗](https://taxtailor.at) - [D DineTailor Restaurants ↗](https://dinetailor.com) - [S StayTailor Hotellerie ↗](https://staytailor.at) - [M MeetingTailor Tagungen & Events ↗](https://www.meetingtailor.com) - [W Weintailor Winzerinnen und Winzer ↗](https://weintailor.com) - [B BuildTailor Bau & Handwerk ↗](https://buildtailor.com) Häufige Fragen ### Fragen zur CloudDNA. **Wer steht hinter AuthTailor?** CloudDNA GmbH aus Loipersdorf im Südburgenland, gegründet von Martin Koch – ehemals Linienpilot und Fluglotse, seit 2006 in der SAP-Integration, SAP Champion und Autor von 17 Büchern bei SAP PRESS, darunter die Bücher zu Sicherheit und Berechtigungen auf der SAP BTP. Das Team umfasst 24 Menschen. **Warum ist AuthTailor gratis?** Weil uns Single Sign-on in unseren eigenen SAP-Projekten immer wieder Probleme bereitet. Den Tracer haben wir zuerst für uns selbst in iFlowTailor gebaut; als eigene Extension stellen wir ihn allen gratis zur Verfügung – ohne Konto, ohne Lizenz, ohne Server. **Was bedeutet „Wir bauen das“?** Die CloudDNA wandelt sich vom Dienstleister („We deliver“) zum Produktbauer: Entwicklerinnen und Entwickler arbeiten als Forward Deployed Engineers direkt beim Kunden und verantworten als Product Owner das Produkt über das Projekt hinaus. **Was sind die Tailors?** Eine Familie von Software der CloudDNA, die meisten Geschwister auf einem gemeinsamen Fundament, der Tailor-Plattform: unter anderem für SAP Cloud Integration (iFlowTailor), Single Sign-on (AuthTailor, beide als Browser-Extension ohne Server), Abnahmetests, Rechnungseingang, Dokumente, Hausverwaltung, Steuerberatung, Gastronomie, Hotellerie, Gremien, Weinbau und Bau. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Alle Fundstellen · AuthTailor Quelle: https://authtailor.com/fundstellen > Das Quellenverzeichnis der AuthTailor-Website: jede Produktaussage und jede Angabe zu Büchern und Anbieter mit Fundstelle und Prüfdatum. Manifest ## Fundstellen. „Zero Trust.“ „Enterprise-grade.“ „Militärische Verschlüsselung.“ – Sicherheitswerkzeuge versprechen viel und belegen wenig. Für ein Werkzeug, das jeden Parameter einer Anmeldung nachprüft, wäre das peinlich. Deshalb hat jede Aussage auf dieser Website eine Fundstelle: Produktaussagen mit unserer Dokumentation und dem Stand Version 1.0.0 vom 08.11.2026, Bücher und Anbieter mit Link und Datum. Die Gewohnheit teilen alle Geschwister der Tailor-Familie. Bei uns heißt sie: keine Signatur ungeprüft, keine Behauptung ohne Beleg. ### Produkt - #### Im Chrome Web Store veröffentlicht AuthTailor ist im Chrome Web Store unter der Artikel-ID kdephpomekccclhpkhebdmcdgagcoffo veröffentlicht, Version 1.0.0, kostenlos. Microsoft Edge kann Extensions aus dem Chrome Web Store installieren, sobald „Erweiterungen aus anderen Stores zulassen“ eingeschaltet ist. [Chrome Web Store, Eintrag AuthTailor](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) · geprüft am 09.11.2026 - #### Version 1.0.0 vom 8. November 2026 Erste Veröffentlichung als eigenständige Extension. Version 1.0.0 bringt die fünf Registerkarten Auth Trace, Werkzeuge, SAP, Lernen und Über, die Datenschutzerklärung im Panel und den Verweis auf das Impressum der CloudDNA. AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026 - #### Browser-Extension für Chrome, mit Builds für Edge und Firefox Eine Codebasis für Chrome und Edge (Manifest V3, Seitenpanel) und Firefox (Sidebar). Der Build erzeugt Pakete für den Chrome Web Store, Microsoft Edge Add-ons und Firefox Add-ons. Oberfläche in Englisch (Standard) und Deutsch. AuthTailor Produktdokumentation, README und Build-Konfiguration · geprüft am 08.11.2026 - #### Kostenlos, ohne Konto und ohne Lizenz AuthTailor ist der SAML- & OIDC-Tracer aus iFlowTailor als eigenständiges Plugin – ohne Bindung an SAP, ohne Konto, ohne Lizenz. Es gibt keine Bezahlfunktionen und keine Anmeldung in der Extension. AuthTailor Produktdokumentation, README · geprüft am 08.11.2026 - #### Der Tracer aus iFlowTailor Analyse, Mitschnitt und Oberfläche stammen aus iFlowTailor, der Werkbank für SAP Cloud Integration der CloudDNA. Dort steckt der Tracer weiterhin; Änderungen werden in beiden Produkten nachgezogen. AuthTailor Produktdokumentation, README, Abschnitt „Herkunft des Codes“ · geprüft am 08.11.2026 - #### Fünf Registerkarten Auth Trace (mitschneiden oder einfügen, prüfen, bewerten), Werkzeuge, SAP, Lernen und Über. Im schmalen Panel entfallen die Symbole der Registerkarten, damit alle fünf passen. AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026 - #### Bildschirmfotos und Video mit erfundenen Daten Der Live-Mitschnitt in Bildern und Video ist eine frei erfundene Anmeldung bei „Acme Orders“ (*.acme.example, OpenID Connect mit PKCE, danach ein API-Aufruf). Das Token ist mit einem Wegwerf-Schlüssel signiert, der nur während der Aufnahme existierte. SAML, SAP, Werkzeuge und Lernen zeigen die eingebauten Beispiele. Kein echter Mitschnitt, keine echten Namen, Tenants oder Tokens. AuthTailor Produktdokumentation, Unterlagen für den Chrome Web Store · geprüft am 08.11.2026 - #### Live mitschneiden in einem beliebigen Tab „Live mitschneiden“ drücken, in einem beliebigen Tab anmelden: Der Tracer zeigt den Ablauf Browser → App → Identity Provider als Diagramm und prüft state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL und RelayState über den ganzen Ablauf. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Einfügen oder ablegen SAML Response, AuthnRequest, Assertion, Metadaten (XML, Base64, Redirect-Deflate), JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder eine Fehlermeldung – bekannte Fehlercodes, etwa von Entra ID, SAP Cloud Identity Services, XSUAA und SuccessFactors, mit Ursache und Abhilfe. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Grafische Anatomie von JWT und SAML JWT in Header, Payload und Signatur zerlegt, Vertrauenskette Aussteller → Signatur → Empfänger, Ausweis mit Scopes und Rollen, Zeiten relativ zu jetzt mit Toleranz für Uhrabweichung; SAML-Bausteine verschachtelt wie im XML, mit Siegel und Befundfarbe. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Signaturen echt geprüft SAML kryptografisch mit dem Zertifikat aus der Nachricht – eigene XML-Kanonisierung (exklusiv und inklusiv, gegen libxml2 getestet), RSA, RSA-PSS und ECDSA mit SHA-1 bis SHA-512 –, optional abgeglichen mit dem SHA-256-Fingerabdruck aus den Metadaten des IdP. JWTs mit den Schlüsseln des Ausstellers, die ein Klick auf „Schlüssel von … laden“ holt. Warnt vor ablaufenden Zertifikaten und nach einem Schlüsselwechsel fehlenden Schlüsseln. AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026 - #### Ampel in fünf Bereichen Sicherheitsbewertung je Bereich: Ablauf & Protokoll, Tokens & Signaturen, Transport & Lecks, Cookies & Sitzung, Browser-Schutz. Rein funktionale Befunde wie eine falsche Audience oder ein abgelaufenes Token zählen nicht zur Sicherheitsbewertung. AuthTailor Produktdokumentation, Changelog 1.0.0, Sicherheitsprüfung · geprüft am 08.11.2026 - #### Angriffsmuster und Lecks SAML: Signature Wrapping, doppelte IDs, Kommentar in der NameID, DTD (nie aufgelöst), XSLT- und XPath-Transforms (nie ausgeführt). JWT: jku, x5u und jwk im Kopf, kid-Injection, crit. Lecks: Code oder Token im Referer an Dritte, Tokens in der Query, Client-Secret aus dem Browser, Token-Antwort ohne Cache-Control: no-store. Dazu Session Fixation, Skripte von Dritten ohne SRI auf Anmeldeseiten, offene Weiterleitungen, Doppelgänger- und Punycode-Hosts. AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026 - #### Header je Schritt, maskiert Anfrage- und Antwort-Header je Schritt, maskiert, mit SameSite-Prüfung der Cookies beim POST zurück an die App; HSTS, Schutz vor Einbetten und Referrer-Policy der Anmeldeseiten; HttpOnly, Secure und Präfix __Host- der Sitzungs-Cookies. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Bearer-Tokens und DPoP (Option) Mit der Option „Auch Bearer-Tokens“ zeigt der Tracer JWTs aus dem Authorization-Header von API-Aufrufen, mit dem Ablehnungsgrund aus WWW-Authenticate; DPoP-Proofs werden gegen Methode, URL, ath und cnf.jkt geprüft. Refresh-Tokens: Rotation und Wiederverwendung. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Abmeldung, Discovery und Metadaten OIDC- und SAML-Logout: ob die Sitzungs-Cookies gelöscht und der IdP abgemeldet wurde. Discovery und SAML-Metadaten bewertet: impliziter und Passwort-Grant, none, PAR, DPoP, mTLS, Logout-Endpunkte; WantAssertionsSigned, SHA-1, transiente NameID. AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026 - #### Markdown-Bericht, maskiert Der Bericht fasst Urteil, Ampel, Abläufe, Befunde und Schritte als Markdown zusammen, fertig fürs Ticket. Er enthält nur maskierte Werte. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Werkzeuge: Passkeys, Zertifikate, Websicherheit Erkennt, was eingefügt wurde: Passkey-Antwort (WebAuthn: Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID, Challenge), Zertifikate, Ketten, CSRs, öffentliche und private Schlüssel, JWK und JWKS (Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname, ob Schlüssel und Zertifikat zusammengehören), Content Security Policy mit strengerem Vorschlag, Security-Header, CORS-Preflight, verdächtige Anmelde-Links (Punycode, Doppelgänger, offene Weiterleitung) und Secrets in beliebigem Text. AuthTailor Produktdokumentation, README und Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026 - #### HAR bereinigen Maskiert Cookies, Authorization- und Sitzungs-Header, Codes, Tokens, Passwörter und geheime Parameter in URL, Formular und JSON; JWTs bleiben lesbar, verlieren aber die Signatur. Antwort-Inhalte wahlweise nur JSON, keine oder alle; SAML auf Wunsch behalten. Gespeichert wird eine Datei .sanitized.har. AuthTailor Produktdokumentation, Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026 - #### Tokens im Seitenspeicher finden – ohne Wert Auf Klick läuft eine Funktion einmal im aktiven Tab und durchsucht localStorage, sessionStorage, IndexedDB und die Namen der per JavaScript lesbaren Cookies. Zurück kommen nur Art, Länge und harmlose Claims der Tokens (Aussteller, Audience, Ablauf, Scopes), nie ein Wert. Kein Content-Script; Zugriff über activeTab oder eine einmalige Freigabe, die danach wieder abgegeben wird. AuthTailor Produktdokumentation, README, Berechtigungen; Changelog 1.0.0 · geprüft am 08.11.2026 - #### SAP BTP: Tokens, Konfiguration, Abläufe XSUAA- und IAS-Tokens (Scopes je App, Rollen-Collections, Zone, Grant), Reviews von xs-security.json, xs-app.json, Service-Keys und Destinations (JSON oder Properties, Secrets nur maskiert), Anmeldetickets (MYSAPSSO2) mit Signaturprüfung, BTP-Abläufe (App Router → XSUAA → IAS, IAS direkt, Principal Propagation, SAML Bearer, CSRF) als Diagramm, SAP-Grundlagen sowie Fehler von SAP Gateway und ICF mit Ursache und Abhilfe. AuthTailor Produktdokumentation, README und Changelog 1.0.0, SAP · geprüft am 08.11.2026 - #### „Warum 403?“ Token einfügen, erwartete Scopes oder Rollen eintragen: Die Ansicht vergleicht Scope für Scope, was das Token trägt und was die App verlangt, und nennt, was fehlt. AuthTailor Produktdokumentation, Changelog 1.0.0, SAP · geprüft am 08.11.2026 - #### 13 Abläufe, zehn Kapitel, Glossar, Fehlerkatalog, Checkliste 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken und Abspielen (Code + PKCE, BFF, Client Credentials, Refresh, Device Code, On-behalf-of, DPoP, implizit, Passwort-Grant, SAML SP- und IdP-initiiert, SAML Bearer, Abmeldung), mit Risiken und dem, was der Tracer prüft. Dazu Grundlagen in zehn Kapiteln, ein Glossar, ein Katalog bekannter Fehlermeldungen mit Ursache und Abhilfe und eine Checkliste vor dem Go-live. Erkannte Abläufe der Eingabe führen direkt zur Erklärung. AuthTailor Produktdokumentation, README und Changelog 1.0.0, Lernen · geprüft am 08.11.2026 - #### Kein Server, keine Telemetrie AuthTailor hat keinen Server, kein Konto, keine Analyse, keine Telemetrie, keine Werbung und keinen Code von Dritten. Die Extension sendet keine Daten, weder an CloudDNA noch an andere. Die Auswertung läuft vollständig im Panel auf dem Gerät. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, „Kurz gesagt“ · geprüft am 08.11.2026 - #### Die eine Anfrage: öffentliche Schlüssel auf Klick Nur auf Klick auf „Schlüssel von laden“ holt das Panel die öffentliche Discovery und die öffentlichen Schlüssel (JWKS) des Token-Ausstellers mit einem HTTP-GET ohne Cookies und ohne Referrer. Von der Eingabe wird nichts gesendet. Ohne diesen Klick stellt die Extension keine Anfrage ins Netz. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026 - #### Nur im Arbeitsspeicher, solange das Panel offen ist Mitschnitte und eingefügte Inhalte – auch Service-Keys, Destinations und Konfigurationen – liegen nur im Arbeitsspeicher, solange das Panel offen ist; sie werden nie auf die Festplatte geschrieben. Gespeichert werden nur die Sprache der Oberfläche, die Option „Header“ und ein Merker im Sitzungsspeicher, ob die Extension die Host-Berechtigung selbst erfragt hat. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026 - #### Maskiert schon beim Mitschneiden Cookie-Werte, Authorization-Werte, CSRF-Tokens, API-Keys, Sitzungs-Header, Client-Secrets und Passwörter werden beim Mitschneiden maskiert. Lange Cookie-Werte bleiben nur als kurzer Fingerabdruck, damit der Tracer eine erneuerte Sitzung erkennt; Refresh-Tokens nur als kurzer Hash, damit er ihre Rotation erkennt. Was das Panel verlässt, kopiert oder speichert der Nutzer selbst – und es enthält nur maskierte Werte. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, Maskierung · geprüft am 08.11.2026 - #### Berechtigungen und Host-Zugriff Fest im Manifest: storage (Sprache und Option „Header“), sidePanel, webRequest (nur beobachtend, ohne Host-Zugriff wirkungslos und ohne Installationswarnung), scripting und activeTab (Seitenspeicher auf Klick, ohne Installationswarnung). Optional: https://*/* – erst bei „Live mitschneiden“ oder einem erlaubten Seiten-Scan erfragt und danach wieder abgegeben. Ein laufender Mitschnitt wird dabei nicht gestört. AuthTailor Produktdokumentation, README, „Datenschutz und Berechtigungen“; Chrome-Web-Store-Unterlagen · geprüft am 08.11.2026 ### Hersteller - #### CloudDNA GmbH – SAP Silver Partner Die CloudDNA nennt sich SAP-BTP-Partner aus Österreich für den DACH-Raum und SAP Silver Partner; sie begleitet SAP-Projekte in Österreich, Deutschland und der Schweiz. Schwerpunkte laut Website: Integration, Architektur und Clean Core, Fiori und UX, Full-Stack-Entwicklung, Agilität und DevOps sowie Trainings. Martin Koch ist dort als Founder & Managing Director und SAP Champion genannt. [clouddna.at, Startseite und Team](https://www.clouddna.at/) · geprüft am 05.11.2026 - #### Bücher zu Sicherheit, Verbindungen und Administration der SAP BTP Martin Koch und Siegfried Zeilinger: „SAP Business Technology Platform – Sicherheit und Berechtigungen“ (englisch „Security and Authorizations for SAP Business Technology Platform“), „Cloud Connector für SAP“ („Cloud Connector for SAP“) und „SAP Business Technology Platform – Administration“ („Configuring SAP Business Technology Platform“), jeweils bei SAP PRESS im Rheinwerk Verlag. [Rheinwerk Verlag (SAP PRESS), Suche „martin koch“](https://www.rheinwerk-verlag.de/suche/?suchbegriff=martin+koch) · geprüft am 05.11.2026 - #### iFlowTailor – Werkbank für SAP Cloud Integration Browser-Extension der CloudDNA für SAP Integration Suite: Review, Test, Fehleranalyse und Betrieb neben dem iFlow-Editor. Der SAML- & OIDC-Tracer, aus dem AuthTailor entstanden ist, gehört dort zu den Ansichten. [iflowtailor.com](https://iflowtailor.com) · geprüft am 08.11.2026 --- # Datenschutz · AuthTailor Quelle: https://authtailor.com/datenschutz > Datenschutzerklärung der AuthTailor-Website und der Browser-Extension: keine Cookies, keine Tracker, und die Extension sendet keine Daten. ## Datenschutzerklärung Kurz gesagt: Diese Website setzt keine Cookies, lädt nichts von fremden Servern und verwendet keine Tracker. Daten bekommen wir nur, wenn Sie uns schreiben. Die Browser-Extension AuthTailor hat keinen Server und sendet keine Ihrer Daten – ihre Datenschutzerklärung steht in Abschnitt 5. ### 1. Verantwortliche CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich Geschäftsführung: Martin Koch · Telefon: [+43 664 1964199](tel:+436641964199) · E-Mail: [office@clouddna.at](mailto:office@clouddna.at) Wir sind nicht verpflichtet, eine:n Datenschutzbeauftragte:n zu bestellen. Für alle Datenschutzfragen erreichen Sie uns unter der oben genannten E-Mail-Adresse. ### 2. Aufruf der Website Beim Aufruf verarbeitet unser Hosting-Anbieter technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) in Server-Protokollen, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach kurzer Zeit automatisch gelöscht. Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Auslieferung bevorzugt aus der Region Frankfurt (fra1). Soweit Daten in die USA gelangen können, stützen wir uns auf: EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) sowie Standardvertragsklauseln. ### 3. Keine Cookies, keine Tracker – YouTube erst nach Klick Wir setzen keine Cookies. Auf Ihr Endgerät greifen wir nur zu, soweit es für eine von Ihnen gewählte Funktion unbedingt erforderlich ist (§ 165 Abs. 3 TKG 2021, § 25 Abs. 2 TDDDG). Schriften, Skripte und Bilder liegen auf unserem eigenen Server; es werden keine Inhalte von Social-Media-Plattformen oder Analyse-Diensten nachgeladen. Die Hell/Dunkel-Wahl speichert Ihr Browser nur für den laufenden Besuch (sessionStorage); sie wird nicht an uns übertragen. YouTube-Video. Auf der Startseite zeigen wir zunächst nur ein Vorschaubild von unserem Server. Erst wenn Sie auf „Abspielen“ klicken, lädt Ihr Browser das Video von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) im erweiterten Datenschutzmodus über www.youtube-nocookie.com. Dabei erhält Google insbesondere Ihre IP-Adresse, Browserdaten und die Adresse unserer Seite; beim Abspielen kann YouTube Daten auf Ihrem Gerät speichern und Daten in die USA übermitteln (Grundlage: EU-US Data Privacy Framework). Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021); sie gilt nur für diesen Aufruf, ohne Klick wird nichts geladen. Der Link „Direkt auf YouTube ansehen“ öffnet YouTube in Ihrem Browser. Details: [Datenschutzerklärung von Google](https://policies.google.com/privacy). ### 4. Anfragen über das Formular und per E-Mail Wenn Sie uns über das Formular oder per E-Mail schreiben, verarbeiten wir Ihre Angaben (Name, Firma, E-Mail, Anliegen, Rolle, Umgebung, Nachricht sowie – falls Sie über einen Link mit Kampagnencode gekommen sind – diesen Code aus der Adresszeile, damit wir wissen, worauf Sie antworten), um Ihnen zu antworten. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an der Beantwortung von Anfragen (lit. f). Die Anfrage legen wir als Kontakt in unserem CRM (Tailor-Plattform der CloudDNA) an und bearbeiten sie dort; ein Auftragsverarbeiter außerhalb der CloudDNA ist daran nicht beteiligt. Im Fenster „Danke“ nach dem Absenden zeigen wir Ihren Vornamen und Ihre E-Mail-Adresse nur in Ihrem Browser an – dafür wird nichts gespeichert oder an Dritte übertragen. Wir speichern die Anfrage bis zur Erledigung und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder daraus ein Vertragsverhältnis entsteht. Bitte schicken Sie uns keine Tokens, Cookies, Passwörter oder Service-Keys. Wir senden Ihnen keinen Newsletter, wenn Sie ihn nicht ausdrücklich bestellen. ### 5. Browser-Extension AuthTailor Dieser Abschnitt ist die Datenschutzerklärung der Browser-Extension AuthTailor für Chrome, Microsoft Edge und Firefox, im selben Wortlaut wie in der Extension unter „Über“. Sie ist auch die Adresse, die im Chrome Web Store als Datenschutzerklärung angegeben ist. Stand: 08.11.2026 · Gleicher Wortlaut wie unter „Über“ in der Extension. #### Verantwortlich AuthTailor ist eine Browser-Extension, mit der Entwicklerinnen, Entwickler und Admins SAML- und OpenID-Connect-Anmeldungen analysieren. Herausgeber: - CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich - E-Mail: [office@clouddna.at](mailto:office@clouddna.at) - Impressum: [https://authtailor.com/impressum](https://authtailor.com/impressum) #### Kurz gesagt Keine Daten verlassen Ihr Gerät. AuthTailor hat keinen Server, kein Konto, keine Analyse, keine Telemetrie, keine Werbung und keinen Code von Dritten. Die Extension sendet keine Ihrer Daten, weder an CloudDNA noch an andere. #### Die eine Anfrage in Ihrem Auftrag Klicken Sie auf „Schlüssel von laden“, holt das Panel die öffentliche Discovery und die öffentlichen Schlüssel (JWKS) dieses Token-Ausstellers mit einem einfachen HTTP-GET, ohne Cookies und ohne Referrer. Von Ihrer Eingabe wird nichts gesendet; der Aussteller sieht nur, dass seine öffentlichen Schlüssel abgerufen wurden, und von welcher IP-Adresse. Ohne diesen Klick stellt die Extension keine Anfrage. #### Was die Extension verarbeitet, und wo - Live-Mitschnitt (erst nach „Live mitschneiden“): Die Extension beobachtet die Anfragen des Browsers während einer Anmeldung – URL, Methode, Formularparameter von Anmelde-POSTs (z. B. SAMLResponse) und, wenn die Option „Header“ an ist, die Anfrage- und Antwort-Header. Mit der Option „Auch Bearer-Tokens“ beobachtet sie zusätzlich JWTs im Authorization-Header von API-Aufrufen. Das geschieht erst, nachdem Sie die optionale Host-Berechtigung erteilt haben; beim Stopp gibt die Extension sie zurück. Nach 30 Minuten endet der Mitschnitt von selbst. - Eingefügte oder abgelegte Inhalte: Text oder Dateien, die Sie ins Panel einfügen oder dort ablegen, etwa SAML-Nachrichten, JWTs, URLs, HAR-Dateien, Fehlermeldungen, Zertifikate, Schlüssel, SAP-Service-Keys, Destinations oder Konfigurationsdateien. - Seitenspeicher durchsuchen (erst nach Klick auf „Diese Seite durchsuchen“ unter Werkzeuge): Eine Funktion läuft einmal im aktiven Tab und liest dessen localStorage, sessionStorage, IndexedDB und die Namen der per JavaScript lesbaren Cookies. Ins Panel kommen nur die Art jedes Tokens (JWT, Refresh-Token, Secret), seine Länge und harmlose Claims (Aussteller, Audience, Ablauf, Scopes) – nie ein Wert. Der Zugriff kommt über activeTab (wenn Sie das Panel über das Symbol geöffnet haben) oder über eine einmalige Host-Berechtigung, die gleich nach dem Scan zurückgegeben wird. - Die Auswertung läuft vollständig im Panel der Extension auf Ihrem Gerät. Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher, solange das Panel offen ist; sie werden nie auf die Festplatte geschrieben. - Maskierung: Geheimnisse werden schon beim Mitschneiden maskiert – Cookie-Werte, Authorization-Werte, CSRF-Tokens, API-Keys, Sitzungs-Header, Client-Secrets und Passwörter. Lange Cookie-Werte bleiben nur als kurzer Fingerabdruck erhalten, damit der Tracer erkennt, ob ein Sitzungs-Cookie bei der Anmeldung erneuert wurde; Refresh-Tokens nur als kurzer Hash, damit er ihre Rotation erkennt. Bearer-JWTs und DPoP-Proofs bleiben nur mit der Option „Auch Bearer-Tokens“ unmaskiert, weil die Prüfung sie braucht. - Gespeicherte Einstellungen: nur die Sprache der Oberfläche und die Option „Header“ (Browser-Speicher der Extension). Dazu kommt ein Merker, ob die Extension die Host-Berechtigung selbst erfragt hat, damit sie sie zurückgeben kann (Sitzungsspeicher, wird beim Schließen des Browsers gelöscht). Die Einstellungen lassen sich unter „Über“ zurücksetzen oder mit der Extension deinstallieren. #### Was das Panel verlässt - Nur, was Sie selbst kopieren oder speichern, z. B. mit „Bericht kopieren“, „Header kopieren (maskiert)“ oder „Bereinigtes HAR speichern“. - Der kopierte Bericht und das gespeicherte HAR enthalten nur maskierte Werte. #### Links auf Websites Unter „Über“ verweist das Panel auf die Website von CloudDNA, das Impressum und unsere Bücher bei SAP PRESS. Die Links öffnen in einem neuen Tab ohne Referrer; die Extension sendet dabei nichts mit. Für die aufgerufenen Websites gelten deren eigene Datenschutzerklärungen. #### Weitergabe und Verkauf Keine. AuthTailor verkauft und überträgt keine Daten. Daten werden weder für Werbung noch für Bonitätsprüfung noch für irgendeinen anderen Zweck genutzt als den einen: Anmeldungen zu analysieren. #### Rechtsgrundlage und Ihre Rechte Da CloudDNA über AuthTailor keine personenbezogenen Daten erhält, speichert CloudDNA nichts über Sie, das sich abfragen, berichtigen oder löschen ließe. Alle Verarbeitung geschieht auf Ihrem Gerät und auf Ihre Veranlassung. Bei Fragen schreiben Sie an [office@clouddna.at](mailto:office@clouddna.at). Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren; in Österreich ist das die Datenschutzbehörde ([https://www.dsb.gv.at/](https://www.dsb.gv.at/)). #### Änderungen Ändert sich der Umgang der Extension mit Daten, wird diese Erklärung mit der neuen Version und dem Datum oben aktualisiert. ### 6. Werbung Werbe-E-Mails und Werbeanrufe gibt es von uns nur mit Ihrer vorherigen Einwilligung (§ 174 TKG 2021). ### 7. Ihre Rechte Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Schreiben Sie dazu an [office@clouddna.at](mailto:office@clouddna.at). Beschwerden können Sie bei der österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, [www.dsb.gv.at](https://www.dsb.gv.at)) oder einer Aufsichtsbehörde in Ihrem Land einlegen. Stand: 8. November 2026 --- # Impressum · AuthTailor Quelle: https://authtailor.com/impressum > Impressum der AuthTailor-Website: CloudDNA GmbH, Loipersdorf, Firmenbuch, UID, Aufsichtsbehörde, Haftung, Marken und Kontakt. ## Impressum Informationen nach § 5 ECG, § 14 UGB und Offenlegung nach § 25 MedienG. Für Nutzer:innen in Deutschland zugleich Anbieterkennzeichnung nach § 5 DDG. ### Medieninhaberin und Diensteanbieterin CloudDNA GmbH Untere Hauptstraße 23 7410 Loipersdorf, Österreich Telefon: [+43 664 1964199](tel:+436641964199) E-Mail: [office@clouddna.at](mailto:office@clouddna.at) Web: [www.clouddna.at](https://www.clouddna.at) ### Unternehmensdaten - Rechtsform: Gesellschaft mit beschränkter Haftung - Firmenbuchnummer: FN 480760 a - Firmenbuchgericht: Landesgericht Eisenstadt - UID-Nummer: ATU72725928 - Geschäftsführung: Martin Koch - Unternehmensgegenstand: IT-Dienstleistungen - Kammerzugehörigkeit: Wirtschaftskammer Burgenland - Aufsichtsbehörde nach ECG: Bezirkshauptmannschaft Oberwart - Verleihungsstaat: Österreich - Anwendbare Rechtsvorschriften: Gewerbeordnung, abrufbar unter [www.ris.bka.gv.at](https://www.ris.bka.gv.at) ### Offenlegung nach § 25 MedienG Medieninhaberin: CloudDNA GmbH, 7410 Loipersdorf. Geschäftsführung: Martin Koch. Beteiligung: Martin Koch (100 %). ### Grundlegende Richtung (§ 25 Abs. 4 MedienG) Information über die Software AuthTailor und die Leistungen der CloudDNA GmbH. ### Online-Streitbeilegung Wir sind nicht verpflichtet und nicht bereit, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Unser Angebot richtet sich an Unternehmen. ### Marken SAP, SAP BTP, SAP Cloud Identity Services und alle anderen genannten Produkt- und Firmennamen sind Marken ihrer jeweiligen Inhaber. AuthTailor ist kein Produkt der SAP SE. Die Nennung dient der Beschreibung, wofür und womit AuthTailor arbeitet. Die CloudDNA GmbH ist mit diesen Unternehmen nicht verbunden. ### Haftung für Inhalte und Links Wir prüfen die Inhalte dieser Website sorgfältig und belegen Aussagen mit Fundstellen. Für Inhalte externer Websites, auf die wir verlinken, sind ausschließlich deren Betreiber verantwortlich; zum Zeitpunkt der Verlinkung waren keine Rechtsverstöße erkennbar. ### Urheberrecht Texte, Grafiken und Gestaltung dieser Website sind urheberrechtlich geschützt. Eine Verwendung außerhalb der gesetzlich erlaubten Nutzung braucht unsere Zustimmung. ### Bildnachweise Alle Grafiken dieser Website sind eigene Darstellungen. Es werden keine KI-generierten Bilder von realen Personen verwendet. --- # Dokumentation des SAML- & OIDC-Tracers · AuthTailor Quelle: https://authtailor.com/doku > Die Doku zu AuthTailor: Installation, Live-Mitschnitt, Einfügen, Ergebnis lesen, Tokens und SAML, Werkzeuge, SAP, Lernen und Datenschutz – mit Bildschirmfotos. ## AuthTailor-Dokumentation Wie du AuthTailor installierst, eine Anmeldung mitschneidest und das Ergebnis liest – mit Bildschirmfotos der echten Extension, den genauen Beschriftungen des Panels und erfundenen Daten. Oben links durchsuchst du die ganze Doku; die Taste / springt ins Suchfeld. Neu hier?Fang mit [Erste Schritte](https://authtailor.com/doku/einstieg) an. Danach zeigt [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt), wie du eine Anmeldung mitschneidest, und [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen), wie du das Urteil, die Ampel und das Ablaufdiagramm liest. AuthTailor ist eine kostenlose Browser-Extension. Sie zeigt, was bei einer Anmeldung mit SAML 2.0 oder OpenID Connect wirklich passiert und woran sie scheitert. Alles läuft lokal im Panel: kein Server, kein Konto, keine Telemetrie. So öffnet sich das Panel: Auth Trace mit Live-Mitschnitt und Feld zum Einfügen. - Die fünf Registerkarten: Auth Trace, Werkzeuge, SAP, Lernen und Über. - Live im Browser mitschneiden – siehe [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt). - Hier einfügen oder ablegen: SAML, JWT, URL, Token-Antwort, HAR oder eine Fehlermeldung – siehe [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele). - Beispiel ausprobieren mit erfundenen Daten, ganz ohne eigene Anmeldung. - Erwartete Werte und Uhr-Toleranz für den Abgleich mit deiner Konfiguration. Jede Seite zu einer Registerkarte zeigt, wofür sie da ist, die typischen Aufgaben Schritt für Schritt, die Knöpfe mit ihren Beschriftungen und typische Probleme. Die Beschriftungen stehen so da, wie das Panel sie zeigt. Die Bildschirmfotos zeigen die echte Extension an einer erfundenen Firma: „Acme“ mit Hosts unter *.acme.example und der Benutzerin Erika Muster. Ein Klick vergrößert sie. ### Erste Schritte - [Erste Schritte Installieren, das Panel öffnen, erstes Ergebnis mit einem Beispiel, dann mitschneiden oder einfügen.](https://authtailor.com/doku/einstieg) ### Auth Trace - [Live mitschneiden Eine Anmeldung im Browser aufzeichnen – mit Bearer-Tokens und Headern, ohne HAR-Export.](https://authtailor.com/doku/live-mitschnitt) - [Einfügen und Beispiele SAML, JWT, URL, Token-Antwort, HAR oder Fehlermeldung einfügen – und mit erwarteten Werten vergleichen.](https://authtailor.com/doku/einfuegen-und-beispiele) - [Das Ergebnis lesen Urteil, nächster Schritt, Ampel in fünf Bereichen, Anmeldeablauf, Header und Bericht.](https://authtailor.com/doku/ergebnis-lesen) - [Tokens und SAML JWT und SAML-Nachrichten als Grafik: Vertrauenskette, Ausweis, Claims, Signatur, Gültigkeit, Zertifikate.](https://authtailor.com/doku/tokens-und-saml) ### Weitere Tabs - [Werkzeuge Passkeys, Zertifikate, CSP, CORS, Links und Secrets prüfen, HAR bereinigen, Seitenspeicher durchsuchen.](https://authtailor.com/doku/werkzeuge) - [SAP XSUAA- und IAS-Tokens, xs-security.json, xs-app.json, Service-Keys, Destinations und Anmeldetickets prüfen – und einen 403 erklären.](https://authtailor.com/doku/sap) - [Lernen 13 Abläufe als Sequenzdiagramm, zehn Kapitel Grundlagen, Glossar, Fehlerkatalog und Go-live-Checkliste.](https://authtailor.com/doku/lernen) - [Berechtigungen und Datenschutz Welche Berechtigungen AuthTailor braucht, was es verarbeitet, was es speichert und was das Panel verlässt.](https://authtailor.com/doku/berechtigungen-und-datenschutz) ### Hilfe - [Fehlerbehebung Was die Meldungen des Panels bedeuten und was hilft, wenn der Mitschnitt, das Einfügen oder das Laden der Schlüssel nicht klappt.](https://authtailor.com/doku/fehlerbehebung) - [Changelog Was sich in AuthTailor geändert hat – seit der ersten Version 1.0.0.](https://authtailor.com/doku/changelog) ### Siehe auch - Funktionen im Überblick [Funktionen · Alle Registerkarten](https://authtailor.com/funktionen#trace) - Hilfe von Menschen [CloudDNA fragen](https://authtailor.com/kontakt) - Doku [Erste Schritte](https://authtailor.com/doku/einstieg) - Doku [Fehlerbehebung](https://authtailor.com/doku/fehlerbehebung) - Belege Fünf Registerkarten · Kostenlos · Kein Server Häufige Fragen ### Kurz beantwortet. **Gibt es die Doku auch auf Englisch?** Ja. Jede Seite gibt es auf Deutsch und Englisch, jeweils mit den Beschriftungen des Panels in dieser Sprache und eigenen Bildschirmfotos. **Woher stammen die Bildschirmfotos?** Aus der echten Extension. Ein Skript meldet sich an einer erfundenen Demo-Firma unter *.acme.example an, die nur auf dem Rechner des Skripts läuft, und nimmt die Bilder neu auf. Es gibt keine echten Hosts, Benutzer oder Tokens darin. **Wo finde ich Hilfe, wenn etwas nicht funktioniert?** Auf der Seite Fehlerbehebung und bei der CloudDNA über das Kontaktformular. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # AuthTailor installieren und loslegen · AuthTailor Quelle: https://authtailor.com/doku/einstieg > AuthTailor in Chrome, Edge oder Firefox installieren, das Panel öffnen, ein Beispiel ausprobieren und die erste Anmeldung mitschneiden oder einfügen. ## Erste Schritte Von der Installation zum ersten Befund in wenigen Minuten: Extension installieren, Panel über das Symbol öffnen, ein Beispiel anklicken – dann deine eigene Anmeldung mitschneiden oder einfügen. Ohne Konto und ohne Server. **Browser** Chrome, Edge, Firefox ab 115 **Preis** kostenlos **Konto** keins nötig **Sprachen** Deutsch und Englisch Diese Seite beantwortet - Wie installiere ich AuthTailor in Chrome, Edge oder Firefox? - Wie öffne ich das Panel? - Wie bekomme ich ohne eigene Anmeldung ein erstes Ergebnis? - Warum fragt AuthTailor beim Mitschneiden nach Zugriff auf alle Websites? ### Installieren AuthTailor gibt es kostenlos im Chrome Web Store. Edge installiert die Extension aus demselben Eintrag, für Firefox gibt es ein Paket auf Anfrage. #### Chrome - Den [Eintrag im Chrome Web Store](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) öffnen. - Zu Chrome hinzufügen klicken und den Dialog bestätigen. Chrome nennt dabei nur die festen Berechtigungen; der Zugriff auf Websites ist optional und wird erst beim Mitschneiden erfragt. - Über das Puzzle-Symbol in der Symbolleiste AuthTailor anheften. Dann ist das Schlüssel-Symbol immer sichtbar. #### Microsoft Edge - Den [Eintrag im Chrome Web Store](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) in Edge öffnen. - Im Hinweisbalken Erweiterungen aus anderen Stores zulassen einschalten. - Die Extension über den Knopf im Eintrag hinzufügen und bestätigen. #### Firefox Für Firefox ab Version 115 gibt es ein Paket auf Anfrage über das [Kontaktformular](https://authtailor.com/kontakt). In Firefox erscheint AuthTailor als Seitenleiste statt als Side-Panel; sonst ist alles gleich. Im UnternehmenWas die Konzern-IT zu Berechtigungen und Verteilung wissen will, steht auf der Seite [Sicherheit](https://authtailor.com/sicherheit#rollout). ### Das Panel öffnen Ein Klick auf das Schlüssel-Symbol öffnet das Panel. In Chrome und Edge steht es als Side-Panel neben der Seite und bleibt offen, während du im Tab daneben klickst. In Firefox schaltet das Symbol die Seitenleiste ein und aus. Kopf des Panels: Sprache und Registerkarten. - Der Sprachumschalter EN · DE. Beim ersten Start folgt das Panel der Sprache des Browsers; deine Wahl merkt es sich. - Die Registerkarten. Ein laufender Mitschnitt läuft weiter, wenn du die Karte wechselst. Die gewählte Karte merkt sich das Panel nicht. Hell oder dunkel folgt dem Betriebssystem. Unten im Panel steht die Version und der Hinweis „Läuft lokal · kein Konto · keine Ihrer Daten gesendet“. ### Erstes Ergebnis mit einem Beispiel Unter dem Feld zum Einfügen stehen fünf Beispiele mit erfundenen Daten (example.com). Die Zeiten darin sind relativ zu jetzt, damit Ablaufzeiten echt wirken. - Registerkarte Auth Trace öffnen. - Unter Beispiel ausprobieren eine Kachel anklicken, zum Beispiel SAML Response. - Das Beispiel landet im Feld und wird sofort geprüft. Leeren macht das Feld wieder frei. Ein Beispiel liefert sofort ein vollständiges Ergebnis. - Das Beispiel steht im Feld. - Erkannt: was AuthTailor in der Eingabe gefunden hat. - Das Urteil mit dem nächsten Schritt – mehr in [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen). - Die Sicherheitsbewertung – darunter folgt die Karte der Nachricht, mehr in [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml). ### Die erste eigene Anmeldung mitschneiden - In Auth Trace auf Live mitschneiden klicken. - Beim ersten Mal fragt der Browser nach Zugriff auf alle https-Seiten. Erlauben – ohne diesen Zugriff kann der Browser nicht mitschneiden. - Im Tab daneben anmelden, wie du es sonst auch tust. - Zurück im Panel auf Stopp klicken. Das Ergebnis steht darunter. Der Zugriff gilt nur für die Aufzeichnung: AuthTailor erfragt ihn beim Start und gibt ihn beim Stopp wieder ab. Mitgeschnitten werden nur SAML-, OAuth- und OIDC-Anfragen, keine Antwort-Inhalte. Alles Weitere steht in [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt) und [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz). ### Oder einfügen Hast du schon eine SAML Response, ein JWT, eine HAR-Datei aus den DevTools oder eine Fehlermeldung, füge sie in das Feld Hier einfügen oder ablegen ein, ziehe die Datei hinein oder wähle Datei öffnen …. Was AuthTailor alles erkennt, steht in [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele). ### Siehe auch - Sicherheit [Sicherheit und Berechtigungen](https://authtailor.com/sicherheit#berechtigungen) - Doku [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt) - Doku [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele) - Doku [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz) - Belege Chrome Web Store · Chrome, Edge, Firefox · Registerkarten Häufige Fragen ### Kurz beantwortet. **Kostet AuthTailor etwas?** Nein. AuthTailor ist kostenlos, ohne Konto und ohne Lizenz. **Warum will AuthTailor beim Mitschneiden Zugriff auf alle Websites?** Der Browser liefert Anfragen anderer Tabs nur an Erweiterungen mit Host-Zugriff. AuthTailor erfragt ihn erst beim Start eines Mitschnitts, liest nur Anmelde-Anfragen und gibt den Zugriff beim Stopp wieder ab. **Geht es auch ohne Mitschnitt?** Ja. Du kannst SAML, JWTs, URLs, Token-Antworten, HAR-Dateien und Fehlermeldungen einfügen oder ablegen. Dafür braucht AuthTailor keinen Zugriff auf Websites. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Anmeldung live mitschneiden · AuthTailor Quelle: https://authtailor.com/doku/live-mitschnitt > Mit AuthTailor eine SAML- oder OIDC-Anmeldung live im Browser mitschneiden: Start, Optionen Bearer-Tokens und Header, Stopp, Maskierung und Grenzen. ## Live mitschneiden Der schnellste Weg zum Befund: Live mitschneiden klicken, im Tab daneben anmelden, Stopp. AuthTailor schneidet nur die Anfragen der Anmeldung mit und maskiert Geheimnisse schon dabei. **Registerkarte** Auth Trace **Dauer** höchstens 30 Minuten **Umfang** bis zu 300 Anfragen **Berechtigung** Host-Zugriff nur während der Aufzeichnung Diese Seite beantwortet - Wie schneide ich eine SAML- oder OIDC-Anmeldung live mit? - Was bedeuten die Optionen „Auch Bearer-Tokens“ und „Header“? - Was zeichnet AuthTailor auf und was nicht? - Warum endet ein Mitschnitt von selbst? ### Mitschnitt starten Der Kasten Live im Browser mitschneiden steht oben in Auth Trace. Ohne Hochladen: starten, dann in einem beliebigen Tab anmelden – mitgeschnitten werden nur SAML-, OAuth- und OIDC-Anfragen. Vor dem Start: Knopf und zwei Optionen. - Live mitschneiden startet die Aufzeichnung. - Auch Bearer-Tokens – JWTs aus dem Authorization-Header von API-Aufrufen, zum Beispiel um zu sehen, warum eine API 401 antwortet. Aus beim Öffnen des Panels. - Header – Anfrage- und Antwort-Header der Anmelde-Schritte, maskiert. Von Haus aus an; deine Wahl merkt sich das Panel. - Die Optionen wählen. Während der Aufzeichnung lassen sie sich nicht ändern. - Live mitschneiden klicken. Beim ersten Mal den Zugriff auf alle https-Seiten erlauben. - Im Tab daneben die Anmeldung auslösen – die App öffnen, auf Anmelden klicken, beim Identity Provider anmelden. - Warten, bis die App angemeldet ist, dann im Panel Stopp klicken. Verweigerst du den Zugriff, meldet das Panel „Ohne die Berechtigung kann der Browser nicht mitschneiden – stattdessen ein HAR einfügen oder ablegen.“ Der Weg über ein HAR steht in [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele#har). ### Während der Aufzeichnung Die Aufzeichnung läuft. - Zeichnet auf zählt mit – ohne Bearer-Tokens die Anmelde-Anfragen, mit der Option wie hier alle erfassten Anfragen. Darunter: „Jetzt in einem Tab anmelden. Endet von selbst in 30 min.“ und wie viele Anfragen der Browser in Tabs insgesamt beobachtet hat. - Stopp beendet die Aufzeichnung. Die Anmeldung selbst machst du ganz normal in einem Tab. Die Bilder dieser Doku zeigen eine erfundene App „Acme Orders“ mit dem Identity Provider login.acme.example: Die Anmeldung läuft im normalen Tab – hier eine erfundene Demo. Sobald Anmelde-Anfragen eintreffen, erscheint das Ergebnis schon während der Aufzeichnung und wächst mit: Mit „Auch Bearer-Tokens“: Anmeldung und API-Aufrufe in einem Mitschnitt. - Mit Auch Bearer-Tokens zählt die Zeile Anfragen erfasst (Anmeldung und Bearer-Tokens). - Authorization-Header gesehen: wie viele davon JWTs, undurchsichtige Tokens oder Basic waren. Nur JWTs nimmt AuthTailor auf. - Das Urteil steht schon da – hier lehnt die API das Token mit insufficient_scope ab. ### Nach dem Stopp Nach dem Stopp: Ergebnis, Aktionen und Hinweise zum Mitschnitt. - Neu mitschneiden startet eine neue Aufzeichnung und ersetzt die alte. - Bereinigtes HAR speichern speichert den Mitschnitt maskiert als authtrace-live.sanitized.har; daneben kopiert Bericht kopieren Urteil, Ampel, Abläufe, Befunde und Schritte als Markdown. - Leeren verwirft den Mitschnitt, Zurück zum Einfügen zeigt wieder das Feld zum Einfügen. Dahinter steht, was der Mitschnitt enthält und was nicht. - Das Urteil – wie du es liest, steht in [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen). - Die Sicherheitsbewertung als Ampel je Bereich. ### Was mitgeschnitten wird Mitgeschnitten | Nicht mitgeschnitten SAML in URL oder Formular (SAMLRequest, SAMLResponse, RelayState) | Antwort-Inhalte – für Token-Antworten ein HAR verwenden OAuth- und OIDC-Parameter (code, state, nonce, PKCE, redirect_uri, Fehler) | Anfragen, die nicht zur Anmeldung gehören (Bilder, Skripte, App-Daten) Token-, Discovery- und JWKS-Aufrufe, Abmeldungen | Basic-Credentials und undurchsichtige Tokens Mit Header: Anfrage- und Antwort-Header dieser Schritte, maskiert; ohne die Option nur Location | Cookie-Werte, Passwörter, Client-Secrets (maskiert) Mit Auch Bearer-Tokens: Authorization: Bearer mit JWT, WWW-Authenticate der Antwort, DPoP-Proofs | Refresh-Tokens im Klartext – nur ein kurzer Hash, damit die Rotation erkennbar bleibt Alles bleibt im Arbeitsspeicher des Panels, solange es offen ist. Schließt du das Panel, ist der Mitschnitt weg. Mehr in [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz). ### Grenzen - Ein Mitschnitt endet nach 30 Minuten von selbst und fasst bis zu 300 Anfragen. - Abläufe von Server zu Server (Client Credentials, SAML Bearer, On-behalf-of) sieht der Browser nicht. Füge die Token-Anfrage oder das Token stattdessen ein. - Token-Antworten haben ihren Inhalt im Antwort-Body. Den liest der Mitschnitt nicht – mit Auch Bearer-Tokens siehst du die Tokens aber in den API-Aufrufen, oder du exportierst ein HAR. ### Siehe auch - Funktionen im Überblick [Funktionen · Auth Trace](https://authtailor.com/funktionen#trace) - Sicherheit [Sicherheit und Berechtigungen](https://authtailor.com/sicherheit#berechtigungen) - Doku [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen) - Doku [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz) - Doku [Fehlerbehebung](https://authtailor.com/doku/fehlerbehebung) - Belege Live-Mitschnitt · Maskierung · Bearer-Tokens Häufige Fragen ### Kurz beantwortet. **Muss ich vorher ein HAR exportieren?** Nein. Der Live-Mitschnitt ersetzt den Export aus den DevTools. Ein HAR brauchst du nur, wenn du Antwort-Inhalte wie die Token-Antwort sehen willst. **Läuft der Mitschnitt weiter, wenn ich die Registerkarte wechsle?** Ja. Ein laufender Mitschnitt läuft weiter, solange das Panel offen ist. Schließt du das Panel, endet er. **Bleibt der Host-Zugriff nach dem Mitschnitt erteilt?** Nein. AuthTailor erfragt den Zugriff beim Start und gibt ihn beim Stopp wieder ab. Unter Über › Berechtigungen siehst du den aktuellen Stand. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # SAML, JWT und HAR einfügen · AuthTailor Quelle: https://authtailor.com/doku/einfuegen-und-beispiele > Was AuthTailor beim Einfügen erkennt: SAML, JWT, Anmelde-URLs, Token-Anfragen und -Antworten, HAR, Fehlermeldungen – dazu Beispiele und erwartete Werte. ## Einfügen und Beispiele Nicht jede Anmeldung lässt sich live mitschneiden. Dann fügst du ein, was du hast – eine SAML Response aus dem Support-Ticket, ein Token aus dem Log, ein HAR aus den DevTools oder die Fehlermeldung vom Bildschirm. AuthTailor erkennt selbst, was es ist. **Registerkarte** Auth Trace **Dateien** bis 60 MB: .har, .json, .xml, .txt, .log, .jwt **Speicher** nur im Arbeitsspeicher **Beispiele** fünf, mit erfundenen Daten Diese Seite beantwortet - Was kann ich in AuthTailor einfügen? - Wie prüfe ich eine SAML Response oder ein JWT ohne Mitschnitt? - Wofür sind die erwarteten Werte und die Uhr-Toleranz? - Was macht AuthTailor mit einer Fehlermeldung wie AADSTS50011? ### Das Feld zum Einfügen Das Feld nimmt Text, abgelegte Dateien und Beispiele. - Hier einfügen oder ablegen: Text mit Strg+V bzw. ⌘+V einfügen oder eine Datei hineinziehen. - Datei öffnen … wählt eine Datei bis 60 MB. Sehr lange Eingaben zeigt das Feld nur gekürzt an, geprüft wird alles. - „Lokal analysiert · nichts gespeichert oder gesendet · Secrets maskiert“ – die Prüfung läuft im Panel. - Beispiel ausprobieren: SAML Response, OIDC-Code-Ablauf (HAR), SuccessFactors SAML Bearer, ID-Token und Fehlermeldung, alle mit erfundenen Daten und Zeiten relativ zu jetzt. ### Was AuthTailor erkennt Eingabe | Beispiele SAML | Response, Request, Assertion, Logout, Metadaten – als XML oder Base64, auch URL-kodiert oder deflated aus der Redirect-Bindung JWT | ID-Token, Access-Token, Logout-Token, DPoP-Proof OAuth und OIDC | Anmelde-URL (/authorize), Rücksprung mit code und state, Logout-URL, Token-Anfrage, Token-Antwort, Discovery, JWKS HAR | Export aus den DevTools mit dem ganzen Ablauf – auch mit Antwort-Inhalten, die der Live-Mitschnitt nicht hat Fehlermeldung | Text mit einem bekannten Code, zum Beispiel AADSTS50011, invalid_grant oder einem SAML-Status Unter dem Feld steht nach dem Einfügen Erkannt: mit dem, was AuthTailor gefunden hat. Passkey-Antworten, Zertifikate, CSP oder CORS gehören in [Werkzeuge](https://authtailor.com/doku/werkzeuge), SAP-Tokens und SAP-Konfigurationen in [SAP](https://authtailor.com/doku/sap). ### Eine SAML Response prüfen - Den Wert von SAMLResponse kopieren – aus dem Formular-POST in den DevTools, aus einem Log oder einem Ticket. - In das Feld einfügen. Base64 dekodiert AuthTailor selbst. - Urteil, Ampel und die Karte SAML Response lesen. Leeren macht das Feld wieder frei. Eine eingefügte SAML Response mit gültiger Signatur. - Leeren entfernt die Eingabe. - Erkannt: SAML Response · HTTP-POST. - Das Urteil: Alles in Ordnung – die Signatur stimmt, Zeiten und Empfänger passen. - Abläufe in dieser Eingabe: Ohne den passenden AuthnRequest ordnet AuthTailor die Response dem Ablauf SAML, vom IdP gestartet (IdP-initiiert) zu. Ein Klick öffnet die Erklärung in [Lernen](https://authtailor.com/doku/lernen). Die Karte darunter mit Anatomie, Vertrauenskette und Zertifikat erklärt [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml#saml). ### Ein HAR einfügen Ein HAR enthält den ganzen Ablauf samt Antwort-Inhalten, also auch die Token-Antwort. So exportierst du es: - Die DevTools öffnen (F12), Registerkarte Network, Preserve log einschalten. - Die Anmeldung durchspielen. - In der Liste mit der rechten Maustaste Save all as HAR wählen. - Die Datei in das Feld von AuthTailor ziehen. AchtungEin HAR enthält Cookies, Tokens und oft Passwörter. Bevor du es weitergibst, bereinige es mit Bereinigtes HAR speichern oder in [Werkzeuge](https://authtailor.com/doku/werkzeuge#har). ### Erwartete Werte Viele Anmeldungen scheitern an einem einzigen Zeichen – einem fehlenden Schrägstrich in der Entity-ID, einer anderen Client-ID. Unter Erwartete Werte trägst du ein, was deine App erwartet. AuthTailor vergleicht es Zeichen für Zeichen mit der Nachricht. Eine erwartete Audience, die nicht passt, macht das Urteil rot. - Die Felder Audience / Entity-ID des Empfängers, Recipient / ACS- oder Token-URL, Issuer des IdP, Client-ID und Zertifikats-Fingerabdruck (SHA-256) aus den Metadaten des IdP. Alle sind optional. - Uhr-Toleranz: 0, 1, 2, 5 oder 10 Minuten. So weit dürfen die Uhren von Aussteller und Empfänger auseinanderliegen. Voreingestellt sind 2 Minuten. - Zurücksetzen leert alle Felder. Nach einem Mitschnitt übernimmt Aus dem Mitschnitt übernehmen die gefundenen Werte. - Das Urteil Audience passt nicht mit dem nächsten Schritt. Mit dem Fingerabdruck aus den Metadaten prüfst du, ob die Nachricht wirklich mit dem Zertifikat deines IdP signiert ist – und nicht nur mit irgendeinem Zertifikat, das in der Nachricht mitkommt. ### Eine Fehlermeldung einfügen Zeigt die Anmeldung nur eine Fehlermeldung, füge sie ein. Der Katalog bekannter Fehler kennt Codes von Entra ID, SAP, OAuth und SAML. Eine Fehlermeldung genügt für Ursache und Abhilfe. - Die Fehlermeldung im Feld – hier das eingebaute Beispiel. - Das Urteil mit dem nächsten Schritt. - Bekannter Fehler mit Code, Ursache und Abhilfe. Den ganzen Katalog durchsuchst du in [Lernen](https://authtailor.com/doku/lernen#fehler). ### Siehe auch - Funktionen im Überblick [Funktionen · Auth Trace](https://authtailor.com/funktionen#trace) - Doku [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen) - Doku [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml) - Doku [Werkzeuge](https://authtailor.com/doku/werkzeuge) - Belege Einfügen oder ablegen · Nur im Arbeitsspeicher Häufige Fragen ### Kurz beantwortet. **Wird das Eingefügte irgendwo gespeichert?** Nein. Eingefügte Inhalte liegen nur im Arbeitsspeicher des Panels, solange es offen ist, und werden nie gesendet. **Muss ich eine SAML Response vorher dekodieren?** Nein. AuthTailor nimmt XML, Base64, URL-kodierte Werte und die deflated Redirect-Bindung und dekodiert selbst. **Woher bekomme ich den Fingerabdruck für die erwarteten Werte?** Aus den SAML-Metadaten deines Identity Providers: Es ist der SHA-256-Fingerabdruck des Signaturzertifikats. AuthTailor zeigt ihn auch in der Karte Zertifikate jeder SAML-Nachricht. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Ergebnis lesen: Urteil, Ampel, Ablauf · AuthTailor Quelle: https://authtailor.com/doku/ergebnis-lesen > So liest du das Ergebnis von AuthTailor: Urteil mit nächstem Schritt, Sicherheitsbewertung in fünf Bereichen, Anmeldeablauf als Diagramm, Header und Bericht. ## Das Ergebnis lesen Ob mitgeschnitten oder eingefügt – das Ergebnis ist immer gleich aufgebaut: oben das Urteil mit dem nächsten Schritt, darunter die Ampel, der Ablauf Schritt für Schritt und für jede Nachricht eine Karte. **Urteil** vier Stufen **Ampel** fünf Bereiche **Ablauf** Browser, App, Identity Provider **Bericht** Markdown, maskiert Diese Seite beantwortet - Was bedeutet das Urteil von AuthTailor? - Wie liest man die Sicherheitsbewertung? - Was zeigt der Anmeldeablauf? - Wie teile ich ein Ergebnis mit dem Team? ### Das Urteil Ganz oben steht, was AuthTailor von der Anmeldung hält – in einem Satz, mit dem nächsten Schritt. Die Bilder zeigen einen Mitschnitt der erfundenen App „Acme Orders“: Die Anmeldung klappt, aber die API lehnt eine Freigabe ab. Das Urteil mit nächstem Schritt. - Das Urteil in vier Stufen: Alles in Ordnung, Einen Blick wert, Hier scheitert die Anmeldung oder Nichts erkannt. Darunter die Ursache in einem Satz. - Nächster Schritt: was du jetzt tun solltest. - Die Zähler: kritische und hohe Befunde, mittlere Befunde und bestandene Prüfungen. - Abläufe in dieser Eingabe: welcher Ablauf erkannt wurde, hier Authorization Code + PKCE. Ein Klick öffnet die Erklärung in [Lernen](https://authtailor.com/doku/lernen#ablaeufe). - Schlüssel von … laden holt die öffentlichen Schlüssel des Ausstellers, damit AuthTailor die Signatur der JWTs prüfen kann. Mehr dazu in [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml#signatur). TippIst ein Urteil rot, steht die Ursache fast immer in der ersten roten Meldung. Lies sie zuerst, bevor du dich durch die Header arbeitest. ### Die Sicherheitsbewertung Auch eine Anmeldung, die funktioniert, kann unsicher sein. Die Sicherheitsbewertung ordnet alle Befunde fünf Bereichen zu und gibt jedem eine Ampel. Gelb heißt: funktioniert, entspricht aber nicht dem Stand der Technik. - Die Gesamt-Ampel – so rot wie der schlechteste Bereich. - Ein grüner Bereich mit der Zahl der bestandenen Prüfungen. - Ein geöffneter Bereich mit seinen Befunden, jeweils mit Folge und Abhilfe. Bereich | Was geprüft wird Ablauf & Protokoll | state, PKCE, nonce, Grant, Bindungen über den Ablauf Tokens & Signaturen | Algorithmen, Schlüssel, Zertifikate, Laufzeiten, Angriffsmuster Transport & Lecks | HTTPS, Tokens in URLs, Referer, Cache, Secrets im Browser Cookies & Sitzung | SameSite, Secure, HttpOnly, Abmeldung Browser-Schutz | HSTS, Einbetten, CSP, Skripte, CORS und Echtheit der Anmeldeseiten Rot bedeutet einen kritischen oder hohen Befund, Gelb einen mittleren. Reine Hinweise (i) lassen die Ampel grün. Rein funktionale Befunde wie eine falsche Audience oder ein abgelaufenes Token stehen im Urteil, zählen aber nicht zur Sicherheitsbewertung. ### Der Anmeldeablauf Bei einem Mitschnitt oder HAR zeichnet AuthTailor den Anmeldeablauf als Diagramm mit drei Bahnen: Browser, App und Identity Provider. Anfragen, die nicht zur Anmeldung gehören, blendet es aus. Fünf von acht Anfragen gehören zur Anmeldung. - Die Bahnen mit den Hosts – hier orders.acme.example als App und login.acme.example als Identity Provider. - Ein Schritt mit Titel, Methode, URL, Status und Zeit seit dem ersten Schritt. Der rote, gestrichelte Pfeil ist der Schritt, an dem es scheitert. Ein Klick öffnet die Details des Schritts. - Über den ganzen Ablauf: Prüfungen, die mehrere Schritte zusammen betreffen – kommt state unverändert zurück, passt der PKCE-Verifier zur Challenge, fehlen Schutz-Header? ### Header eines Schritts War beim Mitschnitt die Option Header an, zeigt jeder Schritt seine Anfrage- und Antwort-Header. Werte von Cookies, Authorization und anderen Geheimnissen sind maskiert. Header eines Schritts, Geheimnisse maskiert. - Der gewählte Schritt. - Nur Probleme blendet in den Karten darunter die bestandenen Prüfungen aus. - Header filtern sucht in Namen und Werten. - Header kopieren (maskiert) legt die Header in die Zwischenablage, ohne die Geheimnisse. - Auffällige Cookie-Attribute sind farbig markiert – hier SameSite=None. ### Karten und Bericht Unter dem Ablauf folgt für jede erkannte Nachricht eine Karte: Token, SAML-Nachricht, Anmelde-URL, Token-Antwort. Was in den Karten steht, beschreibt [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml). - Bericht kopieren legt einen Bericht in Markdown in die Zwischenablage – Urteil, Ablauf, Befunde und Abhilfen, maskiert. Er passt in ein Ticket oder einen Chat. - Bereinigtes HAR speichern speichert einen Mitschnitt oder ein HAR ohne Geheimnisse: Header, Cookies, Parameter und Inhalte maskiert, JWTs ohne Signatur. - Erwartete Werte lassen sich nach einem Mitschnitt mit Aus dem Mitschnitt übernehmen füllen, siehe [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele#erwartet). AchtungDer Bericht ist maskiert, enthält aber Hosts, Client-IDs und Claims wie Namen oder E-Mail-Adressen. Lies ihn, bevor du ihn außerhalb deines Teams teilst. ### Siehe auch - Funktionen im Überblick [Funktionen · Auth Trace](https://authtailor.com/funktionen#trace) - Doku [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml) - Doku [Lernen](https://authtailor.com/doku/lernen) - Doku [Fehlerbehebung](https://authtailor.com/doku/fehlerbehebung) - Belege Sicherheitsbewertung · Header · Bericht Häufige Fragen ### Kurz beantwortet. **Warum ist die Ampel gelb, obwohl die Anmeldung klappt?** Die Ampel bewertet die Sicherheit, nicht ob die Anmeldung funktioniert. Gelb heißt: funktioniert, entspricht aber nicht dem Stand der Technik – etwa ein Sitzungs-Cookie ohne HttpOnly. **Warum zeigt der Ablauf weniger Schritte, als Anfragen erfasst wurden?** AuthTailor zeigt nur die Anfragen, die zur Anmeldung gehören. Bilder, Skripte und andere Aufrufe blendet es aus. **Enthält der Bericht Tokens?** Nein. Geheimnisse wie Cookie-Werte, Passwörter und Tokens sind maskiert. Claims wie Name oder E-Mail-Adresse können aber enthalten sein. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # JWT und SAML Response verstehen · AuthTailor Quelle: https://authtailor.com/doku/tokens-und-saml > Wie AuthTailor JWT und SAML zeigt: Token-Anatomie, Vertrauenskette, Signatur mit den Schlüsseln des Ausstellers, Gültigkeit auf der Zeitachse und Zertifikate. ## Tokens und SAML Jede erkannte Nachricht bekommt im Ergebnis eine Karte. Statt Base64 und XML siehst du, wer was für wen ausgestellt hat, ob die Signatur stimmt und wie lange es gilt. **Karten** eine je Nachricht **JWT-Signatur** mit den Schlüsseln des Ausstellers **SAML-Signatur** RSA, RSA-PSS, ECDSA, SHA-1 bis SHA-512 **Netz** nur der GET auf die Schlüssel, auf Klick Diese Seite beantwortet - Wie zeigt AuthTailor ein JWT an? - Wie prüft AuthTailor die Signatur eines JWT? - Wie prüft AuthTailor eine SAML Response? - Woran erkenne ich, ob ein Token abgelaufen ist? ### Die Karte eines JWT Die Bilder zeigen das Access-Token der erfundenen App „Acme Orders“. Oben auf der Karte stehen Art, Aussteller, Empfänger und Benutzer, darunter die Token-Anatomie. Die Token-Anatomie eines Access-Tokens. - Vertrauenskette: Aussteller → Siegel mit Algorithmus und Schlüssel-ID → Für wen (Audience und berechtigter Client). - Der Ausweis: wer angemeldet ist, mit Scopes und Rollen. - Die Leiste zeigt, wie groß Header, Payload und Signatur sind. Die Signatur selbst ist bewusst verborgen – sie macht das Token erst verwendbar. - Die Claims in Gruppen – Wer, Aussteller & Empfänger, Zeit, Sicherheit, Zugriff – jeweils mit einer kurzen Erklärung. Zeiten stehen relativ zu jetzt. Unter der Anatomie folgen die Prüfungen der Karte, die Felder und Dekodiert mit dem Rohinhalt. Werte wie Signaturen und Geheimnisse sind dort maskiert. ### Signatur prüfen Ohne Schlüssel zeigt das Siegel nur Signiert. Mit Schlüssel von … laden holt AuthTailor einmal die öffentlichen Schlüssel des Ausstellers (Discovery → jwks_uri). Nur dieser GET geht hinaus – nichts von deiner Eingabe. Nach dem Laden der Schlüssel: Signatur gültig. - Wie viele Schlüssel von welchem Host geladen sind. entfernen vergisst sie wieder. - Das Siegel: Signatur gültig, Signatur ungültig oder Schlüssel fehlt im JWKS – das letzte deutet oft auf einen Schlüsselwechsel. - Der Aussteller (iss). - Der Empfänger (aud) und der berechtigte Client (azp). Steht das JWKS schon in der Eingabe – etwa in einem HAR –, prüft AuthTailor ohne Laden. Weitere Siegel: Unsigniert (alg none), Gemeinsames Secret (HMAC) und Verschlüsselt. Gut zu wissenDer Knopf erscheint nur für JWTs, deren Aussteller eine https-Adresse ist und deren Signatur noch nicht geprüft ist. Die Abfrage schickt weder Cookies noch Referer mit. Bei XSUAA ohne Discovery nimmt AuthTailor /token_keys. ### Gültigkeit Die Gültigkeit auf der Zeitachse. - Der Countdown: läuft ab in …, abgelaufen vor … oder gültig in …, dazu die Lebensdauer. - Die Markierung für jetzt auf der Achse von ausgestellt (iat) über gültig ab (nbf) bis gültig bis (exp). Die Uhr-Toleranz aus den [erwarteten Werten](https://authtailor.com/doku/einfuegen-und-beispiele#erwartet) gilt auch hier: Ein Token, das erst in 30 Sekunden gültig wird, ist bei 2 Minuten Toleranz in Ordnung. Bei einem Mitschnitt misst AuthTailor die Zeiten zum Zeitpunkt der Anfrage. ### Ein SAML-Ablauf Bei SAML zeigt der Ablauf den Weg vom AuthnRequest zum Identity Provider bis zur Response an die ACS-URL der App. Das Bild zeigt einen Mitschnitt des erfundenen „Acme Portal“ mit dem IdP idp.acme.example. Ein SAML-Ablauf, vom Service Provider gestartet. - Das Urteil – hier Alles in Ordnung. - Schritt 1: Anmeldung anfordern (SAML AuthnRequest) per Redirect an den IdP. - Schritt 2: Assertion an die App (SAML Response) per POST an die ACS-URL. - Über den ganzen Ablauf – zum Beispiel Response gehört zum AuthnRequest: InResponseTo passt zur ID des Requests. ### Die Karte einer SAML Response Die Nachrichten-Anatomie einer SAML Response. - Die Bindung, über die die Nachricht kam – hier HTTP-POST. - Die Vertrauenskette: Aussteller, Siegel mit Algorithmus und Zertifikat, Empfänger mit Recipient. - Der Ausweis mit NameID und Gruppen aus den Attributen. - Die Bausteine verschachtelt wie im XML: , , mit , , und . Ein Haken heißt: geprüft und in Ordnung; signierte Bausteine tragen ein Siegel. AuthTailor prüft die Signatur kryptografisch mit dem Zertifikat aus der Nachricht, mit eigener XML-Kanonisierung (exklusiv und inklusiv). Es erkennt Angriffsmuster wie Signature Wrapping, doppelte IDs, Kommentare in der NameID, DTDs und Transforms. DTDs werden nie aufgelöst, Transforms nie ausgeführt. ### Zertifikate Das Signaturzertifikat aus der Nachricht. - Das Zertifikat mit Name, selbstsigniert, Schlüsseltyp und -länge, Signaturalgorithmus, Inhaber und Ablaufdatum. - Der SHA-256-Fingerabdruck. Vergleiche ihn mit dem aus den Metadaten deines IdP – oder trag den in die [erwarteten Werte](https://authtailor.com/doku/einfuegen-und-beispiele#erwartet) ein, dann vergleicht AuthTailor selbst. AchtungEine gültige Signatur heißt nur: Die Nachricht passt zum mitgeschickten Zertifikat. Ob es das Zertifikat deines IdP ist, zeigt erst der Abgleich mit dem Fingerabdruck aus den Metadaten. AuthTailor warnt auch vor Zertifikaten, die bald ablaufen. ### Siehe auch - Funktionen im Überblick [Funktionen · Auth Trace](https://authtailor.com/funktionen#trace) - Doku [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen) - Doku [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele) - Doku [Lernen](https://authtailor.com/doku/lernen) - Belege Anatomie · Signaturprüfung · Angriffsmuster · Schlüssel laden Häufige Fragen ### Kurz beantwortet. **Schickt AuthTailor mein Token an einen Server, um die Signatur zu prüfen?** Nein. Auf deinen Klick holt AuthTailor nur die öffentlichen Schlüssel des Ausstellers. Die Prüfung läuft im Panel, das Token verlässt den Browser nicht. **Warum zeigt das Siegel nur „Signiert“?** Bei einem JWT fehlen die Schlüssel: „Schlüssel von … laden“ klicken oder das JWKS mit einfügen. Bei SAML fehlt das Zertifikat in der Nachricht oder der Algorithmus wird nicht unterstützt. **Kann AuthTailor verschlüsselte Assertions lesen?** Nein. Verschlüsselte Assertions zeigt AuthTailor als „Verschlüsselt“ an – ohne den privaten Schlüssel des Empfängers lässt sich der Inhalt nicht lesen. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Werkzeuge: Passkey, CORS, HAR, Speicher · AuthTailor Quelle: https://authtailor.com/doku/werkzeuge > Die Werkzeuge von AuthTailor: Passkeys, Zertifikate, CSP, CORS und Links prüfen, ein HAR für den Support bereinigen und den Seitenspeicher nach Tokens durchsuchen. ## Werkzeuge Rund um die Anmeldung gibt es mehr zu prüfen als Tokens. Die Registerkarte Werkzeuge hat drei Bereiche: Prüfen, HAR bereinigen und Seitenspeicher. **Registerkarte** Werkzeuge **Bereiche** Prüfen, HAR bereinigen, Seitenspeicher **Beispiele** vier, mit erfundenen Daten **Netz** keins Diese Seite beantwortet - Wie prüfe ich eine Passkey-Antwort (WebAuthn)? - Warum blockiert der Browser meinen CORS-Preflight? - Wie bereinige ich ein HAR, bevor ich es dem Support schicke? - Wie finde ich Tokens im localStorage einer Seite? ### Prüfen Füge eine Sache ein und lass sie prüfen: eine Passkey-Antwort (WebAuthn), Zertifikate, Schlüssel, CSRs oder ein JWK, eine CSP, die Antwort-Header einer Anmeldeseite, einen CORS-Preflight, einen verdächtigen Anmelde-Link – oder beliebigen Text, der nach Secrets durchsucht wird. Ein blockierter CORS-Preflight – das eingebaute Beispiel. - Die drei Bereiche: Prüfen, HAR bereinigen, Seitenspeicher. - Das Feld nimmt Text oder eine Datei (.txt, .json, .pem, .crt, .cer, .csr, .key, .har, .properties). - Erkannt: was AuthTailor gefunden hat – hier CORS. - Die Karte mit Befunden und Abhilfe. Hier fehlen PUT und authorization in den erlaubten Methoden und Headern. Eingabe | Was AuthTailor prüft Passkey / WebAuthn | Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID, Challenge Zertifikat, Schlüssel oder CSR | Zertifikate, Ketten, CSRs, Schlüssel, JWK und JWKS: Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname und ob Schlüssel und Zertifikat zusammengehören Content Security Policy | Schwächen wie unsafe-inline oder ganze CDNs, mit strengerem Vorschlag Sicherheits-Header | Antwort-Header einer Anmeldeseite, etwa HSTS, Schutz vor Einbetten und CSP CORS | Preflight und Antwort-Header Link | Doppelgänger- und Punycode-Hosts, offene Weiterleitungen Text (Secret-Suche) | Secrets in beliebigem Text Die Beispielkacheln Schwache CSP, Blockierter CORS-Preflight, Verdächtiger Anmelde-Link und Passkey-Anmeldung zeigen, wie ein Ergebnis aussieht. Ein HAR verweist AuthTailor an [Auth Trace](https://authtailor.com/doku/ergebnis-lesen), SAP-Artefakte an [SAP](https://authtailor.com/doku/sap). #### Passkey-Antworten Eine WebAuthn-Antwort (aus den DevTools oder einem Log) zerlegt AuthTailor in ihre Teile. Unter Erwartete Werte trägst du ein, was deine Relying Party erwartet. Eine Passkey-Anmeldung mit erwarteter Origin. - Origin, RP-ID und Challenge (wie gesendet). Ohne sie prüft AuthTailor Origin und RP-ID nur auf Plausibilität. - Die Karte mit Prüfungen – Origin, rpIdHash, Benutzer verifiziert, synchronisierter Passkey, Signaturzähler – und den Feldern samt Flags. Gut zu wissenDie Signatur einer Passkey-Antwort kann nur der Server prüfen: Dafür braucht es den öffentlichen Schlüssel aus der Registrierung. ### HAR bereinigen Bevor ein HAR an den Support oder in ein Ticket geht: AuthTailor maskiert Cookies, Authorization- und Sitzungs-Header, Codes, Tokens, Passwörter und geheime Parameter. JWTs bleiben lesbar, verlieren aber ihre Signatur. Alles passiert lokal. Ein erfundenes HAR, bereit zum Weitergeben. - Antwort-Inhalte: nur JSON (maskiert), alle entfernen oder alle behalten (maskiert). - SAMLResponse/SAMLRequest behalten (enthält Benutzerdaten) – nur anhaken, wenn der Support die SAML-Nachricht wirklich braucht. - Bereinigtes HAR speichern lädt die Datei als .sanitized.har herunter, Kopieren legt sie in die Zwischenablage. - Die Karte zählt, was maskiert wurde, und sucht im Ergebnis noch einmal nach bekannten Secret-Mustern. AchtungClaims in JWTs (Name, E-Mail), URLs und JSON bleiben lesbar, damit der Mitschnitt nützlich bleibt. Prüfe das HAR vor dem Weitergeben trotzdem auf personenbezogene Daten. ### Seitenspeicher Viele Single-Page-Apps legen Tokens im Browser ab. Seitenspeicher durchsucht den Speicher des aktiven Tabs: localStorage, sessionStorage, IndexedDB und per JavaScript lesbare Cookies. - Die App im Tab öffnen und anmelden. - Auf diesem Tab das Panel über das Symbol in der Symbolleiste öffnen. - In Werkzeuge → Seitenspeicher auf Diese Seite durchsuchen klicken. Der Speicher der erfundenen App Acme Orders. - Diese Seite durchsuchen – nach dem ersten Mal Erneut durchsuchen. - Origin und wie viele Einträge in welchem Speicher gefunden wurden. - Die Befunde: hier ein Refresh-Token in localStorage – nur ein XSS vom Diebstahl entfernt –, JWTs in localStorage und sessionStorage und gespeicherte ID-Tokens. Das Durchsuchen läuft einmal auf deinen Klick in der Seite. Zurück kommen nur Art, Länge und harmlose Claims (iss, aud, exp, Scopes) – nie ein Wert. Nichts wird gespeichert. Hast du das Panel nicht über das Symbol auf diesem Tab geöffnet, heißt der Knopf Zugriff erlauben und durchsuchen. Der Zugriff wird gleich nach dem Durchsuchen wieder abgegeben. Browser-Seiten und den Extension-Store kann AuthTailor nicht durchsuchen. ### Siehe auch - Funktionen im Überblick [Funktionen · Werkzeuge](https://authtailor.com/funktionen#werkzeuge) - Sicherheit [Sicherheit und Berechtigungen](https://authtailor.com/sicherheit#berechtigungen) - Doku [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele) - Doku [SAP](https://authtailor.com/doku/sap) - Doku [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz) - Belege Prüfen · HAR bereinigen · Seitenspeicher Häufige Fragen ### Kurz beantwortet. **Schickt das Werkzeug Prüfen etwas ins Netz?** Nein. Alle Prüfungen laufen im Panel. Auch ein eingefügter Link wird nur angesehen, nicht aufgerufen. **Ist ein bereinigtes HAR frei von personenbezogenen Daten?** Nicht unbedingt. Geheimnisse sind maskiert, aber Namen und E-Mail-Adressen in Claims, URLs und JSON bleiben lesbar. Vor dem Weitergeben bitte prüfen. **Liest der Seitenspeicher-Scan meine Tokens aus?** Nein. Zurück ins Panel kommen nur Art, Länge und harmlose Claims wie iss, aud, exp und Scopes – nie der Wert eines Tokens. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # SAP BTP: XSUAA, IAS und 403 prüfen · AuthTailor Quelle: https://authtailor.com/doku/sap > Die SAP-Registerkarte von AuthTailor: XSUAA- und IAS-Tokens, xs-security.json, Service-Keys und Destinations prüfen, einen 403 erklären, BTP-Abläufe verstehen. ## SAP Auf SAP BTP scheitert eine Anmeldung selten am Protokoll und oft an einer Rolle. Die Registerkarte SAP prüft Tokens und Konfigurationen und sagt bei einem 403, welcher Scope fehlt und wo er zugewiesen wird. **Registerkarte** SAP **Bereiche** Prüfen, Warum 403?, Abläufe, Lernen **Abläufe** fünf für SAP BTP **Speicher** nur im Arbeitsspeicher Diese Seite beantwortet - Wie prüfe ich ein XSUAA-Token? - Warum bekomme ich einen 403 vom App Router oder CAP-Service? - Was prüft AuthTailor in einer xs-security.json? - Wie funktioniert die Anmeldung über App Router, XSUAA und IAS? - Warum sehe ich bei der Integration Suite kein JWT? ### Prüfen Füge ein XSUAA- oder IAS-Token, eine xs-security.json, eine xs-app.json, einen Service-Key, eine Destination (JSON oder Properties) oder ein Anmeldeticket (MYSAPSSO2) ein. AuthTailor prüft es auf die üblichen Fehler. Ein erfundenes XSUAA-Token. - Die vier Bereiche: Prüfen, Warum 403?, Abläufe, Lernen. - Erkannt: hier XSUAA-/IAS-Token. Möglich sind auch xs-security.json, xs-app.json, Service-Key, Destination und Anmeldeticket (MYSAPSSO2). - Die Karte mit derselben Token-Anatomie wie in [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml#jwt), dazu SAP-Claims wie origin, zid und xs.rolecollections. Service-Keys und Destinations bleiben nur im Arbeitsspeicher. Secrets zeigt AuthTailor maskiert an, nichts wird gespeichert oder gesendet. #### xs-security.json Eine erfundene xs-security.json mit Platzhalter im Host. - Erkannt: xs-security.json. - Die Befunde – hier ein Platzhalter im Host der redirect-uris, ein localhost-Eintrag für die Entwicklung und lange Token-Laufzeiten. Darunter stehen die Felder – Scopes, Rollenvorlagen, Rollen-Collections, redirect-uris, token-validity – und ein Vorschlag für eine sicherere oauth2-configuration zum Kopieren. Prüfe die Werte vor dem Einsatz. Zum Ausprobieren gibt es die Beispiele XSUAA-Token, xs-security.json, xs-app.json und Destination. ### Warum 403? Ein 403 vom App Router oder einem CAP-Service heißt meist: Der Scope steht nicht im Token. Füge das Token und das ein, was die App erwartet – du siehst genau, was fehlt und wo es zugewiesen wird. Zwei erwartete Berechtigungen fehlen im Token. - Das Token. - Erwartete Scopes, Rollen oder Rollen-Collections – getrennt durch Komma, Leerzeichen oder Zeile. $XSAPPNAME versteht AuthTailor. - Was fehlt, jeweils mit Abhilfe: Rolle in eine Rollen-Collection aufnehmen, dem Benutzer oder seiner IdP-Gruppe zuweisen, dann ab- und neu anmelden. TippDie erwarteten Scopes stehen in der xs-app.json (scope der Route) oder in @requires/@restrict des CAP-Service. Und: Das Token ändert sich erst bei einer neuen Anmeldung. ### Warum sehe ich bei der Integration Suite kein JWT? Integration Suite, Build Work Zone und viele andere Apps auf SAP BTP melden dich über einen SAP App Router an. Der App Router ist ein vertraulicher Client: Er löst den Code auf dem Server bei XSUAA ein und gibt dem Browser nur ein Sitzungs-Cookie. Das JWT bleibt auf dem Server. Kein Browser und keine Extension sieht es – auch ein HAR aus den DevTools nicht, und Auch Bearer-Tokens hilft nicht, weil die App ihre Aufrufe mit dem Cookie macht. Statt eines Tokens zeigt AuthTailor im Mitschnitt oder im eingefügten HAR unter Über den ganzen Ablauf den Hinweis SAP App Router: Das Token bleibt auf dem Server – mit dem, was der Mitschnitt trotzdem verrät: Angabe | Woher sie kommt Subaccount | Subdomain im Host von XSUAA: .authentication..hana.ondemand.com (oder …cloud.sap) Region | aus demselben Host, etwa eu10 XSUAA-Client | client_id der Anmeldung: sb- der App Trust (origin) | Origin-Key der Trust-Konfiguration aus …/login/callback/ – steht später als origin im Token IdP | Anmeldeseite von SAP Cloud Identity Services oder SAP ID Service, wenn XSUAA dorthin weiterleitet App Router | Host des App Routers aus der redirect_uri Fehlendes state und PKCE sind beim App Router SAP-Standard: Ziel und Rücksprung hält er in eigenen, signierten Cookies, und den Code löst er mit Client-Secret oder Zertifikat ein. AuthTailor zeigt das deshalb nur als Hinweis und nicht als ernste Schwäche – ebenso fehlendes PKCE, wenn XSUAA beim IdP anfragt. Bei anderen Apps bleibt die Warnung. So suchst du weiter: - Rollen-Collections des Benutzers: im BTP-Cockpit unter Subaccount → Security → Users. - Für einen 403 bei einem API-Aufruf: ein Token aus einem Service-Key holen (Client Credentials), einfügen und mit [Warum 403?](https://authtailor.com/doku/sap#warum-403) gegen die erwarteten Scopes prüfen. - Den Ablauf verstehen: BTP-Anmeldung: App Router → XSUAA → IAS → Firmen-IdP unter [Abläufe](https://authtailor.com/doku/sap#ablaeufe). Gut zu wissenEin Token aus einem Service-Key enthält die Scopes, die dem Client gewährt sind, nicht die Rollen eines Benutzers. Fehlen einem Benutzer Rechte, zählen seine Rollen-Collections im Cockpit. ### Fehler zwischen IAS, Firmen-IdP und BTP finden Hinter dem App Router reicht XSUAA die Anmeldung an den IAS weiter, und der IAS oft an den Firmen-IdP. Wie viel davon der Mitschnitt zeigt, hängt vom Protokoll jedes Wegs ab: - SAML: Die Assertion reist durch den Browser. Den Schritt mit der SAMLResponse öffnen – Attribute, NameID, Signatur und Gültigkeit stehen dort. - OIDC: Durch den Browser reist nur der Code; die empfangende Seite löst ihn auf dem Server ein. AuthTailor nennt diese Wege unter Über den ganzen Ablauf im Hinweis OIDC zwischen den IdPs: Auch diese Tokens bleiben auf dem Server, etwa XSUAA → .accounts.ondemand.com oder IAS → . Für die OIDC-Wege stehen die Fehler in den Protokollen der IdPs: - IAS ↔ Firmen-IdP und IAS ↔ BTP: IAS-Administrationskonsole → Monitoring & Reporting → Troubleshooting Logs, nach Benutzer und Zeit filtern. - Firmen-IdP: dessen Anmeldeprotokolle, bei Microsoft Entra ID die Sign-in logs mit dem AADSTS-Code. - BTP: zugeordnete Gruppen und Rollen-Collections im BTP-Cockpit unter Security → Users. Meldet AuthTailor Anmeldung über den SAP ID Service, nicht über den eigenen IAS, lief die Anmeldung über den Standard-Trust sap.default auf accounts.sap.com. Dann waren der eigene IAS und der Firmen-IdP gar nicht beteiligt. Unter Security → Trust Configuration den Origin-Key des IAS-Trusts nachsehen, neu anmelden und auf der Anmeldeseite diesen IdP wählen. Der Benutzer muss mit diesem Origin angelegt sein. Soll nur der eigene IdP erscheinen, beim Default Identity Provider „Available for User Logon“ ausschalten; im App Router erzwingt eine Route ihn mit "identityProvider": "". ### Abläufe Fünf Abläufe auf SAP BTP als Sequenzdiagramm: wer mit wem spricht, was mitreist und wo es schiefgeht. Die klassische Kette einer BTP-App. - Die Auswahl: BTP-Anmeldung: App Router → XSUAA → IAS → Firmen-IdP, IAS direkt (OIDC) mit Entra ID dahinter, Principal Propagation zu S/4HANA on-premise, OAuth2SAMLBearerAssertion (SuccessFactors, S/4HANA Cloud) und Fiori/Gateway: CSRF-Token, sap-client und Sitzung. - Das Diagramm: gestrichelt über den Browser, durchgezogen von Server zu Server, gepunktet lokal. - Das Detail zum gewählten Schritt mit dem, was mitreist. Zurück, Weiter und Abspielen gehen den Ablauf durch. Die allgemeinen Abläufe für SAML, OAuth und OIDC stehen in [Lernen](https://authtailor.com/doku/lernen#ablaeufe). ### Lernen Wie Anmeldung und Berechtigungen auf SAP BTP funktionieren – in sechs Kapiteln, dazu ein Glossar und die SAP-Fehler. Ein geöffnetes Kapitel mit Links zu den Abläufen. - Ein Kapitel: kurz erklärt, mit den typischen Brüchen. - Zum Ablauf öffnet den passenden Ablauf in Abläufe. Die Kapitel: XSUAA, IAS und der Firmen-IdP · Scopes, Rollenvorlagen, Rollen-Collections · Principal Propagation und der Cloud Connector · Anmeldetickets (MYSAPSSO2) und Assertion-Tickets · Fiori und Gateway: CSRF-Token, sap-client, sap-usercontext · Destinations ohne Überraschungen. Unter SAP-Fehler durchsuchst du die bekannten Fehler von XSUAA, SAP Cloud Identity Services und SuccessFactors mit Ursache und Abhilfe. ### Siehe auch - Funktionen im Überblick [Funktionen · SAP](https://authtailor.com/funktionen#sap) - Doku [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml) - Doku [Lernen](https://authtailor.com/doku/lernen) - Doku [Werkzeuge](https://authtailor.com/doku/werkzeuge) - Belege SAP-Artefakte · Warum 403? Häufige Fragen ### Kurz beantwortet. **Ist ein Service-Key in AuthTailor sicher?** Er bleibt nur im Arbeitsspeicher des Panels, wird maskiert angezeigt und nie gespeichert oder gesendet. Trotzdem gilt: Service-Keys gehören nicht in Tickets oder Chats. **Warum fehlt ein Scope, obwohl ich die Rolle zugewiesen habe?** Das Token ändert sich erst bei einer neuen Anmeldung. Ab- und wieder anmelden, dann das neue Token prüfen. Ist es immer noch nicht drin, fehlt oft die Zuordnung der IdP-Gruppe zur Rollen-Collection. **Lädt AuthTailor die Schlüssel von XSUAA?** Auf Klick ja: Ohne Discovery nimmt AuthTailor den Endpunkt /token_keys des Ausstellers. Sonst geht nichts hinaus. **Warum zeigt der Mitschnitt bei der Integration Suite kein Token?** Der SAP App Router löst den Code auf dem Server bei XSUAA ein, der Browser bekommt nur ein Sitzungs-Cookie. AuthTailor zeigt stattdessen Subaccount, Region, XSUAA-Client, Trust und IdP. Für Warum 403? ein Token aus einem Service-Key einfügen. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # SAML, OAuth und OIDC lernen · AuthTailor Quelle: https://authtailor.com/doku/lernen > Die Registerkarte Lernen von AuthTailor: Anmeldeabläufe als Sequenzdiagramm, Grundlagen in zehn Kapiteln, Glossar, Fehlerkatalog und eine Checkliste vor dem Go-live. ## Lernen Wer einen Befund verstehen will, muss den Ablauf kennen. Die Registerkarte Lernen erklärt SAML, OAuth 2.0 und OpenID Connect so, wie AuthTailor sie prüft – offline, ohne Konto. **Registerkarte** Lernen **Abläufe** 13 **Grundlagen** zehn Kapitel **Checkliste** 16 Punkte in vier Gruppen Diese Seite beantwortet - Wie funktioniert der Authorization Code Flow mit PKCE? - Was ist der Unterschied zwischen SP- und IdP-initiiertem SAML? - Was bedeutet ein Fehler wie AADSTS50011 oder invalid_grant? - Was sollte ich vor dem Go-live einer Anmeldung prüfen? ### Abläufe Wie die gängigen Anmelde- und Token-Abläufe funktionieren – wer mit wem spricht, was mitreist und wo es schiefgeht. Einen Schritt anklicken oder den Ablauf abspielen. Authorization Code + PKCE, Schritt 3. - Die fünf Bereiche: Abläufe, Grundlagen, Glossar, Fehler, Checkliste. - Die Auswahl nach Gruppen: OAuth 2.0 & OpenID Connect, SAML 2.0 und Sitzung. Durchgestrichen sind veraltete Abläufe. - Der Status: Empfohlen, Für seinen Zweck, Mit Vorsicht oder Veraltet. - Das Sequenzdiagramm: gestrichelt über den Browser, durchgezogen von Server zu Server, gepunktet lokal. - Der gewählte Schritt mit dem, was mitreist. Zurück, Weiter und Abspielen gehen den Ablauf durch. - Worauf achten und Was der Tracer prüft. Die Abläufe: Authorization Code + PKCE, Code-Ablauf über ein Backend (BFF), Client Credentials, Refresh-Token mit Rotation, Device Code, On-behalf-of / Token-Tausch, DPoP, der implizite Ablauf und der Passwort-Grant (beide veraltet), SAML vom SP und vom IdP gestartet, OAuth2 SAML Bearer und die Abmeldung. Erkennt AuthTailor einen Ablauf in deiner Eingabe, öffnet ein Klick auf den Ablauf im Ergebnis genau diesen und zeigt, was in deiner Eingabe gefunden wurde. Die Abläufe für SAP BTP stehen in [SAP](https://authtailor.com/doku/sap#ablaeufe). ### Grundlagen Das Wichtigste zu SAML, OAuth 2.0 und OpenID Connect in zehn kurzen Kapiteln – was der Tracer prüft, und warum. Ein Kapitel mit typischen Fehlern und Links zu den Abläufen. - Ein geöffnetes Kapitel mit Erklärung und Typische Fehler. - Zum Ablauf öffnet den passenden Ablauf. Die Kapitel: SAML, OAuth und OpenID Connect – wer macht was · Die Tokens und wofür sie da sind · Ein JWT, zerlegt · Signaturen, Schlüssel und Zertifikate · state, nonce, PKCE, InResponseTo – die Bindungen eines Ablaufs · Cookies, Sitzungen und Abmeldung · Tokens im Browser – wo sie abfließen · Zeit, Uhren und Laufzeiten · Passkeys und WebAuthn · Die Seite rund um die Anmeldung: CSP, CORS, SRI, Weiterleitungen. ### Glossar Das Glossar, gefiltert nach „Token“. - Begriffe suchen … filtert über 50 Begriffe von ACS bis XSUAA. - mehr → öffnet das Kapitel in Grundlagen, das den Begriff erklärt. ### Fehler Bekannte Fehlermeldungen mit Ursache und Abhilfe. Fügst du eine Meldung in [Auth Trace](https://authtailor.com/doku/einfuegen-und-beispiele#fehlermeldung) ein, erkennt AuthTailor sie automatisch. Der Fehlerkatalog, gefiltert nach „redirect“. - Fehlercode oder Text suchen … – nach Code, Titel, Ursache oder Abhilfe. - Ein Eintrag mit Titel, Codes, Ursache und Abhilfe. ### Checkliste Vor dem Go-live: 16 Punkte in den Gruppen Ablauf, Tokens und Signaturen, Browser sowie Sitzung und Abmeldung. Drei von 16 Punkten erledigt. - Der Zähler der erledigten Punkte. - Ein abgehakter Punkt. Gut zu wissenDie Haken werden nicht gespeichert. Schließt du das Panel, beginnt die Checkliste von vorn. ### Siehe auch - Funktionen im Überblick [Funktionen · Lernen](https://authtailor.com/funktionen#lernen) - Doku [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen) - Doku [SAP](https://authtailor.com/doku/sap) - Doku [Fehlerbehebung](https://authtailor.com/doku/fehlerbehebung) - Belege Lernen Häufige Fragen ### Kurz beantwortet. **Braucht die Registerkarte Lernen eine Internetverbindung?** Nein. Alle Inhalte sind Teil der Extension und funktionieren offline. **Welchen Ablauf soll ich für eine neue Web-App nehmen?** Authorization Code mit PKCE, bei Single-Page-Apps am besten über ein Backend (BFF). Der implizite Ablauf und der Passwort-Grant sind veraltet. **Ist der Fehlerkatalog derselbe wie beim Einfügen?** Ja. Eine eingefügte Fehlermeldung wird gegen denselben Katalog geprüft, den du unter Fehler durchsuchst. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Berechtigungen und Datenschutz · AuthTailor Quelle: https://authtailor.com/doku/berechtigungen-und-datenschutz > Welche Berechtigungen AuthTailor braucht und wofür, was die Extension verarbeitet und maskiert, was sie speichert und welche Anfrage sie in deinem Auftrag stellt. ## Berechtigungen und Datenschutz Keine Daten verlassen dein Gerät. AuthTailor hat keinen Server, kein Konto, keine Analyse, keine Telemetrie, keine Werbung und keinen Code von Dritten. Die Registerkarte Über zeigt das alles auch im Panel. **Registerkarte** Über **Server** keiner **Gespeichert** Sprache und Option „Header“ **Host-Zugriff** optional, nur während der Aufzeichnung Diese Seite beantwortet - Welche Berechtigungen braucht AuthTailor? - Warum fragt AuthTailor nach Zugriff auf alle https-Seiten? - Was speichert AuthTailor? - Sendet AuthTailor Daten an einen Server? ### Berechtigungen Die Registerkarte Über listet jede Berechtigung mit ihrem Zweck und zeigt, ob die optionale Host-Berechtigung gerade erteilt ist. Jede Berechtigung mit ihrem Zweck. - https://*/* ist optional – AuthTailor fragt erst danach, wenn du sie brauchst. - Ob sie zurzeit erteilt oder zurzeit nicht erteilt ist. Berechtigung | Wofür storage | Nur die Sprache der Oberfläche und die Option „Header“. sidePanel | Das Panel neben der Seite (Chrome, Edge; Firefox nutzt die Sidebar). webRequest | Live-Mitschnitt, nur beobachtend – ohne Host-Zugriff sieht er nichts. Blockiert oder ändert nie eine Anfrage. scripting | Seitenspeicher durchsuchen: liest den Speicher des aktiven Tabs einmal, auf deinen Klick. Nichts bleibt in der Seite. activeTab | Zugriff auf den aktuellen Tab nur, nachdem du das Panel über das Symbol geöffnet hast – kein Zugriff auf andere Tabs. https://*/* (optional) | Erst beim Start eines Live-Mitschnitts (oder einem erlaubten Seiten-Scan) erfragt, danach wieder abgegeben. Warum alle https-Seiten?Eine Anmeldung springt zwischen App, Identity Provider und oft weiteren Hosts hin und her. Welche das sind, weiß AuthTailor vorher nicht. Deshalb gilt die Berechtigung für alle https-Seiten – aber nur, solange der Mitschnitt läuft. Beim Stopp gibt AuthTailor sie zurück. ### Was AuthTailor verarbeitet, und wo - Live-Mitschnitt (erst nach Live mitschneiden): URL, Methode, Formularparameter von Anmelde-POSTs (z. B. SAMLResponse) und, wenn die Option Header an ist, die Anfrage- und Antwort-Header. Mit Auch Bearer-Tokens zusätzlich JWTs im Authorization-Header von API-Aufrufen. Nach 30 Minuten endet der Mitschnitt von selbst. - Eingefügte oder abgelegte Inhalte: SAML-Nachrichten, JWTs, URLs, HAR-Dateien, Fehlermeldungen, Zertifikate, Schlüssel, SAP-Service-Keys, Destinations oder Konfigurationsdateien. - Seitenspeicher (erst nach Klick auf Diese Seite durchsuchen): Ins Panel kommen nur Art, Länge und harmlose Claims eines Tokens – nie ein Wert. - Die Auswertung läuft vollständig im Panel auf deinem Gerät. Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher, solange das Panel offen ist, und werden nie auf die Festplatte geschrieben. #### Maskierung Geheimnisse maskiert AuthTailor schon beim Mitschneiden: Cookie-Werte, Authorization-Werte, CSRF-Tokens, API-Keys, Sitzungs-Header, Client-Secrets und Passwörter. Lange Cookie-Werte bleiben nur als kurzer Fingerabdruck erhalten, damit der Tracer erkennt, ob ein Sitzungs-Cookie erneuert wurde; Refresh-Tokens nur als kurzer Hash, damit er ihre Rotation erkennt. Bearer-JWTs und DPoP-Proofs bleiben nur mit der Option Auch Bearer-Tokens unmaskiert, weil die Prüfung sie braucht. ### Die eine Anfrage in deinem Auftrag Klickst du auf Schlüssel von … laden, holt das Panel die öffentliche Discovery und die öffentlichen Schlüssel (JWKS) dieses Token-Ausstellers mit einem einfachen GET, ohne Cookies und ohne Referrer. Von deiner Eingabe wird nichts gesendet; der Aussteller sieht nur, dass seine öffentlichen Schlüssel abgerufen wurden, und von welcher IP-Adresse. Ohne diesen Klick stellt AuthTailor keine Anfrage. ### Die Registerkarte Über Was AuthTailor macht, Datenschutz in Kürze und die Erklärung. - Was AuthTailor macht – die vier Registerkarten in Kürze. - Auf diesem Gerät gespeichert zeigt die gespeicherten Einstellungen. Einstellungen zurücksetzen löscht sie. - Vollständige Datenschutzerklärung lesen öffnet die Erklärung im Panel – im selben Wortlaut wie [auf dieser Website](https://authtailor.com/datenschutz#extension). Gespeichert werden nur die Sprache der Oberfläche und die Option Header, dazu für die Dauer der Browser-Sitzung ein Merker, ob AuthTailor die Host-Berechtigung selbst erfragt hat – damit es sie zurückgeben kann. Beim Deinstallieren verschwindet alles. ### Was das Panel verlässt Nur, was du selbst kopierst oder speicherst – mit Bericht kopieren, Header kopieren (maskiert) oder Bereinigtes HAR speichern. Bericht und HAR enthalten nur maskierte Werte. Links unter Über öffnen in einem neuen Tab ohne Referrer. AchtungMaskiert heißt nicht anonym: Hosts, Client-IDs und Claims wie Name oder E-Mail-Adresse bleiben lesbar. Echte Mitschnitte und HAR-Dateien gehören nicht in ein Repository oder einen öffentlichen Chat. ### Siehe auch - Funktionen im Überblick [Funktionen · Über](https://authtailor.com/funktionen#ueber) - Sicherheit [Sicherheit und Berechtigungen](https://authtailor.com/sicherheit#berechtigungen) - Doku [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt) - Doku [Fehlerbehebung](https://authtailor.com/doku/fehlerbehebung) - Belege Kein Server · Berechtigungen · Maskierung · Die eine Anfrage Häufige Fragen ### Kurz beantwortet. **Kann AuthTailor meine Anmeldungen heimlich mitschneiden?** Nein. Ohne die optionale Host-Berechtigung sieht die Extension keine Anfragen. Sie fragt erst beim Start eines Mitschnitts danach und gibt sie beim Stopp zurück; nach 30 Minuten endet ein Mitschnitt von selbst. **Wo finde ich die vollständige Datenschutzerklärung?** In der Extension unter Über → Vollständige Datenschutzerklärung lesen und auf dieser Website unter Datenschutz, Abschnitt Browser-Extension – im selben Wortlaut. **Wie lösche ich alles, was AuthTailor gespeichert hat?** Unter Über auf Einstellungen zurücksetzen klicken oder die Extension deinstallieren. Mitschnitte und Eingaben werden ohnehin nie gespeichert. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Fehlerbehebung für AuthTailor · AuthTailor Quelle: https://authtailor.com/doku/fehlerbehebung > Hilfe, wenn AuthTailor nichts mitschneidet, eine Eingabe nicht erkennt, die Schlüssel nicht laden kann oder den Seitenspeicher nicht durchsuchen darf. ## Fehlerbehebung Die meisten Meldungen des Panels sagen schon, was zu tun ist. Hier stehen sie gesammelt – mit Ursache und Abhilfe. **Mitschnitt** höchstens 30 Minuten, 300 Anfragen **Dateien** bis 60 MB **Firefox** ab Version 115 **Hilfe von Menschen** CloudDNA Diese Seite beantwortet - Warum schneidet AuthTailor nichts mit? - Was tun, wenn die Schlüssel nicht geladen werden können? - Warum fehlt die Token-Antwort im Mitschnitt? - Warum darf AuthTailor den Seitenspeicher nicht durchsuchen? - Warum taucht bei SAP BTP kein Token auf? ### Der Mitschnitt zeigt nichts Der Browser sieht Anfragen, aber keine Anmeldung. - Wie viele Anfragen der Browser in Tabs insgesamt beobachtet hat. Steht hier eine Zahl, funktioniert der Mitschnitt. - „Warte auf die erste Anmelde-Anfrage …“ – bisher war keine davon SAML, OAuth oder OIDC. Meldung oder Zeichen | Ursache und Abhilfe „… Anfragen in Tabs beobachtet, keine davon SAML, OAuth oder OIDC.“ | Die Anmeldung hat noch nicht begonnen, oder du bist schon angemeldet und der Browser springt ohne Anmeldung durch. Abmelden oder ein privates Fenster nehmen und die Anmeldung neu auslösen. „Ohne die Berechtigung kann der Browser nicht mitschneiden – stattdessen ein HAR einfügen oder ablegen.“ | Der Zugriff auf alle https-Seiten wurde verweigert. Erneut Live mitschneiden klicken und erlauben, oder [ein HAR einfügen](https://authtailor.com/doku/einfuegen-und-beispiele#har). „Der Browser hat die Berechtigung erteilt, stellt den Mitschnitt aber noch nicht bereit …“ | Die Extension einmal neu laden (chrome://extensions) und erneut starten. „Nichts mitgeschnitten.“ | Der Mitschnitt wurde gestoppt, bevor eine Anmelde-Anfrage kam. Der Mitschnitt endet von selbst | Nach 30 Minuten oder 300 Anfragen. Neu mitschneiden startet einen neuen. Der Mitschnitt ist weg | Mitschnitte liegen nur im Arbeitsspeicher, solange das Panel offen ist. Panel schließen heißt: Mitschnitt weg. TippEin privates Fenster beginnt ohne Sitzungs-Cookies – so läuft die Anmeldung garantiert vollständig. Dafür muss die Extension in privaten Fenstern erlaubt sein – das stellst du in der Verwaltung der Erweiterungen ein. ### Die Token-Antwort fehlt Der Live-Mitschnitt sieht keine Antwort-Inhalte – das kann der Browser für Extensions nicht. Die Token-Antwort mit ID-Token und Access-Token kommt also nicht vor. Abhilfe: - Auch Bearer-Tokens einschalten: Dann siehst du das Access-Token in den API-Aufrufen. - Ein HAR aus den DevTools exportieren und einfügen – es enthält auch Antwort-Inhalte, siehe [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele#har). ### Bei SAP BTP taucht kein Token auf Bei Integration Suite, Build Work Zone und anderen Apps hinter einem SAP App Router ist das kein Fehler des Mitschnitts: Der App Router löst den Code auf dem Server bei XSUAA ein, der Browser bekommt nur ein Sitzungs-Cookie. Ein HAR oder Auch Bearer-Tokens ändern daran nichts. - Unter Über den ganzen Ablauf steht dann SAP App Router: Das Token bleibt auf dem Server – mit Subaccount, Region, XSUAA-Client, Trust (origin) und IdP. - Hinweise wie Kein state – so arbeitet der SAP App Router oder Ohne PKCE – vertraulicher Client sind SAP-Standard und keine Schwäche der App. - Weiter: Rollen-Collections im BTP-Cockpit prüfen, für einen 403 ein Token aus einem Service-Key einfügen – siehe [SAP](https://authtailor.com/doku/sap#kein-jwt). - Fehler zwischen IAS und Firmen-IdP: Bei OIDC stehen sie in den IAS Troubleshooting Logs und den Anmeldeprotokollen des Firmen-IdP – siehe [SAP](https://authtailor.com/doku/sap#idp-fehler). ### Eine Eingabe wird nicht erkannt Meldung oder Zeichen | Ursache und Abhilfe Urteil Nichts erkannt | Die Eingabe ist weder SAML noch JWT, URL, Token-Antwort, HAR oder bekannte Fehlermeldung. Oft fehlt ein Stück beim Kopieren – den ganzen Wert kopieren, bei SAML den Wert des Parameters SAMLResponse. Passkeys, Zertifikate, CSP und CORS gehören in [Werkzeuge](https://authtailor.com/doku/werkzeuge), SAP-Artefakte in [SAP](https://authtailor.com/doku/sap). „Datei ist größer als 60 MB.“ | Das HAR kleiner exportieren: vorher die Liste in den DevTools leeren und nur die Anmeldung aufzeichnen. „Das ist kein gültiges JSON.“ / „Kein HAR: log.entries fehlt.“ | In HAR bereinigen: Die Datei ist abgeschnitten oder kein HAR. Neu exportieren. ### Die Schlüssel lassen sich nicht laden „Schlüssel von … nicht ladbar (…). Stattdessen das JWKS zusammen mit dem Token einfügen.“ Der Aussteller ist aus deinem Netz nicht erreichbar, hat keine Discovery unter /.well-known/openid-configuration oder erlaubt den Abruf nicht. Abhilfe: das JWKS (die Antwort von jwks_uri) zusammen mit dem Token einfügen oder ein HAR, das es enthält. Zeigt das Siegel Schlüssel fehlt im JWKS, hat der Aussteller seine Schlüssel gewechselt – oder das Token stammt von einem anderen Mandanten. ### Der Seitenspeicher lässt sich nicht durchsuchen Meldung | Ursache und Abhilfe „Das Panel darf diesen Tab noch nicht lesen …“ | Das Panel auf diesem Tab über das Symbol in der Symbolleiste öffnen, oder Zugriff erlauben und durchsuchen klicken – der Zugriff wird gleich danach wieder abgegeben. „Browser-Seiten und der Erweiterungs-Store lassen sich nicht durchsuchen.“ | Das lässt der Browser nicht zu. Zur App wechseln und erneut durchsuchen. „Zugriff nicht erteilt – nichts wurde durchsucht.“ | Erneut klicken und den Zugriff erlauben. ### Das Panel - Das Symbol öffnet nichts: In Chrome und Edge öffnet das Symbol die Seitenleiste. Ist es nicht zu sehen, über das Puzzle-Symbol anheften. In Firefox ab Version 115 öffnet AuthTailor als Sidebar. - Falsche Sprache: AuthTailor folgt der Sprache des Browsers. Umschalten lässt sie sich oben im Panel, siehe [Erste Schritte](https://authtailor.com/doku/einstieg#oeffnen). - Einstellungen zurücksetzen: unter Über, siehe [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz#ueber). ### Weiter kommst du nicht? Hinter AuthTailor steht CloudDNA. Wenn eine Anmeldung trotz Befund nicht läuft – etwa in einer gewachsenen SAP-Landschaft –, helfen Menschen weiter. Schick dabei nie echte Tokens, Passwörter oder ungeprüfte HAR-Dateien. ### Siehe auch - Hilfe von Menschen [CloudDNA fragen](https://authtailor.com/kontakt) - Doku [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt) - Doku [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele) - Doku [SAP](https://authtailor.com/doku/sap) - Doku [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz) - Belege Live-Mitschnitt · Nur im Arbeitsspeicher Häufige Fragen ### Kurz beantwortet. **Warum zeigt der Mitschnitt keine Token-Antwort?** Browser lassen Extensions keine Antwort-Inhalte lesen. Für die Token-Antwort ein HAR aus den DevTools einfügen oder die Option Auch Bearer-Tokens nutzen. **Funktioniert AuthTailor in Firefox?** Ja, ab Firefox 115 – als Paket auf Anfrage über das Kontaktformular. Dort öffnet das Panel als Sidebar statt als Seitenleiste. **Kann ich einen Mitschnitt speichern?** Nicht im Panel – Mitschnitte liegen nur im Arbeitsspeicher. Mit Bereinigtes HAR speichern oder Bericht kopieren nimmst du das Ergebnis maskiert mit. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # AuthTailor Changelog · AuthTailor Quelle: https://authtailor.com/doku/changelog > Die Versionen von AuthTailor: was 1.0.0 vom 8. November 2026 enthält – Auth Trace, Werkzeuge, SAP, Lernen, Über – und was seitdem geändert wurde. ## Changelog Neue Versionen kommen über den Chrome Web Store von selbst. Welche du hast, steht unter Über. **Aktuelle Version** 1.0.0 **Erschienen** 8. November 2026 **Store** Chrome Web Store **Updates** automatisch über den Store Diese Seite beantwortet - Welche Version von AuthTailor ist aktuell? - Was ist in AuthTailor 1.0.0 enthalten? - Wie bekomme ich eine neue Version? ### Noch nicht veröffentlicht - SAP App Router: Bei der Anmeldung über einen SAP App Router (etwa Integration Suite oder Build Work Zone) meldet der Tracer unter Über den ganzen Ablauf SAP App Router: Das Token bleibt auf dem Server – mit Subaccount, Region, XSUAA-Client, Trust (origin) und IdP. Fehlendes state und PKCE sind dort nur noch Hinweise; bei anderen Apps bleibt die Warnung. Siehe [SAP](https://authtailor.com/doku/sap#kein-jwt). - SAP ID Service und OIDC zwischen den IdPs: Lief die BTP-Anmeldung über den Standard-Trust sap.default statt über den eigenen IAS, sagt der Tracer das – mit dem Weg zum eigenen IdP. Wege per OIDC (XSUAA → IAS, IAS → Firmen-IdP) nennt er samt Hinweis auf die IAS Troubleshooting Logs und die Anmeldeprotokolle des Firmen-IdP. Siehe [SAP](https://authtailor.com/doku/sap#idp-fehler). - Website: Der Link im Store und in der Extension zeigt auf authtailor.com. Die Datenschutzerklärung der Extension steht unter [Datenschutz](https://authtailor.com/datenschutz#extension) – derselbe Text wie unter Über. ### 1.0.0 – 8. November 2026 Erste Veröffentlichung im Chrome Web Store. Edge installiert die Extension aus demselben Eintrag, für Firefox (ab 115) gibt es ein Paket auf Anfrage. #### Auth Trace - Live-Mitschnitt einer Anmeldung im Browser, Host-Zugriff nur während der Aufzeichnung; optional Bearer-JWTs aus API-Aufrufen und Header je Schritt, maskiert. Siehe [Live mitschneiden](https://authtailor.com/doku/live-mitschnitt). - Einfügen oder Ablegen von SAML, JWT, OAuth- und OIDC-URLs, Token-Anfragen und -Antworten, Discovery, JWKS, HAR und Fehlermeldungen. Siehe [Einfügen und Beispiele](https://authtailor.com/doku/einfuegen-und-beispiele). - Urteil, Ampel in fünf Bereichen, Ablaufdiagramm Browser – App – IdP mit Querprüfungen und Markdown-Bericht. Siehe [Das Ergebnis lesen](https://authtailor.com/doku/ergebnis-lesen). - Signaturen echt geprüft: SAML mit eigener XML-Kanonisierung, RSA, RSA-PSS und ECDSA mit SHA-1 bis SHA-512; JWTs mit den Schlüsseln des Ausstellers. Grafische Anatomie für JWT und SAML. Siehe [Tokens und SAML](https://authtailor.com/doku/tokens-und-saml). - Angriffsmuster und Lecks: Signature Wrapping, doppelte IDs, Kommentar in der NameID, DTD und Transforms; jku, x5u und jwk im Kopf, kid-Injection; Code oder Token im Referer, Tokens in der Query, Client-Secret aus dem Browser; Session Fixation, Skripte ohne SRI, offene Weiterleitungen, Doppelgänger- und Punycode-Hosts. - Abmeldung, Discovery und Metadaten bewertet; DPoP-Proofs und Rotation von Refresh-Tokens geprüft. #### Werkzeuge, SAP, Lernen, Über - Werkzeuge: Passkeys, Zertifikate, Schlüssel, CSP, Security-Header, CORS, Anmelde-Links und Secret-Suche prüfen; HAR bereinigen; Seitenspeicher durchsuchen. Siehe [Werkzeuge](https://authtailor.com/doku/werkzeuge). - SAP: XSUAA- und IAS-Tokens, „Warum 403?“, Reviews von xs-security.json und xs-app.json, Service-Keys, Destinations und Anmeldetickets; fünf BTP-Abläufe und sechs Kapitel. Siehe [SAP](https://authtailor.com/doku/sap). - Lernen: 13 Abläufe als Sequenzdiagramm, Grundlagen in Kapiteln, Glossar, Fehlerkatalog und Checkliste vor dem Go-live. Siehe [Lernen](https://authtailor.com/doku/lernen). - Über: was AuthTailor macht, Datenschutz, Berechtigungen mit dem Stand des Host-Zugriffs, gespeicherte Einstellungen und die vollständige Datenschutzerklärung. Siehe [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz). - Oberfläche auf Deutsch und Englisch, hell und dunkel nach System. #### Behoben - Gelöschte Cookies werden nicht mehr als „SameSite=None ohne Secure“ gemeldet. ### Siehe auch - Doku [Dokumentation](https://authtailor.com/doku) - Doku [Erste Schritte](https://authtailor.com/doku/einstieg) - Belege Version 1.0.0 · Kostenlos Häufige Fragen ### Kurz beantwortet. **Wie aktualisiere ich AuthTailor?** Gar nicht von Hand: Chrome und Edge holen neue Versionen selbst aus dem Chrome Web Store. **Wo sehe ich meine Version?** In der Extension unter Über. **Kostet eine neue Version etwas?** Nein. AuthTailor ist kostenlos, ohne Konto und ohne Lizenz. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) === ENGLISH === --- # AuthTailor – SAML & OIDC tracer in your browser Source: https://authtailor.com/en > Free browser extension: record a SAML or OIDC login, take JWTs and SAML apart and see why single sign-on fails – locally, with no server. SAML & OIDC tracer in your browser ## Single sign‑on, made visible. A login fails, and the identity provider only says “invalid_grant” or an error number. AuthTailor is a browser extension that records the login live, takes tokens apart, checks signatures and shows at which step it breaks – locally in your browser, with no server. The small numbers are sources: tap one to see the source and the date it was checked; all of them are listed at the bottom of the page. [Free in the Chrome Web Store ↗](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) Watch the video [All features](https://authtailor.com/en/features) - Free, no account - No server, no telemetry - Host access only while recording - No cookies on this site [A product ofThe SAP & AI experts from Austria!](https://www.clouddna.at) Also in this issue Five tabs – Auth Trace, Tools, SAP, Learning and About, in pictures [SAP BTP – XSUAA, IAS, “Why 403?” and principal propagation as a diagram](https://authtailor.com/en/features#sap) [Learning – 13 flows of OAuth, OpenID Connect and SAML to click through](https://authtailor.com/en/features#lernen) [Security – what the extension reads, what it never sends, which permissions it needs when](https://authtailor.com/en/security) Fig. 1 — Live recording of a login with OpenID Connect and PKCE: every step as a diagram, every parameter checked. All pictures show made-up data. Why AuthTailor exists ### Single sign-on works. Until it doesn’t. And then it won’t say why. A login has many stops, and it can get stuck at any of them: - Browser - App - Identity provider - SAML response or token - Role collection - 403 Forbidden The error messages are remarkably terse: “invalid_grant”. “Assertion is not valid”. An error number in the identity provider, whose log sits in another tenant that belongs to another team. And the app simply says 403. Everyone sees their part. Nobody sees the whole flow. In aviation, there is a flight recorder for moments like these: after an incident, nobody guesses – you read the recording, every step in the right order, with a timestamp. AuthTailor is the flight recorder for your login. Until now With AuthTailor “invalid_grant” and an error number The flow as a diagram, every finding with cause and fix Decoding a SAML response by hand Taken apart, nested as in the XML, signature checked Copying tokens into other windows Taken apart in the panel, on your own device Guessing which role is missing on a 403 Scope by scope, what is missing Screenshots in the ticket A masked report that fits into the ticket [The whole story: why we built the flight recorder for single sign-on →](https://authtailor.com/en/story#produkt) Video · with sound ### One login, recorded and explained. Record, sign in, take the token apart, read the finding – once from start to finish on a made-up app, with narration. Only when you click play does YouTube (Google) load the video in privacy-enhanced mode. Before that, nothing connects to YouTube. [Details in the privacy policy](https://authtailor.com/en/privacy#youtube). [Watch on YouTube ↗](https://www.youtube.com/watch?v=lBfYRZ5Qsc8) Chapters and transcript #### Chapters - [0:00](https://www.youtube.com/watch?v=lBfYRZ5Qsc8&t=0s) The login fails: invalid grant - [0:11](https://www.youtube.com/watch?v=lBfYRZ5Qsc8&t=11s) Record live and sign in - [0:23](https://www.youtube.com/watch?v=lBfYRZ5Qsc8&t=23s) Check the flow and take the token apart - [0:40](https://www.youtube.com/watch?v=lBfYRZ5Qsc8&t=40s) Paste a SAML response, JWT or HAR file – and SAP BTP: why 403? - [0:56](https://www.youtube.com/watch?v=lBfYRZ5Qsc8&t=56s) Learn 13 flows – all local - [1:06](https://www.youtube.com/watch?v=lBfYRZ5Qsc8&t=66s) A product of CloudDNA, free #### What is said in the video The login fails – and the identity provider only says: invalid grant. With AuthTailor, a product of CloudDNA, you see why. Right in your browser. First, click the “Record live” button in AuthTailor. Then sign in, in any tab. Here, with a made-up app using OpenID Connect and PKCE. AuthTailor draws every step between browser, app and identity provider – and checks state, nonce and PKCE across the whole flow. Then the token is taken apart: who issued it, who it is for, and who signed in – with scopes and roles. No recording at hand? Just paste what you have: a SAML response, a JWT, a HAR file – or the error message. On SAP BTP, AuthTailor answers the big question: why 403? Scope by scope. And if you want to understand the flows, click through thirteen of them – step by step. AuthTailor runs locally. Nothing is stored, nothing is sent. AuthTailor is made by CloudDNA – the SAP and AI experts from Austria. We give it away for free, because single sign-on keeps causing trouble for us, too. Get it at authtailor.com. Five tabs ### Everything a login gives away – in one panel. AuthTailor opens as a side panel next to the tab where you sign in. Five tabs cover what you would otherwise gather from five tools while troubleshooting. Auth Trace #### See the token, don’t just read it. Record or paste: a SAML Response, a JWT, a login URL, a HAR file or simply the error message. The JWT appears taken apart into header, payload and signature, with the chain from issuer to audience and an ID card with scopes and roles. Signatures are really checked – SAML with the certificate, JWTs with the issuer’s keys. Auth Trace · SAML #### SAML as it sits in the XML. Response, Assertion, Subject and Conditions nested as in the XML, with a seal on every signature and a colour per finding. Plus the attack patterns you overlook in raw text: signature wrapping, duplicate IDs, a comment in the NameID. Tools #### What goes wrong around the login. Passkey responses, certificates and keys, Content Security Policy, security headers, CORS and suspicious login links. A HAR cleaner masks cookies, tokens and passwords before a recording goes to support. SAP #### “Why 403?” – scope by scope. For everyone on SAP BTP: XSUAA and IAS tokens, reviews of xs-security.json, xs-app.json, service keys and destinations, logon tickets and the BTP flows as diagrams. “Why 403?” puts what the app requires next to the token. Learning #### Understand what you are looking at. 13 flows of OAuth 2.0, OpenID Connect and SAML as sequence diagrams to click through, basics in ten chapters, a glossary, known error messages and a go-live checklist. When the tracer detects a flow, one click leads to its explanation. [All features in detail →](https://authtailor.com/en/features) MASKED. Sharing a recording usually means sharing cookies, codes and tokens. AuthTailor masks them as they are recorded, and the report for the ticket contains masked values only. The yellow markers on this page? Each one has a source with the date it was checked. [All sources](https://authtailor.com/en/sources) The traffic light ### Not just whether it works. Whether it is safe. A login can work and still have a hole. The traffic light rates five areas separately – purely functional findings such as a wrong audience do not count there. - Flow & protocol state, nonce, PKCE, redirect_uri, InResponseTo and RelayState across the whole flow. - Tokens & signatures Signature, issuer, audience, expiry, key rollover, jku and x5u in the header. - Transport & leaks Codes in the Referer, tokens in the URL, client secrets sent from the browser. - Cookies & session SameSite, HttpOnly, Secure, __Host-, session fixation and logout. - Browser protection HSTS, frame protection, Referrer-Policy and scripts without SRI. Privacy ### No server. No account. Nothing stored. A tool that sees tokens and logins has to explain itself. That is why AuthTailor is built so that there is little to explain. [Security in detail →](https://authtailor.com/en/security) - No serverThe analysis runs in the panel. No telemetry, no analytics, no third-party code – the extension sends none of your data. - MemoryNothing on disk. Recordings and input stay in memory only, while the panel is open. - Host accessOnly for recording. Access to websites is requested only when you record and handed back afterwards. - One requestPublic keys, on click. Only when you want signatures checked does the panel fetch the issuer’s public keys – without cookies, without your input. Install · version 1.0.0 ### Two minutes to your first finding. Free, no account. The extension is available for Chrome, with builds for Edge and Firefox – for Chrome and Edge in the Chrome Web Store. We give AuthTailor away for free, because single sign-on keeps causing trouble in our own SAP projects, too. - [Chrome Web Store Install for free ↗](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) - [Microsoft Edge Add-ons Via the Chrome Web Store ↗ In Edge, switch on “Allow extensions from other stores”.](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) - Firefox Add-ons Package on request[Request a package →](https://authtailor.com/en/contact?thema=Vorabversion) - Install and open the panel from the extension’s icon. - Record Press “Record live”; the browser asks once for access. - Sign in in the tab of the app that causes trouble – or paste a message, token or HAR. - Read the findings Diagram, traffic light, cause and fix; the report goes into the ticket masked. To be honest ### When AuthTailor will not help you. A checking tool that only knows advantages has not checked itself. Here is our list. - The error is between two servers. Client credentials, SAML bearer or principal propagation do not pass through the browser – nothing can record them there. You can still paste the messages, and Learning explains the flow. - You want the configuration fixed for you. AuthTailor shows the cause and the fix. You change it in the identity provider or the app – on purpose: the extension writes nowhere. - You are looking for a penetration testing tool. AuthTailor observes and rates; it attacks nothing and changes no request. Active testing has its own tools. - Your browser may not run extensions. Then IT comes first. For them, the [Security](https://authtailor.com/en/security#rollout) page lists which permissions AuthTailor needs and when. From the authors at SAP PRESS ### From practice with SAP BTP and identity providers. AuthTailor comes from CloudDNA. Its founder Martin Koch wrote the books on security, connectivity and administration of SAP BTP with Siegfried Zeilinger – much of what the tracer checks is explained there in depth. - [Security Security and Authorizations for SAP Business Technology Platform Martin Koch, Siegfried Zeilinger Identities, roles and trust on SAP BTP – the foundation of every integration that moves data. English · 355 pages · also in German View at the publisher ↗](https://www.rheinwerk-verlag.de/security-and-authorizations-for-sap-business-technology-platform/) - [Connectivity Cloud Connector for SAP Martin Koch, Siegfried Zeilinger The way from the cloud into your own network: setting up, securing and running the Cloud Connector. English · 352 pages · also in German View at the publisher ↗](https://www.rheinwerk-verlag.de/cloud-connector-for-sap/) - [Administration Configuring SAP Business Technology Platform The Practical Guide for Administrators Martin Koch, Siegfried Zeilinger Accounts, subaccounts, licence models and operations of SAP BTP – for everyone who does more than just use the tenant. English · 450 pages · also in German View at the publisher ↗](https://www.rheinwerk-verlag.de/configuring-sap-business-technology-platform-the-practical-guide-for-administrators/) Covers: Rheinwerk Verlag (SAP PRESS). The links go to the publisher. For SAP Integration Suite ### The tracer also lives in iFlowTailor. AuthTailor grew out of iFlowTailor, the workbench for SAP Cloud Integration. If you build iFlows, you get the same tracer there, next to review, testing and error analysis. [See iFlowTailor ↗](https://iflowtailor.com/en) [Advice on SSO on SAP BTP](https://authtailor.com/en/contact?thema=Beratung) The Tailor family ### Thirteen siblings – each for its own craft. Every Tailor solves a problem we know up close. Most siblings share the Tailor-Plattform with EU data residency and an AI layer. AuthTailor is the smallest of them: no server, no data storage, just a panel next to your tab. It started out as the SAML & OIDC tracer in iFlowTailor – and it still lives there too. - A AuthTailor SAML & OIDC tracer in your browser – you are here. - [I iFlowTailor Workbench for SAP Cloud Integration ↗](https://iflowtailor.com) - [P ProbeTailor Acceptance tests for SAP & business software ↗](https://www.probetailor.com) - [J JournalTailor Incoming invoices before SAP, BMD & DATEV ↗](https://www.journaltailor.com) - [D DocumentTailor Documents & signatures for SAP shops ↗](https://documenttailor.com) - [R RecordTailor Document management ↗](https://recordtailor.com) - [I ImmoTailor Property management & development ↗](https://www.immotailor.com) - [T TaxTailor Tax advisors ↗](https://taxtailor.at) - [D DineTailor Restaurants ↗](https://dinetailor.com) - [S StayTailor Hotels ↗](https://staytailor.at) - [M MeetingTailor Meetings & events ↗](https://www.meetingtailor.com) - [W Weintailor Winemakers ↗](https://weintailor.com) - [B BuildTailor Construction & trades ↗](https://buildtailor.com) Frequently asked ### Short answers. **What is AuthTailor?** AuthTailor is a free browser extension that records a single sign-on login with SAML 2.0 or OpenID Connect, or reads pasted messages. It takes tokens apart, checks signatures and every step of the flow, and shows why the login fails. It is made by CloudDNA GmbH from Austria. **What does AuthTailor cost?** Nothing. We give AuthTailor away for free, because single sign-on keeps causing trouble in our own SAP projects, too. There is no account, no licence and no paid feature. If you want help setting up single sign-on or a workshop, you can engage CloudDNA for that – that is a separate offer. **Does CloudDNA see my tokens or recordings?** No. AuthTailor has no server, no telemetry and no analytics. Recordings and pasted content stay in the panel’s memory only while it is open. The one outbound request fetches the token issuer’s public keys when you click. **Do I need SAP to use AuthTailor?** No. The tracer works with any identity provider and any app that speaks SAML 2.0, OpenID Connect or OAuth 2.0 in the browser. The SAP tab is an extra for everyone working on SAP BTP with XSUAA, IAS and destinations. **Which browsers does AuthTailor support?** Chrome – free in the Chrome Web Store. Microsoft Edge installs the extension from the Chrome Web Store too, once “Allow extensions from other stores” is switched on. For Firefox, a package is available on request. **Is AuthTailor an SAP product?** No. AuthTailor is a product of CloudDNA GmbH and works with identity providers and apps from any vendor. It changes nothing in them and does not replace their logs. **How do I find out why a SAML or OpenID Connect login fails?** With AuthTailor, press “Record live” and sign in in the affected tab. The extension records every step between browser, app and identity provider, checks state, nonce, PKCE, redirect_uri, InResponseTo and the signatures, and shows every finding with its cause and fix. It also works without a recording: paste a SAML response, JWT, HAR file or error message. **Can I check a JWT or a SAML response in the browser without uploading it?** Yes. AuthTailor takes the JWT or SAML response apart in the panel on your device and checks the signature – for a JWT with the issuer’s public keys, for SAML with the certificate from the metadata. The token is not sent anywhere; only when you click does AuthTailor fetch the issuer’s public keys. **Why do I get a 403 on SAP BTP even though the login works?** Usually the token lacks a scope the app requires – for example because the role collection is not assigned to the user. In the SAP tab, paste the XSUAA or IAS token under “Why 403?” and enter the expected scopes or roles; AuthTailor shows scope by scope what is missing. **What is a SAML tracer?** A SAML tracer is a browser tool that makes the messages of a SAML login between app and identity provider visible, so you can find single sign-on errors. AuthTailor is a SAML and OIDC tracer: besides SAML 2.0 it also reads OpenID Connect and OAuth 2.0, and it rates the flow instead of only showing the messages. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Features: Auth Trace, Tools, SAP, Learning · AuthTailor Source: https://authtailor.com/en/features > Live recording, JWT and SAML anatomy, real signature checks, traffic light, tools for certificates and HAR, SAP BTP and 13 flows to learn – in detail. Features · as of version 1.0.0 of 8 November 2026 ## Every step, every parameter. AuthTailor has five tabs. This page lists what is in each – with a source for every claim. What we check, we check in ourselves, too. [Install for free →](https://authtailor.com/en#installieren) [Watch the video](https://authtailor.com/en#video) Auth Trace ### Record, paste, check, rate. Press “Record live” and sign in in any tab: the flow browser → app → identity provider appears as a diagram, every step with its parameters. - Check the whole flow. state, nonce, PKCE, redirect_uri, InResponseTo, ACS URL and RelayState – not per message, but across the whole flow. - Paste anything. SAML Response, AuthnRequest, Assertion, metadata, JWT, login URL, token request and response, discovery, JWKS, HAR file or the error message; known error codes with cause and fix. - See the token. Header, payload and signature, the chain from issuer to audience, an ID card with scopes and roles, times relative to now. - Signatures really checked. SAML with the certificate and the fingerprint from the metadata, JWTs with the issuer’s keys; warnings about expiring certificates and keys missing after a rollover. - Headers per step. Request and response headers, masked, with a SameSite check of the cookies on the POST back to the app. - Bearer tokens and DPoP. Optionally the JWTs a single-page app sends to its API, with the rejection reason from WWW-Authenticate and checked DPoP proofs. - Attack patterns and leaks. Signature wrapping, a comment in the NameID, jku/x5u in the JWT header, codes in the Referer, tokens in the URL, session fixation, open redirects. - Logout, discovery, metadata. Whether the session really ends at logout, and what discovery and metadata reveal about security. - Traffic light and report. Five areas rated separately; the Markdown report goes into the ticket masked. Docs: [Live capture](https://authtailor.com/en/docs/live-capture) · [Paste and examples](https://authtailor.com/en/docs/paste-and-examples) · [Reading the result](https://authtailor.com/en/docs/reading-the-result) · [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml) → Tools ### Everything that goes wrong around the login. Paste, and the tab detects what it is: passkey response, certificate, key, policy or link. - Passkeys. Decode a WebAuthn response: flags, authenticator, synced or device-bound, origin, RP ID and challenge checked. - Certificates and keys. PEM chains, CSRs, public and private keys, JWKs – order, expiry, key size, SHA-1, host name, and whether key and certificate belong together. - Web security. Content Security Policy with a stricter suggestion, security headers of a login page, CORS preflight, look-alike and punycode links, open redirects. - Secrets and HAR. A secret scanner for any text and a HAR cleaner that masks cookies, tokens, codes and passwords and saves a .sanitized.har file. - Page storage. On click, find tokens in localStorage, sessionStorage and IndexedDB of the current tab – only kind and length come back, never a value. Docs: [Tools step by step](https://authtailor.com/en/docs/tools) → SAP ### SAP BTP: tokens, configuration, flows. For everyone working with XSUAA, SAP Cloud Identity Services and destinations – and wondering why the app says 403. - XSUAA and IAS tokens. Scopes per app, role collections, zone and grant, explained rather than just decoded. - “Why 403?” Paste the token, enter the expected scopes or roles – scope by scope, what is missing. - Configuration reviewed. xs-security.json, xs-app.json, service keys and destinations (JSON or properties); secrets appear masked only and stay in memory. - Login via the App Router. With Integration Suite or Build Work Zone the token stays on the server. AuthTailor explains this and shows what the recording reveals anyway: subaccount, region, XSUAA client, trust and IdP. - Flows as diagrams. App router → XSUAA → IAS, IAS directly, principal propagation, SAML bearer and CSRF – plus logon tickets (MYSAPSSO2) with signature check and SAP Gateway and ICF errors. Docs: [SAP step by step](https://authtailor.com/en/docs/sap) → [Ask for help with SSO on SAP BTP →](https://authtailor.com/en/contact?thema=Beratung) Learning ### Understand what you are looking at. 13 flows of OAuth 2.0, OpenID Connect and SAML as sequence diagrams to click through and play, with risks and what the tracer checks. - Flows. Code + PKCE, BFF, client credentials, refresh, device code, on-behalf-of, DPoP, implicit, password grant, SAML SP- and IdP-initiated, SAML bearer, logout. - Basics. Ten short chapters – from protocols and tokens to keys and certificates, cookies, logout, tokens in the browser, passkeys and the page around the login. - Glossary and error catalogue. Terms in one sentence and known error messages with cause and fix. - Go-live checklist. What should be checked before the first production login. Docs: [Learning step by step](https://authtailor.com/en/docs/learning) → About ### What the extension does – inside the extension. The “About” tab shows what AuthTailor does, the full [privacy policy](https://authtailor.com/en/privacy#extension), the permissions with their current state, what is stored (with a reset), the publisher with imprint, version and build. Docs: [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy) → Frequently asked ### Questions about the features. **Which protocols does AuthTailor understand?** SAML 2.0 (Response, AuthnRequest, Assertion, metadata, logout) and OpenID Connect with OAuth 2.0 (authorisation, token request and response, discovery, JWKS, refresh, DPoP, logout). Plus passkey responses (WebAuthn) under Tools. **Do I have to record, or can I paste something?** Both. Without a recording you paste what you have: a SAML Response, a JWT, a login URL, a HAR file from the developer tools or the error message. The tracer detects what it is. **Does AuthTailor really check signatures or just show them?** It checks them: SAML cryptographically with the certificate from the message, optionally matched against the fingerprint from the metadata; JWTs with the issuer’s public keys, fetched with one click. **Can I hand the result to colleagues or support?** Yes, as a Markdown report with verdict, traffic light, flows, findings and steps – with masked values only. The extension cleans HAR files before you pass them on. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Security: no server, masked, time-limited access · AuthTailor Source: https://authtailor.com/en/security > No server, data in memory only, masking while recording, time-limited host access: how AuthTailor handles logins and tokens. Security · as of version 1.0.0 of 8 November 2026 ## Little to explain. A tool that sees tokens, cookies and logins has to explain itself to the security team. We built AuthTailor so that the explanation is short: no server, nothing stored, access only for a while. Everything else is here – every claim with a source. See the permissions[Privacy policy of the extension](https://authtailor.com/en/privacy#extension) - No server No telemetry, no analytics, no advertising, no third-party code. - Memory only Recordings and input never on disk, only while the panel is open. - Masked at once Cookies, Authorization, CSRF tokens, secrets while recording. - Access for a while Host access only when recording, handed back afterwards. - One request The issuer’s public keys, only on click, without cookies. Permissions ### Every permission, and what it is for. The same list is in the extension under “About”, with its current state. None of the fixed permissions triggers a warning at installation. Permission | What for | When storage | Only the UI language and the “Headers” option | always sidePanel | Panel next to the page (Chrome, Edge; Firefox uses the sidebar) | always webRequest | Live recording, observing only; ineffective without host access | only with host access scripting, activeTab | “Scan page storage”: a function runs once in the active tab and reports kind, length and harmless claims, never a value | on click https://*/* (optional) | Recording across app, identity provider and API | only on “Record live”, handed back afterwards Data flow ### What comes in, what goes out. The analysis runs entirely in the panel. Only what you copy or save yourself goes out. - InRecording or input. The browser’s requests during a login, or what you paste – messages, tokens, HAR files, certificates, service keys. - In the panelMasked and analysed. Secrets are masked; long cookie values are kept only as a fingerprint, refresh tokens only as a short hash. - OutOnly on your action. “Copy report”, “Copy headers (masked)”, “Save cleaned HAR” – with masked values only. - NetworkOne request, on click. The issuer’s discovery and JWKS, as a GET without cookies or referrer. For corporate IT ### Roll out, restrict, review. - Roll out. AuthTailor can be installed like any extension through the Chrome and Edge browser policies. There is no configuration of its own and no server that would need to be allowed. - Restrict. IT can limit or block the optional host access to specific hosts through the browser’s policies; the tracer then keeps working with pasted messages. - Review. The data flow is above, the permissions in the table, the wording for data protection officers in the [privacy policy of the extension](https://authtailor.com/en/privacy#extension). Updates only come through the browser stores. - Found a vulnerability? Please confidentially to [office@clouddna.at](mailto:office@clouddna.at?subject=Security%20AuthTailor). We reply personally. Frequently asked ### Questions about security. **Does CloudDNA see my tokens or recordings?** No. There is no CloudDNA server, no telemetry and no analytics tool. The analysis runs in the panel on your device; recordings and pasted content stay in memory only while the panel is open. **Why does the browser ask for access to all websites?** Because a login runs across several hosts – app, identity provider, API – and the recording has to see all of them. The access is optional, requested only when you click “Record live” and handed back when you stop. **What leaves the panel?** Only what you copy or save yourself – such as the report, the masked headers or a cleaned HAR. These contain masked values only. The one outbound connection fetches a token issuer’s public keys when you click. **Can our IT roll AuthTailor out centrally?** Yes, like any extension through the Chrome and Edge browser policies. They also let you define the hosts on which the extension may run. Talk to us if you want support with that. **How do I report a vulnerability?** Please confidentially to office@clouddna.at, subject “Security AuthTailor”. We reply personally and credit you, if you wish, once the issue is fixed. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Contact: question, advice or workshop · AuthTailor Source: https://authtailor.com/en/contact > Questions about AuthTailor, help with single sign-on on SAP BTP, a workshop for your team or an early copy: a personal reply within one working day. Contact · personal ## Login stuck? AuthTailor is free and needs no account. Write to me anyway – if you have a question, found a bug or need help with single sign-on. - Questions and feedback about AuthTailor - [Single sign-on on SAP BTP](https://authtailor.com/en/features#sap): XSUAA, IAS, principal propagation – setup and troubleshooting - A workshop on SAML, OpenID Connect and OAuth for your team - A package for Firefox or for machines without access to the Chrome Web Store M Martin Koch Managing Director, CloudDNA · I read every request myself and reply personally. [Rather call: +43 664 1964199](tel:+436641964199) Please do not send tokens, cookies, passwords or service keys. I will get back to you within one working day, personally. No newsletter, no passing on. Details in the [privacy policy](https://authtailor.com/en/privacy). Name Company Business e-mail What is it about? Question about AuthTailorHelp with SSO on SAP BTPTroubleshooting a loginWorkshop for the teamPackage (Firefox, no store)Company-wide rolloutReport a bug or wishOther Your role DevelopmentAdministration / BasisIT securityArchitectureSupportOther Environment SAP BTPSAP on-premiseWithout SAPMixedDon’t know Message optional – what happens, which error message appears (no tokens) Website Frequently asked ### Questions about getting in touch. **Does a request cost anything?** No. AuthTailor is free and we are happy to answer questions about it. Advice on setting up single sign-on or a workshop is a separate CloudDNA offer – we discuss that beforehand. **Should I send my recording or the token?** Please don’t. Do not send tokens, cookies, passwords or service keys by form or e-mail. Briefly describe what happens and which error message appears; if we look at it together, the data stays on your screen. **How quickly will you get back to me?** Within one working day, personally. There is no newsletter and your data is not passed on. **Can I call or write instead?** Yes. You can reach CloudDNA GmbH by phone at +43 664 1964199 and by e-mail at office@clouddna.at. --- # Story: Martin Koch and why AuthTailor exists · AuthTailor Source: https://authtailor.com/en/story > Pilot, air traffic controller, SAP Champion, SAP PRESS author: Martin Koch on logins that fail without saying why – and why AuthTailor is free. The story behind AuthTailor – and behind all the Tailors ## Never give up. The sky is the limit. My name is Martin Koch. Formerly a pilot and air traffic controller, in SAP integration since 2006, SAP Champion, author of 17 books for SAP PRESS, today the founder of CloudDNA – and a single father of three. With 24 people from southern Burgenland we build a family of industry software. AuthTailor is the smallest member of that family and the closest to the topic of my books on SAP BTP: security and single sign-on. This is the story behind it. Chapters - 01Who I am - 02At home - 03One sentence in Hamburg - 04The upheaval - 05We build it - 06We speak AI - 07The Tailor family - 08Why AuthTailor 01Who I am ### Every life counts. Not 999 out of 1,000. Before I built software, I learned two professions in which there is no such thing as 99.9 %: airline pilot with Austrian Airlines and air traffic controller with Austro Control. The entrance tests for both are among the toughest in the world – the DLR test in Hamburg with a failure rate north of 98 %, the multi-day assessment at Austro Control in which people find out how resilient they really are. Tens of thousands apply, a few dozen get through. I passed both. IQ measures how fast someone thinks. The cockpit test measures how calm someone stays when the display at the top right has been showing something wrong for five seconds and you have to be the first to notice. In aviation, the second one counts. And above everything stands one principle: every life counts. Not 999 out of 1,000. All of them. A professional pose or an operating system? When I took up tennis again in autumn 2025 after a thirty-year break, I looked for a coach who had worked with ATP top-10 players for decades. Not because I want to go on tour – but because when I take something seriously, I want to know where my ceiling really is. 02At home ### Three children, one father, no autopilot. I am a single father of three children. The two younger ones are of school age, the eldest is an adult. Anyone who knows this knows: there is no roster that holds and no day that ends the way it was planned. You learn to set priorities in seconds – and to re-sort them the next morning. My eldest son is severely disabled. He lives with a rare genetic defect, a microdeletion. He has taught me more about patience, reliability and what really matters than any assessment and any project. My three children are the centre of my life and my motivation – every single day. When I say “every life counts”, it is no longer a phrase from the cockpit. It is everyday life. And it is the reason I build software that gives people time back – time that is needed more urgently elsewhere. My life has changed massively through all of this. I have become even more structured than I was used to from the cockpit – and that is exactly why, in the early morning hours before the house wakes up, there is room every day for an hour of sport: kettlebell, rope skipping, boxing. Not despite the responsibility, but because of it. I am convinced: what matters most is the daily routine. Big goals are not reached with big days, but with many ordinary ones that reliably start the same way. That is exactly how we build software: it should carry the daily routine – unspectacular, reliable, every day – so that head and time remain for the unplannable. Never give up. The sky is the limit. My motto. Not a poster on the wall – a decision, every morning. 03One sentence in Hamburg ### How KSIC became CloudDNA. I founded CloudDNA more than ten years ago – originally not under that name. I came from SAP, where I had spent years at one of the largest software companies in the world. A safe harbour. I left it anyway. It started with an unwieldy name: KSIC GmbH – Koch Security, Integration and Cloud Consulting. Four letters nobody could pronounce. Rescue came over dinner in Blankenese, Hamburg, at a fish restaurant on the Elbe. My old SAP colleague Jörg listened to my explanation for the third time, raised his glass and said a single sentence: “Martin, you have the cloud in your DNA.” Two weeks later KSIC GmbH was no longer called KSIC. Daniel, my first employee, was already there – on his very first business trip. (Daniel, I am still sorry about the turbot.) We started in a tiny office in Oberwart. Today we work in the former Raiffeisen bank in Loipersdorf, in the middle of the spa and wine region of southern Burgenland, and draw on two talent schools you will not find on any world map: HTL Pinkafeld and the University of Applied Sciences Burgenland. The duo has become a team of 24 people, and we have published seventeen books with SAP PRESS – always from practice, never from marketing. 04The upheaval ### Custom software was a red rag. Until 2023. I built CloudDNA to create SAP integrations for large corporations – heavy software, paced in months. In that world custom software was avoided like the plague: too expensive, too slow, too risky. Then came the language models. I realised: this is not a gradual improvement, it is the upheaval that rewrites our craft. So I sat down myself and built software – at night, in my own editor, with the same tools I recommend to my team. You cannot explain AI-assisted development to anyone with a PowerPoint. You have to live it. What used to take three months and a six-figure sum now takes weeks. Not because programmers work magic, but because copilots take over the drudgery and developers become what they should be: craftspeople with a head. 05We build it ### From “We deliver” to “Wir bauen das”. For more than ten years our promise was “We deliver”: a customer describes, we deliver. That made us big. But it has a limit: whoever only delivers what is ordered rarely builds what is needed. That is why we are rebuilding ourselves. Consultants and developers are becoming forward deployed engineers and product owners. Forward deployed means: they sit where the problem arises – in the property management office, at the winery, in the law firm – and build on site. Product owner means: they stay until it is solved and own the product, not the ticket. We deliver Wir bauen das – we build it Requirements document Data sample with real data Ticket closed Problem solved Months to the first result Weeks, piloted next to the legacy system Hand-over at project end Responsibility afterwards Consultant at the customer Forward deployed engineer and product owner “Wir bauen das.” Three words you may only say to a customer if you mean them. 06We speak AI ### Inside the AI bubble and, above all, outside it. Inside the AI bubble everyone talks about models, benchmarks and agents. Outside – with the property manager running a thousand units, the winemaker in southern Burgenland, the restaurateur with twenty tables – a different question counts: Will this save me an hour tomorrow, and can I rely on it? We translate between these worlds. We build with Claude by Anthropic every day and are well on the way to becoming an Anthropic partner. But what reaches the customer is not a model, it is a workflow that works: - The AI proposes, a human decides. More autonomy comes only after a passed probation period. - Every action is in the audit trail. What the AI did can be read back. - AI has to pay for itself. Own key, fixed cost cap per tenant. - Data stays where it belongs. Tenants separated down to the database. Anthropic and Claude are trademarks of Anthropic PBC. The mention describes how we work. 07The Tailor family ### Made to measure instead of standard with a hundred compromises. Instead of just talking about AI-assisted development, we picked industries I know well enough – or in which I have friends who explain the problem to me until it sticks. Every Tailor shares the same foundation with its siblings, but speaks the language of its industry: - iFlowTailor – for SAP integration, which I have been building since 2006: the tools for development and operations never did the job for me – so we are building the workbench for development, operations and administration in one. - ProbeTailor – for acceptance tests in SAP projects and business software, because in all my years of SAP consulting I have seen too many acceptance tests in Excel lists and too many screenshots in e-mails. - JournalTailor – for accounts payable before SAP, BMD and DATEV, because in SAP projects I have too often watched invoices being retyped although the posting behind them has long been routine. - DocumentTailor – for SAP shops, because I spent fifteen years building forms on SAP Adobe Document Services and did not want to leave the succession question unanswered any longer. - RecordTailor – for everyone who needs a DMS that does not just store but reads – because I have too often seen someone secretly open Excel because the DMS is too slow. - ImmoTailor – for property managers and developers, because accounting, maintenance and portals get in each other’s way there more than anywhere. - TaxTailor – for tax firms, because a friend told me about his Windows terminal server over a glass of wine. - DineTailor – for restaurants, because for years I have been sitting at other people’s tables selling champagne to restaurateurs. - StayTailor – for hotels, because the spa region is full of businesses ducking under the booking portals’ terms. - MeetingTailor – for meetings and boards, because foundation boards, councils and club committees among my friends keep describing the same late-night scene. - Weintailor – for winemakers, because we sit in the middle of a wine region and every other trip turns into a wine trip anyway. - BuildTailor – for construction and trades, because defects, plans and daily reports happen on site – not in the office. - AuthTailor – for single sign-on, because in my SAP projects logins keep failing without saying why. We first built the tracer for ourselves in iFlowTailor – now we give it to everyone for free. CloudDNA is therefore no longer just an SAP supplier, but a workshop with a growing product line. Bolder in business. Humanly the most honest thing we could do. 08Why AuthTailor ### Single sign-on works. Until it doesn’t. And then it won’t say why. Together with Siegfried Zeilinger I wrote the books on security and authorizations, Cloud Connector and administration of SAP BTP. They explain how trust between SAP BTP and the identity provider is set up, how principal propagation runs through the Cloud Connector and which role collection brings which scope. What no book covers: what it is like when everything seems to be set up correctly and the login still fails. A login has many stops, and it can get stuck at any of them: - Browser - App - Identity provider - SAML response or token - Role collection - 403 Forbidden The error messages are remarkably terse: “invalid_grant”. “Assertion is not valid”. An error number in the identity provider, whose log sits in another tenant that belongs to another team. And the app simply says 403. Everyone sees their part. Nobody sees the whole flow. The browser’s developer tools show the requests, but not what they mean. A SAML response is Base64, often compressed as well; a JWT is three parts of alphabet soup separated by dots. Anyone who wants to read them copies them from window to window – and hands over the token of a real login along the way. For someone who wrote a book on security on SAP BTP, that is not a workflow you can recommend. In aviation, there is a flight recorder for moments like these. After an incident, nobody guesses – you read the recording: every step, in the right order, with a timestamp. That is exactly what I wanted for a login. So we built the flight recorder for single sign-on. First for ourselves: as the SAML & OIDC tracer in iFlowTailor, the workbench for SAP Cloud Integration – it still lives there. Then it became clear that the problem is not limited to people working with SAP Cloud Integration. Every app with SAML or OpenID Connect has it, with SAP or without. That is why AuthTailor exists as an extension of its own. Until now With AuthTailor “invalid_grant” and an error number The flow as a diagram, every finding with cause and fix Decoding a SAML response by hand Taken apart, nested as in the XML, signature checked Copying tokens into other windows Taken apart in the panel, on your own device Guessing which role is missing on a 403 Scope by scope, what is missing Screenshots in the ticket A masked report that fits into the ticket And why free? Because single sign-on keeps causing trouble in our own SAP projects – and because everyone who has to set up, run or explain logins in support feels the same. Putting a tool we need ourselves behind a paywall would have felt wrong. AuthTailor is free, with no account and no licence. Five ideas it is built on: - Idea 1 · The flight recorder #### Record first, judge second. An error rarely shows where it starts. AuthTailor records the whole login live, in any tab, and checks state, nonce and PKCE across all steps – not just the last request that turned red. - Idea 2 · No server #### A token does not belong on anyone else’s machine. Whoever examines logins has real tokens in front of them. That is why AuthTailor has no server and no telemetry, keeps recordings in memory only and masks secrets as they are recorded. - Idea 3 · Clearance for one flight #### Access only as long as it is needed. As an air traffic controller you give clearance for exactly one flight, not for the whole day. AuthTailor works the same way: access to websites is requested only for recording and handed back afterwards. - Idea 4 · Cause before symptom #### “403” is not a finding. A status code says that something is missing, but not what. The traffic light shows in which area it breaks, and on SAP BTP “Why 403?” answers the question scope by scope. - Idea 5 · Understand instead of copy #### If you know the flow, you find the error yourself. That is what we wanted to achieve with the books, and the panel should do it too: 13 flows of OAuth 2.0, OpenID Connect and SAML to click through, step by step, with a glossary and an error catalogue. “Login broken? Record it.” Not a slogan – it is how we work ourselves. [Install for free](https://authtailor.com/en#installieren) [All features](https://authtailor.com/en/features) [Talk to me about SSO on SAP BTP](https://authtailor.com/en/contact?thema=Beratung) The Tailor family ### Thirteen siblings – each for its own craft. Every Tailor solves a problem we know up close. Most siblings share the Tailor-Plattform with EU data residency and an AI layer. AuthTailor is the smallest of them: no server, no data storage, just a panel next to your tab. It started out as the SAML & OIDC tracer in iFlowTailor – and it still lives there too. - A AuthTailor SAML & OIDC tracer in your browser – you are here. - [I iFlowTailor Workbench for SAP Cloud Integration ↗](https://iflowtailor.com) - [P ProbeTailor Acceptance tests for SAP & business software ↗](https://www.probetailor.com) - [J JournalTailor Incoming invoices before SAP, BMD & DATEV ↗](https://www.journaltailor.com) - [D DocumentTailor Documents & signatures for SAP shops ↗](https://documenttailor.com) - [R RecordTailor Document management ↗](https://recordtailor.com) - [I ImmoTailor Property management & development ↗](https://www.immotailor.com) - [T TaxTailor Tax advisors ↗](https://taxtailor.at) - [D DineTailor Restaurants ↗](https://dinetailor.com) - [S StayTailor Hotels ↗](https://staytailor.at) - [M MeetingTailor Meetings & events ↗](https://www.meetingtailor.com) - [W Weintailor Winemakers ↗](https://weintailor.com) - [B BuildTailor Construction & trades ↗](https://buildtailor.com) Frequently asked ### Questions about CloudDNA. **Who is behind AuthTailor?** CloudDNA GmbH from Loipersdorf in southern Burgenland, Austria, founded by Martin Koch – formerly an airline pilot and air traffic controller, in SAP integration since 2006, SAP Champion and author of 17 books for SAP PRESS, among them the books on security and authorizations on SAP BTP. The team has 24 people. **Why is AuthTailor free?** Because single sign-on keeps causing trouble in our own SAP projects. We first built the tracer for ourselves in iFlowTailor; as an extension of its own we give it to everyone for free – no account, no licence, no server. **What does “Wir bauen das” (“We build it”) mean?** CloudDNA is changing from a service provider (“We deliver”) into a product builder: developers work as forward deployed engineers directly at the customer and, as product owners, are responsible for the product beyond the project. **What are the Tailors?** A family of software from CloudDNA, most of the siblings built on a shared foundation, the Tailor-Plattform: among others for SAP Cloud Integration (iFlowTailor), single sign-on (AuthTailor, both as browser extensions without a server), acceptance testing, incoming invoices, documents, property management, tax advisory, restaurants, hotels, boards and committees, winegrowing and construction. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # All sources · AuthTailor Source: https://authtailor.com/en/sources > The source register of the AuthTailor website: every product claim and every statement about books and the vendor, with its source and the date it was checked. Manifesto ## Sources. “Zero trust.” “Enterprise-grade.” “Military-grade encryption.” – security tools promise a lot and prove little. For a tool that checks every parameter of a login, that would be embarrassing. So every claim on this website has a source: product claims with our documentation as of version 1.0.0 of 8 November 2026, books and vendor with link and date. All siblings of the Tailor family share the habit. For us it means: no signature left unchecked, no claim without evidence. ### Product - #### Published in the Chrome Web Store AuthTailor is published in the Chrome Web Store under the item ID kdephpomekccclhpkhebdmcdgagcoffo, version 1.0.0, free of charge. Microsoft Edge can install extensions from the Chrome Web Store once “Allow extensions from other stores” is switched on. [Chrome Web Store, AuthTailor listing](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) · checked on 2026-11-09 - #### Version 1.0.0 of 8 November 2026 First release as a stand-alone extension. Version 1.0.0 brings the five tabs Auth Trace, Tools, SAP, Learning and About, the privacy policy in the panel and the link to the CloudDNA imprint. AuthTailor product documentation, changelog 1.0.0 · checked on 2026-11-08 - #### Browser extension for Chrome, with builds for Edge and Firefox One codebase for Chrome and Edge (Manifest V3, side panel) and Firefox (sidebar). The build produces packages for the Chrome Web Store, Microsoft Edge Add-ons and Firefox Add-ons. User interface in English (default) and German. AuthTailor product documentation, README and build configuration · checked on 2026-11-08 - #### Free, no account and no licence AuthTailor is the SAML & OIDC tracer from iFlowTailor as a stand-alone plug-in – not tied to SAP, no account, no licence. There are no paid features and no sign-in inside the extension. AuthTailor product documentation, README · checked on 2026-11-08 - #### The tracer from iFlowTailor Analysis, recording and user interface come from iFlowTailor, CloudDNA’s workbench for SAP Cloud Integration. The tracer still lives there; changes are carried over to both products. AuthTailor product documentation, README, section “Origin of the code” · checked on 2026-11-08 - #### Five tabs Auth Trace (record or paste, check, rate), Tools, SAP, Learning and About. In a narrow panel the tab icons are dropped so that all five fit. AuthTailor product documentation, README and changelog 1.0.0 · checked on 2026-11-08 - #### Screenshots and video with made-up data The live recording in the pictures and the video is an entirely made-up sign-in to “Acme Orders” (*.acme.example, OpenID Connect with PKCE, followed by an API call). The token is signed with a throw-away key that only existed during the recording. SAML, SAP, Tools and Learning show the built-in examples. No real recording, no real names, tenants or tokens. AuthTailor product documentation, Chrome Web Store materials · checked on 2026-11-08 - #### Record live in any tab Press “Record live” and sign in in any tab: the tracer shows the flow browser → app → identity provider as a diagram and checks state, nonce, PKCE, redirect_uri, InResponseTo, ACS URL and RelayState across the whole flow. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Paste or drop SAML Response, AuthnRequest, Assertion, metadata (XML, Base64, redirect-deflate), JWT, login URL, token request and response, discovery, JWKS, HAR file or an error message – known error codes, for example from Entra ID, SAP Cloud Identity Services, XSUAA and SuccessFactors, with cause and fix. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Visual anatomy of JWT and SAML JWT taken apart into header, payload and signature, chain of trust issuer → signature → audience, ID card with scopes and roles, times relative to now with clock-skew tolerance; SAML building blocks nested as in the XML, with seal and finding colour. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Signatures really checked SAML cryptographically with the certificate from the message – our own XML canonicalisation (exclusive and inclusive, tested against libxml2), RSA, RSA-PSS and ECDSA with SHA-1 to SHA-512 – optionally matched against the SHA-256 fingerprint from the IdP metadata. JWTs with the issuer’s keys, fetched by a click on “Load keys from …”. Warns about expiring certificates and keys missing after a rollover. AuthTailor product documentation, README and changelog 1.0.0 · checked on 2026-11-08 - #### Traffic light in five areas Security rating per area: flow & protocol, tokens & signatures, transport & leaks, cookies & session, browser protection. Purely functional findings such as a wrong audience or an expired token do not count towards the security rating. AuthTailor product documentation, changelog 1.0.0, security check · checked on 2026-11-08 - #### Attack patterns and leaks SAML: signature wrapping, duplicate IDs, comment in the NameID, DTD (never resolved), XSLT and XPath transforms (never executed). JWT: jku, x5u and jwk in the header, kid injection, crit. Leaks: code or token in the Referer to third parties, tokens in the query, client secret sent from the browser, token response without Cache-Control: no-store. Plus session fixation, third-party scripts without SRI on login pages, open redirects, look-alike and punycode hosts. AuthTailor product documentation, README and changelog 1.0.0 · checked on 2026-11-08 - #### Headers per step, masked Request and response headers per step, masked, with a SameSite check of the cookies on the POST back to the app; HSTS, frame protection and Referrer-Policy of the login pages; HttpOnly, Secure and the __Host- prefix of the session cookies. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Bearer tokens and DPoP (option) With the “Also bearer tokens” option the tracer shows JWTs from the Authorization header of API calls, with the rejection reason from WWW-Authenticate; DPoP proofs are checked against method, URL, ath and cnf.jkt. Refresh tokens: rotation and reuse. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Logout, discovery and metadata OIDC and SAML logout: whether the session cookies were deleted and the IdP signed out. Discovery and SAML metadata rated: implicit and password grant, none, PAR, DPoP, mTLS, logout endpoints; WantAssertionsSigned, SHA-1, transient NameID. AuthTailor product documentation, changelog 1.0.0 · checked on 2026-11-08 - #### Markdown report, masked The report summarises verdict, rating, flows, findings and steps as Markdown, ready for a ticket. It contains masked values only. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Tools: passkeys, certificates, web security Detects what was pasted: passkey response (WebAuthn: flags, authenticator, synced or device-bound, origin, RP ID, challenge), certificates, chains, CSRs, public and private keys, JWK and JWKS (order, expiry, key size, SHA-1, host name, whether key and certificate belong together), Content Security Policy with a stricter suggestion, security headers, CORS preflight, suspicious login links (punycode, look-alikes, open redirects) and secrets in any text. AuthTailor product documentation, README and changelog 1.0.0, Tools · checked on 2026-11-08 - #### Clean a HAR file Masks cookies, Authorization and session headers, codes, tokens, passwords and secret parameters in URL, form and JSON; JWTs stay readable but lose their signature. Response bodies: JSON only, none or all; SAML kept on request. Saved as a .sanitized.har file. AuthTailor product documentation, changelog 1.0.0, Tools · checked on 2026-11-08 - #### Find tokens in page storage – without the value On click, a function runs once in the active tab and searches localStorage, sessionStorage, IndexedDB and the names of cookies readable by JavaScript. Only the kind, length and harmless claims of the tokens (issuer, audience, expiry, scopes) come back, never a value. No content script; access via activeTab or a one-time grant that is handed back afterwards. AuthTailor product documentation, README, permissions; changelog 1.0.0 · checked on 2026-11-08 - #### SAP BTP: tokens, configuration, flows XSUAA and IAS tokens (scopes per app, role collections, zone, grant), reviews of xs-security.json, xs-app.json, service keys and destinations (JSON or properties, secrets masked only), logon tickets (MYSAPSSO2) with signature check, BTP flows (app router → XSUAA → IAS, IAS directly, principal propagation, SAML bearer, CSRF) as diagrams, SAP basics and SAP Gateway and ICF errors with cause and fix. AuthTailor product documentation, README and changelog 1.0.0, SAP · checked on 2026-11-08 - #### “Why 403?” Paste the token and enter the expected scopes or roles: the view compares, scope by scope, what the token carries with what the app requires, and names what is missing. AuthTailor product documentation, changelog 1.0.0, SAP · checked on 2026-11-08 - #### 13 flows, ten chapters, glossary, error catalogue, checklist 13 flows of OAuth 2.0, OpenID Connect and SAML as sequence diagrams to click through and play (code + PKCE, BFF, client credentials, refresh, device code, on-behalf-of, DPoP, implicit, password grant, SAML SP- and IdP-initiated, SAML bearer, logout), with risks and what the tracer checks. Plus basics in ten chapters, a glossary, a catalogue of known error messages with cause and fix and a go-live checklist. Flows detected in your input lead straight to the explanation. AuthTailor product documentation, README and changelog 1.0.0, Learning · checked on 2026-11-08 - #### No server, no telemetry AuthTailor has no server, no account, no analytics, no telemetry, no advertising and no third-party code. The extension sends no data, neither to CloudDNA nor to anyone else. The analysis runs entirely in the panel on the device. AuthTailor product documentation, privacy policy of the extension, “In short” · checked on 2026-11-08 - #### The one request: public keys on click Only on a click on “Load keys from ” does the panel fetch the issuer’s public discovery document and public keys (JWKS) with an HTTP GET without cookies or referrer. Nothing from the input is sent. Without that click, the extension makes no network request. AuthTailor product documentation, privacy policy of the extension · checked on 2026-11-08 - #### In memory only, while the panel is open Recordings and pasted content – including service keys, destinations and configurations – stay in memory only while the panel is open; they are never written to disk. Only the UI language, the “Headers” option and a flag in session storage recording whether the extension requested the host permission itself are stored. AuthTailor product documentation, privacy policy of the extension · checked on 2026-11-08 - #### Masked as it is recorded Cookie values, Authorization values, CSRF tokens, API keys, session headers, client secrets and passwords are masked while recording. Long cookie values are kept only as a short fingerprint so that the tracer can tell a renewed session; refresh tokens only as a short hash so that it can tell their rotation. Whatever leaves the panel is copied or saved by the user – and contains masked values only. AuthTailor product documentation, privacy policy of the extension, masking · checked on 2026-11-08 - #### Permissions and host access Fixed in the manifest: storage (language and “Headers” option), sidePanel, webRequest (observing only, ineffective without host access and without an install warning), scripting and activeTab (page storage on click, without an install warning). Optional: https://*/* – requested only on “Record live” or an allowed page scan and handed back afterwards, without disturbing a recording in progress. AuthTailor product documentation, README, “Privacy and permissions”; Chrome Web Store materials · checked on 2026-11-08 ### Vendor - #### CloudDNA GmbH – SAP Silver Partner CloudDNA describes itself as an SAP BTP partner from Austria for the DACH region and an SAP Silver Partner; it supports SAP projects in Austria, Germany and Switzerland. Focus areas according to its website: integration, architecture and clean core, Fiori and UX, full-stack development, agility and DevOps, and training. Martin Koch is listed there as founder & managing director and SAP Champion. [clouddna.at, start page and team](https://www.clouddna.at/) · checked on 2026-11-05 - #### Books on security, connectivity and administration of SAP BTP Martin Koch and Siegfried Zeilinger: “Security and Authorizations for SAP Business Technology Platform” (German edition “SAP Business Technology Platform – Sicherheit und Berechtigungen”), “Cloud Connector for SAP” (“Cloud Connector für SAP”) and “Configuring SAP Business Technology Platform” (“SAP Business Technology Platform – Administration”), all at SAP PRESS, Rheinwerk Verlag. [Rheinwerk Verlag (SAP PRESS), search “martin koch”](https://www.rheinwerk-verlag.de/suche/?suchbegriff=martin+koch) · checked on 2026-11-05 - #### iFlowTailor – workbench for SAP Cloud Integration CloudDNA’s browser extension for SAP Integration Suite: review, testing, error analysis and operations next to the iFlow editor. The SAML & OIDC tracer that AuthTailor grew out of is one of its views. [iflowtailor.com](https://iflowtailor.com) · checked on 2026-11-08 --- # Privacy policy · AuthTailor Source: https://authtailor.com/en/privacy > Privacy policy for the AuthTailor website and browser extension: no cookies, no trackers, and the extension sends none of your data. ## Privacy policy In short: this website sets no cookies, loads nothing from third-party servers and uses no trackers. We only receive data if you write to us. The browser extension AuthTailor has no server and sends none of your data – its privacy policy is in section 5. Sections 1–4 and 6–7 are a translation for convenience; the German version is legally binding. Section 5 is the original English privacy policy of the extension. ### 1. Controller CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Austria Managing director: Martin Koch · Phone: [+43 664 1964199](tel:+436641964199) · E-mail: [office@clouddna.at](mailto:office@clouddna.at) We are not obliged to appoint a data protection officer. For all data protection questions, you can reach us at the e-mail address above. ### 2. Visiting the website When you visit the website, our hosting provider processes technically necessary data (IP address, time, page requested, browser identifier) in server logs in order to deliver the page and protect it against attacks. The legal basis is our legitimate interest in secure operation (Art. 6(1)(f) GDPR). The logs are deleted automatically after a short time. Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Delivery preferably from the Frankfurt (fra1) region. Where data may reach the USA, we rely on: EU-U.S. Data Privacy Framework (adequacy decision of the European Commission of 10 July 2023) and standard contractual clauses. ### 3. No cookies, no trackers – YouTube only after a click We do not set cookies. We access your device only where this is strictly necessary for a function you have chosen (§ 165(3) of the Austrian Telecommunications Act 2021 (TKG 2021), § 25(2) of the German Telecommunications Digital Services Data Protection Act (TDDDG)). Fonts, scripts and images are hosted on our own server; no content is loaded from social media platforms or analytics services. Your browser stores the light/dark choice only for the current visit (sessionStorage); it is not transmitted to us. YouTube video. On the home page we first show only a preview image from our own server. Only when you click “Play” does your browser load the video from YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) in privacy-enhanced mode via www.youtube-nocookie.com. Google then receives in particular your IP address, browser data and the address of our page; during playback YouTube may store data on your device and transfer data to the USA (basis: EU-US Data Privacy Framework). The legal basis is your consent given by the click (Art. 6(1)(a) GDPR, § 165(3) TKG 2021); it applies to that one playback only, and nothing is loaded without the click. The “Watch on YouTube” link opens YouTube in your browser. Details: [Google’s privacy policy](https://policies.google.com/privacy). ### 4. Requests via the form and by e-mail If you write to us via the form or by e-mail, we process your details (name, company, e-mail, subject of your request, role, environment, message and – if you came via a link with a campaign code – that code from the address bar, so that we know what you are responding to) in order to reply to you. The legal basis is taking steps prior to entering into a contract (Art. 6(1)(b) GDPR) or our legitimate interest in answering enquiries (point (f)). We create the request as a contact in our CRM (the Tailor-Plattform of CloudDNA) and handle it there; no processor outside CloudDNA is involved. In the “Thank you” window after submitting, we display your first name and e-mail address only in your browser – nothing is stored or transmitted to third parties for this. We keep the request until it has been dealt with, and beyond that only where statutory retention obligations apply or a contractual relationship results from it. Please do not send us tokens, cookies, passwords or service keys. We will not send you a newsletter unless you expressly subscribe to one. ### 5. Browser extension AuthTailor This section is the privacy policy of the browser extension AuthTailor for Chrome, Microsoft Edge and Firefox, in the same wording as under “About” in the extension. It is also the address given as the privacy policy in the Chrome Web Store. Last updated: 2026-11-08 · Same wording as under “About” in the extension. #### Who is responsible AuthTailor is a browser extension that helps developers and administrators analyse SAML and OpenID Connect logins. It is published by: - CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Austria - E-mail: [office@clouddna.at](mailto:office@clouddna.at) - Imprint: [https://authtailor.com/en/imprint](https://authtailor.com/en/imprint) #### In short No data leaves your device. AuthTailor has no server, no account, no analytics, no telemetry, no advertising and no third-party code. It never sends your data to CloudDNA or anyone else. #### The one request it makes on your behalf When you click "Load keys from ", the panel fetches the public discovery document and the public keys (JWKS) of that token issuer with a plain HTTP GET, without cookies or a referrer. Nothing from your input is sent; the issuer only sees that its public keys were requested, and from which IP address. Without that click, the extension makes no network request. #### What the extension processes, and where - Live recording (only after you press "Record live"): the extension observes the network requests that the browser makes during a login – URL, method, form parameters of login POSTs (e.g. SAMLResponse) and, if the "Headers" option is on, request and response headers. With the "Also bearer tokens" option it also observes JWTs in the Authorization header of API calls. It does this only after you grant the optional host permission, and gives that permission back when you stop. Recording stops on its own after 30 minutes. - Pasted or dropped content: text or files you paste or drop into the panel, such as SAML messages, JWTs, URLs, HAR files, error messages, certificates, keys, SAP service keys, destinations or configuration files. - Page storage scan (only after you click "Scan this page" in Tools): a function runs once in the active tab and reads its localStorage, sessionStorage, IndexedDB and the names of cookies readable by JavaScript. Only the kind of each token (JWT, refresh token, secret), its length and harmless claims (issuer, audience, expiry, scopes) come back to the panel – never a value. Access comes from activeTab (when you opened the panel from the toolbar icon) or from a one-time host permission that is given back right after the scan. - Analysis runs entirely inside the extension panel on your device. Recordings and pasted content stay in memory only while the panel is open; they are never written to disk. - Masking: secrets are masked as they are recorded – cookie values, Authorization values, CSRF tokens, API keys, session headers, client secrets and passwords. Long cookie values are kept only as a short fingerprint, so that the tracer can tell whether a session cookie was renewed at login; refresh tokens only as a short hash, so that it can tell whether they are rotated. Bearer JWTs and DPoP proofs stay unmasked only with the "Also bearer tokens" option, because the check needs them. - Stored settings: only your choice of UI language and the "Headers" option (browser storage of the extension), plus a flag recording whether the extension requested the host permission itself, so that it can hand it back (session storage, cleared when the browser closes). You can reset the settings under About or remove them by uninstalling the extension. #### What leaves the panel - Only what you copy or save yourself, for example with "Copy report", "Copy headers (masked)" or "Save cleaned HAR". - The copied report and the saved HAR contain masked values only. #### Links to websites Under About, the panel links to the CloudDNA website, its imprint and our books at SAP PRESS. These links open in a new tab without a referrer; the extension sends nothing with them. The websites you open have their own privacy policies. #### Sharing and sale None. AuthTailor does not sell or transfer any data, and does not use any data for advertising, creditworthiness or any purpose other than its single purpose of analysing logins. #### Legal basis and your rights As CloudDNA receives no personal data through AuthTailor, it stores nothing about you that could be accessed, corrected or deleted. All processing happens on your device at your request. If you have questions, write to [office@clouddna.at](mailto:office@clouddna.at). You also have the right to lodge a complaint with a supervisory authority; in Austria this is the Datenschutzbehörde ([https://www.dsb.gv.at/](https://www.dsb.gv.at/)). #### Changes If the extension's handling of data changes, this policy is updated with the new version and the date above. ### 6. Advertising We send advertising e-mails or make advertising calls only with your prior consent (§ 174 TKG 2021). ### 7. Your rights You have the right of access, rectification, erasure, restriction of processing, data portability and objection. To exercise them, write to [office@clouddna.at](mailto:office@clouddna.at). You can lodge a complaint with the Austrian Data Protection Authority (Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, [www.dsb.gv.at](https://www.dsb.gv.at)) or with a supervisory authority in your country. Last updated: 8 November 2026 --- # Imprint · AuthTailor Source: https://authtailor.com/en/imprint > Imprint of the AuthTailor website: CloudDNA GmbH, Loipersdorf, company register, VAT ID, supervisory authority, liability, trademarks and contact. ## Imprint Information pursuant to § 5 of the Austrian E-Commerce Act (ECG), § 14 of the Austrian Commercial Code (UGB) and disclosure pursuant to § 25 of the Media Act (MedienG). For users in Germany, this also serves as provider identification pursuant to § 5 of the German Digital Services Act (DDG). This is a translation for convenience; the German version is legally binding. You can switch to it with the language switcher at the top of the page. ### Media owner and service provider CloudDNA GmbH Untere Hauptstraße 23 7410 Loipersdorf, Austria Phone: [+43 664 1964199](tel:+436641964199) E-mail: [office@clouddna.at](mailto:office@clouddna.at) Web: [www.clouddna.at](https://www.clouddna.at) ### Company details - Legal form: limited liability company (Gesellschaft mit beschränkter Haftung, GmbH) - Company register number: FN 480760 a - Company register court: Landesgericht Eisenstadt (Regional Court of Eisenstadt) - VAT ID: ATU72725928 - Managing director: Martin Koch - Business activity: IT-Dienstleistungen (IT services) - Chamber membership: Wirtschaftskammer Burgenland (Burgenland Chamber of Commerce) - Supervisory authority under the ECG: Bezirkshauptmannschaft Oberwart (Oberwart district authority) - Country in which the trade licence was granted: Austria - Applicable regulations: Trade Regulation Act (GewO), available at [www.ris.bka.gv.at](https://www.ris.bka.gv.at) ### Disclosure pursuant to § 25 MedienG Media owner: CloudDNA GmbH, 7410 Loipersdorf. Managing director: Martin Koch. Ownership: Martin Koch (100 %). ### Editorial line (§ 25 (4) MedienG) Information about the software AuthTailor and the services of CloudDNA GmbH. ### Online dispute resolution We are neither obliged nor willing to take part in dispute resolution proceedings before a consumer arbitration board. Our offer is aimed at businesses. ### Trademarks SAP, SAP BTP, SAP Cloud Identity Services and all other product and company names mentioned are trademarks of their respective owners. AuthTailor is not a product of SAP SE. The names are used to describe what AuthTailor works for and with. CloudDNA GmbH is not affiliated with these companies. ### Liability for content and links We check the content of this website carefully and back statements with sources. The operators of external websites we link to are solely responsible for their content; no legal violations were apparent at the time of linking. ### Copyright The texts, graphics and design of this website are protected by copyright. Any use beyond what the law permits requires our consent. ### Image credits All graphics on this website are our own illustrations. No AI-generated images of real people are used. --- # Documentation of the SAML & OIDC tracer · AuthTailor Source: https://authtailor.com/en/docs > The AuthTailor docs: installation, live capture, pasting, reading the result, tokens and SAML, tools, SAP, learning and privacy – with screenshots. ## AuthTailor documentation How to install AuthTailor, record a login and read the result – with screenshots of the real extension, the exact labels of the panel and made-up data. Search the whole docs at the top left; the / key jumps to the search field. New here?Start with [Getting started](https://authtailor.com/en/docs/getting-started). Then [Live capture](https://authtailor.com/en/docs/live-capture) shows how to record a login and [Reading the result](https://authtailor.com/en/docs/reading-the-result) how to read the verdict, the rating and the flow diagram. AuthTailor is a free browser extension. It shows what really happens during a login with SAML 2.0 or OpenID Connect and why it fails. Everything runs locally in the panel: no server, no account, no telemetry. This is how the panel opens: Auth Trace with live capture and the paste field. - The five tabs: Auth Trace, Tools, SAP, Learning and About. - Record live in the browser – see [Live capture](https://authtailor.com/en/docs/live-capture). - Paste or drop here: SAML, JWT, URL, token response, HAR or an error message – see [Paste and examples](https://authtailor.com/en/docs/paste-and-examples). - Try an example with made-up data, without a login of your own. - Expected values and Clock tolerance to compare against your configuration. Every page about a tab shows what it is for, the typical tasks step by step, the buttons with their labels and typical problems. Labels are written exactly as the panel shows them. The screenshots show the real extension at a made-up company: “Acme” with hosts under *.acme.example and the user Erika Muster. Click to enlarge. ### Getting started - [Getting started Install, open the panel, get a first result from an example, then record or paste.](https://authtailor.com/en/docs/getting-started) ### Auth Trace - [Live capture Record a login in the browser – with bearer tokens and headers, without exporting a HAR.](https://authtailor.com/en/docs/live-capture) - [Paste and examples Paste SAML, a JWT, a URL, a token response, a HAR or an error message – and compare with expected values.](https://authtailor.com/en/docs/paste-and-examples) - [Reading the result Verdict, next step, traffic light in five areas, login flow, headers and report.](https://authtailor.com/en/docs/reading-the-result) - [Tokens and SAML JWTs and SAML messages as graphics: chain of trust, ID card, claims, signature, validity, certificates.](https://authtailor.com/en/docs/tokens-and-saml) ### More tabs - [Tools Check passkeys, certificates, CSP, CORS, links and secrets, clean a HAR, scan page storage.](https://authtailor.com/en/docs/tools) - [SAP Check XSUAA and IAS tokens, xs-security.json, xs-app.json, service keys, destinations and logon tickets – and explain a 403.](https://authtailor.com/en/docs/sap) - [Learning 13 flows as sequence diagrams, ten chapters of basics, glossary, error catalogue and go-live checklist.](https://authtailor.com/en/docs/learning) - [Permissions and privacy Which permissions AuthTailor needs, what it processes, what it stores and what leaves the panel.](https://authtailor.com/en/docs/permissions-and-privacy) ### Help - [Troubleshooting What the panel’s messages mean and what helps when recording, pasting or loading keys does not work.](https://authtailor.com/en/docs/troubleshooting) - [Changelog What has changed in AuthTailor – since the first version 1.0.0.](https://authtailor.com/en/docs/changelog) ### See also - Features at a glance [Features · All tabs](https://authtailor.com/en/features#trace) - Help from people [Ask CloudDNA](https://authtailor.com/en/contact) - Docs [Getting started](https://authtailor.com/en/docs/getting-started) - Docs [Troubleshooting](https://authtailor.com/en/docs/troubleshooting) - Sources Five tabs · Free · No server Frequently asked ### Short answers. **Are the docs available in German?** Yes. Every page exists in English and German, each with the panel labels of that language and its own screenshots. **Where do the screenshots come from?** From the real extension. A script logs in at a made-up demo company under *.acme.example that runs only on the script’s machine and retakes the images. There are no real hosts, users or tokens in them. **Where do I find help if something does not work?** On the troubleshooting page, and from CloudDNA via the contact form. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Install AuthTailor and get started · AuthTailor Source: https://authtailor.com/en/docs/getting-started > Install AuthTailor in Chrome, Edge or Firefox, open the panel, try an example and record or paste your first login. ## Getting started From installation to the first finding in a few minutes: install the extension, open the panel with its icon, click an example – then record or paste your own login. No account and no server. **Browsers** Chrome, Edge, Firefox 115 or later **Price** free **Account** none needed **Languages** English and German This page answers - How do I install AuthTailor in Chrome, Edge or Firefox? - How do I open the panel? - How do I get a first result without a login of my own? - Why does AuthTailor ask for access to all websites when recording? ### Install AuthTailor is free in the Chrome Web Store. Edge installs the extension from the same listing; for Firefox there is a package on request. #### Chrome - Open the [listing in the Chrome Web Store](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo). - Click Add to Chrome and confirm. Chrome lists only the fixed permissions; access to websites is optional and requested only when you record. - Pin AuthTailor via the puzzle icon in the toolbar. Then the key icon is always visible. #### Microsoft Edge - Open the [listing in the Chrome Web Store](https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo) in Edge. - In the notification bar, switch on Allow extensions from other stores. - Add the extension with the button in the listing and confirm. #### Firefox For Firefox 115 or later there is a package on request via the [contact form](https://authtailor.com/en/contact). In Firefox, AuthTailor appears as a sidebar instead of a side panel; everything else is the same. In a companyWhat corporate IT wants to know about permissions and roll-out is on the [Security](https://authtailor.com/en/security#rollout) page. ### Open the panel A click on the key icon opens the panel. In Chrome and Edge it sits as a side panel next to the page and stays open while you click in the tab beside it. In Firefox the icon switches the sidebar on and off. Head of the panel: language and tabs. - The language switch EN · DE. On first start the panel follows the browser’s language; it remembers your choice. - The tabs. A running recording keeps running when you switch tabs. The panel does not remember the selected tab. Light or dark follows the operating system. At the bottom the panel shows the version and the note “Runs locally · no account · none of your data sent”. ### First result with an example Below the paste field there are five examples with made-up data (example.com). Times in them are relative to now, so expiry times look real. - Open the Auth Trace tab. - Under Try an example, click a tile, for example SAML Response. - The example lands in the field and is checked straight away. Clear empties the field again. An example gives a complete result right away. - The example is in the field. - Recognised: what AuthTailor found in the input. - The verdict with the next step – more in [Reading the result](https://authtailor.com/en/docs/reading-the-result). - The security rating – the message’s card follows below, more in [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml). ### Record your first own login - In Auth Trace, click Record live. - The first time, the browser asks for access to all https sites. Allow it – without this access the browser cannot record. - Log in in the tab next to it, as you normally would. - Back in the panel, click Stop. The result appears below. The access is only for the recording: AuthTailor requests it when you start and gives it back when you stop. Only SAML, OAuth and OIDC requests are recorded, no response bodies. More in [Live capture](https://authtailor.com/en/docs/live-capture) and [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy). ### Or paste If you already have a SAML Response, a JWT, a HAR file from the DevTools or an error message, paste it into the field Paste or drop here, drag the file onto it or choose Open file …. What AuthTailor recognises is listed in [Paste and examples](https://authtailor.com/en/docs/paste-and-examples). ### See also - Security [Security and permissions](https://authtailor.com/en/security#berechtigungen) - Docs [Live capture](https://authtailor.com/en/docs/live-capture) - Docs [Paste and examples](https://authtailor.com/en/docs/paste-and-examples) - Docs [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy) - Sources Chrome Web Store · Chrome, Edge, Firefox · Tabs Frequently asked ### Short answers. **Does AuthTailor cost anything?** No. AuthTailor is free, with no account and no licence. **Why does AuthTailor want access to all websites when recording?** The browser hands requests of other tabs only to extensions with host access. AuthTailor requests it only when a recording starts, reads only login requests and gives the access back when you stop. **Does it work without recording?** Yes. You can paste or drop SAML, JWTs, URLs, token responses, HAR files and error messages. For that AuthTailor needs no access to websites. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Record a login live · AuthTailor Source: https://authtailor.com/en/docs/live-capture > Record a SAML or OIDC login live in the browser with AuthTailor: start, the bearer token and header options, stop, masking and limits. ## Live capture The quickest way to a finding: click Record live, log in in the tab next to it, Stop. AuthTailor records only the login requests and masks secrets as it goes. **Tab** Auth Trace **Duration** 30 minutes at most **Size** up to 300 requests **Permission** host access only while recording This page answers - How do I record a SAML or OIDC login live? - What do the options “Also bearer tokens” and “Headers” mean? - What does AuthTailor record and what not? - Why does a recording end by itself? ### Start a recording The box Record live in the browser sits at the top of Auth Trace. No upload: start, then log in in any tab – only SAML, OAuth and OIDC requests are recorded. Before starting: the button and two options. - Record live starts the recording. - Also bearer tokens – JWTs from the Authorization header of API calls, e.g. to see why an API answers 401. Off whenever the panel opens. - Headers – request and response headers of the login steps, masked. On by default; the panel remembers your choice. - Choose the options. They cannot be changed while recording. - Click Record live. The first time, allow access to all https sites. - Trigger the login in the tab next to it – open the app, click Sign in, log in at the identity provider. - Wait until the app is signed in, then click Stop in the panel. If you refuse the access, the panel says “Without the permission the browser cannot record – paste or drop a HAR instead.” The HAR route is described in [Paste and examples](https://authtailor.com/en/docs/paste-and-examples#har). ### While recording The recording is running. - Recording keeps count – without bearer tokens the login requests, with the option as here all captured requests. Below: “Log in now in a tab. Stops by itself in 30 min.” and how many requests the browser has seen in tabs in total. - Stop ends the recording. You log in as usual in a tab. The images of these docs show a made-up app “Acme Orders” with the identity provider login.acme.example: The login runs in a normal tab – here a made-up demo. As soon as login requests arrive, the result appears while recording and grows: With “Also bearer tokens”: login and API calls in one recording. - With Also bearer tokens the line counts requests captured (login and bearer tokens). - Authorization headers seen: how many were JWTs, opaque tokens or Basic. AuthTailor only takes JWTs. - The verdict is already there – here the API rejects the token with insufficient_scope. ### After stopping After stopping: result, actions and notes about the recording. - Record again starts a new recording and replaces the old one. - Save cleaned HAR saves the recording masked as authtrace-live.sanitized.har; next to it Copy report copies verdict, rating, flows, findings and steps as Markdown. - Clear discards the recording, Back to paste shows the paste field again. Behind them: what the recording contains and what not. - The verdict – how to read it is described in [Reading the result](https://authtailor.com/en/docs/reading-the-result). - The Security rating as a traffic light per area. ### What is recorded Recorded | Not recorded SAML in URL or form (SAMLRequest, SAMLResponse, RelayState) | Response bodies – use a HAR for token responses OAuth and OIDC parameters (code, state, nonce, PKCE, redirect_uri, errors) | Requests that are not part of the login (images, scripts, app data) Token, discovery and JWKS calls, logouts | Basic credentials and opaque tokens With Headers: request and response headers of these steps, masked; without the option only Location | Cookie values, passwords, client secrets (masked) With Also bearer tokens: Authorization: Bearer with a JWT, the response’s WWW-Authenticate, DPoP proofs | Refresh tokens in clear – only a short hash, so rotation stays visible Everything stays in the panel’s memory while it is open. Close the panel and the recording is gone. More in [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy). ### Limits - A recording ends by itself after 30 minutes and holds up to 300 requests. - Server-to-server flows (client credentials, SAML bearer, on-behalf-of) are invisible to the browser. Paste the token request or the token instead. - Token responses carry their content in the response body. The recording does not read it – but with Also bearer tokens you see the tokens in the API calls, or you export a HAR. ### See also - Features at a glance [Features · Auth Trace](https://authtailor.com/en/features#trace) - Security [Security and permissions](https://authtailor.com/en/security#berechtigungen) - Docs [Reading the result](https://authtailor.com/en/docs/reading-the-result) - Docs [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy) - Docs [Troubleshooting](https://authtailor.com/en/docs/troubleshooting) - Sources Live capture · Masking · Bearer tokens Frequently asked ### Short answers. **Do I need to export a HAR first?** No. The live capture replaces the export from the DevTools. You only need a HAR to see response bodies such as the token response. **Does the recording continue when I switch tabs?** Yes. A running recording continues as long as the panel is open. Closing the panel ends it. **Does the host access stay granted after recording?** No. AuthTailor requests the access when starting and gives it back when stopping. About › Permissions shows the current state. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Paste SAML, JWTs and HAR files · AuthTailor Source: https://authtailor.com/en/docs/paste-and-examples > What AuthTailor recognises when you paste: SAML, JWTs, login URLs, token requests and responses, HAR, error messages – plus examples and expected values. ## Paste and examples Not every login can be recorded live. Then paste what you have – a SAML Response from a support ticket, a token from a log, a HAR from the DevTools or the error message on screen. AuthTailor works out by itself what it is. **Tab** Auth Trace **Files** up to 60 MB: .har, .json, .xml, .txt, .log, .jwt **Storage** memory only **Examples** five, with made-up data This page answers - What can I paste into AuthTailor? - How do I check a SAML Response or a JWT without recording? - What are the expected values and the clock tolerance for? - What does AuthTailor do with an error message like AADSTS50011? ### The paste field The field takes text, dropped files and examples. - Paste or drop here: paste text with Ctrl+V or ⌘+V, or drag a file onto it. - Open file … picks a file of up to 60 MB. Very long input is shown shortened, but everything is checked. - “Analysed locally · nothing stored or sent · secrets masked” – the check runs in the panel. - Try an example: SAML Response, OIDC code flow (HAR), SuccessFactors SAML Bearer, ID token and Error message, all with made-up data and times relative to now. ### What AuthTailor recognises Input | Examples SAML | Response, request, assertion, logout, metadata – as XML or Base64, also URL-encoded or deflated from the redirect binding JWT | ID token, access token, logout token, DPoP proof OAuth and OIDC | Login URL (/authorize), callback with code and state, logout URL, token request, token response, discovery, JWKS HAR | Export from the DevTools with the whole flow – including response bodies that the live capture does not have Error message | Text with a known code, for example AADSTS50011, invalid_grant or a SAML status After pasting, Recognised: below the field shows what AuthTailor found. Passkey responses, certificates, CSP or CORS belong in [Tools](https://authtailor.com/en/docs/tools), SAP tokens and SAP configuration in [SAP](https://authtailor.com/en/docs/sap). ### Check a SAML Response - Copy the value of SAMLResponse – from the form POST in the DevTools, from a log or a ticket. - Paste it into the field. AuthTailor decodes Base64 by itself. - Read the verdict, the rating and the SAML Response card. Clear empties the field again. A pasted SAML Response with a valid signature. - Clear removes the input. - Recognised: SAML Response · HTTP-POST. - The verdict: All clear – the signature is valid, times and receiver match. - Flows in this input: without the matching AuthnRequest, AuthTailor assigns the response to the flow SAML, started by the IdP (IdP-initiated). A click opens the explanation in [Learning](https://authtailor.com/en/docs/learning). The card below with anatomy, chain of trust and certificate is explained in [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml#saml). ### Paste a HAR A HAR contains the whole flow including response bodies, so also the token response. This is how to export it: - Open the DevTools (F12), tab Network, switch on Preserve log. - Go through the login. - Right-click the list and choose Save all as HAR. - Drag the file onto AuthTailor’s field. CautionA HAR contains cookies, tokens and often passwords. Before you share it, clean it with Save cleaned HAR or in [Tools](https://authtailor.com/en/docs/tools#har). ### Expected values Many logins fail on a single character – a missing slash in the entity ID, a different client ID. Under Expected values you enter what your app expects. AuthTailor compares it character by character with the message. An expected audience that does not match turns the verdict red. - The fields Audience / entity ID of the receiver, Recipient / ACS or token URL, Issuer of the IdP, Client ID and Certificate fingerprint (SHA-256) from the IdP metadata. All are optional. - Clock tolerance: 0, 1, 2, 5 or 10 minutes. That is how far the clocks of issuer and receiver may differ. The default is 2 minutes. - Reset empties all fields. After a recording, Take from the recording fills in the values found. - The verdict that the audience does not match, with the next step. With the fingerprint from the metadata you check that the message really was signed with your IdP’s certificate – and not just with any certificate that comes along in the message. ### Paste an error message If the login only shows an error message, paste it. The catalogue of known errors knows codes from Entra ID, SAP, OAuth and SAML. An error message is enough for cause and fix. - The error message in the field – here the built-in example. - The verdict with the next step. - Known error with code, Cause and Fix. Search the whole catalogue in [Learning](https://authtailor.com/en/docs/learning#fehler). ### See also - Features at a glance [Features · Auth Trace](https://authtailor.com/en/features#trace) - Docs [Reading the result](https://authtailor.com/en/docs/reading-the-result) - Docs [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml) - Docs [Tools](https://authtailor.com/en/docs/tools) - Sources Paste or drop · In memory only Frequently asked ### Short answers. **Is pasted content stored anywhere?** No. Pasted content stays only in the panel’s memory while it is open and is never sent. **Do I have to decode a SAML Response first?** No. AuthTailor takes XML, Base64, URL-encoded values and the deflated redirect binding and decodes them by itself. **Where do I get the fingerprint for the expected values?** From your identity provider’s SAML metadata: it is the SHA-256 fingerprint of the signing certificate. AuthTailor also shows it in the Certificates card of every SAML message. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Read the result: verdict, rating, flow · AuthTailor Source: https://authtailor.com/en/docs/reading-the-result > How to read AuthTailor’s result: verdict with next step, security rating in five areas, the login flow as a diagram, headers and the report. ## Reading the result Recorded or pasted – the result always has the same structure: the verdict with the next step at the top, then the traffic light, the flow step by step and one card per message. **Verdict** four levels **Rating** five areas **Flow** browser, app, identity provider **Report** Markdown, masked This page answers - What does AuthTailor’s verdict mean? - How do you read the security rating? - What does the login flow show? - How do I share a result with the team? ### The verdict At the very top is what AuthTailor thinks of the login – in one sentence, with the next step. The pictures show a recording of the made-up app “Acme Orders”: the login works, but the API rejects an approval. The verdict with the next step. - The verdict in four levels: All clear, Worth a look, Login breaks here or Nothing recognised. Below it the cause in one sentence. - Next step: what you should do now. - The counters: critical and high findings, medium findings and passed checks. - Flows in this input: which flow was recognised, here Authorization Code + PKCE. A click opens the explanation in [Learning](https://authtailor.com/en/docs/learning#ablaeufe). - Load keys from … fetches the issuer’s public keys so that AuthTailor can check the signature of the JWTs. More in [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml#signatur). TipIf a verdict is red, the cause is almost always in the first red finding. Read it first before working through the headers. ### The security rating Even a login that works can be insecure. The Security rating sorts all findings into five areas and gives each a traffic light. Yellow means: works, but is not state of the art. - The overall light – as red as the worst area. - A green area with the number of passed checks. - An opened area with its findings, each with consequence and fix. Area | What is checked Flow & protocol | state, PKCE, nonce, grant, bindings across the flow Tokens & signatures | algorithms, keys, certificates, lifetimes, attack patterns Transport & leaks | HTTPS, tokens in URLs, Referer, cache, secrets in the browser Cookies & session | SameSite, Secure, HttpOnly, logout Browser protection | HSTS, framing, CSP, scripts, CORS and authenticity of the login pages Red means a critical or high finding, yellow a medium one. Plain notes (i) keep the light green. Purely functional findings such as a wrong audience or an expired token show up in the verdict, but do not count towards the security rating. ### The login flow For a recording or a HAR, AuthTailor draws the Login flow as a diagram with three lanes: browser, app and identity provider. Requests that are not part of the login are hidden. Five of eight requests belong to the login. - The lanes with their hosts – here orders.acme.example as the app and login.acme.example as the identity provider. - A step with title, method, URL, status and time since the first step. The red dashed arrow is the step where it breaks. A click opens the step’s details. - Across the flow: checks that concern several steps together – does state come back unchanged, does the PKCE verifier match the challenge, are protective headers missing? ### Headers of a step If the Headers option was on during recording, each step shows its request and response headers. Values of cookies, Authorization and other secrets are masked. Headers of a step, secrets masked. - The selected step. - Only problems hides the passed checks in the cards below. - Filter headers searches names and values. - Copy headers (masked) puts the headers on the clipboard, without the secrets. - Notable cookie attributes are highlighted – here SameSite=None. ### Cards and report Below the flow there is one card per recognised message: token, SAML message, login URL, token response. What the cards contain is described in [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml). - Copy report puts a Markdown report on the clipboard – verdict, flow, findings and fixes, masked. It fits into a ticket or a chat. - Save cleaned HAR saves a recording or a HAR without secrets: headers, cookies, parameters and bodies masked, JWTs without signature. - Expected values can be filled after a recording with Take from the recording, see [Paste and examples](https://authtailor.com/en/docs/paste-and-examples#erwartet). CautionThe report is masked, but contains hosts, client IDs and claims such as names or email addresses. Read it before sharing it outside your team. ### See also - Features at a glance [Features · Auth Trace](https://authtailor.com/en/features#trace) - Docs [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml) - Docs [Learning](https://authtailor.com/en/docs/learning) - Docs [Troubleshooting](https://authtailor.com/en/docs/troubleshooting) - Sources Security rating · Headers · Report Frequently asked ### Short answers. **Why is the light yellow although the login works?** The light rates security, not whether the login works. Yellow means: works, but is not state of the art – for example a session cookie without HttpOnly. **Why does the flow show fewer steps than requests were recorded?** AuthTailor shows only the requests that belong to the login. Images, scripts and other calls are hidden. **Does the report contain tokens?** No. Secrets such as cookie values, passwords and tokens are masked. Claims such as name or email address may be included, though. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Understand JWTs and SAML Responses · AuthTailor Source: https://authtailor.com/en/docs/tokens-and-saml > How AuthTailor shows JWTs and SAML: token anatomy, chain of trust, signature with the issuer’s keys, validity on the time axis and certificates. ## Tokens and SAML Every recognised message gets a card in the result. Instead of Base64 and XML you see who issued what for whom, whether the signature is valid and how long it lasts. **Cards** one per message **JWT signature** with the issuer’s keys **SAML signature** RSA, RSA-PSS, ECDSA, SHA-1 to SHA-512 **Network** only the GET for the keys, on click This page answers - How does AuthTailor display a JWT? - How does AuthTailor check a JWT’s signature? - How does AuthTailor check a SAML Response? - How can I tell whether a token has expired? ### The card of a JWT The pictures show the access token of the made-up app “Acme Orders”. At the top of the card are the kind, issuer, audience and user, below them the Token anatomy. The token anatomy of an access token. - Chain of trust: Issuer → seal with algorithm and key ID → For whom (audience and authorised client). - The ID card: who is logged in, with Scopes and Roles. - The bar shows how large Header, Payload and Signature are. The signature itself is hidden on purpose – it is what makes the token usable. - The claims in groups – Who, Issuer & receiver, Time, Security, Access – each with a short explanation. Times are shown relative to now. Below the anatomy follow the card’s Checks, the Fields and Decoded with the raw content. Values such as signatures and secrets are masked there. ### Check the signature Without keys the seal only shows Signed. With Load keys from … AuthTailor fetches the issuer’s public keys once (discovery → jwks_uri). Only this GET goes out – nothing from your input. After loading the keys: signature valid. - How many keys from which host are loaded. remove forgets them again. - The seal: Signature valid, Signature invalid or Key missing in the JWKS – the last often points to a key rollover. - The issuer (iss). - The audience (aud) and the authorised client (azp). If the JWKS is already in the input – in a HAR, for example – AuthTailor checks without loading. Other seals: Unsigned (alg none), Shared secret (HMAC) and Encrypted. Good to knowThe button only appears for JWTs whose issuer is an https address and whose signature has not been checked yet. The request sends neither cookies nor a Referer. For XSUAA without discovery, AuthTailor uses /token_keys. ### Validity Validity on the time axis. - The countdown: expires in …, expired … ago or valid in …, plus the lifetime. - The marker for now on the axis from issued (iat) through valid from (nbf) to valid until (exp). The Clock tolerance from the [expected values](https://authtailor.com/en/docs/paste-and-examples#erwartet) applies here too: a token that only becomes valid in 30 seconds is fine with a tolerance of 2 minutes. For a recording, AuthTailor measures the times at the moment of the request. ### A SAML flow For SAML the flow shows the way from the AuthnRequest to the identity provider up to the response to the app’s ACS URL. The picture shows a recording of the made-up “Acme Portal” with the IdP idp.acme.example. A SAML flow, started by the service provider. - The verdict – here All clear. - Step 1: Request login (SAML AuthnRequest) by redirect to the IdP. - Step 2: Assertion to the app (SAML Response) by POST to the ACS URL. - Across the flow – for example Response belongs to the AuthnRequest: InResponseTo matches the request’s ID. ### The card of a SAML Response The message anatomy of a SAML Response. - The binding the message came by – here HTTP-POST. - The Chain of trust: issuer, seal with algorithm and certificate, receiver with Recipient. - The ID card with NameID and Groups from the attributes. - The building blocks nested as in the XML: , , with , , and . A tick means checked and fine; signed blocks carry a seal. AuthTailor checks the signature cryptographically with the certificate from the message, using its own XML canonicalisation (exclusive and inclusive). It recognises attack patterns such as signature wrapping, duplicate IDs, comments in the NameID, DTDs and transforms. DTDs are never resolved, transforms never executed. ### Certificates The signing certificate from the message. - The certificate with name, self-signed, key type and length, signature algorithm, subject and expiry date. - The SHA-256 fingerprint. Compare it with the one from your IdP’s metadata – or enter that one in the [expected values](https://authtailor.com/en/docs/paste-and-examples#erwartet) and AuthTailor compares for you. CautionA valid signature only means: the message matches the certificate sent along with it. Whether that is your IdP’s certificate is shown only by comparing it with the fingerprint from the metadata. AuthTailor also warns about certificates that will expire soon. ### See also - Features at a glance [Features · Auth Trace](https://authtailor.com/en/features#trace) - Docs [Reading the result](https://authtailor.com/en/docs/reading-the-result) - Docs [Paste and examples](https://authtailor.com/en/docs/paste-and-examples) - Docs [Learning](https://authtailor.com/en/docs/learning) - Sources Anatomy · Signature check · Attack patterns · Loading keys Frequently asked ### Short answers. **Does AuthTailor send my token to a server to check the signature?** No. On your click AuthTailor only fetches the issuer’s public keys. The check runs in the panel and the token never leaves the browser. **Why does the seal only show “Signed”?** For a JWT the keys are missing: click “Load keys from …” or paste the JWKS too. For SAML the message has no certificate or the algorithm is not supported. **Can AuthTailor read encrypted assertions?** No. AuthTailor shows encrypted assertions as “Encrypted” – without the receiver’s private key the content cannot be read. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Tools: passkey, CORS, HAR, storage · AuthTailor Source: https://authtailor.com/en/docs/tools > AuthTailor’s tools: check passkey responses, certificates, CSP, CORS and links, clean a HAR for support and scan the page storage for tokens. ## Tools Around the login there is more to check than tokens. The Tools tab has three sections: Check, Clean HAR and Page storage. **Tab** Tools **Sections** Check, Clean HAR, Page storage **Examples** four, with made-up data **Network** none This page answers - How do I check a passkey response (WebAuthn)? - Why does the browser block my CORS preflight? - How do I clean a HAR before sending it to support? - How do I find tokens in a page’s localStorage? ### Check Paste one thing and get it checked: a passkey response (WebAuthn), certificates, keys, CSRs or a JWK, a CSP, the response headers of a login page, a CORS preflight, a suspicious login link – or any text, which is scanned for secrets. A blocked CORS preflight – the built-in example. - The three sections: Check, Clean HAR, Page storage. - The field takes text or a file (.txt, .json, .pem, .crt, .cer, .csr, .key, .har, .properties). - Recognised: what AuthTailor found – here CORS. - The card with findings and fixes. Here PUT and authorization are missing from the allowed methods and headers. Input | What AuthTailor checks Passkey / WebAuthn | flags, authenticator, synced or device-bound, origin, RP ID, challenge Certificate, key or CSR | certificates, chains, CSRs, keys, JWK and JWKS: order, expiry, key size, SHA-1, host name and whether key and certificate belong together Content Security Policy | weaknesses such as unsafe-inline or whole CDNs, with a stricter suggestion Security headers | response headers of a login page, such as HSTS, frame protection and CSP CORS | preflight and response headers Link | look-alike and punycode hosts, open redirects Text (secret scan) | secrets in any text The example tiles Weak CSP, Blocked CORS preflight, Suspicious login link and Passkey login show what a result looks like. AuthTailor sends a HAR to [Auth Trace](https://authtailor.com/en/docs/reading-the-result) and SAP artefacts to [SAP](https://authtailor.com/en/docs/sap). #### Passkey responses AuthTailor takes a WebAuthn response (from the DevTools or a log) apart. Under Expected values you enter what your relying party expects. A passkey login with an expected origin. - Origin, RP ID and Challenge (as sent). Without them AuthTailor only checks origin and RP ID for plausibility. - The card with checks – origin, rpIdHash, user verified, synced passkey, signature counter – and the fields including the flags. Good to knowOnly the server can check a passkey response’s signature: it needs the public key from the registration. ### Clean HAR Before a HAR goes to support or into a ticket: AuthTailor masks cookies, Authorization and session headers, codes, tokens, passwords and secret parameters. JWTs stay readable but lose their signature. Everything happens locally. A made-up HAR, ready to share. - Response bodies: JSON only (masked), remove all or keep all (masked). - Keep SAMLResponse/SAMLRequest (contains user data) – only tick this if support really needs the SAML message. - Save cleaned HAR downloads the file as .sanitized.har, Copy puts it on the clipboard. - The card counts what was masked and scans the result once more for known secret patterns. CautionClaims in JWTs (name, email), URLs and JSON stay readable so that the recording stays useful. Check the HAR for personal data before sharing it anyway. ### Page storage Many single-page apps keep tokens in the browser. Page storage scans the storage of the active tab: localStorage, sessionStorage, IndexedDB and cookies readable by JavaScript. - Open the app in the tab and log in. - On that tab, open the panel with the icon in the toolbar. - In Tools → Page storage, click Scan this page. The storage of the made-up app Acme Orders. - Scan this page – after the first time Scan again. - The origin and how many entries were found in which storage. - The findings: here a refresh token in localStorage – one XSS away from being stolen –, JWTs in localStorage and sessionStorage and stored ID tokens. The scan runs once in the page, on your click. Only type, length and harmless claims (iss, aud, exp, scopes) come back – never a value. Nothing is stored. If you did not open the panel with the icon on that tab, the button reads Allow access and scan. Access is returned right after the scan. AuthTailor cannot scan browser pages or the extension store. ### See also - Features at a glance [Features · Tools](https://authtailor.com/en/features#werkzeuge) - Security [Security and permissions](https://authtailor.com/en/security#berechtigungen) - Docs [Paste and examples](https://authtailor.com/en/docs/paste-and-examples) - Docs [SAP](https://authtailor.com/en/docs/sap) - Docs [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy) - Sources Check · Clean HAR · Page storage Frequently asked ### Short answers. **Does the Check tool send anything over the network?** No. All checks run in the panel. Even a pasted link is only looked at, never opened. **Is a cleaned HAR free of personal data?** Not necessarily. Secrets are masked, but names and email addresses in claims, URLs and JSON stay readable. Please check before sharing. **Does the page storage scan read out my tokens?** No. Only type, length and harmless claims such as iss, aud, exp and scopes come back to the panel – never a token’s value. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # SAP BTP: check XSUAA, IAS and 403 · AuthTailor Source: https://authtailor.com/en/docs/sap > AuthTailor’s SAP tab: check XSUAA and IAS tokens, xs-security.json, service keys and destinations, explain a 403 and understand BTP flows. ## SAP On SAP BTP a login rarely fails because of the protocol and often because of a role. The SAP tab checks tokens and configuration and, for a 403, tells you which scope is missing and where it is assigned. **Tab** SAP **Sections** Check, Why 403?, Flows, Learn **Flows** five for SAP BTP **Storage** memory only This page answers - How do I check an XSUAA token? - Why do I get a 403 from the app router or a CAP service? - What does AuthTailor check in an xs-security.json? - How does login via app router, XSUAA and IAS work? - Why do I see no JWT with Integration Suite? ### Check Paste an XSUAA or IAS token, an xs-security.json, an xs-app.json, a service key, a destination (JSON or properties) or a logon ticket (MYSAPSSO2). AuthTailor checks it for the usual mistakes. A made-up XSUAA token. - The four sections: Check, Why 403?, Flows, Learn. - Recognised: here XSUAA / IAS token. Also possible: xs-security.json, xs-app.json, Service key, Destination and Logon ticket (MYSAPSSO2). - The card with the same token anatomy as in [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml#jwt), plus SAP claims such as origin, zid and xs.rolecollections. Service keys and destinations stay in memory only. AuthTailor shows secrets masked; nothing is stored or sent. #### xs-security.json A made-up xs-security.json with a wildcard in the host. - Recognised: xs-security.json. - The findings – here a wildcard in the host of the redirect-uris, a localhost entry for development and long token lifetimes. Below are the fields – scopes, role templates, role collections, redirect-uris, token-validity – and a suggestion for a safer oauth2-configuration to copy. Check the values before using them. To try it out there are the examples XSUAA token, xs-security.json, xs-app.json and Destination. ### Why 403? A 403 from the app router or a CAP service usually means: the scope is not in the token. Paste the token and what the app expects – you see exactly what is missing and where to assign it. Two expected authorisations are missing from the token. - The token. - Expected scopes, roles or role collections – separated by comma, space or line. AuthTailor understands $XSAPPNAME. - What is missing, each with a fix: add the role to a role collection, assign it to the user or their IdP group, then log out and in again. TipThe expected scopes are in the xs-app.json (the route’s scope) or in @requires/@restrict of the CAP service. And: the token only changes with a new login. ### Why do I see no JWT with Integration Suite? Integration Suite, Build Work Zone and many other apps on SAP BTP log you in via an SAP App Router. The App Router is a confidential client: it redeems the code at XSUAA on the server and gives the browser only a session cookie. The JWT stays on the server. No browser and no extension ever sees it – not even a HAR from the DevTools, and Also bearer tokens does not help because the app makes its calls with the cookie. Instead of a token, AuthTailor shows the note SAP App Router: the token stays on the server under Across the flow in the recording or the pasted HAR – with what the recording reveals anyway: Detail | Where it comes from Subaccount | subdomain in the XSUAA host: .authentication..hana.ondemand.com (or …cloud.sap) Region | from the same host, for example eu10 XSUAA client | the login’s client_id: the app’s sb- Trust (origin) | origin key of the trust configuration from …/login/callback/ – later appears as origin in the token IdP | login page of SAP Cloud Identity Services or SAP ID Service, if XSUAA forwards there App Router | host of the App Router from the redirect_uri Missing state and PKCE are SAP standard with the App Router: it keeps target and return in its own signed cookies and redeems the code with a client secret or certificate. AuthTailor therefore shows this only as a note, not as a serious weakness – likewise missing PKCE when XSUAA asks the IdP. Other apps keep the warning. Where to look next: - The user’s role collections: in the BTP cockpit under subaccount → Security → Users. - For a 403 on an API call: get a token from a service key (client credentials), paste it and check it against the expected scopes with [Why 403?](https://authtailor.com/en/docs/sap#warum-403). - Understand the flow: BTP login: App Router → XSUAA → IAS → corporate IdP under [Flows](https://authtailor.com/en/docs/sap#ablaeufe). Good to knowA token from a service key contains the scopes granted to the client, not a user’s roles. If a user lacks rights, their role collections in the cockpit are what counts. ### Finding errors between IAS, corporate IdP and BTP Behind the App Router, XSUAA hands the login on to IAS, and IAS often to the corporate IdP. How much of this the recording shows depends on the protocol of each leg: - SAML: the assertion travels through the browser. Open the step with the SAMLResponse – attributes, NameID, signature and validity are there. - OIDC: only the code travels through the browser; the receiving side redeems it on the server. AuthTailor names these legs under Across the flow in the note OIDC between the IdPs: these tokens stay on the server too, for example XSUAA → .accounts.ondemand.com or IAS → . For the OIDC legs, the errors are in the IdPs’ logs: - IAS ↔ corporate IdP and IAS ↔ BTP: IAS admin console → Monitoring & Reporting → Troubleshooting Logs, filtered by user and time. - Corporate IdP: its sign-in logs, for Microsoft Entra ID the sign-in logs with the AADSTS code. - BTP: mapped groups and role collections in the BTP cockpit under Security → Users. If AuthTailor reports Logged on via SAP ID Service, not your own IAS, the login used the default trust sap.default at accounts.sap.com. Your own IAS and the corporate IdP were not involved at all. Look up the origin key of the IAS trust under Security → Trust Configuration, log on again and choose that IdP on the login page. The user must exist with this origin. If only your own IdP should appear, switch off “Available for User Logon” for the default identity provider; in the App Router a route can force it with "identityProvider": "". ### Flows Five flows on SAP BTP as sequence diagrams: who talks to whom, what travels along and where it goes wrong. The classic chain of a BTP app. - The choice: BTP login: App Router → XSUAA → IAS → corporate IdP, IAS directly (OIDC) with Entra ID behind it, Principal propagation to S/4HANA on-premise, OAuth2SAMLBearerAssertion (SuccessFactors, S/4HANA Cloud) and Fiori/Gateway: CSRF token, sap-client and session. - The diagram: dashed via the browser, solid from server to server, dotted local. - The detail of the selected step with what travels along. Back, Next and Play walk through the flow. The general flows for SAML, OAuth and OIDC are in [Learning](https://authtailor.com/en/docs/learning#ablaeufe). ### Learn How login and authorisations work on SAP BTP – in six chapters, plus a glossary and the SAP errors. An opened chapter with links to the flows. - A chapter: briefly explained, with the typical breaks. - See the flow opens the matching flow in Flows. The chapters: XSUAA, IAS and the corporate IdP · Scopes, role templates, role collections · Principal propagation and the Cloud Connector · Logon tickets (MYSAPSSO2) and assertion tickets · Fiori and Gateway: CSRF token, sap-client, sap-usercontext · Destinations without surprises. Under SAP errors you search the known errors of XSUAA, SAP Cloud Identity Services and SuccessFactors with cause and fix. ### See also - Features at a glance [Features · SAP](https://authtailor.com/en/features#sap) - Docs [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml) - Docs [Learning](https://authtailor.com/en/docs/learning) - Docs [Tools](https://authtailor.com/en/docs/tools) - Sources SAP artefacts · Why 403? Frequently asked ### Short answers. **Is a service key safe in AuthTailor?** It stays only in the panel’s memory, is shown masked and is never stored or sent. Still: service keys do not belong in tickets or chats. **Why is a scope missing although I assigned the role?** The token only changes with a new login. Log out and in again, then check the new token. If it is still missing, the mapping of the IdP group to the role collection is often missing. **Does AuthTailor load the keys from XSUAA?** On click, yes: without discovery AuthTailor uses the issuer’s /token_keys endpoint. Nothing else goes out. **Why does the recording show no token with Integration Suite?** The SAP App Router redeems the code at XSUAA on the server; the browser only gets a session cookie. AuthTailor shows subaccount, region, XSUAA client, trust and IdP instead. For Why 403?, paste a token from a service key. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Learn SAML, OAuth and OIDC · AuthTailor Source: https://authtailor.com/en/docs/learning > AuthTailor’s Learning tab: login flows as sequence diagrams, the basics in ten chapters, a glossary, an error catalogue and a checklist before going live. ## Learning To understand a finding you need to know the flow. The Learning tab explains SAML, OAuth 2.0 and OpenID Connect the way AuthTailor checks them – offline, without an account. **Tab** Learning **Flows** 13 **Basics** ten chapters **Checklist** 16 items in four groups This page answers - How does the authorization code flow with PKCE work? - What is the difference between SP- and IdP-initiated SAML? - What does an error like AADSTS50011 or invalid_grant mean? - What should I check before a login goes live? ### Flows How the common login and token flows work – who talks to whom, what travels along and where it goes wrong. Click a step or play the flow. Authorization Code + PKCE, step 3. - The five sections: Flows, Basics, Glossary, Errors, Checklist. - The choice by group: OAuth 2.0 & OpenID Connect, SAML 2.0 and Session. Deprecated flows are struck through. - The status: Recommended, For its purpose, Use with care or Deprecated. - The sequence diagram: dashed via the browser, solid from server to server, dotted local. - The selected step with what travels along. Back, Next and Play walk through the flow. - What to watch and What the tracer checks. The flows: Authorization Code + PKCE, code flow via a backend (BFF), client credentials, refresh token with rotation, device code, on-behalf-of / token exchange, DPoP, the implicit flow and the password grant (both deprecated), SAML started by the SP and by the IdP, OAuth2 SAML Bearer and logout. If AuthTailor recognises a flow in your input, a click on the flow in the result opens exactly that one and shows what was found in your input. The flows for SAP BTP are in [SAP](https://authtailor.com/en/docs/sap#ablaeufe). ### Basics The essentials of SAML, OAuth 2.0 and OpenID Connect in ten short chapters – what the tracer checks, and why. A chapter with typical errors and links to the flows. - An opened chapter with explanation and Typical errors. - See the flow opens the matching flow. The chapters: SAML, OAuth and OpenID Connect – who does what · The tokens and what they are for · A JWT, taken apart · Signatures, keys and certificates · state, nonce, PKCE, InResponseTo – the bindings of a flow · Cookies, sessions and logout · Tokens in the browser – where they leak · Time, clocks and lifetimes · Passkeys and WebAuthn · The page around the login: CSP, CORS, SRI, redirects. ### Glossary The glossary, filtered by “Token”. - Search terms … filters more than 50 terms from ACS to XSUAA. - more → opens the chapter in Basics that explains the term. ### Errors Known error messages with cause and fix. If you paste a message into [Auth Trace](https://authtailor.com/en/docs/paste-and-examples#fehlermeldung), AuthTailor recognises it automatically. The error catalogue, filtered by “redirect”. - Search error codes or text … – by code, title, cause or fix. - An entry with title, codes, Cause and Fix. ### Checklist Before going live: 16 items in the groups Flow, Tokens and signatures, Browser and Session and logout. Three of 16 items done. - The counter of items done. - A ticked item. Good to knowThe ticks are not stored. When you close the panel, the checklist starts over. ### See also - Features at a glance [Features · Learning](https://authtailor.com/en/features#lernen) - Docs [Reading the result](https://authtailor.com/en/docs/reading-the-result) - Docs [SAP](https://authtailor.com/en/docs/sap) - Docs [Troubleshooting](https://authtailor.com/en/docs/troubleshooting) - Sources Learn Frequently asked ### Short answers. **Does the Learning tab need an internet connection?** No. All content is part of the extension and works offline. **Which flow should I use for a new web app?** Authorization Code with PKCE, for single-page apps ideally via a backend (BFF). The implicit flow and the password grant are deprecated. **Is the error catalogue the same as when pasting?** Yes. A pasted error message is checked against the same catalogue you search under Errors. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Permissions and privacy · AuthTailor Source: https://authtailor.com/en/docs/permissions-and-privacy > Which permissions AuthTailor needs and why, what the extension processes and masks, what it stores and the one request it makes on your behalf. ## Permissions and privacy No data leaves your device. AuthTailor has no server, no account, no analytics, no telemetry, no ads and no third-party code. The About tab shows all of this in the panel too. **Tab** About **Server** none **Stored** language and the “Headers” option **Host access** optional, only while recording This page answers - Which permissions does AuthTailor need? - Why does AuthTailor ask for access to all https sites? - What does AuthTailor store? - Does AuthTailor send data to a server? ### Permissions The About tab lists every permission with its purpose and shows whether the optional host permission is currently granted. Every permission with its purpose. - https://*/* is optional – AuthTailor only asks for it when you need it. - Whether it is currently granted or currently not granted. Permission | What for storage | Only the UI language and the option “Headers”. sidePanel | The panel next to the page (Chrome, Edge; Firefox uses the sidebar). webRequest | Live recording, observing only – sees nothing without host access. Never blocks or changes a request. scripting | Page storage scan: reads the storage of the active tab once, on your click. Nothing stays in the page. activeTab | Access to the current tab only after you open the panel with the toolbar icon – no access to other tabs. https://*/* (optional) | Requested only when you start a live recording (or allow a page scan), given back when you stop. Why all https sites?A login jumps back and forth between the app, the identity provider and often other hosts. AuthTailor cannot know in advance which ones. That is why the permission covers all https sites – but only while the recording is running. AuthTailor gives it back when you stop. ### What AuthTailor processes, and where - Live recording (only after Record live): URL, method, form parameters of login POSTs (e.g. SAMLResponse) and, if the Headers option is on, request and response headers. With Also bearer tokens also JWTs in the Authorization header of API calls. Recording stops on its own after 30 minutes. - Pasted or dropped content: SAML messages, JWTs, URLs, HAR files, error messages, certificates, keys, SAP service keys, destinations or configuration files. - Page storage (only after clicking Scan this page): only the kind, length and harmless claims of a token reach the panel – never a value. - The analysis runs entirely in the panel on your device. Recordings and pasted content stay in memory only while the panel is open and are never written to disk. #### Masking AuthTailor masks secrets as they are recorded: cookie values, Authorization values, CSRF tokens, API keys, session headers, client secrets and passwords. Long cookie values are kept only as a short fingerprint, so that the tracer can tell whether a session cookie was renewed; refresh tokens only as a short hash, so that it can tell whether they are rotated. Bearer JWTs and DPoP proofs stay unmasked only with the Also bearer tokens option, because the check needs them. ### The one request on your behalf If you click Load keys from …, the panel fetches that token issuer’s public discovery and public keys (JWKS) with a plain GET, without cookies and without a Referer. Nothing from your input is sent; the issuer only sees that its public keys were fetched, and from which IP address. Without that click AuthTailor makes no request. ### The About tab What AuthTailor does, privacy in brief and the policy. - What AuthTailor does – the four tabs in brief. - Stored on this device shows the stored settings. Reset settings deletes them. - Read the full privacy policy opens the policy in the panel – in the same wording as [on this website](https://authtailor.com/en/privacy#extension). Only the UI language and the Headers option are stored, plus, for the browser session, a flag whether AuthTailor asked for the host permission itself – so that it can give it back. Uninstalling removes everything. ### What leaves the panel Only what you copy or save yourself – with Copy report, Copy headers (masked) or Save cleaned HAR. Report and HAR contain masked values only. Links under About open in a new tab without a Referer. CautionMasked does not mean anonymous: hosts, client IDs and claims such as name or email address stay readable. Real recordings and HAR files do not belong in a repository or a public chat. ### See also - Features at a glance [Features · About](https://authtailor.com/en/features#ueber) - Security [Security and permissions](https://authtailor.com/en/security#berechtigungen) - Docs [Live capture](https://authtailor.com/en/docs/live-capture) - Docs [Troubleshooting](https://authtailor.com/en/docs/troubleshooting) - Sources No server · Permissions · Masking · The one request Frequently asked ### Short answers. **Can AuthTailor secretly record my logins?** No. Without the optional host permission the extension sees no requests. It asks for it only when you start a recording and gives it back when you stop; a recording ends on its own after 30 minutes. **Where can I find the full privacy policy?** In the extension under About → Read the full privacy policy, and on this website under Privacy, section Browser extension – in the same wording. **How do I delete everything AuthTailor has stored?** Click Reset settings under About or uninstall the extension. Recordings and input are never stored anyway. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Troubleshooting AuthTailor · AuthTailor Source: https://authtailor.com/en/docs/troubleshooting > Help when AuthTailor records nothing, does not recognise an input, cannot load the keys or may not scan the page storage. ## Troubleshooting Most of the panel’s messages already say what to do. Here they are collected – with cause and fix. **Recording** 30 minutes, 300 requests at most **Files** up to 60 MB **Firefox** version 115 or later **Help from people** CloudDNA This page answers - Why does AuthTailor record nothing? - What to do if the keys cannot be loaded? - Why is the token response missing from the recording? - Why may AuthTailor not scan the page storage? - Why does no token show up with SAP BTP? ### The recording shows nothing The browser sees requests, but no login. - How many requests the browser has seen in tabs altogether. If there is a number here, recording works. - “Waiting for the first login request …” – none of them has been SAML, OAuth or OIDC so far. Message or sign | Cause and fix “… requests were seen in tabs, none of them SAML, OAuth or OIDC.” | The login has not started yet, or you are already logged in and the browser passes straight through. Log out or use a private window and trigger the login again. “Without the permission the browser cannot record – paste or drop a HAR instead.” | Access to all https sites was refused. Click Record live again and allow it, or [paste a HAR](https://authtailor.com/en/docs/paste-and-examples#har). “The browser granted the permission but does not provide the recording yet …” | Reload the extension once (chrome://extensions) and start again. “Nothing recorded.” | The recording was stopped before a login request arrived. The recording stops by itself | After 30 minutes or 300 requests. Record again starts a new one. The recording is gone | Recordings stay in memory only while the panel is open. Closing the panel means: recording gone. TipA private window starts without session cookies – so the login is sure to run completely. For this the extension must be allowed in private windows – you set that in the browser’s extension settings. ### The token response is missing The live capture cannot see response bodies – browsers do not allow that for extensions. So the token response with ID token and access token does not appear. What helps: - Switch on Also bearer tokens: then you see the access token in the API calls. - Export a HAR from the DevTools and paste it – it includes response bodies, see [Paste and examples](https://authtailor.com/en/docs/paste-and-examples#har). ### No token shows up with SAP BTP With Integration Suite, Build Work Zone and other apps behind an SAP App Router, this is not a recording problem: the App Router redeems the code at XSUAA on the server, and the browser only gets a session cookie. A HAR or Also bearer tokens does not change that. - Across the flow then shows SAP App Router: the token stays on the server – with subaccount, region, XSUAA client, trust (origin) and IdP. - Notes such as No state – how the SAP App Router works or No PKCE – confidential client are SAP standard, not a weakness of the app. - Next: check the role collections in the BTP cockpit, and for a 403 paste a token from a service key – see [SAP](https://authtailor.com/en/docs/sap#kein-jwt). - Errors between IAS and the corporate IdP: with OIDC they are in the IAS Troubleshooting Logs and the corporate IdP’s sign-in logs – see [SAP](https://authtailor.com/en/docs/sap#idp-fehler). ### An input is not recognised Message or sign | Cause and fix Verdict Nothing recognised | The input is neither SAML nor a JWT, URL, token response, HAR or known error message. Often a piece got lost when copying – copy the whole value, for SAML the value of the SAMLResponse parameter. Passkeys, certificates, CSP and CORS belong in [Tools](https://authtailor.com/en/docs/tools), SAP artefacts in [SAP](https://authtailor.com/en/docs/sap). “File is larger than 60 MB.” | Export a smaller HAR: clear the list in the DevTools first and record only the login. “This is not valid JSON.” / “No HAR: log.entries is missing.” | In Clean HAR: the file is cut off or not a HAR. Export it again. ### The keys cannot be loaded “Could not load the keys from … (…). Paste the JWKS together with the token instead.” The issuer cannot be reached from your network, has no discovery at /.well-known/openid-configuration or does not allow the request. What helps: paste the JWKS (the response of jwks_uri) together with the token, or a HAR that contains it. If the seal shows Key missing in the JWKS, the issuer has rotated its keys – or the token comes from a different tenant. ### The page storage cannot be scanned Message | Cause and fix “The panel may not read this tab yet …” | Open the panel on that tab with the toolbar icon, or click Allow access and scan – access is returned right afterwards. “Browser pages and the extension store cannot be scanned.” | The browser does not allow it. Switch to the app and scan again. “Access was not granted – nothing was scanned.” | Click again and allow access. ### The panel - The icon opens nothing: in Chrome and Edge the icon opens the side panel. If you cannot see it, pin it via the puzzle icon. In Firefox 115 or later, AuthTailor opens as a sidebar. - Wrong language: AuthTailor follows the browser’s language. You can switch it at the top of the panel, see [Getting started](https://authtailor.com/en/docs/getting-started#oeffnen). - Reset settings: under About, see [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy#ueber). ### Still stuck? CloudDNA is behind AuthTailor. If a login still does not work despite the finding – in a grown SAP landscape, for example – people can help. Never send real tokens, passwords or unchecked HAR files. ### See also - Help from people [Ask CloudDNA](https://authtailor.com/en/contact) - Docs [Live capture](https://authtailor.com/en/docs/live-capture) - Docs [Paste and examples](https://authtailor.com/en/docs/paste-and-examples) - Docs [SAP](https://authtailor.com/en/docs/sap) - Docs [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy) - Sources Live capture · In memory only Frequently asked ### Short answers. **Why does the recording show no token response?** Browsers do not let extensions read response bodies. For the token response, paste a HAR from the DevTools or use the Also bearer tokens option. **Does AuthTailor work in Firefox?** Yes, from Firefox 115 – as a package on request via the contact form. There the panel opens as a sidebar instead of a side panel. **Can I save a recording?** Not in the panel – recordings stay in memory only. With Save cleaned HAR or Copy report you take the result with you, masked. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # AuthTailor changelog · AuthTailor Source: https://authtailor.com/en/docs/changelog > AuthTailor’s versions: what 1.0.0 of 8 November 2026 contains – Auth Trace, Tools, SAP, Learning, About – and what has changed since. ## Changelog New versions arrive by themselves through the Chrome Web Store. The version you have is shown under About. **Current version** 1.0.0 **Released** 8 November 2026 **Store** Chrome Web Store **Updates** automatic through the store This page answers - Which version of AuthTailor is current? - What does AuthTailor 1.0.0 contain? - How do I get a new version? ### Not yet released - SAP App Router: for a login via an SAP App Router (such as Integration Suite or Build Work Zone) the tracer reports SAP App Router: the token stays on the server under Across the flow – with subaccount, region, XSUAA client, trust (origin) and IdP. Missing state and PKCE are only notes there; other apps keep the warning. See [SAP](https://authtailor.com/en/docs/sap#kein-jwt). - SAP ID Service and OIDC between the IdPs: if the BTP login used the default trust sap.default instead of your own IAS, the tracer says so – with the way to your own IdP. It names legs via OIDC (XSUAA → IAS, IAS → corporate IdP) and points to the IAS Troubleshooting Logs and the corporate IdP’s sign-in logs. See [SAP](https://authtailor.com/en/docs/sap#idp-fehler). - Website: the link in the store and in the extension points to authtailor.com. The extension’s privacy policy is under [Privacy](https://authtailor.com/en/privacy#extension) – the same text as under About. ### 1.0.0 – 8 November 2026 First release in the Chrome Web Store. Edge installs the extension from the same listing; for Firefox (115 or later) there is a package on request. #### Auth Trace - Live capture of a login in the browser, host access only while recording; optionally bearer JWTs from API calls and headers per step, masked. See [Live capture](https://authtailor.com/en/docs/live-capture). - Paste or drop SAML, JWTs, OAuth and OIDC URLs, token requests and responses, discovery, JWKS, HAR and error messages. See [Paste and examples](https://authtailor.com/en/docs/paste-and-examples). - Verdict, traffic light in five areas, flow diagram browser – app – IdP with cross-checks and a Markdown report. See [Reading the result](https://authtailor.com/en/docs/reading-the-result). - Signatures really checked: SAML with our own XML canonicalisation, RSA, RSA-PSS and ECDSA with SHA-1 to SHA-512; JWTs with the issuer’s keys. Visual anatomy for JWT and SAML. See [Tokens and SAML](https://authtailor.com/en/docs/tokens-and-saml). - Attack patterns and leaks: signature wrapping, duplicate IDs, comment in the NameID, DTD and transforms; jku, x5u and jwk in the header, kid injection; code or token in the Referer, tokens in the query, client secret from the browser; session fixation, scripts without SRI, open redirects, look-alike and punycode hosts. - Logout, discovery and metadata rated; DPoP proofs and refresh token rotation checked. #### Tools, SAP, Learning, About - Tools: check passkeys, certificates, keys, CSP, security headers, CORS, login links and scan for secrets; clean a HAR; scan page storage. See [Tools](https://authtailor.com/en/docs/tools). - SAP: XSUAA and IAS tokens, “Why 403?”, reviews of xs-security.json and xs-app.json, service keys, destinations and logon tickets; five BTP flows and six chapters. See [SAP](https://authtailor.com/en/docs/sap). - Learning: 13 flows as sequence diagrams, basics in chapters, glossary, error catalogue and go-live checklist. See [Learning](https://authtailor.com/en/docs/learning). - About: what AuthTailor does, privacy, permissions with the state of host access, stored settings and the full privacy policy. See [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy). - UI in English and German, light and dark following the system. #### Fixed - Deleted cookies are no longer reported as “SameSite=None without Secure”. ### See also - Docs [Documentation](https://authtailor.com/en/docs) - Docs [Getting started](https://authtailor.com/en/docs/getting-started) - Sources Version 1.0.0 · Free Frequently asked ### Short answers. **How do I update AuthTailor?** Not by hand: Chrome and Edge fetch new versions from the Chrome Web Store themselves. **Where can I see my version?** In the extension under About. **Does a new version cost anything?** No. AuthTailor is free, without an account and without a licence. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Kontakt · Contact AuthTailor ist kostenlos. Wenn ihr Hilfe braucht – beim Einrichten von Single Sign-on auf SAP BTP, bei einem hartnäckigen Fehler oder für einen Workshop im Team –, meldet euch. Ich antworte innerhalb eines Werktags, persönlich. AuthTailor is free. If you need help – setting up single sign-on on SAP BTP, with a stubborn error or for a workshop with your team – get in touch. I reply within one working day, personally. - Kontakt: https://authtailor.com/kontakt · Contact: https://authtailor.com/en/contact - Installieren: https://authtailor.com/#installieren · Install: https://authtailor.com/en#installieren - Telefon / Phone: +43 664 1964199 - E-Mail: office@clouddna.at - Anschrift / Address: CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich