# AuthTailor

> AuthTailor ist eine kostenlose Browser-Extension, die eine Single-Sign-on-Anmeldung mit SAML 2.0 oder OpenID Connect (OAuth 2.0) im Browser mitschneidet oder aus eingefügten Nachrichten liest, Tokens zerlegt, Signaturen prüft und zeigt, woran die Anmeldung scheitert. Dazu Werkzeuge für Zertifikate, Passkeys, CSP und HAR-Dateien, ein Bereich für SAP BTP (XSUAA, IAS, „Warum 403?“) und ein Lernbereich mit 13 Abläufen als Sequenzdiagramm. Kein Server, kein Konto, keine Telemetrie. Anbieter: CloudDNA GmbH, Loipersdorf, Österreich. Teil der Tailor-Familie.

Wichtige Fakten (Stand 2026-11-08; Produktangaben: Version 1.0.0 vom 08.11.2026):
- Claim: Der SAML- & OIDC-Tracer im Browser: sehen, woran Single Sign-on scheitert.
- Preis: kostenlos, ohne Konto und ohne Lizenz. Warum: CloudDNA stellt AuthTailor gratis zur Verfügung, weil Single Sign-on in den eigenen SAP-Projekten immer wieder Probleme bereitet.
- Hersteller: ein Produkt der CloudDNA GmbH – „Die SAP & KI Experten aus Österreich!“ (https://www.clouddna.at).
- Demo-Video mit Sprecher: https://www.youtube.com/watch?v=dUCY52D9mMA (1:42 min; 0:00 Die Anmeldung hängt: invalid grant · 0:14 Live mitschneiden und anmelden · 0:28 Ablauf prüfen: state, nonce und PKCE · 0:38 Token zerlegen: Aussteller, Empfänger, Rollen · 0:50 SAML Response, JWT oder HAR-Datei einfügen · 1:01 SAP BTP: Warum 403? · 1:12 13 Abläufe lernen – alles lokal · 1:23 Ein Produkt der CloudDNA, gratis)
- Browser: Chrome (Manifest V3); Builds für Microsoft Edge und Firefox. Store: kostenlos im Chrome Web Store: https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo (Edge installiert aus dem Chrome Web Store; Firefox-Paket auf Anfrage; Anleitung: https://authtailor.com/#installieren).
- Registerkarten: Auth Trace (mitschneiden, einfügen, prüfen, bewerten), Werkzeuge, SAP, Lernen, Über.
- Prüfungen im Ablauf: state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL, RelayState; Signaturen (SAML mit Zertifikat und Fingerabdruck aus den Metadaten, JWT mit den öffentlichen Schlüsseln des Ausstellers); Ampel in fünf Bereichen (Ablauf & Protokoll, Tokens & Signaturen, Transport & Lecks, Cookies & Sitzung, Browser-Schutz).
- Datenschutz: Alles läuft im Panel auf dem Gerät. Mitschnitte und eingefügte Inhalte nur im Arbeitsspeicher, solange das Panel offen ist. Geheimnisse werden schon beim Mitschneiden maskiert. Einzige Anfrage nach außen: auf Klick die öffentliche Discovery und das JWKS des Ausstellers (GET ohne Cookies). Host-Zugriff wird erst beim Mitschneiden erfragt und danach wieder abgegeben.
- Herkunft: Der Tracer stammt aus iFlowTailor (https://iflowtailor.com), der Werkbank für SAP Cloud Integration, und steckt dort weiterhin.
- Nicht: kein Penetrationstest-Werkzeug, keine Änderung an Identity Provider oder App, kein Ersatz für die Protokolle des Identity Providers; Abläufe von Server zu Server (z. B. Client Credentials, SAML Bearer) sieht der Browser nicht – sie lassen sich als Nachricht einfügen.
- Anbieter: CloudDNA GmbH, SAP Silver Partner und SAP-BTP-Partner aus Österreich. Gründer und Geschäftsführer Martin Koch (SAP Champion) ist Co-Autor bei SAP PRESS (Rheinwerk Verlag): SAP Business Technology Platform – Sicherheit und Berechtigungen (DE/EN); Cloud Connector für SAP (DE/EN); SAP Business Technology Platform – Administration (DE/EN).

## Funktionen
- Live-Mitschnitt einer Anmeldung in einem beliebigen Tab: Ablauf Browser → App → Identity Provider als Diagramm, Prüfung von state, nonce, PKCE, redirect_uri, InResponseTo, ACS und RelayState
- Einfügen oder ablegen: SAML Response, AuthnRequest, Assertion, Metadaten, JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder Fehlermeldung
- Grafische Anatomie: JWT in Header, Payload und Signatur, Vertrauenskette, Ausweis mit Scopes und Rollen; SAML-Bausteine verschachtelt wie im XML
- Signaturen echt geprüft: SAML mit dem Zertifikat und dem Fingerabdruck aus den Metadaten, JWTs mit den öffentlichen Schlüsseln des Ausstellers
- Ampel je Bereich und Angriffsmuster: Signature Wrapping, Kommentare in der NameID, jku/x5u im JWT-Kopf, Codes im Referer, Tokens in URLs, schwache Cookies
- Werkzeuge: Passkeys (WebAuthn), Zertifikate und Schlüssel, CSP, Security-Header, CORS, verdächtige Anmelde-Links, Secret-Suche, HAR bereinigen, Tokens im Seitenspeicher finden
- SAP BTP: XSUAA- und IAS-Tokens, „Warum 403?“, Reviews von xs-security.json, xs-app.json, Service-Keys und Destinations, Anmeldetickets, BTP-Abläufe als Diagramm
- Lernen: 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm, Grundlagen in zehn Kapiteln, Glossar, Fehlerkatalog, Checkliste vor dem Go-live
- Markdown-Bericht mit Urteil, Ampel, Abläufen, Befunden und Schritten – maskiert
- Kein Server, kein Konto, keine Telemetrie; Host-Zugriff nur für den Mitschnitt und danach wieder abgegeben

## Seiten
- [Startseite](https://authtailor.com/): Kostenlose Browser-Extension: SAML- und OIDC-Anmeldung mitschneiden, JWT und SAML zerlegen und sehen, woran Single Sign-on scheitert – lokal, ohne Server.
- [Funktionen: Auth Trace, Werkzeuge, SAP, Lernen](https://authtailor.com/funktionen): Live-Mitschnitt, JWT- und SAML-Anatomie, echte Signaturprüfung, Ampel, Werkzeuge für Zertifikate und HAR, SAP BTP und 13 Abläufe zum Lernen – im Detail.
- [Sicherheit: kein Server, maskiert, Zugriff auf Zeit](https://authtailor.com/sicherheit): Kein Server, Daten nur im Arbeitsspeicher, Maskierung beim Mitschneiden, Host-Zugriff auf Zeit: wie AuthTailor mit Anmeldungen und Tokens umgeht.
- [Kontakt: Frage, Beratung oder Workshop](https://authtailor.com/kontakt): Fragen zu AuthTailor, Hilfe bei Single Sign-on auf SAP BTP, ein Workshop fürs Team oder eine Vorab-Version: Antwort innerhalb eines Werktags, persönlich.
- [Story: Martin Koch und warum es AuthTailor gibt](https://authtailor.com/story): Pilot, Fluglotse, SAP Champion, Autor bei SAP PRESS: Martin Koch über Anmeldungen, die nicht sagen, warum sie scheitern – und warum AuthTailor gratis ist.
- [Alle Fundstellen](https://authtailor.com/fundstellen): Das Quellenverzeichnis der AuthTailor-Website: jede Produktaussage und jede Angabe zu Büchern und Anbieter mit Fundstelle und Prüfdatum.
- [Volltext für Sprachmodelle](https://authtailor.com/llms-full.txt): der sichtbare Text aller Seiten als Markdown

## Dokumentation
Produktdokumentation auf Deutsch und Englisch: Installation, Live-Mitschnitt, Einfügen, Ergebnis lesen, Tokens und SAML, Werkzeuge, SAP, Lernen, Berechtigungen, Fehlerbehebung. Mit Schritt-für-Schritt-Anleitungen, den genauen Beschriftungen des Panels und Bildschirmfotos der echten Extension mit erfundenen Daten (*.acme.example).
- [Dokumentation des SAML- & OIDC-Tracers](https://authtailor.com/doku): Die Doku zu AuthTailor: Installation, Live-Mitschnitt, Einfügen, Ergebnis lesen, Tokens und SAML, Werkzeuge, SAP, Lernen und Datenschutz – mit Bildschirmfotos.
- [AuthTailor installieren und loslegen](https://authtailor.com/doku/einstieg): AuthTailor in Chrome, Edge oder Firefox installieren, das Panel öffnen, ein Beispiel ausprobieren und die erste Anmeldung mitschneiden oder einfügen.
- [Anmeldung live mitschneiden](https://authtailor.com/doku/live-mitschnitt): Mit AuthTailor eine SAML- oder OIDC-Anmeldung live im Browser mitschneiden: Start, Optionen Bearer-Tokens und Header, Stopp, Maskierung und Grenzen.
- [SAML, JWT und HAR einfügen](https://authtailor.com/doku/einfuegen-und-beispiele): Was AuthTailor beim Einfügen erkennt: SAML, JWT, Anmelde-URLs, Token-Anfragen und -Antworten, HAR, Fehlermeldungen – dazu Beispiele und erwartete Werte.
- [Ergebnis lesen: Urteil, Ampel, Ablauf](https://authtailor.com/doku/ergebnis-lesen): So liest du das Ergebnis von AuthTailor: Urteil mit nächstem Schritt, Sicherheitsbewertung in fünf Bereichen, Anmeldeablauf als Diagramm, Header und Bericht.
- [JWT und SAML Response verstehen](https://authtailor.com/doku/tokens-und-saml): Wie AuthTailor JWT und SAML zeigt: Token-Anatomie, Vertrauenskette, Signatur mit den Schlüsseln des Ausstellers, Gültigkeit auf der Zeitachse und Zertifikate.
- [Werkzeuge: Passkey, CORS, HAR, Speicher](https://authtailor.com/doku/werkzeuge): Die Werkzeuge von AuthTailor: Passkeys, Zertifikate, CSP, CORS und Links prüfen, ein HAR für den Support bereinigen und den Seitenspeicher nach Tokens durchsuchen.
- [SAP BTP: XSUAA, IAS und 403 prüfen](https://authtailor.com/doku/sap): Die SAP-Registerkarte von AuthTailor: XSUAA- und IAS-Tokens, xs-security.json, Service-Keys und Destinations prüfen, einen 403 erklären, BTP-Abläufe verstehen.
- [SAML, OAuth und OIDC lernen](https://authtailor.com/doku/lernen): Die Registerkarte Lernen von AuthTailor: Anmeldeabläufe als Sequenzdiagramm, Grundlagen in zehn Kapiteln, Glossar, Fehlerkatalog und eine Checkliste vor dem Go-live.
- [Berechtigungen und Datenschutz](https://authtailor.com/doku/berechtigungen-und-datenschutz): Welche Berechtigungen AuthTailor braucht und wofür, was die Extension verarbeitet und maskiert, was sie speichert und welche Anfrage sie in deinem Auftrag stellt.
- [Fehlerbehebung für AuthTailor](https://authtailor.com/doku/fehlerbehebung): Hilfe, wenn AuthTailor nichts mitschneidet, eine Eingabe nicht erkennt, die Schlüssel nicht laden kann oder den Seitenspeicher nicht durchsuchen darf.
- [AuthTailor Changelog](https://authtailor.com/doku/changelog): Die Versionen von AuthTailor: was 1.0.0 vom 8. November 2026 enthält – Auth Trace, Werkzeuge, SAP, Lernen, Über – und was seitdem geändert wurde.

## Kontakt
- Fragen, Beratung zu Single Sign-on auf SAP BTP, Workshops: https://authtailor.com/kontakt – Antwort innerhalb eines Werktags, persönlich von Martin Koch (Geschäftsführer, CloudDNA)
- Telefon: +43 664 1964199
- E-Mail: office@clouddna.at
- Anbieter: CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich (UID ATU72725928, FN 480760 a)
- Sprache: Deutsch und Englisch (https://authtailor.com/en)

## Hinweise zum Zitieren
- Bitte die jeweilige Seite von AuthTailor (https://authtailor.com) als Quelle nennen; Stand der Inhalte: 2026-11-08.
- Jede Produktaussage der Website trägt eine Fundstelle mit Prüfdatum (https://authtailor.com/fundstellen).
- Alle Bildschirmfotos und das Video zeigen erfundene Daten (Anmeldung bei „Acme Orders“ unter *.acme.example). SAP und alle anderen genannten Namen sind Marken ihrer Inhaber.

## English

> AuthTailor is a free browser extension that records a single sign-on login with SAML 2.0 or OpenID Connect (OAuth 2.0) in the browser, or reads pasted messages, takes tokens apart, checks signatures and shows why the login fails. Plus tools for certificates, passkeys, CSP and HAR files, an SAP BTP area (XSUAA, IAS, “Why 403?”) and a learning area with 13 flows as sequence diagrams. No server, no account, no telemetry. Vendor: CloudDNA GmbH, Loipersdorf, Austria.

Key facts (as of 2026-11-08; product statements: version 1.0.0 of 8 November 2026):
- Price: free, no account and no licence. Why: CloudDNA gives AuthTailor away for free because single sign-on keeps causing trouble in its own SAP projects.
- Maker: a product of CloudDNA GmbH – “The SAP & AI experts from Austria!” (https://www.clouddna.at).
- Demo video with narration: https://www.youtube.com/watch?v=lBfYRZ5Qsc8 (1:20 min; 0:00 The login fails: invalid grant · 0:11 Record live and sign in · 0:23 Check the flow and take the token apart · 0:40 Paste a SAML response, JWT or HAR file – and SAP BTP: why 403? · 0:56 Learn 13 flows – all local · 1:06 A product of CloudDNA, free)
- Browsers: Chrome (Manifest V3); builds for Microsoft Edge and Firefox. Store: free in the Chrome Web Store: https://chromewebstore.google.com/detail/kdephpomekccclhpkhebdmcdgagcoffo (Edge installs from the Chrome Web Store; Firefox package on request; how-to: https://authtailor.com/en#installieren).
- Tabs: Auth Trace (record, paste, check, rate), Tools, SAP, Learning, About.
- Privacy: everything runs in the panel on the device; recordings and pasted content stay in memory only while the panel is open; secrets are masked as they are recorded; the only outbound request is, on click, the issuer’s public discovery and JWKS (GET without cookies). Host access is requested only for recording and handed back afterwards.
- Origin: the tracer comes from iFlowTailor (https://iflowtailor.com), the workbench for SAP Cloud Integration, and still lives there.
- Vendor: CloudDNA GmbH, SAP Silver Partner and SAP BTP partner from Austria. Founder and managing director Martin Koch (SAP Champion) is a co-author at SAP PRESS (Rheinwerk Verlag): Security and Authorizations for SAP Business Technology Platform (DE/EN); Cloud Connector for SAP (DE/EN); Configuring SAP Business Technology Platform – The Practical Guide for Administrators (DE/EN).

### Pages
- [Home](https://authtailor.com/en): Free browser extension: record a SAML or OIDC login, take JWTs and SAML apart and see why single sign-on fails – locally, with no server.
- [Features: Auth Trace, Tools, SAP, Learning](https://authtailor.com/en/features): Live recording, JWT and SAML anatomy, real signature checks, traffic light, tools for certificates and HAR, SAP BTP and 13 flows to learn – in detail.
- [Security: no server, masked, time-limited access](https://authtailor.com/en/security): No server, data in memory only, masking while recording, time-limited host access: how AuthTailor handles logins and tokens.
- [Contact: question, advice or workshop](https://authtailor.com/en/contact): Questions about AuthTailor, help with single sign-on on SAP BTP, a workshop for your team or an early copy: a personal reply within one working day.
- [Story: Martin Koch and why AuthTailor exists](https://authtailor.com/en/story): Pilot, air traffic controller, SAP Champion, SAP PRESS author: Martin Koch on logins that fail without saying why – and why AuthTailor is free.
- [All sources](https://authtailor.com/en/sources): The source register of the AuthTailor website: every product claim and every statement about books and the vendor, with its source and the date it was checked.

### Documentation
Product documentation in English and German: installation, live capture, pasting, reading the result, tokens and SAML, tools, SAP, learning, permissions, troubleshooting – step-by-step instructions, the exact panel labels and screenshots of the real extension with made-up data (*.acme.example). Start: https://authtailor.com/en/docs
- [Documentation of the SAML & OIDC tracer](https://authtailor.com/en/docs): The AuthTailor docs: installation, live capture, pasting, reading the result, tokens and SAML, tools, SAP, learning and privacy – with screenshots.
- [Install AuthTailor and get started](https://authtailor.com/en/docs/getting-started): Install AuthTailor in Chrome, Edge or Firefox, open the panel, try an example and record or paste your first login.
- [Record a login live](https://authtailor.com/en/docs/live-capture): Record a SAML or OIDC login live in the browser with AuthTailor: start, the bearer token and header options, stop, masking and limits.
- [Paste SAML, JWTs and HAR files](https://authtailor.com/en/docs/paste-and-examples): What AuthTailor recognises when you paste: SAML, JWTs, login URLs, token requests and responses, HAR, error messages – plus examples and expected values.
- [Read the result: verdict, rating, flow](https://authtailor.com/en/docs/reading-the-result): How to read AuthTailor’s result: verdict with next step, security rating in five areas, the login flow as a diagram, headers and the report.
- [Understand JWTs and SAML Responses](https://authtailor.com/en/docs/tokens-and-saml): How AuthTailor shows JWTs and SAML: token anatomy, chain of trust, signature with the issuer’s keys, validity on the time axis and certificates.
- [Tools: passkey, CORS, HAR, storage](https://authtailor.com/en/docs/tools): AuthTailor’s tools: check passkey responses, certificates, CSP, CORS and links, clean a HAR for support and scan the page storage for tokens.
- [SAP BTP: check XSUAA, IAS and 403](https://authtailor.com/en/docs/sap): AuthTailor’s SAP tab: check XSUAA and IAS tokens, xs-security.json, service keys and destinations, explain a 403 and understand BTP flows.
- [Learn SAML, OAuth and OIDC](https://authtailor.com/en/docs/learning): AuthTailor’s Learning tab: login flows as sequence diagrams, the basics in ten chapters, a glossary, an error catalogue and a checklist before going live.
- [Permissions and privacy](https://authtailor.com/en/docs/permissions-and-privacy): Which permissions AuthTailor needs and why, what the extension processes and masks, what it stores and the one request it makes on your behalf.
- [Troubleshooting AuthTailor](https://authtailor.com/en/docs/troubleshooting): Help when AuthTailor records nothing, does not recognise an input, cannot load the keys or may not scan the page storage.
- [AuthTailor changelog](https://authtailor.com/en/docs/changelog): AuthTailor’s versions: what 1.0.0 of 8 November 2026 contains – Auth Trace, Tools, SAP, Learning, About – and what has changed since.

### Contact
- Questions, advice on single sign-on on SAP BTP, workshops: https://authtailor.com/en/contact
- Phone: +43 664 1964199 · E-mail: office@clouddna.at