Wenig zu erklären.
Ein Werkzeug, das Tokens, Cookies und Anmeldungen sieht, muss sich gegenüber der Security-Abteilung erklären. Wir haben AuthTailor so gebaut, dass die Erklärung kurz ist: kein Server, nichts gespeichert, Zugriff nur auf Zeit. Alles Weitere steht hier – jede Aussage mit Fundstelle.
- KeinServer
Keine Telemetrie, keine Analyse, keine Werbung, kein Code von Dritten.1
- Nurim Speicher
Mitschnitte und Eingaben nie auf der Festplatte2, nur solange das Panel offen ist.
- Sofortmaskiert
Cookies, Authorization, CSRF-Tokens, Secrets3 schon beim Mitschneiden.
- Zugriffauf Zeit
Host-Zugriff erst beim Mitschneiden, danach zurückgegeben.4
- EineAnfrage
Öffentliche Schlüssel des Ausstellers, nur auf Klick5, ohne Cookies.
Jede Berechtigung, und wofür.
Die Liste steht genauso in der Extension unter „Über“, dort mit dem aktuellen Stand. Keine der festen Berechtigungen löst bei der Installation eine Warnung aus.
| Berechtigung | Wofür | Wann |
|---|---|---|
storage | Nur die Sprache der Oberfläche und die Option „Header“ | immer |
sidePanel | Panel neben der Seite (Chrome, Edge; Firefox nutzt die Sidebar) | immer |
webRequest | Live-Mitschnitt, nur beobachtend; ohne Host-Zugriff wirkungslos | nur mit Host-Zugriff |
scripting, activeTab | „Seitenspeicher durchsuchen“: eine Funktion läuft einmal im aktiven Tab und meldet Art, Länge und harmlose Claims, nie einen Wert | auf Klick |
https://*/* (optional) | Mitschnitt über App, Identity Provider und API hinweg | erst bei „Live mitschneiden“, danach wieder abgegeben |
Was hineinkommt, was hinausgeht.
Die Auswertung läuft vollständig im Panel. Hinaus geht nur, was du selbst kopierst oder speicherst.
- Mitschnitt oder Eingabe. Anfragen des Browsers während einer Anmeldung, oder was du einfügst – Nachrichten, Tokens, HAR-Dateien, Zertifikate, Service-Keys.
- Maskiert und ausgewertet. Geheimnisse werden maskiert; lange Cookie-Werte bleiben nur als Fingerabdruck, Refresh-Tokens nur als kurzer Hash.
- Nur auf deine Aktion. „Bericht kopieren“, „Header kopieren (maskiert)“, „Bereinigtes HAR speichern“ – nur mit maskierten Werten3.
- Eine Anfrage, auf Klick. Discovery und JWKS des Ausstellers, als GET ohne Cookies und ohne Referrer.
Verteilen, einschränken, prüfen.
- Verteilen.AuthTailor lässt sich wie jede Extension über die Browser-Richtlinien von Chrome und Edge installieren. Es gibt keine eigene Konfiguration und keinen Server, der freigeschaltet werden müsste.
- Einschränken.Den optionalen Host-Zugriff kann die IT über die Richtlinien des Browsers auf bestimmte Hosts begrenzen oder sperren; der Tracer arbeitet dann mit eingefügten Nachrichten weiter.
- Prüfen.Der Datenfluss steht oben, die Berechtigungen in der Tabelle, der Wortlaut für Datenschutzbeauftragte in der Datenschutzerklärung der Extension. Updates kommen nur über die Browser-Stores.
- Schwachstelle gefunden?Bitte vertraulich an office@clouddna.at. Wir antworten persönlich.
Fundstellen auf dieser Seite
Die hochgestellten Ziffern im Text verweisen hierher. Antippen zeigt die Fundstelle direkt an der Textstelle, alle Fundstellen der Website stehen gesammelt auf einer Seite.
- 1
Kein Server, keine Telemetrie ↑Produkt · AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, „Kurz gesagt“ · geprüft am 08.11.2026
- 2
Nur im Arbeitsspeicher, solange das Panel offen ist ↑Produkt · AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026
- 3
Maskiert schon beim Mitschneiden ↑Produkt · AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, Maskierung · geprüft am 08.11.2026
- 4
Berechtigungen und Host-Zugriff ↑Produkt · AuthTailor Produktdokumentation, README, „Datenschutz und Berechtigungen“; Chrome-Web-Store-Unterlagen · geprüft am 08.11.2026
- 5
Die eine Anfrage: öffentliche Schlüssel auf Klick ↑Produkt · AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026
Fragen zur Sicherheit.
- Sieht die CloudDNA meine Tokens oder Mitschnitte?
- Nein. Es gibt keinen Server der CloudDNA, keine Telemetrie und kein Analyse-Werkzeug. Die Auswertung läuft im Panel auf deinem Gerät; Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher, solange das Panel offen ist.
- Warum fragt der Browser nach Zugriff auf alle Websites?
- Weil eine Anmeldung über mehrere Hosts läuft – App, Identity Provider, API – und der Mitschnitt alle sehen muss. Der Zugriff ist optional, wird erst beim Klick auf „Live mitschneiden“ erfragt und nach dem Stoppen wieder abgegeben.
- Was verlässt das Panel?
- Nur, was du selbst kopierst oder speicherst – etwa den Bericht, die maskierten Header oder ein bereinigtes HAR. Diese enthalten nur maskierte Werte. Die eine Verbindung nach außen holt auf deinen Klick die öffentlichen Schlüssel eines Token-Ausstellers.
- Kann unsere IT AuthTailor zentral verteilen?
- Ja, wie jede Extension über die Browser-Richtlinien von Chrome und Edge. Dort lässt sich auch festlegen, auf welchen Hosts die Extension laufen darf. Sprich uns an, wenn ihr dabei Unterstützung wollt.
- Wie melde ich eine Schwachstelle?
- Bitte vertraulich an office@clouddna.at, Betreff „Security AuthTailor“. Wir antworten persönlich und nennen dich auf Wunsch, sobald die Lücke geschlossen ist.
Deine Frage ist nicht dabei? Sprich mich an: +43 664 1964199 office@clouddna.at Schreib mir