# AuthTailor: Volltext > SAML- & OIDC-Tracer im Browser. Dieser Text enthält den sichtbaren Inhalt der Website https://authtailor.com als Markdown (Stand 2026-11-08). Kurzfassung: https://authtailor.com/llms.txt. Bitte bei Zitaten die Seite als Quelle nennen. Anbieter: CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich. Telefon +43 664 1964199, E-Mail office@clouddna.at. === DEUTSCH === --- # AuthTailor – SAML- & OIDC-Tracer im Browser Quelle: https://authtailor.com/ > Kostenlose Browser-Extension: SAML- und OIDC-Anmeldung mitschneiden, JWT und SAML zerlegen und sehen, woran Single Sign-on scheitert – lokal, ohne Server. SAML- & OIDC-Tracer im Browser ## Single Sign‑on, sichtbar gemacht. Ein Login scheitert, und der Identity Provider sagt nur „invalid_grant“ oder eine Fehlernummer. AuthTailor ist eine Browser-Extension, die die Anmeldung live mitschneidet, Tokens zerlegt, Signaturen prüft und zeigt, an welchem Schritt es hakt – lokal im Browser, ohne Server. Die kleinen Ziffern sind Fundstellen: Antippen zeigt Quelle und Prüfdatum, alle stehen unten auf der Seite. Kostenlos installieren → Video ansehen [Alle Funktionen](https://authtailor.com/funktionen) - Kostenlos, ohne Konto - Kein Server, keine Telemetrie - Host-Zugriff nur beim Mitschneiden - Keine Cookies auf dieser Seite Außerdem in dieser Ausgabe Fünf Registerkarten – Auth Trace, Werkzeuge, SAP, Lernen und Über, in Bildern [SAP BTP – XSUAA, IAS, „Warum 403?“ und Principal Propagation als Diagramm](https://authtailor.com/funktionen#sap) [Lernen – 13 Abläufe von OAuth, OpenID Connect und SAML zum Durchklicken](https://authtailor.com/funktionen#lernen) [Sicherheit – was die Extension liest, was sie nie sendet, welche Rechte sie wann braucht](https://authtailor.com/sicherheit) Abb. 1 — Live-Mitschnitt einer Anmeldung mit OpenID Connect und PKCE: jeder Schritt als Diagramm, jeder Parameter geprüft. Alle Bilder zeigen erfundene Daten. Video · ohne Ton ### Eine Anmeldung, mitgeschnitten und erklärt. Mitschneiden, anmelden, Token zerlegen, Befund lesen – einmal von vorn bis hinten an einer erfundenen App. Das Video liegt auf dieser Website und lädt erst, wenn du es startest. [Video herunterladen (WebM)](https://authtailor.com/assets/media/authtailor-demo-de.webm) [Auf YouTube ansehen ↗](https://www.youtube.com/watch?v=ye1hlJyzEmg) Der Link öffnet YouTube; dort gelten die Datenschutzbestimmungen von Google. Fünf Registerkarten ### Alles, was eine Anmeldung verrät – in einem Panel. AuthTailor öffnet sich als Seitenpanel neben dem Tab, in dem du dich anmeldest. Fünf Registerkarten decken ab, was du bei der Fehlersuche sonst in fünf Werkzeugen zusammensuchst. Auth Trace #### Das Token sehen, nicht nur lesen. Mitschneiden oder einfügen: SAML Response, JWT, Anmelde-URL, HAR-Datei oder einfach die Fehlermeldung. Das JWT erscheint zerlegt in Header, Payload und Signatur, mit der Kette vom Aussteller zum Empfänger und einem Ausweis mit Scopes und Rollen. Signaturen werden echt geprüft – SAML mit dem Zertifikat, JWTs mit den Schlüsseln des Ausstellers. Auth Trace · SAML #### SAML, wie es im XML steckt. Response, Assertion, Subject und Conditions verschachtelt wie im XML, mit Siegel an jeder Signatur und einer Farbe je Befund. Dazu die Angriffsmuster, die man im Rohtext übersieht: Signature Wrapping, doppelte IDs, ein Kommentar in der NameID. Werkzeuge #### Was um die Anmeldung herum schiefgeht. Passkey-Antworten, Zertifikate und Schlüssel, Content Security Policy, Security-Header, CORS und verdächtige Anmelde-Links. Ein HAR-Bereiniger maskiert Cookies, Tokens und Passwörter, bevor ein Mitschnitt an den Support geht. SAP #### „Warum 403?“ – Scope für Scope. Für alle auf der SAP BTP: XSUAA- und IAS-Tokens, Reviews von xs-security.json, xs-app.json, Service-Keys und Destinations, Anmeldetickets und die BTP-Abläufe als Diagramm. „Warum 403?“ legt neben das Token, was die App verlangt. Lernen #### Verstehen, was du gerade siehst. 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken, Grundlagen in acht Kapiteln, ein Glossar, bekannte Fehlermeldungen und eine Checkliste vor dem Go-live. Erkennt der Tracer einen Ablauf, führt ein Klick zur Erklärung. [Alle Funktionen im Detail →](https://authtailor.com/funktionen) MASKIERT. Wer einen Mitschnitt teilt, teilt sonst Cookies, Codes und Tokens. AuthTailor maskiert sie schon beim Mitschneiden, und der Bericht fürs Ticket enthält nur maskierte Werte. Die gelben Marker auf dieser Seite? Hinter jedem steht eine Fundstelle mit Prüfdatum. [Alle Fundstellen](https://authtailor.com/fundstellen) Die Ampel ### Nicht nur, ob es geht. Auch, ob es sicher ist. Eine Anmeldung kann funktionieren und trotzdem ein Loch haben. Die Ampel bewertet fünf Bereiche getrennt – rein funktionale Befunde wie eine falsche Audience zählen dort nicht mit. - Ablauf & Protokoll state, nonce, PKCE, redirect_uri, InResponseTo und RelayState über den ganzen Ablauf. - Tokens & Signaturen Signatur, Aussteller, Audience, Ablauf, Schlüsselwechsel, jku und x5u im Kopf. - Transport & Lecks Codes im Referer, Tokens in der URL, Client-Secrets aus dem Browser. - Cookies & Sitzung SameSite, HttpOnly, Secure, __Host-, Session Fixation und Abmeldung. - Browser -Schutz HSTS, Schutz vor Einbetten, Referrer-Policy und Skripte ohne SRI. Datenschutz ### Kein Server. Kein Konto. Nichts gespeichert. Ein Werkzeug, das Tokens und Anmeldungen sieht, muss sich erklären. Deshalb ist AuthTailor so gebaut, dass es wenig zu erklären gibt. [Sicherheit im Detail →](https://authtailor.com/sicherheit) - Kein ServerDie Auswertung läuft im Panel. Keine Telemetrie, keine Analyse, kein Code von Dritten – die Extension sendet keine deiner Daten. - ArbeitsspeicherNichts auf der Festplatte. Mitschnitte und Eingaben liegen nur im Arbeitsspeicher, solange das Panel offen ist. - Host-ZugriffNur zum Mitschneiden. Der Zugriff auf Websites wird erst beim Mitschneiden erfragt und danach wieder abgegeben. - Eine AnfrageÖffentliche Schlüssel, auf Klick. Nur wenn du Signaturen prüfen willst, holt das Panel die öffentlichen Schlüssel des Ausstellers – ohne Cookies, ohne deine Eingabe. Installieren · Version 1.0.0 ### In zwei Minuten zum ersten Befund. Kostenlos, ohne Konto. Die Extension gibt es für Chrome, mit Builds für Edge und Firefox. - Chrome Web Store Freigabe läuft[Vorab-Version anfragen →](https://authtailor.com/kontakt?thema=Vorabversion) - Microsoft Edge Add-ons Freigabe läuft[Vorab-Version anfragen →](https://authtailor.com/kontakt?thema=Vorabversion) - Firefox Add-ons Freigabe läuft[Vorab-Version anfragen →](https://authtailor.com/kontakt?thema=Vorabversion) Freigabe läuft Version 1.0.0 ist gebaut, die Veröffentlichung im Chrome Web Store läuft. Bis dahin bekommst du die Extension auf [Anfrage](https://authtailor.com/kontakt?thema=Vorabversion) als Paket zum Laden – mit allen Funktionen. - Installieren und das Panel über das Symbol der Extension öffnen. - Mitschneiden „Live mitschneiden“ drücken; der Browser fragt einmal nach dem Zugriff. - Anmelden im Tab der App, die Probleme macht – oder Nachricht, Token oder HAR einfügen. - Befunde lesen Diagramm, Ampel, Ursache und Abhilfe; der Bericht geht maskiert ins Ticket. Ehrlich gesagt ### Wann dir AuthTailor nicht hilft. Ein Prüfwerkzeug, das nur Vorteile kennt, hat sich selbst nicht geprüft. Hier ist unsere Liste. - Der Fehler liegt zwischen zwei Servern. Client Credentials, SAML Bearer oder Principal Propagation laufen nicht durch den Browser – dort kann nichts mitschneiden. Die Nachrichten lassen sich aber einfügen, und Lernen erklärt den Ablauf. - Du willst die Konfiguration reparieren lassen. AuthTailor zeigt die Ursache und die Abhilfe. Ändern musst du sie im Identity Provider oder in der App – mit Absicht: Die Extension schreibt nirgends hin. - Du suchst ein Werkzeug für Penetrationstests. AuthTailor beobachtet und bewertet, es greift nichts an und verändert keine Anfrage. Für aktive Tests gibt es eigene Werkzeuge. - Dein Browser darf keine Extensions. Dann braucht es zuerst die IT. Für sie steht auf der Seite [Sicherheit](https://authtailor.com/sicherheit#rollout), welche Rechte AuthTailor wann braucht. Von den Autoren bei SAP PRESS ### Aus der Praxis mit SAP BTP und Identity Providern. AuthTailor kommt von der CloudDNA. Ihr Gründer Martin Koch hat mit Siegfried Zeilinger die Bücher zu Sicherheit, Verbindungen und Administration der SAP BTP geschrieben – vieles, was der Tracer prüft, steht dort ausführlich erklärt. - [Sicherheit SAP Business Technology Platform Sicherheit und Berechtigungen Martin Koch, Siegfried Zeilinger Identitäten, Rollen und Vertrauensstellungen auf der SAP BTP – die Grundlage jeder Integration, die Daten bewegt. Deutsch · 394 Seiten · auch auf Englisch Beim Verlag ansehen ↗](https://www.rheinwerk-verlag.de/sap-business-technology-platform-sicherheit-und-berechtigungen/) - [Connectivity Cloud Connector für SAP Martin Koch, Siegfried Zeilinger Der Weg von der Cloud ins eigene Netz: Cloud Connector einrichten, absichern und betreiben. Deutsch · 380 Seiten · auch auf Englisch Beim Verlag ansehen ↗](https://www.rheinwerk-verlag.de/cloud-connector-fuer-sap/) - [Administration SAP Business Technology Platform Administration Martin Koch, Siegfried Zeilinger Accounts, Subaccounts, Lizenzmodelle und Betrieb der SAP BTP – für alle, die den Tenant nicht nur benutzen. Deutsch · 456 Seiten · auch auf Englisch Beim Verlag ansehen ↗](https://www.rheinwerk-verlag.de/sap-business-technology-platform-administration/) Cover: Rheinwerk Verlag (SAP PRESS). Die Links führen zum Verlag. Für SAP Integration Suite ### Der Tracer steckt auch in iFlowTailor. AuthTailor ist aus iFlowTailor entstanden, der Werkbank für SAP Cloud Integration. Wer iFlows baut, hat dort denselben Tracer neben Review, Test und Fehleranalyse. [iFlowTailor ansehen ↗](https://iflowtailor.com) [Beratung zu SSO auf SAP BTP](https://authtailor.com/kontakt?thema=Beratung) Die Familie der Tailors ### Dreizehn Geschwister – jeder für sein Handwerk. Jeder Tailor löst ein Problem, das wir aus der Nähe kennen. Die meisten Geschwister teilen sich die Tailor-Plattform mit EU-Datenhaltung und KI-Schicht. AuthTailor ist das kleinste unter ihnen: kein Server, keine Datenhaltung, nur ein Panel neben deinem Tab. Entstanden ist es als SAML- & OIDC-Tracer in iFlowTailor – dort steckt er bis heute. - A AuthTailor SAML- & OIDC-Tracer im Browser – hier bist du. - [I iFlowTailor Werkbank für SAP Cloud Integration ↗](https://iflowtailor.com) - [P ProbeTailor Abnahmetests für SAP & Fachsoftware ↗](https://www.probetailor.com) - [J JournalTailor Rechnungseingang vor SAP, BMD & DATEV ↗](https://www.journaltailor.com) - [D DocumentTailor Dokumente & Signatur für SAP-Häuser ↗](https://documenttailor.com) - [R RecordTailor Dokumentenmanagement ↗](https://recordtailor.com) - [I ImmoTailor Hausverwaltung & Projektentwicklung ↗](https://www.immotailor.com) - [T TaxTailor Steuerberatung ↗](https://taxtailor.at) - [D DineTailor Restaurants ↗](https://dinetailor.com) - [S StayTailor Hotellerie ↗](https://staytailor.at) - [M MeetingTailor Tagungen & Events ↗](https://www.meetingtailor.com) - [W Weintailor Winzerinnen und Winzer ↗](https://weintailor.com) - [B BuildTailor Bau & Handwerk ↗](https://buildtailor.com) Häufige Fragen ### Kurz beantwortet. **Was ist AuthTailor?** AuthTailor ist eine kostenlose Browser-Extension, die eine Single-Sign-on-Anmeldung mit SAML 2.0 oder OpenID Connect mitschneidet oder aus eingefügten Nachrichten liest. Sie zerlegt Tokens, prüft Signaturen und jeden Schritt des Ablaufs und zeigt, woran die Anmeldung scheitert. Anbieter ist die CloudDNA GmbH aus Österreich. **Was kostet AuthTailor?** Nichts. Es gibt kein Konto, keine Lizenz und keine Bezahlfunktionen. Wer Hilfe beim Einrichten von Single Sign-on oder einen Workshop möchte, kann die CloudDNA dafür beauftragen – das ist ein eigenes Angebot. **Sieht die CloudDNA meine Tokens oder Mitschnitte?** Nein. AuthTailor hat keinen Server, keine Telemetrie und keine Analyse. Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher des Panels, solange es offen ist. Die eine Anfrage nach außen holt auf deinen Klick die öffentlichen Schlüssel des Token-Ausstellers. **Brauche ich SAP, um AuthTailor zu nutzen?** Nein. Der Tracer arbeitet mit jedem Identity Provider und jeder App, die SAML 2.0, OpenID Connect oder OAuth 2.0 im Browser sprechen. Die Registerkarte SAP ist ein Zusatz für alle, die auf der SAP BTP mit XSUAA, IAS und Destinations arbeiten. **Für welche Browser gibt es AuthTailor?** Für Chrome; der Build erzeugt auch Pakete für Microsoft Edge und Firefox. Die Veröffentlichung im Chrome Web Store läuft – bis dahin gibt es die Extension auf Anfrage als Paket. **Ist AuthTailor ein Produkt der SAP?** Nein. AuthTailor ist ein Produkt der CloudDNA GmbH und arbeitet mit Identity Providern und Apps aller Hersteller. Es ändert nichts an ihnen und ersetzt nicht ihre Protokolle. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Funktionen: Auth Trace, Werkzeuge, SAP, Lernen · AuthTailor Quelle: https://authtailor.com/funktionen > Live-Mitschnitt, JWT- und SAML-Anatomie, echte Signaturprüfung, Ampel, Werkzeuge für Zertifikate und HAR, SAP BTP und 13 Abläufe zum Lernen – im Detail. Funktionen · Stand Version 1.0.0 vom 08.11.2026 ## Jeder Schritt, jeder Parameter. AuthTailor hat fünf Registerkarten. Hier steht, was in jeder steckt – mit Fundstelle zu jeder Aussage. Was wir prüfen, prüfen wir auch an uns selbst. [Kostenlos installieren →](https://authtailor.com/#installieren) [Video ansehen](https://authtailor.com/#video) Auth Trace ### Mitschneiden, einfügen, prüfen, bewerten. „Live mitschneiden“ drücken und in einem beliebigen Tab anmelden: Der Ablauf Browser → App → Identity Provider erscheint als Diagramm, jeder Schritt mit seinen Parametern. - Den ganzen Ablauf prüfen. state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL und RelayState – nicht je Nachricht, sondern über den ganzen Ablauf. - Alles einfügen. SAML Response, AuthnRequest, Assertion, Metadaten, JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder die Fehlermeldung; bekannte Fehlercodes mit Ursache und Abhilfe. - Das Token sehen. Header, Payload und Signatur, die Kette vom Aussteller zum Empfänger, ein Ausweis mit Scopes und Rollen, Zeiten relativ zu jetzt. - Signaturen echt geprüft. SAML mit dem Zertifikat und dem Fingerabdruck aus den Metadaten, JWTs mit den Schlüsseln des Ausstellers; Warnung vor ablaufenden Zertifikaten und fehlenden Schlüsseln nach einem Wechsel. - Header je Schritt. Anfrage- und Antwort-Header, maskiert, mit SameSite-Prüfung der Cookies beim POST zurück an die App. - Bearer-Tokens und DPoP. Auf Wunsch die JWTs, die eine Single-Page-App an ihre API schickt, samt Ablehnungsgrund aus WWW-Authenticate und geprüften DPoP-Proofs. - Angriffsmuster und Lecks. Signature Wrapping, Kommentar in der NameID, jku/x5u im JWT-Kopf, Codes im Referer, Tokens in der URL, Session Fixation, offene Weiterleitungen. - Abmeldung, Discovery, Metadaten. Ob die Sitzung beim Logout wirklich endet, und was Discovery und Metadaten über die Sicherheit verraten. - Ampel und Bericht. Fünf Bereiche getrennt bewertet; der Markdown-Bericht geht maskiert ins Ticket. Werkzeuge ### Alles, was um die Anmeldung herum schiefgeht. Einfügen, und die Registerkarte erkennt selbst, was es ist: Passkey-Antwort, Zertifikat, Schlüssel, Richtlinie oder Link. - Passkeys. Eine WebAuthn-Antwort zerlegen: Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID und Challenge geprüft. - Zertifikate und Schlüssel. PEM-Ketten, CSRs, öffentliche und private Schlüssel, JWKs – Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname, und ob Schlüssel und Zertifikat zusammengehören. - Websicherheit. Content Security Policy mit strengerem Vorschlag, Security-Header einer Anmeldeseite, CORS-Preflight, Doppelgänger- und Punycode-Links, offene Weiterleitungen. - Secrets und HAR. Secret-Suche in beliebigem Text und ein HAR-Bereiniger, der Cookies, Tokens, Codes und Passwörter maskiert und eine Datei .sanitized.har speichert. - Seitenspeicher. Auf Klick Tokens in localStorage, sessionStorage und IndexedDB des aktuellen Tabs finden – zurück kommen Art und Länge, nie ein Wert. SAP ### SAP BTP: Tokens, Konfiguration, Abläufe. Für alle, die mit XSUAA, SAP Cloud Identity Services und Destinations arbeiten – und sich fragen, warum die App 403 sagt. - XSUAA- und IAS-Tokens. Scopes je App, Rollen-Collections, Zone und Grant, erklärt statt nur dekodiert. - „Warum 403?“ Token einfügen, erwartete Scopes oder Rollen eintragen – Scope für Scope, was fehlt. - Konfiguration im Review. xs-security.json, xs-app.json, Service-Keys und Destinations (JSON oder Properties); Secrets erscheinen nur maskiert und bleiben im Arbeitsspeicher. - Abläufe als Diagramm. App Router → XSUAA → IAS, IAS direkt, Principal Propagation, SAML Bearer und CSRF – dazu Anmeldetickets (MYSAPSSO2) mit Signaturprüfung und Fehler von SAP Gateway und ICF. [Hilfe bei SSO auf SAP BTP anfragen →](https://authtailor.com/kontakt?thema=Beratung) Lernen ### Verstehen, was du gerade siehst. 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken und Abspielen, mit Risiken und dem, was der Tracer prüft. - Abläufe. Code + PKCE, BFF, Client Credentials, Refresh, Device Code, On-behalf-of, DPoP, implizit, Passwort-Grant, SAML SP- und IdP-initiiert, SAML Bearer, Abmeldung. - Grundlagen. Acht kurze Kapitel – von Protokollen und Tokens über Schlüssel und Zertifikate bis zu Cookies, Abmeldung und Tokens im Browser. - Glossar und Fehlerkatalog. Begriffe in einem Satz und bekannte Fehlermeldungen mit Ursache und Abhilfe. - Checkliste vor dem Go-live. Was vor dem ersten produktiven Login geprüft sein sollte. Über ### Was die Extension tut – in der Extension selbst. Die Registerkarte „Über“ zeigt, was AuthTailor macht, die vollständige [Datenschutzerklärung](https://authtailor.com/datenschutz#extension), die Berechtigungen mit ihrem aktuellen Stand, was gespeichert ist (mit Zurücksetzen), den Herausgeber mit Impressum, Version und Build. Häufige Fragen ### Fragen zu den Funktionen. **Welche Protokolle versteht AuthTailor?** SAML 2.0 (Response, AuthnRequest, Assertion, Metadaten, Logout) und OpenID Connect mit OAuth 2.0 (Autorisierung, Token-Anfrage und -Antwort, Discovery, JWKS, Refresh, DPoP, Logout). Dazu Passkey-Antworten (WebAuthn) unter Werkzeuge. **Muss ich mitschneiden, oder kann ich auch etwas einfügen?** Beides. Ohne Mitschnitt fügst du ein, was du hast: eine SAML Response, ein JWT, eine Anmelde-URL, eine HAR-Datei aus den Entwicklertools oder die Fehlermeldung. Der Tracer erkennt, was es ist. **Prüft AuthTailor Signaturen wirklich oder zeigt es sie nur an?** Es prüft sie: SAML kryptografisch mit dem Zertifikat aus der Nachricht, auf Wunsch abgeglichen mit dem Fingerabdruck aus den Metadaten; JWTs mit den öffentlichen Schlüsseln des Ausstellers, die ein Klick holt. **Kann ich das Ergebnis an Kollegen oder den Support geben?** Ja, als Markdown-Bericht mit Urteil, Ampel, Abläufen, Befunden und Schritten – nur mit maskierten Werten. HAR-Dateien bereinigt die Extension, bevor du sie weitergibst. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Sicherheit: kein Server, maskiert, Zugriff auf Zeit · AuthTailor Quelle: https://authtailor.com/sicherheit > Kein Server, Daten nur im Arbeitsspeicher, Maskierung beim Mitschneiden, Host-Zugriff auf Zeit: wie AuthTailor mit Anmeldungen und Tokens umgeht. Sicherheit · Stand Version 1.0.0 vom 08.11.2026 ## Wenig zu erklären. Ein Werkzeug, das Tokens, Cookies und Anmeldungen sieht, muss sich gegenüber der Security-Abteilung erklären. Wir haben AuthTailor so gebaut, dass die Erklärung kurz ist: kein Server, nichts gespeichert, Zugriff nur auf Zeit. Alles Weitere steht hier – jede Aussage mit Fundstelle. Berechtigungen ansehen[Datenschutzerklärung der Extension](https://authtailor.com/datenschutz#extension) - Kein Server Keine Telemetrie, keine Analyse, keine Werbung, kein Code von Dritten. - Nur im Speicher Mitschnitte und Eingaben nie auf der Festplatte, nur solange das Panel offen ist. - Sofort maskiert Cookies, Authorization, CSRF-Tokens, Secrets schon beim Mitschneiden. - Zugriff auf Zeit Host-Zugriff erst beim Mitschneiden, danach zurückgegeben. - Eine Anfrage Öffentliche Schlüssel des Ausstellers, nur auf Klick, ohne Cookies. Berechtigungen ### Jede Berechtigung, und wofür. Die Liste steht genauso in der Extension unter „Über“, dort mit dem aktuellen Stand. Keine der festen Berechtigungen löst bei der Installation eine Warnung aus. Berechtigung | Wofür | Wann storage | Nur die Sprache der Oberfläche und die Option „Header“ | immer sidePanel | Panel neben der Seite (Chrome, Edge; Firefox nutzt die Sidebar) | immer webRequest | Live-Mitschnitt, nur beobachtend; ohne Host-Zugriff wirkungslos | nur mit Host-Zugriff scripting, activeTab | „Seitenspeicher durchsuchen“: eine Funktion läuft einmal im aktiven Tab und meldet Art, Länge und harmlose Claims, nie einen Wert | auf Klick https://*/* (optional) | Mitschnitt über App, Identity Provider und API hinweg | erst bei „Live mitschneiden“, danach wieder abgegeben Datenfluss ### Was hineinkommt, was hinausgeht. Die Auswertung läuft vollständig im Panel. Hinaus geht nur, was du selbst kopierst oder speicherst. - HineinMitschnitt oder Eingabe. Anfragen des Browsers während einer Anmeldung, oder was du einfügst – Nachrichten, Tokens, HAR-Dateien, Zertifikate, Service-Keys. - Im PanelMaskiert und ausgewertet. Geheimnisse werden maskiert; lange Cookie-Werte bleiben nur als Fingerabdruck, Refresh-Tokens nur als kurzer Hash. - HinausNur auf deine Aktion. „Bericht kopieren“, „Header kopieren (maskiert)“, „Bereinigtes HAR speichern“ – nur mit maskierten Werten. - Ins NetzEine Anfrage, auf Klick. Discovery und JWKS des Ausstellers, als GET ohne Cookies und ohne Referrer. Für die Konzern-IT ### Verteilen, einschränken, prüfen. - Verteilen. AuthTailor lässt sich wie jede Extension über die Browser-Richtlinien von Chrome und Edge installieren. Es gibt keine eigene Konfiguration und keinen Server, der freigeschaltet werden müsste. - Einschränken. Den optionalen Host-Zugriff kann die IT über die Richtlinien des Browsers auf bestimmte Hosts begrenzen oder sperren; der Tracer arbeitet dann mit eingefügten Nachrichten weiter. - Prüfen. Der Datenfluss steht oben, die Berechtigungen in der Tabelle, der Wortlaut für Datenschutzbeauftragte in der [Datenschutzerklärung der Extension](https://authtailor.com/datenschutz#extension). Updates kommen nur über die Browser-Stores. - Schwachstelle gefunden? Bitte vertraulich an [office@clouddna.at](mailto:office@clouddna.at?subject=Security%20AuthTailor). Wir antworten persönlich. Häufige Fragen ### Fragen zur Sicherheit. **Sieht die CloudDNA meine Tokens oder Mitschnitte?** Nein. Es gibt keinen Server der CloudDNA, keine Telemetrie und kein Analyse-Werkzeug. Die Auswertung läuft im Panel auf deinem Gerät; Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher, solange das Panel offen ist. **Warum fragt der Browser nach Zugriff auf alle Websites?** Weil eine Anmeldung über mehrere Hosts läuft – App, Identity Provider, API – und der Mitschnitt alle sehen muss. Der Zugriff ist optional, wird erst beim Klick auf „Live mitschneiden“ erfragt und nach dem Stoppen wieder abgegeben. **Was verlässt das Panel?** Nur, was du selbst kopierst oder speicherst – etwa den Bericht, die maskierten Header oder ein bereinigtes HAR. Diese enthalten nur maskierte Werte. Die eine Verbindung nach außen holt auf deinen Klick die öffentlichen Schlüssel eines Token-Ausstellers. **Kann unsere IT AuthTailor zentral verteilen?** Ja, wie jede Extension über die Browser-Richtlinien von Chrome und Edge. Dort lässt sich auch festlegen, auf welchen Hosts die Extension laufen darf. Sprich uns an, wenn ihr dabei Unterstützung wollt. **Wie melde ich eine Schwachstelle?** Bitte vertraulich an office@clouddna.at, Betreff „Security AuthTailor“. Wir antworten persönlich und nennen dich auf Wunsch, sobald die Lücke geschlossen ist. Deine Frage ist nicht dabei? Sprich mich an: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Schreib mir](https://authtailor.com/kontakt) --- # Kontakt: Frage, Beratung oder Workshop · AuthTailor Quelle: https://authtailor.com/kontakt > Fragen zu AuthTailor, Hilfe bei Single Sign-on auf SAP BTP, ein Workshop fürs Team oder eine Vorab-Version: Antwort innerhalb eines Werktags, persönlich. Kontakt · persönlich ## Hängt die Anmeldung? AuthTailor ist kostenlos und braucht kein Konto. Schreib mir trotzdem – wenn du eine Frage hast, einen Fehler gefunden hast oder Hilfe bei Single Sign-on brauchst. - Fragen und Rückmeldungen zu AuthTailor - [Single Sign-on auf SAP BTP](https://authtailor.com/funktionen#sap): XSUAA, IAS, Principal Propagation – Einrichten und Fehlersuche - Workshop zu SAML, OpenID Connect und OAuth für dein Team - Vorab-Version, solange die Veröffentlichung im Store läuft M Martin Koch Geschäftsführer, CloudDNA · Ich lese jede Anfrage selbst und antworte persönlich. [Lieber anrufen: +43 664 1964199](tel:+436641964199) Bitte keine Tokens, Cookies, Passwörter oder Service-Keys mitschicken. Ich melde mich innerhalb eines Werktags, persönlich. Kein Newsletter, keine Weitergabe. Details in der [Datenschutzerklärung](https://authtailor.com/datenschutz). Name Firma Geschäftliche E-Mail Worum geht's? Frage zu AuthTailorHilfe bei SSO auf SAP BTPFehlersuche bei einer AnmeldungWorkshop fürs TeamVorab-VersionRollout im UnternehmenFehler oder Wunsch meldenAnderes Deine Rolle EntwicklungAdministration / BasisIT-SicherheitArchitekturSupportAnderes Umgebung SAP BTPSAP on-premiseOhne SAPGemischtWeiß nicht Nachricht optional – was passiert, welche Fehlermeldung kommt (ohne Tokens) Website Häufige Fragen ### Fragen zum Kontakt. **Kostet die Anfrage etwas?** Nein. AuthTailor ist kostenlos, Fragen dazu beantworten wir gern. Beratung beim Einrichten von Single Sign-on oder ein Workshop sind ein eigenes Angebot der CloudDNA – das besprechen wir vorher. **Soll ich meinen Mitschnitt oder das Token mitschicken?** Bitte nicht. Schick keine Tokens, Cookies, Passwörter oder Service-Keys per Formular oder E-Mail. Beschreib kurz, was passiert und welche Fehlermeldung kommt; wenn wir gemeinsam draufschauen, bleiben die Daten auf deinem Bildschirm. **Wie schnell meldest du dich?** Innerhalb eines Werktags, persönlich. Es gibt keinen Newsletter und keine Weitergabe deiner Daten. **Kann ich auch anrufen oder schreiben?** Ja. Telefonisch erreichst du die CloudDNA GmbH unter +43 664 1964199, per E-Mail unter office@clouddna.at. --- # Alle Fundstellen · AuthTailor Quelle: https://authtailor.com/fundstellen > Das Quellenverzeichnis der AuthTailor-Website: jede Produktaussage und jede Angabe zu Büchern und Anbieter mit Fundstelle und Prüfdatum. Manifest ## Fundstellen. „Zero Trust.“ „Enterprise-grade.“ „Militärische Verschlüsselung.“ – Sicherheitswerkzeuge versprechen viel und belegen wenig. Für ein Werkzeug, das jeden Parameter einer Anmeldung nachprüft, wäre das peinlich. Deshalb hat jede Aussage auf dieser Website eine Fundstelle: Produktaussagen mit unserer Dokumentation und dem Stand Version 1.0.0 vom 08.11.2026, Bücher und Anbieter mit Link und Datum. Die Gewohnheit teilen alle Geschwister der Tailor-Familie. Bei uns heißt sie: keine Signatur ungeprüft, keine Behauptung ohne Beleg. ### Produkt - #### Version 1.0.0 vom 8. November 2026 Erste Veröffentlichung als eigenständige Extension. Version 1.0.0 bringt die fünf Registerkarten Auth Trace, Werkzeuge, SAP, Lernen und Über, die Datenschutzerklärung im Panel und den Verweis auf das Impressum der CloudDNA. AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026 - #### Browser-Extension für Chrome, mit Builds für Edge und Firefox Eine Codebasis für Chrome und Edge (Manifest V3, Seitenpanel) und Firefox (Sidebar). Der Build erzeugt Pakete für den Chrome Web Store, Microsoft Edge Add-ons und Firefox Add-ons. Oberfläche in Englisch (Standard) und Deutsch. AuthTailor Produktdokumentation, README und Build-Konfiguration · geprüft am 08.11.2026 - #### Kostenlos, ohne Konto und ohne Lizenz AuthTailor ist der SAML- & OIDC-Tracer aus iFlowTailor als eigenständiges Plugin – ohne Bindung an SAP, ohne Konto, ohne Lizenz. Es gibt keine Bezahlfunktionen und keine Anmeldung in der Extension. AuthTailor Produktdokumentation, README · geprüft am 08.11.2026 - #### Der Tracer aus iFlowTailor Analyse, Mitschnitt und Oberfläche stammen aus iFlowTailor, der Werkbank für SAP Cloud Integration der CloudDNA. Dort steckt der Tracer weiterhin; Änderungen werden in beiden Produkten nachgezogen. AuthTailor Produktdokumentation, README, Abschnitt „Herkunft des Codes“ · geprüft am 08.11.2026 - #### Fünf Registerkarten Auth Trace (mitschneiden oder einfügen, prüfen, bewerten), Werkzeuge, SAP, Lernen und Über. Im schmalen Panel entfallen die Symbole der Registerkarten, damit alle fünf passen. AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026 - #### Bildschirmfotos und Video mit erfundenen Daten Der Live-Mitschnitt in Bildern und Video ist eine frei erfundene Anmeldung bei „Acme Orders“ (*.acme.example, OpenID Connect mit PKCE, danach ein API-Aufruf). Das Token ist mit einem Wegwerf-Schlüssel signiert, der nur während der Aufnahme existierte. SAML, SAP, Werkzeuge und Lernen zeigen die eingebauten Beispiele. Kein echter Mitschnitt, keine echten Namen, Tenants oder Tokens. AuthTailor Produktdokumentation, Unterlagen für den Chrome Web Store · geprüft am 08.11.2026 - #### Live mitschneiden in einem beliebigen Tab „Live mitschneiden“ drücken, in einem beliebigen Tab anmelden: Der Tracer zeigt den Ablauf Browser → App → Identity Provider als Diagramm und prüft state, nonce, PKCE, redirect_uri, InResponseTo, ACS-URL und RelayState über den ganzen Ablauf. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Einfügen oder ablegen SAML Response, AuthnRequest, Assertion, Metadaten (XML, Base64, Redirect-Deflate), JWT, Anmelde-URL, Token-Anfrage und -Antwort, Discovery, JWKS, HAR-Datei oder eine Fehlermeldung – bekannte Fehlercodes, etwa von Entra ID, SAP Cloud Identity Services, XSUAA und SuccessFactors, mit Ursache und Abhilfe. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Grafische Anatomie von JWT und SAML JWT in Header, Payload und Signatur zerlegt, Vertrauenskette Aussteller → Signatur → Empfänger, Ausweis mit Scopes und Rollen, Zeiten relativ zu jetzt mit Toleranz für Uhrabweichung; SAML-Bausteine verschachtelt wie im XML, mit Siegel und Befundfarbe. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Signaturen echt geprüft SAML kryptografisch mit dem Zertifikat aus der Nachricht – eigene XML-Kanonisierung (exklusiv und inklusiv, gegen libxml2 getestet), RSA, RSA-PSS und ECDSA mit SHA-1 bis SHA-512 –, optional abgeglichen mit dem SHA-256-Fingerabdruck aus den Metadaten des IdP. JWTs mit den Schlüsseln des Ausstellers, die ein Klick auf „Schlüssel von … laden“ holt. Warnt vor ablaufenden Zertifikaten und nach einem Schlüsselwechsel fehlenden Schlüsseln. AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026 - #### Ampel in fünf Bereichen Sicherheitsbewertung je Bereich: Ablauf & Protokoll, Tokens & Signaturen, Transport & Lecks, Cookies & Sitzung, Browser-Schutz. Rein funktionale Befunde wie eine falsche Audience oder ein abgelaufenes Token zählen nicht zur Sicherheitsbewertung. AuthTailor Produktdokumentation, Changelog 1.0.0, Sicherheitsprüfung · geprüft am 08.11.2026 - #### Angriffsmuster und Lecks SAML: Signature Wrapping, doppelte IDs, Kommentar in der NameID, DTD (nie aufgelöst), XSLT- und XPath-Transforms (nie ausgeführt). JWT: jku, x5u und jwk im Kopf, kid-Injection, crit. Lecks: Code oder Token im Referer an Dritte, Tokens in der Query, Client-Secret aus dem Browser, Token-Antwort ohne Cache-Control: no-store. Dazu Session Fixation, Skripte von Dritten ohne SRI auf Anmeldeseiten, offene Weiterleitungen, Doppelgänger- und Punycode-Hosts. AuthTailor Produktdokumentation, README und Changelog 1.0.0 · geprüft am 08.11.2026 - #### Header je Schritt, maskiert Anfrage- und Antwort-Header je Schritt, maskiert, mit SameSite-Prüfung der Cookies beim POST zurück an die App; HSTS, Schutz vor Einbetten und Referrer-Policy der Anmeldeseiten; HttpOnly, Secure und Präfix __Host- der Sitzungs-Cookies. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Bearer-Tokens und DPoP (Option) Mit der Option „Auch Bearer-Tokens“ zeigt der Tracer JWTs aus dem Authorization-Header von API-Aufrufen, mit dem Ablehnungsgrund aus WWW-Authenticate; DPoP-Proofs werden gegen Methode, URL, ath und cnf.jkt geprüft. Refresh-Tokens: Rotation und Wiederverwendung. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Abmeldung, Discovery und Metadaten OIDC- und SAML-Logout: ob die Sitzungs-Cookies gelöscht und der IdP abgemeldet wurde. Discovery und SAML-Metadaten bewertet: impliziter und Passwort-Grant, none, PAR, DPoP, mTLS, Logout-Endpunkte; WantAssertionsSigned, SHA-1, transiente NameID. AuthTailor Produktdokumentation, Changelog 1.0.0 · geprüft am 08.11.2026 - #### Markdown-Bericht, maskiert Der Bericht fasst Urteil, Ampel, Abläufe, Befunde und Schritte als Markdown zusammen, fertig fürs Ticket. Er enthält nur maskierte Werte. AuthTailor Produktdokumentation, README, Auth Trace · geprüft am 08.11.2026 - #### Werkzeuge: Passkeys, Zertifikate, Websicherheit Erkennt, was eingefügt wurde: Passkey-Antwort (WebAuthn: Flags, Authenticator, synchronisiert oder gerätegebunden, Origin, RP-ID, Challenge), Zertifikate, Ketten, CSRs, öffentliche und private Schlüssel, JWK und JWKS (Reihenfolge, Ablauf, Schlüssellänge, SHA-1, Hostname, ob Schlüssel und Zertifikat zusammengehören), Content Security Policy mit strengerem Vorschlag, Security-Header, CORS-Preflight, verdächtige Anmelde-Links (Punycode, Doppelgänger, offene Weiterleitung) und Secrets in beliebigem Text. AuthTailor Produktdokumentation, README und Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026 - #### HAR bereinigen Maskiert Cookies, Authorization- und Sitzungs-Header, Codes, Tokens, Passwörter und geheime Parameter in URL, Formular und JSON; JWTs bleiben lesbar, verlieren aber die Signatur. Antwort-Inhalte wahlweise nur JSON, keine oder alle; SAML auf Wunsch behalten. Gespeichert wird eine Datei .sanitized.har. AuthTailor Produktdokumentation, Changelog 1.0.0, Werkzeuge · geprüft am 08.11.2026 - #### Tokens im Seitenspeicher finden – ohne Wert Auf Klick läuft eine Funktion einmal im aktiven Tab und durchsucht localStorage, sessionStorage, IndexedDB und die Namen der per JavaScript lesbaren Cookies. Zurück kommen nur Art, Länge und harmlose Claims der Tokens (Aussteller, Audience, Ablauf, Scopes), nie ein Wert. Kein Content-Script; Zugriff über activeTab oder eine einmalige Freigabe, die danach wieder abgegeben wird. AuthTailor Produktdokumentation, README, Berechtigungen; Changelog 1.0.0 · geprüft am 08.11.2026 - #### SAP BTP: Tokens, Konfiguration, Abläufe XSUAA- und IAS-Tokens (Scopes je App, Rollen-Collections, Zone, Grant), Reviews von xs-security.json, xs-app.json, Service-Keys und Destinations (JSON oder Properties, Secrets nur maskiert), Anmeldetickets (MYSAPSSO2) mit Signaturprüfung, BTP-Abläufe (App Router → XSUAA → IAS, IAS direkt, Principal Propagation, SAML Bearer, CSRF) als Diagramm, SAP-Grundlagen sowie Fehler von SAP Gateway und ICF mit Ursache und Abhilfe. AuthTailor Produktdokumentation, README und Changelog 1.0.0, SAP · geprüft am 08.11.2026 - #### „Warum 403?“ Token einfügen, erwartete Scopes oder Rollen eintragen: Die Ansicht vergleicht Scope für Scope, was das Token trägt und was die App verlangt, und nennt, was fehlt. AuthTailor Produktdokumentation, Changelog 1.0.0, SAP · geprüft am 08.11.2026 - #### 13 Abläufe, acht Kapitel, Glossar, Fehlerkatalog, Checkliste 13 Abläufe von OAuth 2.0, OpenID Connect und SAML als Sequenzdiagramm zum Durchklicken und Abspielen (Code + PKCE, BFF, Client Credentials, Refresh, Device Code, On-behalf-of, DPoP, implizit, Passwort-Grant, SAML SP- und IdP-initiiert, SAML Bearer, Abmeldung), mit Risiken und dem, was der Tracer prüft. Dazu Grundlagen in acht Kapiteln, ein Glossar, ein Katalog bekannter Fehlermeldungen mit Ursache und Abhilfe und eine Checkliste vor dem Go-live. Erkannte Abläufe der Eingabe führen direkt zur Erklärung. AuthTailor Produktdokumentation, README und Changelog 1.0.0, Lernen · geprüft am 08.11.2026 - #### Kein Server, keine Telemetrie AuthTailor hat keinen Server, kein Konto, keine Analyse, keine Telemetrie, keine Werbung und keinen Code von Dritten. Die Extension sendet keine Daten, weder an CloudDNA noch an andere. Die Auswertung läuft vollständig im Panel auf dem Gerät. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, „Kurz gesagt“ · geprüft am 08.11.2026 - #### Die eine Anfrage: öffentliche Schlüssel auf Klick Nur auf Klick auf „Schlüssel von laden“ holt das Panel die öffentliche Discovery und die öffentlichen Schlüssel (JWKS) des Token-Ausstellers mit einem HTTP-GET ohne Cookies und ohne Referrer. Von der Eingabe wird nichts gesendet. Ohne diesen Klick stellt die Extension keine Anfrage ins Netz. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026 - #### Nur im Arbeitsspeicher, solange das Panel offen ist Mitschnitte und eingefügte Inhalte – auch Service-Keys, Destinations und Konfigurationen – liegen nur im Arbeitsspeicher, solange das Panel offen ist; sie werden nie auf die Festplatte geschrieben. Gespeichert werden nur die Sprache der Oberfläche, die Option „Header“ und ein Merker im Sitzungsspeicher, ob die Extension die Host-Berechtigung selbst erfragt hat. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension · geprüft am 08.11.2026 - #### Maskiert schon beim Mitschneiden Cookie-Werte, Authorization-Werte, CSRF-Tokens, API-Keys, Sitzungs-Header, Client-Secrets und Passwörter werden beim Mitschneiden maskiert. Lange Cookie-Werte bleiben nur als kurzer Fingerabdruck, damit der Tracer eine erneuerte Sitzung erkennt; Refresh-Tokens nur als kurzer Hash, damit er ihre Rotation erkennt. Was das Panel verlässt, kopiert oder speichert der Nutzer selbst – und es enthält nur maskierte Werte. AuthTailor Produktdokumentation, Datenschutzerklärung der Extension, Maskierung · geprüft am 08.11.2026 - #### Berechtigungen und Host-Zugriff Fest im Manifest: storage (Sprache und Option „Header“), sidePanel, webRequest (nur beobachtend, ohne Host-Zugriff wirkungslos und ohne Installationswarnung), scripting und activeTab (Seitenspeicher auf Klick, ohne Installationswarnung). Optional: https://*/* – erst bei „Live mitschneiden“ oder einem erlaubten Seiten-Scan erfragt und danach wieder abgegeben. Ein laufender Mitschnitt wird dabei nicht gestört. AuthTailor Produktdokumentation, README, „Datenschutz und Berechtigungen“; Chrome-Web-Store-Unterlagen · geprüft am 08.11.2026 ### Hersteller - #### CloudDNA GmbH – SAP Silver Partner Die CloudDNA nennt sich SAP-BTP-Partner aus Österreich für den DACH-Raum und SAP Silver Partner; sie begleitet SAP-Projekte in Österreich, Deutschland und der Schweiz. Schwerpunkte laut Website: Integration, Architektur und Clean Core, Fiori und UX, Full-Stack-Entwicklung, Agilität und DevOps sowie Trainings. Martin Koch ist dort als Founder & Managing Director und SAP Champion genannt. [clouddna.at, Startseite und Team](https://www.clouddna.at/) · geprüft am 05.11.2026 - #### Bücher zu Sicherheit, Verbindungen und Administration der SAP BTP Martin Koch und Siegfried Zeilinger: „SAP Business Technology Platform – Sicherheit und Berechtigungen“ (englisch „Security and Authorizations for SAP Business Technology Platform“), „Cloud Connector für SAP“ („Cloud Connector for SAP“) und „SAP Business Technology Platform – Administration“ („Configuring SAP Business Technology Platform“), jeweils bei SAP PRESS im Rheinwerk Verlag. [Rheinwerk Verlag (SAP PRESS), Suche „martin koch“](https://www.rheinwerk-verlag.de/suche/?suchbegriff=martin+koch) · geprüft am 05.11.2026 - #### iFlowTailor – Werkbank für SAP Cloud Integration Browser-Extension der CloudDNA für SAP Integration Suite: Review, Test, Fehleranalyse und Betrieb neben dem iFlow-Editor. Der SAML- & OIDC-Tracer, aus dem AuthTailor entstanden ist, gehört dort zu den Ansichten. [iflowtailor.com](https://iflowtailor.com) · geprüft am 08.11.2026 --- # Datenschutz · AuthTailor Quelle: https://authtailor.com/datenschutz > Datenschutzerklärung der AuthTailor-Website und der Browser-Extension: keine Cookies, keine Tracker, und die Extension sendet keine Daten. ## Datenschutzerklärung Kurz gesagt: Diese Website setzt keine Cookies, lädt nichts von fremden Servern und verwendet keine Tracker. Daten bekommen wir nur, wenn Sie uns schreiben. Die Browser-Extension AuthTailor hat keinen Server und sendet keine Ihrer Daten – ihre Datenschutzerklärung steht in Abschnitt 5. ### 1. Verantwortliche CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich Geschäftsführung: Martin Koch · Telefon: [+43 664 1964199](tel:+436641964199) · E-Mail: [office@clouddna.at](mailto:office@clouddna.at) Wir sind nicht verpflichtet, eine:n Datenschutzbeauftragte:n zu bestellen. Für alle Datenschutzfragen erreichen Sie uns unter der oben genannten E-Mail-Adresse. ### 2. Aufruf der Website Beim Aufruf verarbeitet unser Hosting-Anbieter technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) in Server-Protokollen, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach kurzer Zeit automatisch gelöscht. Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Auslieferung bevorzugt aus der Region Frankfurt (fra1). Soweit Daten in die USA gelangen können, stützen wir uns auf: EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) sowie Standardvertragsklauseln. ### 3. Keine Cookies, keine Tracker, keine fremden Inhalte Wir setzen keine Cookies. Auf Ihr Endgerät greifen wir nur zu, soweit es für eine von Ihnen gewählte Funktion unbedingt erforderlich ist (§ 165 Abs. 3 TKG 2021, § 25 Abs. 2 TDDDG). Schriften, Skripte, Bilder und das Video liegen auf unserem eigenen Server; es werden keine Inhalte von Google, YouTube, Social-Media-Plattformen oder Analyse-Diensten nachgeladen. Das Video lädt erst, wenn Sie es starten. Der Link „Auf YouTube ansehen“ öffnet YouTube in Ihrem Browser; erst dann gelten die Datenschutzbestimmungen von Google. Die Hell/Dunkel-Wahl speichert Ihr Browser nur für den laufenden Besuch (sessionStorage); sie wird nicht an uns übertragen. ### 4. Anfragen über das Formular und per E-Mail Wenn Sie uns über das Formular oder per E-Mail schreiben, verarbeiten wir Ihre Angaben (Name, Firma, E-Mail, Anliegen, Rolle, Umgebung, Nachricht sowie – falls Sie über einen Link mit Kampagnencode gekommen sind – diesen Code aus der Adresszeile, damit wir wissen, worauf Sie antworten), um Ihnen zu antworten. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an der Beantwortung von Anfragen (lit. f). Die Anfrage legen wir als Kontakt in unserem CRM (Tailor-Plattform der CloudDNA) an und bearbeiten sie dort; ein Auftragsverarbeiter außerhalb der CloudDNA ist daran nicht beteiligt. Im Fenster „Danke“ nach dem Absenden zeigen wir Ihren Vornamen und Ihre E-Mail-Adresse nur in Ihrem Browser an – dafür wird nichts gespeichert oder an Dritte übertragen. Wir speichern die Anfrage bis zur Erledigung und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder daraus ein Vertragsverhältnis entsteht. Bitte schicken Sie uns keine Tokens, Cookies, Passwörter oder Service-Keys. Wir senden Ihnen keinen Newsletter, wenn Sie ihn nicht ausdrücklich bestellen. ### 5. Browser-Extension AuthTailor Dieser Abschnitt ist die Datenschutzerklärung der Browser-Extension AuthTailor für Chrome, Microsoft Edge und Firefox, im selben Wortlaut wie in der Extension unter „Über“. Sie ist auch die Adresse, die im Chrome Web Store als Datenschutzerklärung angegeben ist. Stand: 08.11.2026 · Gleicher Wortlaut wie unter „Über“ in der Extension. #### Verantwortlich AuthTailor ist eine Browser-Extension, mit der Entwicklerinnen, Entwickler und Admins SAML- und OpenID-Connect-Anmeldungen analysieren. Herausgeber: - CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich - E-Mail: [office@clouddna.at](mailto:office@clouddna.at) - Impressum: [https://www.clouddna.at/impressum/](https://www.clouddna.at/impressum/) #### Kurz gesagt Keine Daten verlassen Ihr Gerät. AuthTailor hat keinen Server, kein Konto, keine Analyse, keine Telemetrie, keine Werbung und keinen Code von Dritten. Die Extension sendet keine Ihrer Daten, weder an CloudDNA noch an andere. #### Die eine Anfrage in Ihrem Auftrag Klicken Sie auf „Schlüssel von laden“, holt das Panel die öffentliche Discovery und die öffentlichen Schlüssel (JWKS) dieses Token-Ausstellers mit einem einfachen HTTP-GET, ohne Cookies und ohne Referrer. Von Ihrer Eingabe wird nichts gesendet; der Aussteller sieht nur, dass seine öffentlichen Schlüssel abgerufen wurden, und von welcher IP-Adresse. Ohne diesen Klick stellt die Extension keine Anfrage. #### Was die Extension verarbeitet, und wo - Live-Mitschnitt (erst nach „Live mitschneiden“): Die Extension beobachtet die Anfragen des Browsers während einer Anmeldung – URL, Methode, Formularparameter von Anmelde-POSTs (z. B. SAMLResponse) und, wenn die Option „Header“ an ist, die Anfrage- und Antwort-Header. Mit der Option „Auch Bearer-Tokens“ beobachtet sie zusätzlich JWTs im Authorization-Header von API-Aufrufen. Das geschieht erst, nachdem Sie die optionale Host-Berechtigung erteilt haben; beim Stopp gibt die Extension sie zurück. Nach 30 Minuten endet der Mitschnitt von selbst. - Eingefügte oder abgelegte Inhalte: Text oder Dateien, die Sie ins Panel einfügen oder dort ablegen, etwa SAML-Nachrichten, JWTs, URLs, HAR-Dateien, Fehlermeldungen, Zertifikate, Schlüssel, SAP-Service-Keys, Destinations oder Konfigurationsdateien. - Seitenspeicher durchsuchen (erst nach Klick auf „Diese Seite durchsuchen“ unter Werkzeuge): Eine Funktion läuft einmal im aktiven Tab und liest dessen localStorage, sessionStorage, IndexedDB und die Namen der per JavaScript lesbaren Cookies. Ins Panel kommen nur die Art jedes Tokens (JWT, Refresh-Token, Secret), seine Länge und harmlose Claims (Aussteller, Audience, Ablauf, Scopes) – nie ein Wert. Der Zugriff kommt über activeTab (wenn Sie das Panel über das Symbol geöffnet haben) oder über eine einmalige Host-Berechtigung, die gleich nach dem Scan zurückgegeben wird. - Die Auswertung läuft vollständig im Panel der Extension auf Ihrem Gerät. Mitschnitte und eingefügte Inhalte liegen nur im Arbeitsspeicher, solange das Panel offen ist; sie werden nie auf die Festplatte geschrieben. - Maskierung: Geheimnisse werden schon beim Mitschneiden maskiert – Cookie-Werte, Authorization-Werte, CSRF-Tokens, API-Keys, Sitzungs-Header, Client-Secrets und Passwörter. Lange Cookie-Werte bleiben nur als kurzer Fingerabdruck erhalten, damit der Tracer erkennt, ob ein Sitzungs-Cookie bei der Anmeldung erneuert wurde; Refresh-Tokens nur als kurzer Hash, damit er ihre Rotation erkennt. Bearer-JWTs und DPoP-Proofs bleiben nur mit der Option „Auch Bearer-Tokens“ unmaskiert, weil die Prüfung sie braucht. - Gespeicherte Einstellungen: nur die Sprache der Oberfläche und die Option „Header“ (Browser-Speicher der Extension). Dazu kommt ein Merker, ob die Extension die Host-Berechtigung selbst erfragt hat, damit sie sie zurückgeben kann (Sitzungsspeicher, wird beim Schließen des Browsers gelöscht). Die Einstellungen lassen sich unter „Über“ zurücksetzen oder mit der Extension deinstallieren. #### Was das Panel verlässt - Nur, was Sie selbst kopieren oder speichern, z. B. mit „Bericht kopieren“, „Header kopieren (maskiert)“ oder „Bereinigtes HAR speichern“. - Der kopierte Bericht und das gespeicherte HAR enthalten nur maskierte Werte. #### Links auf Websites Unter „Über“ verweist das Panel auf die Website von CloudDNA, das Impressum und unsere Bücher bei SAP PRESS. Die Links öffnen in einem neuen Tab ohne Referrer; die Extension sendet dabei nichts mit. Für die aufgerufenen Websites gelten deren eigene Datenschutzerklärungen. #### Weitergabe und Verkauf Keine. AuthTailor verkauft und überträgt keine Daten. Daten werden weder für Werbung noch für Bonitätsprüfung noch für irgendeinen anderen Zweck genutzt als den einen: Anmeldungen zu analysieren. #### Rechtsgrundlage und Ihre Rechte Da CloudDNA über AuthTailor keine personenbezogenen Daten erhält, speichert CloudDNA nichts über Sie, das sich abfragen, berichtigen oder löschen ließe. Alle Verarbeitung geschieht auf Ihrem Gerät und auf Ihre Veranlassung. Bei Fragen schreiben Sie an [office@clouddna.at](mailto:office@clouddna.at). Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren; in Österreich ist das die Datenschutzbehörde ([https://www.dsb.gv.at/](https://www.dsb.gv.at/)). #### Änderungen Ändert sich der Umgang der Extension mit Daten, wird diese Erklärung mit der neuen Version und dem Datum oben aktualisiert. ### 6. Werbung Werbe-E-Mails und Werbeanrufe gibt es von uns nur mit Ihrer vorherigen Einwilligung (§ 174 TKG 2021). ### 7. Ihre Rechte Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Schreiben Sie dazu an [office@clouddna.at](mailto:office@clouddna.at). Beschwerden können Sie bei der österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, [www.dsb.gv.at](https://www.dsb.gv.at)) oder einer Aufsichtsbehörde in Ihrem Land einlegen. Stand: 8. November 2026 --- # Impressum · AuthTailor Quelle: https://authtailor.com/impressum > Impressum der AuthTailor-Website: CloudDNA GmbH, Loipersdorf, Firmenbuch, UID, Aufsichtsbehörde, Haftung, Marken und Kontakt. ## Impressum Informationen nach § 5 ECG, § 14 UGB und Offenlegung nach § 25 MedienG. Für Nutzer:innen in Deutschland zugleich Anbieterkennzeichnung nach § 5 DDG. ### Medieninhaberin und Diensteanbieterin CloudDNA GmbH Untere Hauptstraße 23 7410 Loipersdorf, Österreich Telefon: [+43 664 1964199](tel:+436641964199) E-Mail: [office@clouddna.at](mailto:office@clouddna.at) Web: [www.clouddna.at](https://www.clouddna.at) ### Unternehmensdaten - Rechtsform: Gesellschaft mit beschränkter Haftung - Firmenbuchnummer: FN 480760 a - Firmenbuchgericht: Landesgericht Eisenstadt - UID-Nummer: ATU72725928 - Geschäftsführung: Martin Koch - Unternehmensgegenstand: IT-Dienstleistungen - Kammerzugehörigkeit: Wirtschaftskammer Burgenland - Aufsichtsbehörde nach ECG: Bezirkshauptmannschaft Oberwart - Verleihungsstaat: Österreich - Anwendbare Rechtsvorschriften: Gewerbeordnung, abrufbar unter [www.ris.bka.gv.at](https://www.ris.bka.gv.at) ### Offenlegung nach § 25 MedienG Medieninhaberin: CloudDNA GmbH, 7410 Loipersdorf. Geschäftsführung: Martin Koch. Beteiligung: Martin Koch (100 %). ### Grundlegende Richtung (§ 25 Abs. 4 MedienG) Information über die Software AuthTailor und die Leistungen der CloudDNA GmbH. ### Online-Streitbeilegung Wir sind nicht verpflichtet und nicht bereit, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Unser Angebot richtet sich an Unternehmen. ### Marken SAP, SAP BTP, SAP Cloud Identity Services und alle anderen genannten Produkt- und Firmennamen sind Marken ihrer jeweiligen Inhaber. AuthTailor ist kein Produkt der SAP SE. Die Nennung dient der Beschreibung, wofür und womit AuthTailor arbeitet. Die CloudDNA GmbH ist mit diesen Unternehmen nicht verbunden. ### Haftung für Inhalte und Links Wir prüfen die Inhalte dieser Website sorgfältig und belegen Aussagen mit Fundstellen. Für Inhalte externer Websites, auf die wir verlinken, sind ausschließlich deren Betreiber verantwortlich; zum Zeitpunkt der Verlinkung waren keine Rechtsverstöße erkennbar. ### Urheberrecht Texte, Grafiken und Gestaltung dieser Website sind urheberrechtlich geschützt. Eine Verwendung außerhalb der gesetzlich erlaubten Nutzung braucht unsere Zustimmung. ### Bildnachweise Alle Grafiken dieser Website sind eigene Darstellungen. Es werden keine KI-generierten Bilder von realen Personen verwendet. === ENGLISH === --- # AuthTailor – SAML & OIDC tracer in your browser Source: https://authtailor.com/en > Free browser extension: record a SAML or OIDC login, take JWTs and SAML apart and see why single sign-on fails – locally, with no server. SAML & OIDC tracer in your browser ## Single sign‑on, made visible. A login fails, and the identity provider only says “invalid_grant” or an error number. AuthTailor is a browser extension that records the login live, takes tokens apart, checks signatures and shows at which step it breaks – locally in your browser, with no server. The small numbers are sources: tap one to see the source and the date it was checked; all of them are listed at the bottom of the page. Install for free → Watch the video [All features](https://authtailor.com/en/features) - Free, no account - No server, no telemetry - Host access only while recording - No cookies on this site Also in this issue Five tabs – Auth Trace, Tools, SAP, Learning and About, in pictures [SAP BTP – XSUAA, IAS, “Why 403?” and principal propagation as a diagram](https://authtailor.com/en/features#sap) [Learning – 13 flows of OAuth, OpenID Connect and SAML to click through](https://authtailor.com/en/features#lernen) [Security – what the extension reads, what it never sends, which permissions it needs when](https://authtailor.com/en/security) Fig. 1 — Live recording of a login with OpenID Connect and PKCE: every step as a diagram, every parameter checked. All pictures show made-up data. Video · no sound ### One login, recorded and explained. Record, sign in, take the token apart, read the finding – once from start to finish on a made-up app. The video is hosted on this website and only loads when you start it. [Download the video (WebM)](https://authtailor.com/assets/media/authtailor-demo-en.webm) [Watch on YouTube ↗](https://www.youtube.com/watch?v=LMYjO1YTOw4) The link opens YouTube; Google’s privacy terms apply there. Five tabs ### Everything a login gives away – in one panel. AuthTailor opens as a side panel next to the tab where you sign in. Five tabs cover what you would otherwise gather from five tools while troubleshooting. Auth Trace #### See the token, don’t just read it. Record or paste: a SAML Response, a JWT, a login URL, a HAR file or simply the error message. The JWT appears taken apart into header, payload and signature, with the chain from issuer to audience and an ID card with scopes and roles. Signatures are really checked – SAML with the certificate, JWTs with the issuer’s keys. Auth Trace · SAML #### SAML as it sits in the XML. Response, Assertion, Subject and Conditions nested as in the XML, with a seal on every signature and a colour per finding. Plus the attack patterns you overlook in raw text: signature wrapping, duplicate IDs, a comment in the NameID. Tools #### What goes wrong around the login. Passkey responses, certificates and keys, Content Security Policy, security headers, CORS and suspicious login links. A HAR cleaner masks cookies, tokens and passwords before a recording goes to support. SAP #### “Why 403?” – scope by scope. For everyone on SAP BTP: XSUAA and IAS tokens, reviews of xs-security.json, xs-app.json, service keys and destinations, logon tickets and the BTP flows as diagrams. “Why 403?” puts what the app requires next to the token. Learning #### Understand what you are looking at. 13 flows of OAuth 2.0, OpenID Connect and SAML as sequence diagrams to click through, basics in eight chapters, a glossary, known error messages and a go-live checklist. When the tracer detects a flow, one click leads to its explanation. [All features in detail →](https://authtailor.com/en/features) MASKED. Sharing a recording usually means sharing cookies, codes and tokens. AuthTailor masks them as they are recorded, and the report for the ticket contains masked values only. The yellow markers on this page? Each one has a source with the date it was checked. [All sources](https://authtailor.com/en/sources) The traffic light ### Not just whether it works. Whether it is safe. A login can work and still have a hole. The traffic light rates five areas separately – purely functional findings such as a wrong audience do not count there. - Flow & protocol state, nonce, PKCE, redirect_uri, InResponseTo and RelayState across the whole flow. - Tokens & signatures Signature, issuer, audience, expiry, key rollover, jku and x5u in the header. - Transport & leaks Codes in the Referer, tokens in the URL, client secrets sent from the browser. - Cookies & session SameSite, HttpOnly, Secure, __Host-, session fixation and logout. - Browser protection HSTS, frame protection, Referrer-Policy and scripts without SRI. Privacy ### No server. No account. Nothing stored. A tool that sees tokens and logins has to explain itself. That is why AuthTailor is built so that there is little to explain. [Security in detail →](https://authtailor.com/en/security) - No serverThe analysis runs in the panel. No telemetry, no analytics, no third-party code – the extension sends none of your data. - MemoryNothing on disk. Recordings and input stay in memory only, while the panel is open. - Host accessOnly for recording. Access to websites is requested only when you record and handed back afterwards. - One requestPublic keys, on click. Only when you want signatures checked does the panel fetch the issuer’s public keys – without cookies, without your input. Install · version 1.0.0 ### Two minutes to your first finding. Free, no account. The extension is available for Chrome, with builds for Edge and Firefox. - Chrome Web Store Review in progress[Request an early copy →](https://authtailor.com/en/contact?thema=Vorabversion) - Microsoft Edge Add-ons Review in progress[Request an early copy →](https://authtailor.com/en/contact?thema=Vorabversion) - Firefox Add-ons Review in progress[Request an early copy →](https://authtailor.com/en/contact?thema=Vorabversion) Review in progress Version 1.0.0 is built and publication in the Chrome Web Store is under way. Until then you can get the extension [on request](https://authtailor.com/en/contact?thema=Vorabversion) as a package to load – with all features. - Install and open the panel from the extension’s icon. - Record Press “Record live”; the browser asks once for access. - Sign in in the tab of the app that causes trouble – or paste a message, token or HAR. - Read the findings Diagram, traffic light, cause and fix; the report goes into the ticket masked. To be honest ### When AuthTailor will not help you. A checking tool that only knows advantages has not checked itself. Here is our list. - The error is between two servers. Client credentials, SAML bearer or principal propagation do not pass through the browser – nothing can record them there. You can still paste the messages, and Learning explains the flow. - You want the configuration fixed for you. AuthTailor shows the cause and the fix. You change it in the identity provider or the app – on purpose: the extension writes nowhere. - You are looking for a penetration testing tool. AuthTailor observes and rates; it attacks nothing and changes no request. Active testing has its own tools. - Your browser may not run extensions. Then IT comes first. For them, the [Security](https://authtailor.com/en/security#rollout) page lists which permissions AuthTailor needs and when. From the authors at SAP PRESS ### From practice with SAP BTP and identity providers. AuthTailor comes from CloudDNA. Its founder Martin Koch wrote the books on security, connectivity and administration of SAP BTP with Siegfried Zeilinger – much of what the tracer checks is explained there in depth. - [Security Security and Authorizations for SAP Business Technology Platform Martin Koch, Siegfried Zeilinger Identities, roles and trust on SAP BTP – the foundation of every integration that moves data. English · 355 pages · also in German View at the publisher ↗](https://www.rheinwerk-verlag.de/security-and-authorizations-for-sap-business-technology-platform/) - [Connectivity Cloud Connector for SAP Martin Koch, Siegfried Zeilinger The way from the cloud into your own network: setting up, securing and running the Cloud Connector. English · 352 pages · also in German View at the publisher ↗](https://www.rheinwerk-verlag.de/cloud-connector-for-sap/) - [Administration Configuring SAP Business Technology Platform The Practical Guide for Administrators Martin Koch, Siegfried Zeilinger Accounts, subaccounts, licence models and operations of SAP BTP – for everyone who does more than just use the tenant. English · 450 pages · also in German View at the publisher ↗](https://www.rheinwerk-verlag.de/configuring-sap-business-technology-platform-the-practical-guide-for-administrators/) Covers: Rheinwerk Verlag (SAP PRESS). The links go to the publisher. For SAP Integration Suite ### The tracer also lives in iFlowTailor. AuthTailor grew out of iFlowTailor, the workbench for SAP Cloud Integration. If you build iFlows, you get the same tracer there, next to review, testing and error analysis. [See iFlowTailor ↗](https://iflowtailor.com/en) [Advice on SSO on SAP BTP](https://authtailor.com/en/contact?thema=Beratung) The Tailor family ### Thirteen siblings – each for its own craft. Every Tailor solves a problem we know up close. Most siblings share the Tailor-Plattform with EU data residency and an AI layer. AuthTailor is the smallest of them: no server, no data storage, just a panel next to your tab. It started out as the SAML & OIDC tracer in iFlowTailor – and it still lives there too. - A AuthTailor SAML & OIDC tracer in your browser – you are here. - [I iFlowTailor Workbench for SAP Cloud Integration ↗](https://iflowtailor.com) - [P ProbeTailor Acceptance tests for SAP & business software ↗](https://www.probetailor.com) - [J JournalTailor Incoming invoices before SAP, BMD & DATEV ↗](https://www.journaltailor.com) - [D DocumentTailor Documents & signatures for SAP shops ↗](https://documenttailor.com) - [R RecordTailor Document management ↗](https://recordtailor.com) - [I ImmoTailor Property management & development ↗](https://www.immotailor.com) - [T TaxTailor Tax advisors ↗](https://taxtailor.at) - [D DineTailor Restaurants ↗](https://dinetailor.com) - [S StayTailor Hotels ↗](https://staytailor.at) - [M MeetingTailor Meetings & events ↗](https://www.meetingtailor.com) - [W Weintailor Winemakers ↗](https://weintailor.com) - [B BuildTailor Construction & trades ↗](https://buildtailor.com) Frequently asked ### Short answers. **What is AuthTailor?** AuthTailor is a free browser extension that records a single sign-on login with SAML 2.0 or OpenID Connect, or reads pasted messages. It takes tokens apart, checks signatures and every step of the flow, and shows why the login fails. It is made by CloudDNA GmbH from Austria. **What does AuthTailor cost?** Nothing. There is no account, no licence and no paid feature. If you want help setting up single sign-on or a workshop, you can engage CloudDNA for that – that is a separate offer. **Does CloudDNA see my tokens or recordings?** No. AuthTailor has no server, no telemetry and no analytics. Recordings and pasted content stay in the panel’s memory only while it is open. The one outbound request fetches the token issuer’s public keys when you click. **Do I need SAP to use AuthTailor?** No. The tracer works with any identity provider and any app that speaks SAML 2.0, OpenID Connect or OAuth 2.0 in the browser. The SAP tab is an extra for everyone working on SAP BTP with XSUAA, IAS and destinations. **Which browsers does AuthTailor support?** Chrome; the build also produces packages for Microsoft Edge and Firefox. Publication in the Chrome Web Store is under way – until then, the extension is available on request as a package. **Is AuthTailor an SAP product?** No. AuthTailor is a product of CloudDNA GmbH and works with identity providers and apps from any vendor. It changes nothing in them and does not replace their logs. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Features: Auth Trace, Tools, SAP, Learning · AuthTailor Source: https://authtailor.com/en/features > Live recording, JWT and SAML anatomy, real signature checks, traffic light, tools for certificates and HAR, SAP BTP and 13 flows to learn – in detail. Features · as of version 1.0.0 of 8 November 2026 ## Every step, every parameter. AuthTailor has five tabs. This page lists what is in each – with a source for every claim. What we check, we check in ourselves, too. [Install for free →](https://authtailor.com/en#installieren) [Watch the video](https://authtailor.com/en#video) Auth Trace ### Record, paste, check, rate. Press “Record live” and sign in in any tab: the flow browser → app → identity provider appears as a diagram, every step with its parameters. - Check the whole flow. state, nonce, PKCE, redirect_uri, InResponseTo, ACS URL and RelayState – not per message, but across the whole flow. - Paste anything. SAML Response, AuthnRequest, Assertion, metadata, JWT, login URL, token request and response, discovery, JWKS, HAR file or the error message; known error codes with cause and fix. - See the token. Header, payload and signature, the chain from issuer to audience, an ID card with scopes and roles, times relative to now. - Signatures really checked. SAML with the certificate and the fingerprint from the metadata, JWTs with the issuer’s keys; warnings about expiring certificates and keys missing after a rollover. - Headers per step. Request and response headers, masked, with a SameSite check of the cookies on the POST back to the app. - Bearer tokens and DPoP. Optionally the JWTs a single-page app sends to its API, with the rejection reason from WWW-Authenticate and checked DPoP proofs. - Attack patterns and leaks. Signature wrapping, a comment in the NameID, jku/x5u in the JWT header, codes in the Referer, tokens in the URL, session fixation, open redirects. - Logout, discovery, metadata. Whether the session really ends at logout, and what discovery and metadata reveal about security. - Traffic light and report. Five areas rated separately; the Markdown report goes into the ticket masked. Tools ### Everything that goes wrong around the login. Paste, and the tab detects what it is: passkey response, certificate, key, policy or link. - Passkeys. Decode a WebAuthn response: flags, authenticator, synced or device-bound, origin, RP ID and challenge checked. - Certificates and keys. PEM chains, CSRs, public and private keys, JWKs – order, expiry, key size, SHA-1, host name, and whether key and certificate belong together. - Web security. Content Security Policy with a stricter suggestion, security headers of a login page, CORS preflight, look-alike and punycode links, open redirects. - Secrets and HAR. A secret scanner for any text and a HAR cleaner that masks cookies, tokens, codes and passwords and saves a .sanitized.har file. - Page storage. On click, find tokens in localStorage, sessionStorage and IndexedDB of the current tab – only kind and length come back, never a value. SAP ### SAP BTP: tokens, configuration, flows. For everyone working with XSUAA, SAP Cloud Identity Services and destinations – and wondering why the app says 403. - XSUAA and IAS tokens. Scopes per app, role collections, zone and grant, explained rather than just decoded. - “Why 403?” Paste the token, enter the expected scopes or roles – scope by scope, what is missing. - Configuration reviewed. xs-security.json, xs-app.json, service keys and destinations (JSON or properties); secrets appear masked only and stay in memory. - Flows as diagrams. App router → XSUAA → IAS, IAS directly, principal propagation, SAML bearer and CSRF – plus logon tickets (MYSAPSSO2) with signature check and SAP Gateway and ICF errors. [Ask for help with SSO on SAP BTP →](https://authtailor.com/en/contact?thema=Beratung) Learning ### Understand what you are looking at. 13 flows of OAuth 2.0, OpenID Connect and SAML as sequence diagrams to click through and play, with risks and what the tracer checks. - Flows. Code + PKCE, BFF, client credentials, refresh, device code, on-behalf-of, DPoP, implicit, password grant, SAML SP- and IdP-initiated, SAML bearer, logout. - Basics. Eight short chapters – from protocols and tokens to keys and certificates, cookies, logout and tokens in the browser. - Glossary and error catalogue. Terms in one sentence and known error messages with cause and fix. - Go-live checklist. What should be checked before the first production login. About ### What the extension does – inside the extension. The “About” tab shows what AuthTailor does, the full [privacy policy](https://authtailor.com/en/privacy#extension), the permissions with their current state, what is stored (with a reset), the publisher with imprint, version and build. Frequently asked ### Questions about the features. **Which protocols does AuthTailor understand?** SAML 2.0 (Response, AuthnRequest, Assertion, metadata, logout) and OpenID Connect with OAuth 2.0 (authorisation, token request and response, discovery, JWKS, refresh, DPoP, logout). Plus passkey responses (WebAuthn) under Tools. **Do I have to record, or can I paste something?** Both. Without a recording you paste what you have: a SAML Response, a JWT, a login URL, a HAR file from the developer tools or the error message. The tracer detects what it is. **Does AuthTailor really check signatures or just show them?** It checks them: SAML cryptographically with the certificate from the message, optionally matched against the fingerprint from the metadata; JWTs with the issuer’s public keys, fetched with one click. **Can I hand the result to colleagues or support?** Yes, as a Markdown report with verdict, traffic light, flows, findings and steps – with masked values only. The extension cleans HAR files before you pass them on. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Security: no server, masked, time-limited access · AuthTailor Source: https://authtailor.com/en/security > No server, data in memory only, masking while recording, time-limited host access: how AuthTailor handles logins and tokens. Security · as of version 1.0.0 of 8 November 2026 ## Little to explain. A tool that sees tokens, cookies and logins has to explain itself to the security team. We built AuthTailor so that the explanation is short: no server, nothing stored, access only for a while. Everything else is here – every claim with a source. See the permissions[Privacy policy of the extension](https://authtailor.com/en/privacy#extension) - No server No telemetry, no analytics, no advertising, no third-party code. - Memory only Recordings and input never on disk, only while the panel is open. - Masked at once Cookies, Authorization, CSRF tokens, secrets while recording. - Access for a while Host access only when recording, handed back afterwards. - One request The issuer’s public keys, only on click, without cookies. Permissions ### Every permission, and what it is for. The same list is in the extension under “About”, with its current state. None of the fixed permissions triggers a warning at installation. Permission | What for | When storage | Only the UI language and the “Headers” option | always sidePanel | Panel next to the page (Chrome, Edge; Firefox uses the sidebar) | always webRequest | Live recording, observing only; ineffective without host access | only with host access scripting, activeTab | “Scan page storage”: a function runs once in the active tab and reports kind, length and harmless claims, never a value | on click https://*/* (optional) | Recording across app, identity provider and API | only on “Record live”, handed back afterwards Data flow ### What comes in, what goes out. The analysis runs entirely in the panel. Only what you copy or save yourself goes out. - InRecording or input. The browser’s requests during a login, or what you paste – messages, tokens, HAR files, certificates, service keys. - In the panelMasked and analysed. Secrets are masked; long cookie values are kept only as a fingerprint, refresh tokens only as a short hash. - OutOnly on your action. “Copy report”, “Copy headers (masked)”, “Save cleaned HAR” – with masked values only. - NetworkOne request, on click. The issuer’s discovery and JWKS, as a GET without cookies or referrer. For corporate IT ### Roll out, restrict, review. - Roll out. AuthTailor can be installed like any extension through the Chrome and Edge browser policies. There is no configuration of its own and no server that would need to be allowed. - Restrict. IT can limit or block the optional host access to specific hosts through the browser’s policies; the tracer then keeps working with pasted messages. - Review. The data flow is above, the permissions in the table, the wording for data protection officers in the [privacy policy of the extension](https://authtailor.com/en/privacy#extension). Updates only come through the browser stores. - Found a vulnerability? Please confidentially to [office@clouddna.at](mailto:office@clouddna.at?subject=Security%20AuthTailor). We reply personally. Frequently asked ### Questions about security. **Does CloudDNA see my tokens or recordings?** No. There is no CloudDNA server, no telemetry and no analytics tool. The analysis runs in the panel on your device; recordings and pasted content stay in memory only while the panel is open. **Why does the browser ask for access to all websites?** Because a login runs across several hosts – app, identity provider, API – and the recording has to see all of them. The access is optional, requested only when you click “Record live” and handed back when you stop. **What leaves the panel?** Only what you copy or save yourself – such as the report, the masked headers or a cleaned HAR. These contain masked values only. The one outbound connection fetches a token issuer’s public keys when you click. **Can our IT roll AuthTailor out centrally?** Yes, like any extension through the Chrome and Edge browser policies. They also let you define the hosts on which the extension may run. Talk to us if you want support with that. **How do I report a vulnerability?** Please confidentially to office@clouddna.at, subject “Security AuthTailor”. We reply personally and credit you, if you wish, once the issue is fixed. Your question isn’t here? Talk to me: [+43 664 1964199](tel:+436641964199) [office@clouddna.at](mailto:office@clouddna.at) [Get in touch](https://authtailor.com/en/contact) --- # Contact: question, advice or workshop · AuthTailor Source: https://authtailor.com/en/contact > Questions about AuthTailor, help with single sign-on on SAP BTP, a workshop for your team or an early copy: a personal reply within one working day. Contact · personal ## Login stuck? AuthTailor is free and needs no account. Write to me anyway – if you have a question, found a bug or need help with single sign-on. - Questions and feedback about AuthTailor - [Single sign-on on SAP BTP](https://authtailor.com/en/features#sap): XSUAA, IAS, principal propagation – setup and troubleshooting - A workshop on SAML, OpenID Connect and OAuth for your team - An early copy while publication in the store is under way M Martin Koch Managing Director, CloudDNA · I read every request myself and reply personally. [Rather call: +43 664 1964199](tel:+436641964199) Please do not send tokens, cookies, passwords or service keys. I will get back to you within one working day, personally. No newsletter, no passing on. Details in the [privacy policy](https://authtailor.com/en/privacy). Name Company Business e-mail What is it about? Question about AuthTailorHelp with SSO on SAP BTPTroubleshooting a loginWorkshop for the teamEarly copyCompany-wide rolloutReport a bug or wishOther Your role DevelopmentAdministration / BasisIT securityArchitectureSupportOther Environment SAP BTPSAP on-premiseWithout SAPMixedDon’t know Message optional – what happens, which error message appears (no tokens) Website Frequently asked ### Questions about getting in touch. **Does a request cost anything?** No. AuthTailor is free and we are happy to answer questions about it. Advice on setting up single sign-on or a workshop is a separate CloudDNA offer – we discuss that beforehand. **Should I send my recording or the token?** Please don’t. Do not send tokens, cookies, passwords or service keys by form or e-mail. Briefly describe what happens and which error message appears; if we look at it together, the data stays on your screen. **How quickly will you get back to me?** Within one working day, personally. There is no newsletter and your data is not passed on. **Can I call or write instead?** Yes. You can reach CloudDNA GmbH by phone at +43 664 1964199 and by e-mail at office@clouddna.at. --- # All sources · AuthTailor Source: https://authtailor.com/en/sources > The source register of the AuthTailor website: every product claim and every statement about books and the vendor, with its source and the date it was checked. Manifesto ## Sources. “Zero trust.” “Enterprise-grade.” “Military-grade encryption.” – security tools promise a lot and prove little. For a tool that checks every parameter of a login, that would be embarrassing. So every claim on this website has a source: product claims with our documentation as of version 1.0.0 of 8 November 2026, books and vendor with link and date. All siblings of the Tailor family share the habit. For us it means: no signature left unchecked, no claim without evidence. ### Product - #### Version 1.0.0 of 8 November 2026 First release as a stand-alone extension. Version 1.0.0 brings the five tabs Auth Trace, Tools, SAP, Learning and About, the privacy policy in the panel and the link to the CloudDNA imprint. AuthTailor product documentation, changelog 1.0.0 · checked on 2026-11-08 - #### Browser extension for Chrome, with builds for Edge and Firefox One codebase for Chrome and Edge (Manifest V3, side panel) and Firefox (sidebar). The build produces packages for the Chrome Web Store, Microsoft Edge Add-ons and Firefox Add-ons. User interface in English (default) and German. AuthTailor product documentation, README and build configuration · checked on 2026-11-08 - #### Free, no account and no licence AuthTailor is the SAML & OIDC tracer from iFlowTailor as a stand-alone plug-in – not tied to SAP, no account, no licence. There are no paid features and no sign-in inside the extension. AuthTailor product documentation, README · checked on 2026-11-08 - #### The tracer from iFlowTailor Analysis, recording and user interface come from iFlowTailor, CloudDNA’s workbench for SAP Cloud Integration. The tracer still lives there; changes are carried over to both products. AuthTailor product documentation, README, section “Origin of the code” · checked on 2026-11-08 - #### Five tabs Auth Trace (record or paste, check, rate), Tools, SAP, Learning and About. In a narrow panel the tab icons are dropped so that all five fit. AuthTailor product documentation, README and changelog 1.0.0 · checked on 2026-11-08 - #### Screenshots and video with made-up data The live recording in the pictures and the video is an entirely made-up sign-in to “Acme Orders” (*.acme.example, OpenID Connect with PKCE, followed by an API call). The token is signed with a throw-away key that only existed during the recording. SAML, SAP, Tools and Learning show the built-in examples. No real recording, no real names, tenants or tokens. AuthTailor product documentation, Chrome Web Store materials · checked on 2026-11-08 - #### Record live in any tab Press “Record live” and sign in in any tab: the tracer shows the flow browser → app → identity provider as a diagram and checks state, nonce, PKCE, redirect_uri, InResponseTo, ACS URL and RelayState across the whole flow. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Paste or drop SAML Response, AuthnRequest, Assertion, metadata (XML, Base64, redirect-deflate), JWT, login URL, token request and response, discovery, JWKS, HAR file or an error message – known error codes, for example from Entra ID, SAP Cloud Identity Services, XSUAA and SuccessFactors, with cause and fix. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Visual anatomy of JWT and SAML JWT taken apart into header, payload and signature, chain of trust issuer → signature → audience, ID card with scopes and roles, times relative to now with clock-skew tolerance; SAML building blocks nested as in the XML, with seal and finding colour. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Signatures really checked SAML cryptographically with the certificate from the message – our own XML canonicalisation (exclusive and inclusive, tested against libxml2), RSA, RSA-PSS and ECDSA with SHA-1 to SHA-512 – optionally matched against the SHA-256 fingerprint from the IdP metadata. JWTs with the issuer’s keys, fetched by a click on “Load keys from …”. Warns about expiring certificates and keys missing after a rollover. AuthTailor product documentation, README and changelog 1.0.0 · checked on 2026-11-08 - #### Traffic light in five areas Security rating per area: flow & protocol, tokens & signatures, transport & leaks, cookies & session, browser protection. Purely functional findings such as a wrong audience or an expired token do not count towards the security rating. AuthTailor product documentation, changelog 1.0.0, security check · checked on 2026-11-08 - #### Attack patterns and leaks SAML: signature wrapping, duplicate IDs, comment in the NameID, DTD (never resolved), XSLT and XPath transforms (never executed). JWT: jku, x5u and jwk in the header, kid injection, crit. Leaks: code or token in the Referer to third parties, tokens in the query, client secret sent from the browser, token response without Cache-Control: no-store. Plus session fixation, third-party scripts without SRI on login pages, open redirects, look-alike and punycode hosts. AuthTailor product documentation, README and changelog 1.0.0 · checked on 2026-11-08 - #### Headers per step, masked Request and response headers per step, masked, with a SameSite check of the cookies on the POST back to the app; HSTS, frame protection and Referrer-Policy of the login pages; HttpOnly, Secure and the __Host- prefix of the session cookies. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Bearer tokens and DPoP (option) With the “Also bearer tokens” option the tracer shows JWTs from the Authorization header of API calls, with the rejection reason from WWW-Authenticate; DPoP proofs are checked against method, URL, ath and cnf.jkt. Refresh tokens: rotation and reuse. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Logout, discovery and metadata OIDC and SAML logout: whether the session cookies were deleted and the IdP signed out. Discovery and SAML metadata rated: implicit and password grant, none, PAR, DPoP, mTLS, logout endpoints; WantAssertionsSigned, SHA-1, transient NameID. AuthTailor product documentation, changelog 1.0.0 · checked on 2026-11-08 - #### Markdown report, masked The report summarises verdict, rating, flows, findings and steps as Markdown, ready for a ticket. It contains masked values only. AuthTailor product documentation, README, Auth Trace · checked on 2026-11-08 - #### Tools: passkeys, certificates, web security Detects what was pasted: passkey response (WebAuthn: flags, authenticator, synced or device-bound, origin, RP ID, challenge), certificates, chains, CSRs, public and private keys, JWK and JWKS (order, expiry, key size, SHA-1, host name, whether key and certificate belong together), Content Security Policy with a stricter suggestion, security headers, CORS preflight, suspicious login links (punycode, look-alikes, open redirects) and secrets in any text. AuthTailor product documentation, README and changelog 1.0.0, Tools · checked on 2026-11-08 - #### Clean a HAR file Masks cookies, Authorization and session headers, codes, tokens, passwords and secret parameters in URL, form and JSON; JWTs stay readable but lose their signature. Response bodies: JSON only, none or all; SAML kept on request. Saved as a .sanitized.har file. AuthTailor product documentation, changelog 1.0.0, Tools · checked on 2026-11-08 - #### Find tokens in page storage – without the value On click, a function runs once in the active tab and searches localStorage, sessionStorage, IndexedDB and the names of cookies readable by JavaScript. Only the kind, length and harmless claims of the tokens (issuer, audience, expiry, scopes) come back, never a value. No content script; access via activeTab or a one-time grant that is handed back afterwards. AuthTailor product documentation, README, permissions; changelog 1.0.0 · checked on 2026-11-08 - #### SAP BTP: tokens, configuration, flows XSUAA and IAS tokens (scopes per app, role collections, zone, grant), reviews of xs-security.json, xs-app.json, service keys and destinations (JSON or properties, secrets masked only), logon tickets (MYSAPSSO2) with signature check, BTP flows (app router → XSUAA → IAS, IAS directly, principal propagation, SAML bearer, CSRF) as diagrams, SAP basics and SAP Gateway and ICF errors with cause and fix. AuthTailor product documentation, README and changelog 1.0.0, SAP · checked on 2026-11-08 - #### “Why 403?” Paste the token and enter the expected scopes or roles: the view compares, scope by scope, what the token carries with what the app requires, and names what is missing. AuthTailor product documentation, changelog 1.0.0, SAP · checked on 2026-11-08 - #### 13 flows, eight chapters, glossary, error catalogue, checklist 13 flows of OAuth 2.0, OpenID Connect and SAML as sequence diagrams to click through and play (code + PKCE, BFF, client credentials, refresh, device code, on-behalf-of, DPoP, implicit, password grant, SAML SP- and IdP-initiated, SAML bearer, logout), with risks and what the tracer checks. Plus basics in eight chapters, a glossary, a catalogue of known error messages with cause and fix and a go-live checklist. Flows detected in your input lead straight to the explanation. AuthTailor product documentation, README and changelog 1.0.0, Learning · checked on 2026-11-08 - #### No server, no telemetry AuthTailor has no server, no account, no analytics, no telemetry, no advertising and no third-party code. The extension sends no data, neither to CloudDNA nor to anyone else. The analysis runs entirely in the panel on the device. AuthTailor product documentation, privacy policy of the extension, “In short” · checked on 2026-11-08 - #### The one request: public keys on click Only on a click on “Load keys from ” does the panel fetch the issuer’s public discovery document and public keys (JWKS) with an HTTP GET without cookies or referrer. Nothing from the input is sent. Without that click, the extension makes no network request. AuthTailor product documentation, privacy policy of the extension · checked on 2026-11-08 - #### In memory only, while the panel is open Recordings and pasted content – including service keys, destinations and configurations – stay in memory only while the panel is open; they are never written to disk. Only the UI language, the “Headers” option and a flag in session storage recording whether the extension requested the host permission itself are stored. AuthTailor product documentation, privacy policy of the extension · checked on 2026-11-08 - #### Masked as it is recorded Cookie values, Authorization values, CSRF tokens, API keys, session headers, client secrets and passwords are masked while recording. Long cookie values are kept only as a short fingerprint so that the tracer can tell a renewed session; refresh tokens only as a short hash so that it can tell their rotation. Whatever leaves the panel is copied or saved by the user – and contains masked values only. AuthTailor product documentation, privacy policy of the extension, masking · checked on 2026-11-08 - #### Permissions and host access Fixed in the manifest: storage (language and “Headers” option), sidePanel, webRequest (observing only, ineffective without host access and without an install warning), scripting and activeTab (page storage on click, without an install warning). Optional: https://*/* – requested only on “Record live” or an allowed page scan and handed back afterwards, without disturbing a recording in progress. AuthTailor product documentation, README, “Privacy and permissions”; Chrome Web Store materials · checked on 2026-11-08 ### Vendor - #### CloudDNA GmbH – SAP Silver Partner CloudDNA describes itself as an SAP BTP partner from Austria for the DACH region and an SAP Silver Partner; it supports SAP projects in Austria, Germany and Switzerland. Focus areas according to its website: integration, architecture and clean core, Fiori and UX, full-stack development, agility and DevOps, and training. Martin Koch is listed there as founder & managing director and SAP Champion. [clouddna.at, start page and team](https://www.clouddna.at/) · checked on 2026-11-05 - #### Books on security, connectivity and administration of SAP BTP Martin Koch and Siegfried Zeilinger: “Security and Authorizations for SAP Business Technology Platform” (German edition “SAP Business Technology Platform – Sicherheit und Berechtigungen”), “Cloud Connector for SAP” (“Cloud Connector für SAP”) and “Configuring SAP Business Technology Platform” (“SAP Business Technology Platform – Administration”), all at SAP PRESS, Rheinwerk Verlag. [Rheinwerk Verlag (SAP PRESS), search “martin koch”](https://www.rheinwerk-verlag.de/suche/?suchbegriff=martin+koch) · checked on 2026-11-05 - #### iFlowTailor – workbench for SAP Cloud Integration CloudDNA’s browser extension for SAP Integration Suite: review, testing, error analysis and operations next to the iFlow editor. The SAML & OIDC tracer that AuthTailor grew out of is one of its views. [iflowtailor.com](https://iflowtailor.com) · checked on 2026-11-08 --- # Privacy policy · AuthTailor Source: https://authtailor.com/en/privacy > Privacy policy for the AuthTailor website and browser extension: no cookies, no trackers, and the extension sends none of your data. ## Privacy policy In short: this website sets no cookies, loads nothing from third-party servers and uses no trackers. We only receive data if you write to us. The browser extension AuthTailor has no server and sends none of your data – its privacy policy is in section 5. Sections 1–4 and 6–7 are a translation for convenience; the German version is legally binding. Section 5 is the original English privacy policy of the extension. ### 1. Controller CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Austria Managing director: Martin Koch · Phone: [+43 664 1964199](tel:+436641964199) · E-mail: [office@clouddna.at](mailto:office@clouddna.at) We are not obliged to appoint a data protection officer. For all data protection questions, you can reach us at the e-mail address above. ### 2. Visiting the website When you visit the website, our hosting provider processes technically necessary data (IP address, time, page requested, browser identifier) in server logs in order to deliver the page and protect it against attacks. The legal basis is our legitimate interest in secure operation (Art. 6(1)(f) GDPR). The logs are deleted automatically after a short time. Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Delivery preferably from the Frankfurt (fra1) region. Where data may reach the USA, we rely on: EU-U.S. Data Privacy Framework (adequacy decision of the European Commission of 10 July 2023) and standard contractual clauses. ### 3. No cookies, no trackers, no third-party content We do not set cookies. We access your device only where this is strictly necessary for a function you have chosen (§ 165(3) of the Austrian Telecommunications Act 2021 (TKG 2021), § 25(2) of the German Telecommunications Digital Services Data Protection Act (TDDDG)). Fonts, scripts, images and the video are hosted on our own server; no content is loaded from Google, YouTube, social media platforms or analytics services. The video only loads when you start it. The “Watch on YouTube” link opens YouTube in your browser; only then do Google’s privacy terms apply. Your browser stores the light/dark choice only for the current visit (sessionStorage); it is not transmitted to us. ### 4. Requests via the form and by e-mail If you write to us via the form or by e-mail, we process your details (name, company, e-mail, subject of your request, role, environment, message and – if you came via a link with a campaign code – that code from the address bar, so that we know what you are responding to) in order to reply to you. The legal basis is taking steps prior to entering into a contract (Art. 6(1)(b) GDPR) or our legitimate interest in answering enquiries (point (f)). We create the request as a contact in our CRM (the Tailor-Plattform of CloudDNA) and handle it there; no processor outside CloudDNA is involved. In the “Thank you” window after submitting, we display your first name and e-mail address only in your browser – nothing is stored or transmitted to third parties for this. We keep the request until it has been dealt with, and beyond that only where statutory retention obligations apply or a contractual relationship results from it. Please do not send us tokens, cookies, passwords or service keys. We will not send you a newsletter unless you expressly subscribe to one. ### 5. Browser extension AuthTailor This section is the privacy policy of the browser extension AuthTailor for Chrome, Microsoft Edge and Firefox, in the same wording as under “About” in the extension. It is also the address given as the privacy policy in the Chrome Web Store. Last updated: 2026-11-08 · Same wording as under “About” in the extension. #### Who is responsible AuthTailor is a browser extension that helps developers and administrators analyse SAML and OpenID Connect logins. It is published by: - CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Austria - E-mail: [office@clouddna.at](mailto:office@clouddna.at) - Imprint: [https://www.clouddna.at/impressum/](https://www.clouddna.at/impressum/) #### In short No data leaves your device. AuthTailor has no server, no account, no analytics, no telemetry, no advertising and no third-party code. It never sends your data to CloudDNA or anyone else. #### The one request it makes on your behalf When you click "Load keys from ", the panel fetches the public discovery document and the public keys (JWKS) of that token issuer with a plain HTTP GET, without cookies or a referrer. Nothing from your input is sent; the issuer only sees that its public keys were requested, and from which IP address. Without that click, the extension makes no network request. #### What the extension processes, and where - Live recording (only after you press "Record live"): the extension observes the network requests that the browser makes during a login – URL, method, form parameters of login POSTs (e.g. SAMLResponse) and, if the "Headers" option is on, request and response headers. With the "Also bearer tokens" option it also observes JWTs in the Authorization header of API calls. It does this only after you grant the optional host permission, and gives that permission back when you stop. Recording stops on its own after 30 minutes. - Pasted or dropped content: text or files you paste or drop into the panel, such as SAML messages, JWTs, URLs, HAR files, error messages, certificates, keys, SAP service keys, destinations or configuration files. - Page storage scan (only after you click "Scan this page" in Tools): a function runs once in the active tab and reads its localStorage, sessionStorage, IndexedDB and the names of cookies readable by JavaScript. Only the kind of each token (JWT, refresh token, secret), its length and harmless claims (issuer, audience, expiry, scopes) come back to the panel – never a value. Access comes from activeTab (when you opened the panel from the toolbar icon) or from a one-time host permission that is given back right after the scan. - Analysis runs entirely inside the extension panel on your device. Recordings and pasted content stay in memory only while the panel is open; they are never written to disk. - Masking: secrets are masked as they are recorded – cookie values, Authorization values, CSRF tokens, API keys, session headers, client secrets and passwords. Long cookie values are kept only as a short fingerprint, so that the tracer can tell whether a session cookie was renewed at login; refresh tokens only as a short hash, so that it can tell whether they are rotated. Bearer JWTs and DPoP proofs stay unmasked only with the "Also bearer tokens" option, because the check needs them. - Stored settings: only your choice of UI language and the "Headers" option (browser storage of the extension), plus a flag recording whether the extension requested the host permission itself, so that it can hand it back (session storage, cleared when the browser closes). You can reset the settings under About or remove them by uninstalling the extension. #### What leaves the panel - Only what you copy or save yourself, for example with "Copy report", "Copy headers (masked)" or "Save cleaned HAR". - The copied report and the saved HAR contain masked values only. #### Links to websites Under About, the panel links to the CloudDNA website, its imprint and our books at SAP PRESS. These links open in a new tab without a referrer; the extension sends nothing with them. The websites you open have their own privacy policies. #### Sharing and sale None. AuthTailor does not sell or transfer any data, and does not use any data for advertising, creditworthiness or any purpose other than its single purpose of analysing logins. #### Legal basis and your rights As CloudDNA receives no personal data through AuthTailor, it stores nothing about you that could be accessed, corrected or deleted. All processing happens on your device at your request. If you have questions, write to [office@clouddna.at](mailto:office@clouddna.at). You also have the right to lodge a complaint with a supervisory authority; in Austria this is the Datenschutzbehörde ([https://www.dsb.gv.at/](https://www.dsb.gv.at/)). #### Changes If the extension's handling of data changes, this policy is updated with the new version and the date above. ### 6. Advertising We send advertising e-mails or make advertising calls only with your prior consent (§ 174 TKG 2021). ### 7. Your rights You have the right of access, rectification, erasure, restriction of processing, data portability and objection. To exercise them, write to [office@clouddna.at](mailto:office@clouddna.at). You can lodge a complaint with the Austrian Data Protection Authority (Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, [www.dsb.gv.at](https://www.dsb.gv.at)) or with a supervisory authority in your country. Last updated: 8 November 2026 --- # Imprint · AuthTailor Source: https://authtailor.com/en/imprint > Imprint of the AuthTailor website: CloudDNA GmbH, Loipersdorf, company register, VAT ID, supervisory authority, liability, trademarks and contact. ## Imprint Information pursuant to § 5 of the Austrian E-Commerce Act (ECG), § 14 of the Austrian Commercial Code (UGB) and disclosure pursuant to § 25 of the Media Act (MedienG). For users in Germany, this also serves as provider identification pursuant to § 5 of the German Digital Services Act (DDG). This is a translation for convenience; the German version is legally binding. You can switch to it with the language switcher at the top of the page. ### Media owner and service provider CloudDNA GmbH Untere Hauptstraße 23 7410 Loipersdorf, Austria Phone: [+43 664 1964199](tel:+436641964199) E-mail: [office@clouddna.at](mailto:office@clouddna.at) Web: [www.clouddna.at](https://www.clouddna.at) ### Company details - Legal form: limited liability company (Gesellschaft mit beschränkter Haftung, GmbH) - Company register number: FN 480760 a - Company register court: Landesgericht Eisenstadt (Regional Court of Eisenstadt) - VAT ID: ATU72725928 - Managing director: Martin Koch - Business activity: IT-Dienstleistungen (IT services) - Chamber membership: Wirtschaftskammer Burgenland (Burgenland Chamber of Commerce) - Supervisory authority under the ECG: Bezirkshauptmannschaft Oberwart (Oberwart district authority) - Country in which the trade licence was granted: Austria - Applicable regulations: Trade Regulation Act (GewO), available at [www.ris.bka.gv.at](https://www.ris.bka.gv.at) ### Disclosure pursuant to § 25 MedienG Media owner: CloudDNA GmbH, 7410 Loipersdorf. Managing director: Martin Koch. Ownership: Martin Koch (100 %). ### Editorial line (§ 25 (4) MedienG) Information about the software AuthTailor and the services of CloudDNA GmbH. ### Online dispute resolution We are neither obliged nor willing to take part in dispute resolution proceedings before a consumer arbitration board. Our offer is aimed at businesses. ### Trademarks SAP, SAP BTP, SAP Cloud Identity Services and all other product and company names mentioned are trademarks of their respective owners. AuthTailor is not a product of SAP SE. The names are used to describe what AuthTailor works for and with. CloudDNA GmbH is not affiliated with these companies. ### Liability for content and links We check the content of this website carefully and back statements with sources. The operators of external websites we link to are solely responsible for their content; no legal violations were apparent at the time of linking. ### Copyright The texts, graphics and design of this website are protected by copyright. Any use beyond what the law permits requires our consent. ### Image credits All graphics on this website are our own illustrations. No AI-generated images of real people are used. --- # Kontakt · Contact AuthTailor ist kostenlos. Wenn ihr Hilfe braucht – beim Einrichten von Single Sign-on auf SAP BTP, bei einem hartnäckigen Fehler oder für einen Workshop im Team –, meldet euch. Ich antworte innerhalb eines Werktags, persönlich. AuthTailor is free. If you need help – setting up single sign-on on SAP BTP, with a stubborn error or for a workshop with your team – get in touch. I reply within one working day, personally. - Kontakt: https://authtailor.com/kontakt · Contact: https://authtailor.com/en/contact - Installieren: https://authtailor.com/#installieren · Install: https://authtailor.com/en#installieren - Telefon / Phone: +43 664 1964199 - E-Mail: office@clouddna.at - Anschrift / Address: CloudDNA GmbH, Untere Hauptstraße 23, 7410 Loipersdorf, Österreich