Erkunden
Vergleichen
Werkzeuge
Parameter
1 / 9
Paso 1Pulsa "Iniciar sesión"
El usuario inicia el login en la aplicación cliente.
Text & Dokumente
Zahlen & Berechnung
Daten & Formate
Sicherheit
Entwicklung & DevOps
Künstliche Intelligenz
Finanzen
Gesundheit & Wohlbefinden
Produktivität
Spiele & Unterhaltung
Multimedia & Design
Unternehmen
Bedienungsanleitung
Was es zeigt
Jeder Flow wird als Sequenzdiagramm gezeichnet: die Akteure (Benutzer, Client, Server) sind Spalten und die Nachrichten sind Pfeile über die Zeit. Drücke Play oder ⏭, um Schritt für Schritt durchzugehen.
Bearbeite es
Ändere client_id, redirect_uri, scope, Anmeldedaten usw. und das Diagramm wird neu erzeugt. Klicke auf einen beliebigen Pfeil, um die echte HTTP-Anfrage und ihre Erklärung zu inspizieren.
Flows
Basic (Benutzer:Passwort in Base64), Bearer/JWT, Authorization Code, Code + PKCE (heute empfohlen), Implicit (veraltet), Client Credentials (Maschine-zu-Maschine), Device Code (TVs/CLI) und Refresh Token (erneuern ohne erneuten Login).
Exportieren und dekodieren
Bei jedem Schritt mit HTTP-Anfrage kannst du sie als curl-Befehl kopieren, um sie in deinem Terminal nachzustellen. Enthält der Schritt ein JWT, öffne es im JWT-Decoder, um Header und Payload zu inspizieren.
Angriffe und MITM
Aktiviere einen Angriff, um einen Akteur Angreifer und die bösartigen Schritte (in Rot) zu sehen: Abgreifen von Anmeldedaten, alg:none, Abfangen des Codes ohne PKCE, CSRF durch fehlenden state. Aktiviere die Gegenmaßnahme und der Angriff wird neutralisiert (in Grün) und zeigt, warum er scheitert.
Vergleichen
Im Tab Vergleichen wählst du auf jeder Seite einen Flow (oder ein vordefiniertes Paar) und beide werden zugleich gezeichnet. Gleichwertige Schritte richten sich in derselben Zeile aus (gleiches /authorize, gleiches /token…), damit der Unterschied ins Auge springt, und eine Zusammenfassung listet auf, welche Parameter und Akteure jeder hinzufügt. Klicke auf einen beliebigen Pfeil, um ihn zu inspizieren.
Werkzeuge
Der Tab Werkzeuge bündelt praktische OAuth-Utilities, alle im Browser: PKCE-Paare (S256) generieren und prüfen, eine kopierfertige /authorize-URL bauen und eine Callback-URL analysieren (extrahiert code/state oder die Tokens aus dem Fragment und erkennt Fehler).
