Texte & documents expand_more
Nombres & calcul expand_more
Données & formats expand_more
Sécurité expand_more
Développement & DevOps expand_more
Intelligence artificielle expand_more
Finances expand_more
Santé et bien-être expand_more
Productivité expand_more
Jeux et divertissement expand_more
Multimédia & design expand_more
Entreprise expand_more
Ce que c'est
Colle un SAMLResponse/SAMLRequest — l'URL complète d'un binding Redirect, la valeur en base64 d'un binding POST, ou le XML déjà décodé — et il est décodé et audité : signature, algorithmes, expiration, audience et le motif d'attaque classique XML Signature Wrapping (XSW). Rien ne sort du navigateur.
Ce que ceci NE fait PAS
Ceci audite la STRUCTURE du message, ne valide pas cryptographiquement la signature (il faudrait le certificat public de l'IdP, qui n'est pas collé ici). Une signature présente et avec un bon algorithme peut rester invalide si le certificat ne correspond pas — cela, c'est ton fournisseur de services qui le vérifie, pas cet outil.
Qu'est-ce que XSW ?
XML Signature Wrapping : un attaquant injecte un nouvel élément (avec le même ID que l'original, ou un différent) pour que le code qui valide la signature regarde une chose et le code qui lit les données en regarde une autre. Cela continue de casser des implémentations SSO en production — PortSwigger l'a de nouveau documenté en 2025.
