Debugger
Identity protocol analyzer & debugger.
Incolla o trascina un token, un documento di discovery, un URL OAuth, la traccia HAR di un login, dei metadata SAML o una SAMLResponse. Ottieni ogni campo spiegato in parole semplici, le chiamate API di ogni flusso e i controlli che farei in una review.
Ideato e sviluppato da Antonio Braccolino · © 2026, tutti i diritti riservati
Input
Come funzionaProva con un esempio
- Basta l’issuer: aggiungo io /.well-known/openid-configuration. Per server OAuth e API usa i pulsanti sotto il campo.
- Dati di esempio, generati nel tuo browser.
Tutto viene decodificato nel tuo browser. Niente di ciò che incolli viene inviato altrove; vengono richiesti solo gli URL che scegli di caricare, direttamente dal tuo browser.
Risultato
Come funziona il debuggerQuattro passi, cosa puoi analizzare e come tracciare un flusso dal tuo browser.
- 1Dagli qualcosa
Incolla del testo, carica un file o trascinalo sul pannello di input. Puoi anche caricare un URL .well-known.
- 2Riconosce il formato
Auto sceglie il parser giusto. Se sbaglia, scegli una scheda: JWT, OIDC, URL OAuth, HAR, SAML o SCIM.
- 3Leggi “In sintesi” e i controlli
Prima i dati chiave, poi i controlli: rosso errore, giallo avviso, grigio nota. Ognuno dice come risolvere e rimanda alla specifica.
- 4Approfondisci
Ogni campo è spiegato sotto il suo valore. Trovi anche le chiamate API di ogni flusso, la verifica della firma e il JSON o l’XML completo.
Cosa puoi analizzare
| Input | Dove lo trovi | Cosa ottieni |
|---|---|---|
| JWT (ID token, access token, logout token, prova DPoP) | Header Authorization, token response, storage del browser | Header e claim spiegati, scadenza in ora locale, controlli di sicurezza, verifica della firma, confronto con issuer e audience attesi |
| Discovery OIDC / OAuth, JWKS | https://issuer/.well-known/openid-configuration oppure oauth-authorization-server | Endpoint, tutti i campi spiegati e raggruppati, circa 30 controlli sulla configurazione, flussi con le chiamate API (authorize, token, refresh, device, userinfo, logout), chiavi e certificati |
| Metadata di risorsa protetta (RFC 9728) | https://api/.well-known/oauth-protected-resource | Quali authorization server proteggono l’API, come accetta i token, un pulsante per caricare i metadata di ogni server |
| URL OAuth o token response | Barra degli indirizzi durante il login, scheda Network | Richiesta di authorize, callback, errore o logout spiegati parametro per parametro, controlli su PKCE, state e nonce |
| File HAR (traccia del browser) | DevTools, scheda Network, esporta HAR | Tutto il login come sequenza: ogni richiesta decodificata, valori confrontati tra i passi (state, PKCE, nonce, InResponseTo) |
| Metadata SAML | URL o file dei metadata di IdP o SP | EntityID, endpoint SSO, SLO, ACS e artifact con i binding, certificati con scadenza e impronte, contatti, informazioni mostrate, controlli su firma, cifratura e ACS predefinito |
| Request o response SAML | SAMLRequest / SAMLResponse nell’URL o nel form (SAML-tracer) | Decodificate da Base64 o Deflate: stato, NameID, condizioni, attributi, firme |
| Certificato X.509 | Testo PEM o file .cer / .der | Soggetto, emittente, validità, chiave, impronte |
| Payload SCIM 2.0 | Log del provisioning, richieste API | Controllo di User, Group, PatchOp, ListResponse ed Error |
Tracciare un login dal tuo browser (HAR)
Una pagina web non può vedere il traffico delle tue altre schede, ed è giusto così. Per questo il tracer funziona come SAML-tracer, ma da una registrazione che esporti tu:
- Apri gli strumenti per sviluppatori (F12, oppure Cmd+Option+I su Mac) nella scheda dell’app e vai su Network (Rete).
- Attiva “Preserve log” (Conserva log), così restano i redirect tra un sito e l’altro.
- Fai il login (o il logout) dall’inizio.
- Esporta: in Chrome ed Edge l’icona di download o tasto destro → “Save all as HAR”; in Firefox tasto destro → “Salva tutto come HAR”; in Safari “Esporta”.
- Trascina il file .har sul pannello di input, oppure scegli la scheda “Tracer HAR” e caricalo.
Un HAR contiene cookie, token e a volte password. Qui viene letto solo dentro il tuo browser e non viene mai caricato, ma non mandarlo a nessuno così com’è. Usa account di test quando puoi e cancella il file dopo.