Outil gratuit · 100 % navigateur

OAuth / OIDC Inspector

Inspectez une URL d’autorisation, un callback, une requête de jeton ou des metadata OAuth/OIDC, avec génération PKCE S256 par Web Crypto.

Traitement local Aucune donnée envoyée Sans compte Jetons et fédération

Calcul : Web Cryptography API, OAuth 2.0 Security BCP (IETF)

Inspecter un artefact OAuth/OIDC

URL d’autorisation ou de callback, paramètres form-urlencoded, ou metadata JSON. Aucun endpoint n’est contacté.

Exemples

Générateur de transaction

Web Crypto génère 32 octets aléatoires pour chaque valeur. Rien n’est conservé après la fermeture de l’onglet.

PKCE code_verifier
PKCE code_challenge (S256)
state
nonce OIDC

Quelle différence entre OAuth et OpenID Connect ?

OAuth 2.0 délègue l’accès à une API sans transmettre le mot de passe de l’utilisateur au client. OpenID Connect ajoute une couche d’identité et un ID Token signé. Dans un flux moderne, Authorization Code avec PKCE lie le code au client qui a lancé la transaction ; state et nonce lient aussi la réponse à son contexte.

Authorization Code avec PKCE

Le client produit un code_verifier aléatoire et envoie seulement son condensat SHA-256, le code_challenge. Lors de l’échange, l’authorization server refuse le code si le verifier ne correspond pas. RFC 9700 exige PKCE pour les clients publics et le recommande aussi aux clients confidentiels.

Ce que l’analyse ne prouve pas

Une URL correcte ne dit pas si le serveur vérifie réellement redirect_uri, state, nonce, l’audience ou le PKCE. L’outil relit un artefact ; un test d’intégration autorisé doit encore confronter les réponses du serveur.

?Questions fréquentes

L’outil télécharge-t-il les metadata ou le JWKS ?

Non. Les URLs sont seulement affichées et contrôlées syntaxiquement. Aucun fetch, découverte automatique ou validation de clé n’est effectué.

Le code_verifier peut-il être partagé ?

Non. Le challenge peut être envoyé dans la requête d’autorisation, mais le verifier reste secret jusqu’à l’échange du code. Un nouveau couple doit être généré pour chaque transaction.

Pourquoi state et nonce sont-ils distincts ?

state lie la réponse OAuth à la transaction du client et peut transporter un identifiant opaque. nonce est repris dans l’ID Token OIDC et lie ce jeton à la transaction.

+Autres outils

{·}
JWT Inspector
Décodez un JWT, vérifiez sa signature, repérez les faiblesses.
</>
SAML Decoder
Décodez une requête ou une réponse SAML et repérez les faiblesses.
API
OpenAPI Auditor
Inventoriez les routes, schémas d’authentification et faiblesses d’un contrat API.

Audit technique

Faire vérifier une application ou une infrastructure

Pour une analyse par notre équipe, indiquez les systèmes concernés, les accès disponibles et les tests souhaités dans votre demande.

Parler de mon projet Comparer les solutions