Decoder SAML

Tool ini mendukung SAML Response dan Assertion XML berenkode Base64, yang umum ditemukan di redirect SAML dan binding POST. Tool ini juga otomatis mendeteksi dan meng-inflate permintaan SAML terkompresi deflate.

Ya. Semua pemrosesan terjadi sepenuhnya di browser Anda. Token SAML Anda tidak pernah dikirim ke server mana pun. Tidak ada data yang meninggalkan perangkat Anda.

Permintaan SAML yang dikirim lewat HTTP redirect sering dikompresi deflate sebelum pengodean Base64 untuk mempersingkat URL. Tool ini otomatis mendeteksi dan mendekompresi data semacam itu.

Permintaan adalah samlp:AuthnRequest yang dikirim service provider untuk meminta identity provider mengautentikasi pengguna; respons adalah samlp:Response yang kembali, membawa saml:Assertion dengan pernyataan autentikasi dan atribut. Keduanya berjalan terenkode URL (binding Redirect) atau di dalam POST formulir HTML (binding POST). Tool ini mendekode kedua arah.

String buram yang dilampirkan SP pada permintaan dan harus dikembalikan IdP tanpa perubahan bersama respons - biasanya URL tujuan redirect setelah login. Spesifikasi binding SAML menyarankan menjaganya di bawah 80 byte, dan tidak bermakna bagi IdP. Saat SSO mendarat di halaman yang salah, RelayState yang hilang atau rusak adalah tersangka utama.

Pada binding HTTP-Redirect, XML dikompresi raw-Deflate, lalu Base64, lalu dienkode URL - tiga langkah yang diwajibkan spesifikasi. Berikan tool ini nilai terenkode URL: jika mengembang menjadi markup yang diawali <, berarti terkompresi; jika sudah diawali <?xml atau <saml, berarti tidak. Pesan binding POST adalah Base64 tanpa Deflate.

Periksa NotBefore, NotOnOrAfter, dan Audience terhadap konfigurasi penyedia layanan. Perbedaan jam memengaruhi masa berlaku assertion, bukan tanda tangan kriptografis itu sendiri. Decoder ini menampilkan field; tidak memverifikasi tanda tangan atau menentukan apakah penyedia harus menerima assertion.

Bisa - mendekode bukanlah memverifikasi. XML assertion dapat dibaca siapa saja; tanda tangan di dalamnya menjamin integritas, bukan kerahasiaan. Yang tidak bisa Anda lakukan tanpa sertifikat publik IdP adalah membuktikan assertion autentik dan tidak diubah. Perlakukan konten terdekode dengan hati-hati: assertion sering memuat alamat email, grup, dan hak akses.