Depurador de OAuth 2.0 y OIDC
Crea, inspecciona y corrige flujos OAuth y OIDC
Un solo espacio de trabajo para los problemas de OAuth y OIDC
El depurador cubre los pasos en los que suelen fallar los flujos de inicio de sesión: construir la URL de autorización, crear un verificador y un desafío PKCE, leer el callback, inspeccionar tokens de ID y de acceso, comparar URI de redirección y explicar los códigos de error de OAuth. Los valores pasan de una sección a otra: un desafío generado se añade a la URL y un token del callback se abre en el Inspector de tokens.
Local y seguro con los secretos
Todo se ejecuta en tu navegador. La herramienta nunca pide un secreto de cliente, nunca canjea códigos por tokens y no hace solicitudes de red; abrir la URL de autorización es la única acción que contacta con tu proveedor, en una pestaña nueva. Los códigos, tokens y verificadores se ocultan de forma predeterminada, se guardan solo en memoria y nunca se almacenan, registran ni añaden a la URL de la página. Solo se recuerda la sección seleccionada.
Decodificar no es verificar
El Inspector de tokens decodifica los encabezados y las declaraciones de un JWT y comprueba iss, aud, azp, sub, scope, scp, exp, nbf, iat, nonce, alg y kid con los valores que esperas, con un desfase de reloj configurable. No obtiene claves JWKS ni verifica firmas, así que las declaraciones decodificadas no están verificadas hasta que tu servidor valide la firma. Los tokens opacos y cifrados se identifican en lugar de interpretarse a ciegas.
Estándares detrás de las comprobaciones
Las comprobaciones siguen RFC 6749 (OAuth 2.0), RFC 6750 (tokens Bearer), RFC 7636 (PKCE, incluido su vector de prueba), RFC 8252 (redirecciones nativas y loopback), RFC 9207 (emisor en el callback), RFC 9068 (tokens de acceso JWT) y OpenID Connect Core, además de la orientación de OAuth 2.1 de usar el flujo code con PKCE. El comportamiento de los proveedores varía, así que las advertencias explican el motivo en lugar de afirmar que una solicitud fallará.
