Identité et clés d’accès
Enregistrez une vraie clé d’accès, connectez-vous avec elle et identifiez l’authentificateur dont elle provient grâce au service de métadonnées FIDO, validez des jetons d’ID OpenID Connect et des réponses SAML, inspectez les attestations du portefeuille européen d’identité numérique (SD-JWT VC et mdoc), les preuves DPoP, COSE et CWT, ainsi que les requêtes HTTP signées par des bots et des agents d’IA. Les jetons et les clés sont vérifiés dans votre navigateur ; la recherche d’authentificateur ne demande à notre serveur que des métadonnées publiques.
12 outils
WebAuthn / Passkey Inspector — inspecteur WebAuthn et de clés d’accès
Décoder l’enregistrement et la connexion par clé d’accès
Décodez ce que le navigateur renvoie pour navigator.credentials.create() et .get() : clientDataJSON, objet d’attestation, indicateurs des données de l’authentificateur bit par bit, AAGUID, ID d’identifiant et clé publique COSE, puis vérifiez localement la signature de connexion.
Ouvrir l’outilPasskey Sandbox — bac à sable de clés d’accès
Tester l’inscription et la connexion par clé d’accès
Enregistrez une vraie clé d’accès et authentifiez-vous avec elle auprès d’une partie de confiance qui s’exécute dans cette page : les options WebAuthn, chaque étape de vérification des §7.1 et §7.2, les indicateurs, l’attestation et la fiche d’identifiant.
Ouvrir l’outilOIDC ID Token Validator — validateur de jetons d’ID OIDC
Valider des jetons d’ID OpenID Connect
Collez un jeton d’ID et les paramètres de votre client : l’outil effectue tous les contrôles d’OpenID Connect Core §3.1.3.7, vérifie la signature avec les clés du fournisseur, contrôle at_hash et c_hash, et audite le document de découverte.
Ouvrir l’outilSD-JWT Inspector — inspecteur SD-JWT
Décoder et vérifier des SD-JWT VC
Collez un SD-JWT ou une présentation SD-JWT+KB : chaque divulgation avec son condensat et sa place dans la charge utile, la signature de l’émetteur, le JWT de liaison de clé et le statut dans une Token Status List.
Ouvrir l’outilmdoc / mDL Inspector — inspecteur mdoc / mDL
Vérifier des permis de conduire mobiles
Collez une DeviceResponse ISO 18013-5 ou un vp_token OpenID4VP : contrôle de chaque élément divulgué par rapport au Mobile Security Object, de la signature de l’émetteur et de la chaîne de certificats, de la validité et de l’authentification de l’appareil.
Ouvrir l’outilHTTP Message Signatures — signatures de messages HTTP
Vérifier des signatures RFC 9421
Collez une requête ou une réponse HTTP signée et ses clés : le vérificateur affiche la base de signature exacte de chaque signature, le résultat de la vérification et du contrôle de Content-Digest, ainsi que ce que chaque signature ne protège pas.
Ouvrir l’outilWeb Bot Auth Checker — vérificateur Web Bot Auth
Vérifier les requêtes signées de bots et d’agents
Collez une requête signée par un robot d’indexation ou un agent d’IA : le profil de signature web-bot-auth, le membre Signature-Agent, l’annuaire de clés sous /.well-known et la signature, avec la clé que publie l’annuaire.
Ouvrir l’outilCOSE & CWT Decoder — décodeur COSE et CWT
Décoder et vérifier COSE et CWT
Collez un COSE_Sign1, un COSE_Sign, un COSE_Mac0 ou un CWT (jeton web CBOR) en hexadécimal ou en base64 : en-têtes et claims nommés, notation de diagnostic CBOR, et signature ou MAC vérifiés avec votre clé.
Ouvrir l’outilDPoP Proof Inspector — inspecteur de preuves DPoP
Vérifier des preuves DPoP (RFC 9449)
Collez un en-tête DPoP et la requête qui l’accompagnait : les douze contrôles côté serveur de la RFC 9449, la signature vérifiée avec la clé intégrée, ath et l’empreinte jkt.
Ouvrir l’outilSAML Inspector — inspecteur SAML
Vérifier des signatures et des assertions SAML
Collez une réponse SAML, une requête ou des métadonnées (XML, base64 POST ou URL Redirect) : l’inspecteur affiche les assertions, les conditions et les attributs, chaque signature XML et l’élément qu’elle protège réellement, et recherche le signature wrapping.
Ouvrir l’outilXAdES Inspector — inspecteur XAdES
Inspecter des signatures électroniques XAdES
Ouvrez un document XML signé (liste de confiance de l’UE, facture électronique, contrat signé) : chaque référence XML-DSig est vérifiée, et vous obtenez le niveau XAdES du profil de base, l’heure de signature, la référence au certificat de signature et le statut qualifié du signataire.
Ouvrir l’outilAAGUID Lookup — recherche par AAGUID
Identifier une clé d’accès ou une clé de sécurité
Saisissez l’AAGUID issu d’un enregistrement WebAuthn, un AAID UAF ou un nom de modèle, et obtenez l’entrée de l’authentificateur dans le service de métadonnées FIDO : son nom et son icône, son niveau de certification, ses rapports de statut de sécurité et ses certificats racines d’attestation.
Ouvrir l’outil