Elysia Tools
Navigation mobile
Workflow Playbook
Préparez des fixtures d’authentification assainis, séparez génération, décodage et vérification des tokens, testez le temps OTP/TOTP et auditez les preuves JWT et de session sans exposer de secrets réels.
Dossiers
Utilisez ce workflow pour votre fixture synthétique ou pour du matériel d’authentification couvert par une autorisation explicite. Décrivez le flux à reproduire, les claims et algorithmes attendus, l’horloge ou le compteur fixé et la personne chargée de la revue. Gardez hors des outils et du rapport les access tokens, refresh tokens, cookies, secrets partagés, clés privées et codes de récupération réels.
Créez un identifiant de corrélation et un nonce jetables avec secure-random-generator, nonce-generator et uuid-generator, puis vérifiez le format. Utilisez jwt-generator pour couvrir le problème avec des claims synthétiques. Pour le MFA, otp-generator convient à un code numérique indépendant ; totp-hotp-offline-generator convient à une seed Base32 jetable et à un pas temporel ou compteur fixe. Notez les valeurs attendues afin de rendre l’échec reproductible.
jwt-decoder et base64url-encoder indiquent si la structure est interprétable et comment ses segments sont encodés, sans prouver l’authenticité. jwk-generator peut créer ou inspecter une clé jetable ou un JWK public autorisé ; n’importez pas une clé privée de production pour forcer une réussite locale. Utilisez hmac-generator-verifier et les contrôles de signature ou d’expiration pris en charge par jwt-decoder-security-auditor avec du matériel contrôlé et des attentes explicites.
Après la vérification, examinez l’algorithme, l’expiration et la validité temporelle, les claims sensibles, les hypothèses de temps ou de compteur TOTP/HOTP et le lien entre la preuve et l’identifiant de requête ou de session. Décodage, correspondance de signature et constat de sécurité répondent à des questions différentes : consignez-les séparément.
Le dossier final doit contenir le périmètre, la version de fixture, l’identifiant de corrélation, les résultats attendus et observés, les extraits masqués ou empreintes, l’incertitude résiduelle et l’action autorisée suivante. Il ne doit contenir ni secret réutilisable ni matériel de session actif. Le résultat local aide au débogage ; seul un test applicatif autorisé peut établir le traitement de la requête par le serveur.
Guide de workflow
Générez du matériel aléatoire jetable, un nonce ou une valeur liée à PKCE, ainsi qu’un identifiant de corrélation de requête ou de session. Vérifiez la forme UUID, séparez la fixture originale des journaux et marquez chaque valeur comme réservée au test.
Utilisez jwt-generator pour créer un token synthétique avec des variantes de claims intentionnelles, puis produisez un OTP indépendant ou une valeur TOTP/HOTP conforme au RFC depuis une seed de test jetable. Gardez les claims, le pas, le compteur et le code attendus avec la fixture, jamais dans un journal de production.
Inspectez le header et le payload avec jwt-decoder et contrôlez la représentation des segments JWT ou PKCE avec base64url-encoder. Utilisez jwk-generator seulement pour une clé synthétique ou un JWK public autorisé ; comparez kid et algorithme sans importer de clé privée.
Utilisez secure-random-generator, nonce-generator et uuid-generator pour créer du matériel de test frais. Pour une capture autorisée, ne gardez que la valeur assainie nécessaire à l’analyse et ne confondez pas décodage possible et token fiable.
Choisissez otp-generator pour un code numérique indépendant, par exemple une fixture SMS ou e-mail. Choisissez totp-hotp-offline-generator si le test dépend d’une seed Base32, d’un pas temporel ou d’un compteur, avec une seed de test jetable uniquement.
jwt-decoder et base64url-encoder décrivent la structure et l’encodage. hmac-generator-verifier et les contrôles pris en charge par jwt-decoder-security-auditor testent une signature ou une condition connue. L’audit de sécurité final doit examiner séparément l’algorithme, l’expiration, les claims sensibles et le traitement des preuves.
Calculateurs, outils numériques, logique de dates, statistiques et finance
Avec la fixture jetable, utilisez hmac-generator-verifier pour comparer un message connu et un secret de test, puis jwt-decoder-security-auditor pour ses contrôles pris en charge de signature HS256 ou RS256 et d’expiration. En cas de dérive temporelle suspectée, rejouez TOTP ou HOTP avec le temps ou compteur noté ; une concordance locale ne prouve pas l’acceptation par le serveur.
Examinez séparément l’algorithme, l’expiration et la validité temporelle, les claims sensibles, les fenêtres de code et la traçabilité. Conservez uniquement métadonnées assainies, résultats, empreintes ou extraits masqués, identifiant de corrélation, incertitude résiduelle et action autorisée ; supprimez les secrets et le matériel de session actif.