Elysia Tools
Navegação
Workflow Playbook
Prepare fixtures de autenticação sanitizados, separe geração de tokens de decodificação e verificação, teste o tempo de OTP/TOTP e audite evidências de JWT e sessão sem expor segredos reais.
Temas
Use este fluxo somente para uma fixture sintética própria ou para material de autenticação coberto por autorização explícita. Descreva o fluxo a reproduzir, os claims e algoritmos esperados, o relógio ou contador fixo e a pessoa responsável pela revisão. Mantenha fora da ferramenta e do relatório access tokens, refresh tokens, cookies, segredos compartilhados, chaves privadas e códigos de recuperação reais.
Crie um ID de correlação e um nonce descartáveis com secure-random-generator, nonce-generator e uuid-generator, e valide o formato. Use jwt-generator para cobrir o caso com claims sintéticos. Para MFA, otp-generator serve para códigos numéricos independentes; totp-hotp-offline-generator serve para uma seed Base32 descartável com passo de tempo ou contador fixo. Registre os valores esperados para tornar a falha reproduzível.
jwt-decoder e base64url-encoder mostram se a estrutura é interpretável e como os segmentos estão codificados, mas não provam autenticidade. jwk-generator pode criar ou inspecionar uma chave descartável ou um JWK público autorizado; não importe uma chave privada de produção para forçar um sucesso local. Use hmac-generator-verifier e as verificações suportadas de assinatura ou expiração de jwt-decoder-security-auditor com material controlado e expectativas explícitas.
Depois da verificação, revise algoritmo, expiração e validade temporal, claims sensíveis, suposições de tempo ou contador de TOTP/HOTP e a ligação entre evidência e ID de requisição ou sessão. Resultado de decodificação, assinatura correspondente e achado de segurança respondem a perguntas diferentes e devem ficar em campos separados.
O pacote final deve conter escopo do teste, versão da fixture, ID de correlação, resultados esperados e observados, trechos mascarados ou impressões digitais, incerteza residual e próxima ação autorizada. Não deve conter segredo reutilizável nem material de sessão ativo. O resultado local ajuda na depuração; somente um teste autorizado da aplicação pode estabelecer como o servidor tratou a requisição.
Guia de fluxo de trabalho
Gere material aleatório descartável, um nonce ou valor relacionado a PKCE e um ID de correlação de requisição ou sessão. Valide o formato UUID, mantenha a fixture original separada dos logs e marque cada valor como exclusivo de teste antes de usá-lo.
Use jwt-generator para criar um token sintético com variações deliberadas de claims e depois gere um OTP independente ou um valor TOTP/HOTP compatível com RFC a partir de uma seed de teste descartável. Mantenha claims, passo, contador e código esperados junto da fixture, nunca em um log de produção.
Inspecione header e payload com jwt-decoder e confira a representação dos segmentos JWT ou PKCE com base64url-encoder. Use jwk-generator somente com uma chave sintética ou um JWK público autorizado; compare kid e algoritmo sem importar uma chave privada.
Use secure-random-generator, nonce-generator e uuid-generator para criar material de teste novo. Em uma captura autorizada, conserve apenas o valor sanitizado mínimo necessário e não confunda a possibilidade de decodificar com confiança no token.
Escolha otp-generator para um código numérico independente, como uma fixture de SMS ou email. Escolha totp-hotp-offline-generator quando houver uma seed Base32 compartilhada, um passo de tempo ou um contador, sempre com uma seed descartável de teste.
jwt-decoder e base64url-encoder explicam estrutura e codificação. hmac-generator-verifier e as verificações suportadas por jwt-decoder-security-auditor testam uma assinatura ou condição conhecida. A auditoria final deve revisar separadamente algoritmo, expiração, claims sensíveis e tratamento da evidência.
Com a fixture descartável, use hmac-generator-verifier para comparar uma mensagem conhecida e um segredo de teste, e jwt-decoder-security-auditor para as verificações suportadas de assinatura HS256 ou RS256 e expiração. Se houver suspeita de deriva temporal, repita TOTP ou HOTP com o tempo ou contador registrado; uma correspondência local não prova aceitação pelo servidor.
Revise separadamente algoritmo, expiração e validade temporal, claims sensíveis, janelas do código e rastreabilidade. Conserve apenas metadados sanitizados, resultados, impressões digitais ou trechos mascarados, ID de correlação, incerteza residual e ação autorizada; elimine segredos brutos e material de sessão ativo.