Sans compte

Analyser une réponse SAML

Collez une réponse reçue par votre application (ou la valeur du champ SAMLResponse). ID-Kit la vérifie comme le ferait une application sérieuse et explique chaque problème.

ID-Kit analyse la réponse comme le ferait une application : signature, destinataire, audience, validité… Rien n'est enregistré, et aucun compte n'est nécessaire.

La réponse SAML

Le XML brut, la valeur base64 du champ SAMLResponse, ou le corps complet du formulaire (SAMLResponse=…).

Ce que l'application attend (pour des contrôles plus complets)

Identifiant de l'application (Entity ID / Audience)

Le nom unique de l'application, souvent une adresse (elle n'a pas besoin d'être joignable). Il doit être identique, caractère pour caractère, à celui que l'application utilise (champ « Audience »). Une barre finale ou un http à la place de https suffit à tout bloquer.

Adresse de réception (ACS URL)

L'adresse précise de l'application qui reçoit la réponse SAML. L'IdP y renvoie la personne après connexion. Elle est dans les métadonnées de l'application, sous le nom « AssertionConsumerService ».

Identifiant de l'IdP attendu (Issuer)

Le nom unique de l'IdP (aussi appelé Issuer). L'application vérifie que la réponse vient bien de cet émetteur. Copiez-le depuis les métadonnées de l'IdP.

Identifiant de la demande (InResponseTo attendu)

Les vérifications qu'une application sérieuse doit faire sur une réponse SAML, dans l'ordre : statut, signature, destinataire, audience, validité… Ouvrez un contrôle pour voir ce qui a été constaté et comment corriger.

Certificat de signature de l'IdP (PEM ou base64)

Le certificat de l'IdP. Sa clé publique permet de vérifier que la réponse a bien été signée par l'IdP et n'a pas été modifiée. Quand l'IdP renouvelle son certificat, il faut le mettre à jour ici, sinon toutes les connexions échouent.