Validador client_id / client_secret

O par de credenciais de cliente do OAuth 2.0 não tem formato definido pela especificação: cada provedor escolhe o seu. Isso significa que não existe validação universal — mas existem características que separam uma credencial saudável de uma que vai dar problema, e são elas que dá para conferir antes de colar num arquivo de configuração.

Cole os dois valores e a página aponta o que chama atenção: identificador curto demais, segredo abaixo do comprimento que se espera de um valor com entropia razoável, e caracteres fora do conjunto seguro para URL. Este último importa porque as credenciais podem viajar codificadas no cabeçalho de autorização ou no corpo de formulário, e caractere que exige escape é fonte recorrente de falha intermitente.

Vale ter claro o que a checagem não faz: ela mede forma, não segredo. Um segredo longo e bem formatado pode ser fraco por ter sido gerado com fonte previsível, e isso nenhuma inspeção do valor revela. A segurança real vem de o provedor gerar com fonte criptográfica, de o segredo nunca chegar a repositório ou a navegador, e de ele ser rotacionado periodicamente.