Foire aux questions générale

L'examen d'un site commence par une exploration qui, en fonction des données rassemblées, est suivie d'un test. Les "données d'exploration" peuvent être rassemblées en utilisant une ou plusieurs méthodes d'exploration. Dans tous les cas, ces données, une fois rassemblées sont utilisées par AppScan pour créer et envoyer des tests au site pendant l'étape de test.

Exploration d'applications web (sites avec interface utilisateur)

• Dans le cas de nombreuses applications, il suffit souvent de fournir à AppScan l'adresse URL de départ et les données d'authentification pour lancer le test sur le site.
• Exploration manuelle : Si nécessaire, vous pouvez parcourir manuellement le site via AppScan afin d'accéder à des zones accessibles uniquement à l'aide d'entrées utilisateur spécifiques.
• Opérations en plusieurs étapes : Pour les pages accessibles uniquement via des pages sélectionnées dans un ordre spécifique, vous pouvez enregistrer une opération en plusieurs étapes à utiliser par AppScan.

Alors que l'Assistant de configuration vous permet de configurer et de démarrer votre numérisation en quelques étapes, pour les sites complexes, la boîte de dialogue Configuration vous permet d'affiner et de personnaliser de nombreux autres paramètres.

Exploration des API Web

AppScan propose trois méthodes principales pour explorer les API Web :

1. Importation d'une collection Postman

   Si vous avez pré-enregistré une collection Postman de requêtes d'API dans le cadre de votre processus DevOps, vous pouvez importer la collection pour l'utiliser comme phase d'exploration de l'examen. AppScan analyse et utilise la collection pour tester le site. Voir Examen à l'aide d'une collection Postman

2. Utilisation d'un fichier de description OpenAPI
   • Si vous disposez d'un fichier de description OpenAPI (au format JSON ou YAML) pour votre service Web, vous pouvez l'utiliser comme base pour votre examen. AppScan lance un examen automatique basé sur la description. Voir Examen à l'aide d'un fichier de description OpenAPI.
   • Vous pouvez également utiliser l'extension Assistant d'API Web pour configurer l'examen et les séquences en plusieurs étapes nécessaires à l'utilisation du service.
3. Configuration du proxy d'enregistrement
   1. Configuration de l'appareil : Configurez AppScan comme proxy d'enregistrement pour l'appareil (tel qu'un téléphone mobile ou un simulateur) que vous utilisez pour explorer le service. AppScan analyse ensuite les données d'exploration collectées et envoie les tests appropriés.
   2. Enregistrement de l'outil externe : Vous pouvez également utiliser AppScan pour enregistrer le trafic à l'aide d'un outil externe, tel qu'un testeur fonctionnel d'API Web. Voir Utilisation d'un client externe.

En plus des méthodes répertoriées ci-dessus, vous pouvez également choisir l'exploration manuelle ou l'importation des données d'exploration. Dans tous les cas, une fois que vous avez fourni à AppScan les données d'exploration, il peut procéder à un test automatique du site et présenter les résultats de l'examen pour révision et triage.

Exploration manuelle

L'exploration manuelle d'un site consiste à collecter les données pouvant être utilisées par AppScan pour s'assurer que, lors du test du site, les parties de l'application ou les services n'ayant pas été pris en compte lors de l'étape d'exploration automatique seront couverts. Cela peut être nécessaire si une entrée utilisateur spécifique est requise, ou si le site répond à un type d'outil ou de périphérique différent. Vous pouvez procéder à une exploration manuelle via AppScan ou l'utiliser en tant que proxy d'enregistrement.

Voir Exploration manuelle

Opération en plusieurs étapes

Une opération à plusieurs étapes est requise pour l'exploration des parties du site accessibles uniquement en cliquant sur des liens dans un ordre spécifique, comme une boutique en ligne où l'utilisateur ajoute des articles dans un panier avant de les payer. Prenez en compte les trois pages suivantes :

1. L'utilisateur ajoute un ou plusieurs articles à un panier
2. L'utilisateur remplit les détails pour le règlement et la livraison
3. L'utilisateur reçoit la confirmation que la commande est terminée

La page 2 peut uniquement être atteinte depuis la page 1. La page 3 peut uniquement être atteinte depuis la page 1 puis de la page 2. Il s'agit d'une séquence. Pour pouvoir tester les pages 2 et 3, AppScan® doit envoyer la séquence correcte de demandes HTTP avant chaque test.

Voir Opérations en plusieurs étapes

Lorsqu'une procédure est enregistrée pour une utilisation en tant que connexion ou en tant qu'opération à plusieurs étapes, deux méthodes de lecture sont disponibles :

Lecture basée sur les demandes

Envoie les demandes HTTP brutes à partir de l'enregistrement. Cette méthode est généralement plus rapide.

Lecture basée sur les actions

Exécute à nouveau les actions de clic et de frappe de l'utilisateur. Vous pouvez être amené à choisir cette méthode lorsque le site inclut un grand nombre d'éléments JavaScript ou lorsque certaines demandes de la lecture basée sur les demandes ont été marquées d'un caractère X rouge lors d'une tentative de validation. Cette méthode peut augmenter la durée de l'examen.

Dans la version 10.0.5, nous avons annoncé notre intention de supprimer trois stratégies de test dans une future édition. Les méthodes suivantes peuvent être utilisées pour obtenir des résultats similaires. Si vous utilisez ces stratégies, vous pouvez commencer à utiliser les alternatives suggérées.

Si la taille de vos fichiers d'examen est importante et que vous devez la réduire pour une raison quelconque, vous pouvez utiliser la commande compact_scan, qui réduit la taille de la base de données dans le fichier SCAN. A l'invite de commande, entrez :

AppScanCmd.exe compact_scan /b <full path to base scan file> /d <full path to destination file>

• Utilisez la prédéfinition d'API Web (voir Prédéfinitions de configuration).
• Chargez le modèle GraphQL (à partir du dossier des modèles prédéfinis) et importez votre propre collection Postman.
• Chargez le modèle GraphQL (à partir du dossier des modèles prédéfinis) et importez votre propre fichier de trafic.