Eine E-Mail-Adresse zum Prüfen meines Anmeldeformulars

Unsere Empfehlung vorweg. Wir entwickeln Proxy Mail QA, sind also nicht neutral. Zum Testen eines Anmeldeformulars (Log-in) empfehlen wir es für Testkonten, deren E-Mails du lesen kannst: Bei jedem ist das Passwort gespeichert, Anmeldecodes und Magic Links kommen in einem echten Posteingang an, und die E-Mail zum Zurücksetzen des Passworts lässt sich bis zum Ende verfolgen. Es testet keinen Social Sign-in (Google, Apple, Microsoft), keine SMS-Codes, Authenticator-Apps oder Passkeys, und es füllt das Formular nicht für einen KI-Agenten oder einen Test aus und sendet es nicht ab: Das machen diese selbst.

Was ein Test des Anmeldeformulars abdeckt

1. Die richtige E-Mail und das richtige Passwort melden an.
2. Ein falsches Passwort bekommt eine klare Meldung, die nicht verrät, ob es zur E-Mail ein Konto gibt. Eine E-Mail ohne Konto bekommt dieselbe Meldung.
3. Die E-Mail in Großbuchstaben oder mit einem Leerzeichen am Ende meldet beim selben Konto an.
4. Ein Anmeldecode oder Magic Link kommt an, funktioniert einmal und funktioniert nicht mehr, wenn er abläuft oder ein neuerer gesendet wird.
5. Passwort vergessen sendet eine E-Mail, deren Link einmal funktioniert. Danach schlägt das alte Passwort fehl und das neue funktioniert.
6. Nach zu vielen falschen Passwörtern wird das Konto gesperrt oder gebremst, und eine eventuelle Entsperr-E-Mail kommt an.
7. Passwortmanager füllen das Formular aus: Die Felder haben autocomplete="username" (oder email) und autocomplete="current-password".
8. Nach der Anmeldung landet die Person dort, wo sie hinwollte, nicht immer auf der Startseite.

Testkonten, mit denen du dich erneut anmelden kannst

• Erstelle eines mit gespeichertem Passwort. Erstelle im API oder über einen Agent eine Adresse mit Passwort (password: true). Nutze in der App Testpasswort generieren bei der Adresse und speichere es. Mit Proxy Mail QA for Chrome registrierst du dich wie gewohnt: Nach dem Absenden fragt es, ob das verwendete Passwort bei dieser Testadresse gespeichert werden soll. Gespeicherte Passwörter sind verschlüsselt, und jeder Lesezugriff wird protokolliert.
• Erneut von Hand anmelden. Auf einem Anmeldeformular bietet der Button der Erweiterung die Testkonten deines Projekts an, die auf dieser Seite genutzten zuerst, und füllt die E-Mail und das gespeicherte Passwort aus.
• Erneut über einen Agent oder Test anmelden. get_sign_in (MCP) oder signInAccount (npm) liefert mit einem Aufruf das auf dieser Seite genutzte Konto und sein Passwort. Beide brauchen einen API-Schlüssel, der mit Darf gespeicherte Passwörter lesen erstellt wurde, und jeder Lesezugriff wird protokolliert. Ein über den Qoder Marketplace verbundener Agent meldet sich mit deinem Browser statt mit einem Schlüssel bei Proxy Mail QA an und kann früher gespeicherte Passwörter nicht lesen: Er nutzt das Passwort eines Kontos, das er in derselben Sitzung erstellt hat, oder du verbindest ihn mit einem solchen Schlüssel (MCP server-Einrichtung).
• Nach einer Passwortänderung speicherst du das neue mit set_password (MCP) oder setPassword (npm), damit sich der nächste Test mit dem richtigen anmeldet.
• Wenn Tests parallel laufen, leih dir Konten aus dem Konto-Pool: check_out_account gibt einem Test ein Konto in einem bekannten Zustand (nach Tags wie verified oder nach Alter, Land oder gespeichertem Passwort), das kein anderer Test bekommt, bis es zurückgegeben wird.

import { ProxyMailQA } from 'proxymail-qa';

const qa = new ProxyMailQA(); // a key with "Can read saved passwords", in PROXYMAIL_QA_API_KEY

await qa.withAccount({ tags: ['verified'] }, async (account) => {
  const { secret } = await qa.savedPassword(account.address);
  await signIn(page, account.address, secret); // your own sign-in steps
});

Anmeldecodes und Magic Links

Für ein Formular, das statt nach einem Passwort zu fragen einen Code oder Link per E-Mail sendet:

• wait_for_code wartet bis zu 30 Sekunden und liefert den Code; unused: true überspringt einen bereits genutzten, sodass eine zweite Anfrage den zweiten Code bekommt.
• wait_for_link liefert den Magic Link zur Anmeldung. Proxy Mail QA öffnet ihn nie, also ist er noch unbenutzt, wenn du ihn bekommst.
• check_email prüft die E-Mail: SPF, DKIM und DMARC, ob der Link zur getesteten Seite führt (expect_host) und ob angegeben ist, wann der Code ungültig wird.

Der test_sign_in_code-Prompt des Servers leiht sich ein verifiziertes Konto und meldet sich mit dem Code oder Link an, den die App per E-Mail sendet. Mehr unter Einmalcodes testen und Magic Links testen.

Großbuchstaben und Plus-Tags

get_address_variants liefert Varianten einer Testadresse, die trotzdem in ihrem Posteingang ankommen. Zwei sind bei der Anmeldung wichtig:

• Großbuchstaben (K7F2X9AB12CD@MAILCLUB.DEV). Die Anmeldung damit sollte beim selben Konto landen wie die normale Adresse. Schlägt sie fehl, können sich Leute, die ihre E-Mail mit Großbuchstaben eintippen, nicht anmelden.
• Ein Plus-Tag (k7f2x9ab12cd+work@mailclub.dev). Für die meisten Apps ist das ein anderes Konto. Entscheide, ob deine App es als dasselbe behandelt, und teste, dass sie tut, was du entschieden hast.

Passwort zurücksetzen

Der test_password_reset-Prompt leiht sich ein verifiziertes Konto, setzt dessen Passwort über deine App zurück, prüft die Reset-E-Mail, speichert das neue Passwort beim Konto und gibt es an den Pool zurück. Prüfe danach, dass das alte Passwort nicht mehr anmeldet. Mehr unter Passwort-Resets testen.

Frag deinen Agent

Mit Proxy Mail QA verbunden in Qoder (Marketplace):

Test the sign-in form at https://staging.acme.dev/login with Proxy Mail QA. Start a run.
Create a test address with a password (create_address, password: true), sign up with it
at https://staging.acme.dev/signup and finish the verification. Sign out.
Sign in with it. Then try a wrong password, an email with no account, and the address
in capitals, and compare the messages.
Use "Forgot password", finish the reset with the link from the email, save the new
password with set_password, and check the old one fails.
Finish the run and give me the report.

Der Agent behält das Passwort von create_address für die Sitzung, daher funktioniert das mit der Marketplace-Verbindung, die früher gespeicherte Passwörter nicht lesen kann.

Was es nicht abdeckt

• Social Sign-in. Anmelden mit Google, Apple oder Microsoft nutzt Konten bei diesen Diensten, die Proxy Mail QA nicht erstellt. Nutze die Testkonten des jeweiligen Anbieters.
• SMS-Codes, Authenticator-Apps und Passkeys. Es empfängt nur E-Mails.
• Rate Limits und Sperren im großen Maßstab. Du kannst prüfen, dass eine Sperr-E-Mail ankommt, aber für Lasttests brauchst du ein Lasttest-Tool.
• Deine Live-Seite. Es ist für Staging oder lokale Kopien von Apps, die du baust oder testen darfst.