Unsere Empfehlung vorab. Wir machen Proxy Mail QA, sind also nicht neutral. Für die Registrierung bei Bank, Kredit, Geldanlage, Versicherung oder Zahlungen empfehlen wir es für einen schmalen Teil der Prüfung: die E-Mails (Bestätigung, E-Mail-Codes und Passwort-Reset), Testkonten mit genauem Alter und Land für deine Zulassungsregeln sowie knifflige Namen und Passwörter für die Formularfelder. Was eine Finanz-Registrierung schwer macht, kann es nicht: SMS-Codes, Identitätsprüfung (KYC), Zahlungen und Kontoverknüpfung. Es ist keine Compliance-Prüfung und keine Rechtsberatung und hatte noch kein unabhängiges Audit wie SOC 2. Nutze es auf Staging, nur mit erfundenen Testdaten.
Was bei einer Finanz-Registrierung anders ist
- Zulassung. Meist ab 18 und nur in den Ländern, für die du eine Lizenz hast.
- Echte Namen. Der Name im Konto muss später zu einem Ausweisdokument passen, also muss das Formular Namen so annehmen, wie Menschen sie wirklich haben.
- Stärkere Anmeldung. Längere Passwörter, ein zweiter Faktor und mancherorts gesetzlich vorgeschriebene starke Kundenauthentifizierung.
- E-Mails, die sich zu fälschen lohnen. Deine Marke ist ein Phishing-Ziel, also müssen deine E-Mails klar echt sein und deine Links nur zu deiner Domain führen.
- Nichts verraten. Das Formular sollte nicht bestätigen, ob jemand schon ein Konto hat.
- Ein Nachweis. Jemand wird fragen, wie die Registrierung getestet wurde.
Wobei Proxy Mail QA dir beim Prüfen hilft
Alters- und Länderregeln
create_address erstellt eine Testpersona mit genauem Alter (under18, turns18tomorrow, turned18today, adult, over21) und einer country (etwa GB, DE oder US), mit passendem Geburtsdatum und Land. Prüfe:
- Jemand unter 18 wird abgelehnt, mit klarem Grund und ohne halb angelegtes Konto.
- Wer morgen 18 wird, wird heute abgelehnt; wer heute 18 geworden ist, wird angenommen.
- Jedes Land, das du nicht bedienst, wird abgelehnt, und jedes, das du bedienst, bekommt die richtigen Bedingungen.
Der Skill age-and-region-testing im Proxy Mail QA-Plugin führt das aus und markiert jedes Konto für den nächsten Lauf.
Namen, wie Menschen sie wirklich haben
get_name_variants liefert Namen, die akzeptiert werden sollten (O'Brien, Smith-Jones, Søren, Łukasz, 李, محمد, प्रिया), solche, die abgelehnt werden sollten (leer, nur Leerzeichen, über dem Maximum), und HTML oder SQL, das als Text gespeichert werden muss. Ein Formular, das D'Angelo ablehnt, weist entweder einen echten Kunden ab oder zwingt ihn, einen Namen einzugeben, der später nicht zu seinem Ausweis passt.
Passwortrichtlinie
Teste deine gewählten Regeln mit get_password_variants: genau Minimum und Maximum, eins darunter, eins darüber, jede Art von Sonderzeichen, ein Leerzeichen darin und, wenn das Maximum über 72 liegt, zwei Passwörter mit denselben ersten 72 Bytes (eine App, die mit bcrypt hasht, liest nur die ersten 72, also darf das zweite nicht als das erste anmelden). Welche Regeln du wählen solltest, steht unter Wie lang sollte das Passwort in meinem Registrierungsformular sein?
E-Mails, die klar echt sind
check_email prüft jede ankommende E-Mail:
- SPF, DKIM und DMARC bestehen, damit Posteingänge deine Mails von Fälschungen unterscheiden können.
- Der Bestätigungs- oder Reset-Link führt zu deiner Domain (
expect_host), nicht von Staging zu Produktion, und kein Link führt zulocalhostoder einfachemhttp. - Eine angegebene Gültigkeit. Die Prüfung warnt, wenn eine E-Mail mit Code oder Link nicht sagt, wann er abläuft. Ob der Server sich daran hält, testest du selbst: Warte die Zeit ab und probier dann den Code.
Formulierungen, die nichts verraten
- Registriere dich mit einer bereits registrierten Adresse: Die Seite sollte dasselbe sagen wie bei einer neuen, etwa „Prüfe deine E-Mails“.
- Fordere einen Passwort-Reset für eine Adresse ohne Konto an: Die Seite sollte dasselbe sagen wie bei einer mit Konto.
expect_no_emailodercount_emailszeigt, was gegebenenfalls gesendet wurde.
Links und Codes, die nicht wiederverwendbar sind
Der Skill auth-regression-pack (oder der Prompt auth_regression_pack) öffnet einen Bestätigungs- oder Reset-Link ein zweites Mal und einen älteren Reset-Link, nachdem ein neuerer gesendet wurde. Beides sollte fehlschlagen. wait_for_code mit unused: true holt einen zweiten Code, ohne den ersten erneut zu erwischen.
Ein Nachweis des Tests
start_run und finish_run liefern einen Markdown-Bericht jeder Sitzung für den Pull Request oder dein Änderungsprotokoll, und der QA-Bericht der App lässt sich als CSV herunterladen oder als PDF drucken.
Was Proxy Mail QA nicht kann
| Teil der Registrierung | Stattdessen nutzen |
|---|---|
| SMS-Codes, Authenticator-Apps, Passkeys | Testnummern oder Testmodus deines SMS-Anbieters; die Test-Helfer deiner Authenticator-Bibliothek |
| Identitätsprüfung (KYC) | Die Sandbox deines KYC-Anbieters mit ihren Testdokumenten und Testpersonen |
| Karten, Zahlungen und Kontoverknüpfung | Testmodus und Testkonten deines Zahlungs- oder Open-Banking-Anbieters. Proxy Mail QA füllt nie Karten-, Bank- oder Ausweisfelder aus |
| Compliance (AML, Verbraucherpflichten, Lizenzen) | Dein Compliance-Team oder deine Anwältin. Nichts hier ist Rechtsberatung |
| Sicherheitstests | Ein Penetrationstest. Zu prüfen, dass HTML als Text gespeichert wird, ist ein Hinweis, kein Test |
| Betrugs- und Missbrauchsregeln | Der Testmodus deiner Betrugserkennung |
Bevor du es in einem Finanzunternehmen nutzt
- Nur Testdaten. Personas sind fiktiv. Gib niemals Name, Geburtsdatum oder Adresse eines echten Kunden in ein Testkonto ein.
- Wo Daten liegen. Test-Mails und Konten werden in den USA gespeichert (AWS us-east-2), vom Hoster im Ruhezustand verschlüsselt, aber nicht Ende-zu-Ende. Behandle Test-Posteingänge als Testdaten.
- Was es noch nicht gibt. Zwei-Faktor-Anmeldung für Proxy Mail QA-Konten und ein unabhängiges Sicherheitsaudit oder eine Zertifizierung wie SOC 2. Wenn dein Sicherheitsteam eins davon für Testtools verlangt, prüf zuerst den aktuellen Stand auf der Sicherheitsseite.
- Staging, nicht live. Es ist für Apps, die du baust oder testen darfst. Einige große Dienste, darunter PayPal, Coinbase und Binance, sind komplett gesperrt.
- Dein E-Mail-Anbieter muss auf Staging an jede Adresse senden. Im Sandbox- oder Testmodus, etwa Amazon SES vor dem Produktionszugang, sendet er nur an Adressen, die du verifiziert hast.
Ein Prompt für deinen Agent
Mit Proxy Mail QA verbunden in Qoder (Marketplace):
Review the sign-up at https://staging.acme-bank.dev/open-account with Proxy Mail QA,for an account that must be 18 or over and in GB or IE. Start a run.1. Sign up as an adult in GB and finish the email verification. check_email with expect_host: staging.acme-bank.dev.2. Try ages under18, turns18tomorrow and turned18today, and country DE. Each should be refused before an account exists, except turned18today.3. Try get_name_variants in the name fields and get_password_variants with the password field's limits. Use a plus tag on the address for each new account.4. Sign up again with the first address, and request a reset for a new address that has no account: the page should say the same as for a real one.5. Open the verification link a second time: it should fail.Stop at any SMS, ID or payment step and tell me it's there. Finish the run and give methe report.Mehr Details: Inhalte mit Altersbeschränkung, Passwort-Reset testen und ungewöhnliche Namen und Passwörter.