Nuestra recomendación, de entrada. Nosotros hacemos Proxy Mail QA, así que no somos neutrales. Para un registro de banca, préstamos, inversión, seguros o pagos, lo recomendamos para una parte concreta de la revisión: los correos (verificación, códigos por correo y restablecimiento de contraseña), cuentas de prueba con una edad y un país exactos para tus reglas de elegibilidad, y nombres y contraseñas difíciles para los campos del formulario. No puede hacer las partes que complican el registro financiero: códigos por SMS, verificación de identidad (KYC), pagos y vinculación bancaria. No es una revisión de cumplimiento ni asesoría legal, y todavía no ha pasado una auditoría independiente como SOC 2. Úsalo en staging, solo con datos de prueba inventados.
Qué tiene de distinto un registro financiero
- Elegibilidad. Normalmente a partir de 18 años, y solo en los países donde tienes licencia.
- Nombres reales. El nombre de la cuenta tiene que coincidir más adelante con un documento de identidad, así que el formulario debe aceptar los nombres tal como la gente los tiene.
- Inicio de sesión más seguro. Contraseñas más largas, un segundo factor y, en algunos lugares, autenticación reforzada de clientes por ley.
- Correos que vale la pena falsificar. Tu marca es objetivo de phishing, así que tus correos deben ser claramente auténticos y tus enlaces deben ir solo a tu dominio.
- Sin revelar nada. El formulario no debe confirmar si alguien ya tiene cuenta.
- Un registro. Alguien preguntará cómo se probó el registro.
Lo que Proxy Mail QA te ayuda a comprobar
Reglas de edad y país
create_address crea un perfil de prueba con una edad exacta (under18, turns18tomorrow, turned18today, adult, over21) y un country (como GB, DE o US), con una fecha de nacimiento y un país que coinciden. Comprueba:
- Alguien menor de 18 años es rechazado, con un motivo claro y sin dejar una cuenta a medio crear.
- Alguien que cumple 18 mañana es rechazado hoy; alguien que cumplió 18 hoy es aceptado.
- Cada país en el que no operas es rechazado, y cada uno en el que sí operas recibe las condiciones correctas.
La skill age-and-region-testing del plugin de Proxy Mail QA ejecuta estas pruebas y etiqueta cada cuenta para la siguiente ejecución.
Nombres tal como la gente los tiene
get_name_variants da nombres que aceptar (O'Brien, Smith-Jones, Søren, Łukasz, 李, محمد, प्रिया), otros que rechazar (vacío, solo espacios, por encima del máximo) y HTML o SQL que debe guardarse como texto. Un formulario que rechaza D'Angelo o aleja a un cliente real, o le obliga a escribir un nombre que después no coincidirá con su documento.
Política de contraseñas
Prueba las reglas que elegiste con get_password_variants: exactamente el mínimo y el máximo, uno menos, uno más, cada tipo de símbolo, un espacio en medio y, cuando el máximo supera 72, dos contraseñas que comparten sus primeros 72 bytes (una app que usa bcrypt solo lee los primeros 72, así que la segunda no debe iniciar sesión como la primera). Para saber qué reglas elegir, consulta ¿Qué longitud debe tener la contraseña de mi formulario de registro?
Correos claramente auténticos
check_email comprueba cada correo que llega:
- SPF, DKIM y DMARC pasan, para que las bandejas de entrada distingan tu correo de uno falso.
- El enlace de verificación o restablecimiento va a tu dominio (
expect_host), no a producción desde staging, y ningún enlace va alocalhostni ahttpsin cifrar. - Una caducidad indicada. La comprobación avisa cuando un correo con código o enlace no dice cuándo deja de funcionar. Que el servidor cumpla lo que dice te toca probarlo a ti: espera a que pase el tiempo y luego prueba el código.
Textos que no revelan nada
- Regístrate con una dirección que ya está registrada: la página debería decir lo mismo que con una nueva, como “Revisa tu correo”.
- Pide restablecer la contraseña de una dirección sin cuenta: la página debería decir lo mismo que con una que sí la tiene.
expect_no_emailocount_emailsmuestra qué se envió, si se envió algo.
Enlaces y códigos que no se pueden reutilizar
La skill auth-regression-pack (o el prompt auth_regression_pack) abre un enlace de verificación o restablecimiento por segunda vez, y un enlace de restablecimiento antiguo después de enviar uno más nuevo. Ambos deberían fallar. wait_for_code con unused: true obtiene un segundo código sin volver a tomar el primero.
Un registro de la prueba
start_run y finish_run generan un informe en Markdown de cada sesión para el pull request o tu registro de cambios, y el informe de QA de la app se descarga en CSV o se imprime en PDF.
Lo que Proxy Mail QA no puede hacer
| Parte del registro | Usa en su lugar |
|---|---|
| Códigos por SMS, apps de autenticación, passkeys | Los números de prueba o el modo de prueba de tu proveedor de SMS; las utilidades de prueba de tu biblioteca de autenticación |
| Verificación de identidad (KYC) | El sandbox de tu proveedor de KYC, con sus documentos y personas de prueba |
| Tarjetas, pagos y vinculación bancaria | El modo de prueba y las cuentas de prueba de tu proveedor de pagos o de open banking. Proxy Mail QA nunca rellena campos de tarjeta, banco o identidad |
| Cumplimiento (AML, consumer duty, licencias) | Tu equipo de cumplimiento o tu abogado. Nada de esto es asesoría legal |
| Pruebas de seguridad | Una prueba de penetración. Comprobar que el HTML se guarda como texto es una señal, no una prueba |
| Reglas de fraude y abuso | El modo de prueba de tu herramienta antifraude |
Antes de usarlo en una empresa financiera
- Solo datos de prueba. Los perfiles son ficticios. Nunca pongas el nombre, la fecha de nacimiento o la dirección de un cliente real en una cuenta de prueba.
- Dónde se guardan los datos. El correo y las cuentas de prueba se guardan en Estados Unidos (AWS us-east-2), cifrados en reposo por el proveedor de alojamiento, pero no de extremo a extremo. Trata las bandejas de entrada de prueba como datos de prueba.
- Lo que aún no existe. Inicio de sesión en dos pasos para las cuentas de Proxy Mail QA, y una auditoría o certificación de seguridad independiente como SOC 2. Si tu equipo de seguridad exige alguna de las dos para herramientas de prueba, revisa antes la página de seguridad para ver el estado actual.
- Staging, no producción. Es para apps que desarrollas o que tienes permiso para probar. Algunos servicios grandes, como PayPal, Coinbase y Binance, están bloqueados directamente.
- Tu proveedor de correo debe enviar a cualquier dirección en staging. En modo sandbox o de prueba, como Amazon SES antes del acceso a producción, solo envía a direcciones que hayas verificado.
Un prompt para tu agente
Con Proxy Mail QA conectado en Qoder (Marketplace):
Review the sign-up at https://staging.acme-bank.dev/open-account with Proxy Mail QA,for an account that must be 18 or over and in GB or IE. Start a run.1. Sign up as an adult in GB and finish the email verification. check_email with expect_host: staging.acme-bank.dev.2. Try ages under18, turns18tomorrow and turned18today, and country DE. Each should be refused before an account exists, except turned18today.3. Try get_name_variants in the name fields and get_password_variants with the password field's limits. Use a plus tag on the address for each new account.4. Sign up again with the first address, and request a reset for a new address that has no account: the page should say the same as for a real one.5. Open the verification link a second time: it should fail.Stop at any SMS, ID or payment step and tell me it's there. Finish the run and give methe report.Más detalles: contenido con restricción de edad, pruebas de restablecimiento de contraseña y nombres y contraseñas poco comunes.