Notre recommandation, d’emblée. Nous éditons Proxy Mail QA, nous ne sommes donc pas neutres. Pour une inscription bancaire, de crédit, d’investissement, d’assurance ou de paiement, nous le recommandons pour une partie restreinte de la revue : les e-mails (vérification, codes par e-mail et réinitialisation du mot de passe), des comptes de test d’un âge et d’un pays précis pour vos règles d’éligibilité, et des noms et mots de passe délicats pour les champs du formulaire. Il ne peut pas couvrir ce qui rend l’inscription financière difficile : codes SMS, vérification d’identité (KYC), paiements et liaison bancaire. Ce n’est ni un audit de conformité ni un conseil juridique, et il n’a pas encore fait l’objet d’un audit indépendant comme SOC 2. Utilisez-le en préproduction, uniquement avec des données de test fictives.
Ce qui distingue une inscription financière
- L’éligibilité. En général 18 ans ou plus, et uniquement dans les pays où vous êtes agréé.
- De vrais noms. Le nom du compte devra correspondre plus tard à une pièce d’identité, donc le formulaire doit accepter les noms tels que les gens les portent.
- Une connexion renforcée. Des mots de passe plus longs, un second facteur et, dans certains pays, une authentification forte imposée par la loi.
- Des e-mails qui valent la peine d’être imités. Votre marque est une cible d’hameçonnage, donc vos e-mails doivent être clairement authentiques, et vos liens ne doivent mener qu’à votre domaine.
- Rien ne doit fuiter. Le formulaire ne doit pas confirmer si quelqu’un a déjà un compte.
- Une trace. Quelqu’un demandera comment l’inscription a été testée.
Ce que Proxy Mail QA vous aide à vérifier
Règles d’âge et de pays
create_address crée un persona de test d’un âge précis (under18, turns18tomorrow, turned18today, adult, over21) et d’un country (comme GB, DE ou US), avec une date de naissance et un pays cohérents. Vérifiez :
- Une personne de moins de 18 ans est refusée, avec une raison claire et sans compte à moitié créé.
- Une personne qui aura 18 ans demain est refusée aujourd’hui ; une personne qui a 18 ans aujourd’hui est acceptée.
- Chaque pays que vous ne servez pas est refusé, et chaque pays servi obtient les bonnes conditions.
La compétence age-and-region-testing du plugin Proxy Mail QA les exécute et étiquette chaque compte pour la prochaine exécution.
Les noms tels que les gens les portent
get_name_variants fournit des noms à accepter (O'Brien, Smith-Jones, Søren, Łukasz, 李, محمد, प्रिया), d’autres à refuser (vide, uniquement des espaces, au-delà du maximum) et du HTML ou SQL qui doit être stocké comme du texte. Un formulaire qui refuse D'Angelo soit renvoie un vrai client, soit l’oblige à saisir un nom qui ne correspondra pas à sa pièce d’identité.
Politique de mot de passe
Testez les règles choisies avec get_password_variants : exactement le minimum et le maximum, un de moins, un de plus, chaque type de symbole, un espace à l’intérieur et, quand le maximum dépasse 72, deux mots de passe qui partagent leurs 72 premiers octets (une app qui hache avec bcrypt ne lit que les 72 premiers, donc le second ne doit pas permettre de se connecter avec le premier). Pour choisir les règles, voir Quelle longueur pour le mot de passe de mon formulaire d’inscription ?
Des e-mails clairement authentiques
check_email vérifie chaque e-mail reçu :
- SPF, DKIM et DMARC passent, pour que les boîtes de réception distinguent vos e-mails d’un faux.
- Le lien de vérification ou de réinitialisation mène à votre domaine (
expect_host), pas à la production depuis la préproduction, et aucun lien ne mène àlocalhostou enhttpsimple. - Une expiration indiquée. La vérification avertit quand un e-mail de code ou de lien ne dit pas quand il expire. Vérifier que le serveur respecte ce qui est annoncé vous revient : attendez au-delà du délai, puis essayez le code.
Une formulation qui ne révèle rien
- Inscrivez-vous avec une adresse déjà enregistrée : la page doit afficher la même chose que pour une nouvelle, comme « Vérifiez vos e-mails ».
- Demandez une réinitialisation pour une adresse sans compte : la page doit afficher la même chose que pour une adresse qui en a un.
expect_no_emailoucount_emailsmontre ce qui a été envoyé, le cas échéant.
Des liens et codes non réutilisables
La compétence auth-regression-pack (ou le prompt auth_regression_pack) ouvre une seconde fois un lien de vérification ou de réinitialisation, et un ancien lien de réinitialisation après l’envoi d’un plus récent. Les deux doivent échouer. wait_for_code avec unused: true récupère un second code sans reprendre le premier.
Une trace du test
start_run et finish_run fournissent un rapport Markdown de chaque session pour la pull request ou votre registre des changements, et le rapport QA de l’app se télécharge en CSV ou s’imprime en PDF.
Ce que Proxy Mail QA ne peut pas faire
| Partie de l’inscription | À utiliser à la place |
|---|---|
| Codes SMS, applis d’authentification, passkeys | Les numéros de test ou le mode test de votre fournisseur SMS ; les outils de test de votre bibliothèque d’authentification |
| Vérification d’identité (KYC) | Le bac à sable de votre fournisseur KYC, avec ses documents et personnes de test |
| Cartes, paiements et liaison bancaire | Le mode test et les comptes de test de votre fournisseur de paiement ou d’open banking. Proxy Mail QA ne remplit jamais les champs de carte, bancaires ou d’identité |
| Conformité (LCB-FT, devoir envers les consommateurs, agréments) | Votre équipe conformité ou votre avocat. Rien ici n’est un conseil juridique |
| Tests de sécurité | Un test d’intrusion. Vérifier que le HTML est stocké comme du texte est un indice, pas un test |
| Règles anti-fraude et anti-abus | Le mode test de vos outils anti-fraude |
Avant de l’utiliser dans une entreprise financière
- Données de test uniquement. Les personas sont fictifs. Ne saisissez jamais le nom, la date de naissance ou l’adresse d’un vrai client dans un compte de test.
- Où sont stockées les données. Les e-mails et comptes de test sont stockés aux États-Unis (AWS us-east-2), chiffrés au repos par l’hébergeur mais pas de bout en bout. Traitez les boîtes de réception de test comme des données de test.
- Ce qui manque encore. La connexion à deux facteurs pour les comptes Proxy Mail QA, et un audit de sécurité indépendant ou une certification comme SOC 2. Si votre équipe sécurité exige l’un ou l’autre pour les outils de test, consultez d’abord la page sécurité pour connaître l’état actuel.
- Préproduction, pas production. Il est destiné aux apps que vous développez ou que vous êtes autorisé à tester. Quelques grands services, dont PayPal, Coinbase et Binance, sont bloqués d’office.
- Votre fournisseur d’e-mail doit envoyer à n’importe quelle adresse en préproduction. En mode bac à sable ou test, comme Amazon SES avant l’accès production, il n’envoie qu’aux adresses que vous avez vérifiées.
Un prompt pour votre agent
Avec Proxy Mail QA connecté dans Qoder (Marketplace) :
Review the sign-up at https://staging.acme-bank.dev/open-account with Proxy Mail QA,for an account that must be 18 or over and in GB or IE. Start a run.1. Sign up as an adult in GB and finish the email verification. check_email with expect_host: staging.acme-bank.dev.2. Try ages under18, turns18tomorrow and turned18today, and country DE. Each should be refused before an account exists, except turned18today.3. Try get_name_variants in the name fields and get_password_variants with the password field's limits. Use a plus tag on the address for each new account.4. Sign up again with the first address, and request a reset for a new address that has no account: the page should say the same as for a real one.5. Open the verification link a second time: it should fail.Stop at any SMS, ID or payment step and tell me it's there. Finish the run and give methe report.Plus de détails : contenu soumis à une limite d’âge, tests de réinitialisation du mot de passe et noms et mots de passe inhabituels.