リセットフローのテストが省かれがちな理由
- 実際に受信できる受信トレイが必要。 架空のアドレスで作成したアカウントは、リセットメールを受け取れません。
- パスワードがわからなくなる。 何度かリセットすると、テストアカウントの現在のパスワードを誰も覚えていません。
- エッジケースこそ重要。 期限切れのリンク、再利用されたリンク、存在しないアドレスへのリセットは、セキュリティバグが潜みやすい部分です。
Proxy Mail QA でできること
- アドレスを作成してサインアップし、パスワードをアドレスに保存します。行をクリックして詳細を開くと、テスト用パスワードを生成 でパスワードを作成できます。
- アプリで パスワードを忘れた場合 を使います。メールが届くとすぐに、行に パスワードをリセット ボタンが表示されます。
- 新しいパスワードを設定し、次のテスターがわかるように保存済みのパスワードを更新します。
- 「2 回リセット、MFA オフ」のようなメモを追加すると、アカウントの履歴を一緒に引き継げます。
パスワードリセットメールで確認すること
- 登録済みのアドレスにメールが届き、アプリの応答からアドレスが登録済みかどうかがわからない。
- リンクが記載された時間の経過後に期限切れになり、1 回しか使えない。
- 2 回目のリセットをリクエストすると、最初のリンクが使えなくなる。
- リセットページで、サインアップと同じパスワードのルールが適用される。
- リセット後に他のセッションがサインアウトされ(そのようなポリシーの場合)、「パスワードが変更されました」というメールが届く。
- リンクが
localhostではなく本番のサイトを開く(この問題が起きる理由)。