Tests de sécurité avancés avec Cypress

Tests d’authentification

Les tests d’authentification visent à s’assurer que les mécanismes d’authentification de votre application fonctionnent correctement et que seuls les utilisateurs autorisés ont accès aux fonctionnalités et données sensibles.

Les tests d’authentification vérifient que :

Tests de sécurité des API

Les API (Application Programming Interfaces) permettent à différents systèmes, applications, et services de communiquer entre eux. Elles facilitent l’échange de données et la connexion de fonctionnalités, rendant possible l’intégration et l’interaction entre des plateformes diverses.

Une API définit les règles que les développeurs doivent suivre pour interagir avec un service, une application ou un système, incluant les requêtes à envoyer, le format des données à utiliser, et la structure des réponses attendues. Elles peuvent être basées sur différentes technologies et standards, y compris REST (REpresentational State Transfer), SOAP (Simple Object Access Protocol), et GraphQL.

Les API sont omniprésentes dans le développement web, mobile, et de logiciels, servant de ponts pour accéder à des bases de données, des services tiers, des fonctionnalités de cloud, et plus encore. Elles permettent aux développeurs de construire des applications riches et fonctionnelles en s’appuyant sur des services existants.

En combinant les tests d’interface utilisateur et les tests d’API au sein de Cypress, vous pouvez créer une suite de tests complète qui couvre à la fois le frontend et le backend de votre application. Ceci est particulièrement utile pour les tests E2E, où vous voulez vérifier l’intégration complète de tous les composants de votre application.

De plus, tester régulièrement l’API tout au long de son développement et après son déploiement peut simplifier la maintenance et l’ajout de nouvelles fonctionnalités. Cela permet d’identifier les problèmes tôt et réduit le coût et l’effort nécessaires pour les résoudre.

Pour notre projet d’exemple, nous avons créé un swagger qui est accessible à l’adresse http://localhost:3000/api-docs/

Swagger est un langage de description d’interface permettant de décrire des API exprimées à l’aide de JSON. Vous pouvez retrouver le fichier swagger.json à...

Stubs, Spies and Clocks

Stubs, Spies et Clocks sont des commandes utiles lors de l’écriture de tests unitaires et de tests d’intégration autant pour les tests front-end et back-end que pour API.

Session

La méthode cy.session() permet de simuler des états de session utilisateur pour tester différents scénarios dans une application, comme les états connecté et déconnecté, sans avoir à se reconnecter manuellement à chaque test. C’est particulièrement utile pour les applications nécessitant une authentification, car cela peut considérablement réduire le temps d’exécution des tests en évitant les opérations répétitives de connexion.

Prenons comme exemple notre application qui implique un système de commentaires avec authentification. Vous avez des endpoints comme /login pour la connexion et /post-comment pour poster un commentaire. L’utilisateur doit être connecté pour accéder à ces deux endpoints.

describe('Authenticated Session Tests', () => {  
  beforeEach(() => {  
    cy.session('userSession', () => {  
      cy.request('POST', '/login', { username: 'user1', 
password: 'pass1' })  
        .then((resp) => {  
          expect(resp.body).to.include('Connection OK');  
          // Stockez ici le cookie de session ou le token retourné 
par votre API si nécessaire  
        });  
    });  
  });  
}); 

Mais comme nous avons un cookie CSRF, vous devez l’ajouter :

  beforeEach(() => {  
    // Se connecte et récupère le token CSRF  
    cy.visit('http://localhost:3000/login');  
    cy.getCookie('_csrf').then((cookie) => {  
      const csrfToken = cookie && cookie.value; // Vérifie si le 
cookie...

Test isolation

L’objectif de l’isolation des tests est de s’assurer que chaque test puisse être exécuté indépendamment des autres tests, garantissant ainsi que le résultat d’un test n’affecte pas les résultats des autres tests. Cela aide à maintenir la fiabilité, la prévisibilité et la facilité de débogage des tests.

Fiabilité : l’isolation garantit que les tests ne dépendent pas de l’état laissé par d’autres tests. Cela signifie que vous pouvez exécuter un test spécifique, ou un groupe de tests, dans n’importe quel ordre sans que cela n’affecte les résultats.

Débogage Facilité : quand un test échoue, vous savez que l’échec est dû à la logique au sein du test lui-même ou à la fonctionnalité qu’il teste, et non à un effet secondaire d’un autre test.

Performance : en s’assurant que les tests sont isolés, vous pouvez paralléliser l’exécution des tests, réduisant ainsi le temps total nécessaire pour exécuter l’ensemble de la suite de tests.

Pour cela, vous devez vous assurer d’isoler vos tests :