Ein vertrauenswürdiger JMeter-Recorder braucht trotzdem einen mTLS-Clientschlüssel

Die Aufnahme-CA von JMeter im Browser zu installieren, löst nur eine Vertrauensrichtung: Der Browser kann die Ersatzzertifikate der Websites akzeptieren, die der Recorder vorlegt. JMeter erhält dadurch jedoch keinen privaten Client-Schlüssel für den mTLS-Handshake der Anwendung.

browser → JMeter recorder → mTLS application
          records HTTPS    presents client identity

Bei einer abgefangenen Aufnahme stellt JMeter diese weitere HTTPS-Verbindung selbst her. Wählen Sie das autorisierte Clientzertifikat und den passenden privaten Schlüssel aus einem JKS- oder PKCS12-Keystore über Options → SSL Manager oder die dokumentierte JVM-Keystore-Konfiguration. Berücksichtigen Sie die HTTP-Implementierung und die Alias-Auswahl des Tests. Ein öffentliches CA-Zertifikat allein kann diese Identität nicht liefern.

Diagnostizieren Sie den Austausch der Reihe nach: Browservertrauen in den Recorder, eine etwaige Unternehmensproxy-Verbindung samt Authentifizierung, dann den TLS-Handshake mit dem Ziel. Ein 407 gehört zur Proxy-Anmeldung; ein Wechsel des mTLS-Zertifikats kann ihn nicht beantworten.

Aufgezeichnete Anforderungsdaten tragen die Identität des privaten Schlüssels nicht in eine spätere Wiedergabe. Auch der ausgehende Client der Wiedergabe braucht eine funktionierende Identitätskonfiguration. Erhält diese Wiedergabe einen Proxy-407, konfigurieren Sie JMeters Proxy-Zugangsdaten für ausgehende Verbindungen separat.