Ne faites confiance au CA de l'enregistreur JMeter que dans votre build de débogage Android

Utilisez une ancre debug-overrides pour une application qui vous appartient, puis gardez alignés la référence du manifest, le CA d'enregistrement réel et la route proxy.

Si votre application de débogage atteint JMeter mais rejette HTTPS, fournissez son CA d'enregistrement à la configuration de confiance de l'application :

  1. Démarrez le véritable enregistreur JMeter HTTP(S) et récupérez le fichier ApacheJMeterTemporaryRootCA.crt généré.
  2. Placez ce CA public dans les ressources raw de l'application sous le nom jmeter_debug_ca.crt.
  3. Fusionnez cette ancre avec les règles de sécurité réseau existantes :
<network-security-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="@raw/jmeter_debug_ca" />
        </trust-anchors>
    </debug-overrides>
</network-security-config>

Référencez ce XML depuis android:networkSecurityConfig du manifest. Pour network_security_config.xml, utilisez @xml/network_security_config.

Android n'applique debug-overrides que si android:debuggable vaut true ; il ignore la section lorsque la valeur est false. Une source d'ancre réservée au débogage avec user est une autre option pour un flux de travail qui fait délibérément confiance aux CA installées par l'utilisateur.

La confiance du navigateur seule ne fixe pas la politique de l'application. Le téléphone doit toujours joindre l'enregistreur, et le client réseau de l'application doit utiliser ce proxy. Une pile personnalisée peut avoir besoin de sa propre entrée de confiance prise en charge.

Articles similaires