Un registratore JMeter attendibile ha comunque bisogno di una chiave client mTLS

Installare la CA di registrazione di JMeter nel browser risolve solo una direzione della fiducia: il browser può accettare i certificati di sito sostitutivi presentati dal registratore. Non fornisce però a JMeter alcuna chiave privata client per l’handshake mTLS dell’applicazione.

browser → JMeter recorder → mTLS application
          records HTTPS    presents client identity

In una registrazione intercettata è JMeter a effettuare quella connessione HTTPS successiva. Selezionare il certificato client autorizzato e la chiave privata corrispondente da un keystore JKS o PKCS12 tramite Options → SSL Manager, oppure tramite la configurazione documentata del keystore JVM. Tenere conto dell’implementazione HTTP e della scelta dell’alias usati dal test. Un certificato CA pubblico da solo non può fornire quell’identità.

Diagnosticare lo scambio in ordine: fiducia del browser nel registratore, eventuale connessione e autenticazione tramite proxy aziendale, quindi handshake TLS con la destinazione. Un 407 appartiene all’accesso al proxy; cambiare il certificato mTLS non può rispondervi.

I dati di richiesta registrati non trasportano l’identità della chiave privata in una successiva riproduzione. Anche il client in uscita della riproduzione necessita di una configurazione di identità funzionante. Se quella riproduzione riceve un 407 dal proxy, configurare separatamente le credenziali del proxy in uscita di JMeter.