Importar OpenAPI y documentar la evidencia

Postman y Bruno importan una especificación OpenAPI y generan una colección: una petición por operación, con su método y su ruta. Lo que sale de la especificación es lo que ella declara. Lo que no declara no aparece: normalmente la autenticación hay que configurarla, las pruebas hay que escribirlas, y las direcciones base salen de lo que diga el bloque de servidores del archivo, que puede incluir producción.

Una colección importada no es una colección revisada. Es un punto de partida, y la revisión contra el alcance sigue siendo tuya.

Abre servidores_de_la_especificacion y coleccion_importada. La especificación lista dos servidores y la importación de este laboratorio dejó una variable de dirección base con un valor. Compara ese valor con la lista de servidores y con el alcance: puede que la colección recién generada apunte justo donde no debe.

Una especificación y una colección armada a mano rara vez coinciden. Comparar las dos tiene valor: lo que está en el contrato y no se probó es cobertura que falta, y lo que está probado y no figura en el contrato puede ser una operación que el cliente no documentó o una prueba propia del evaluador.

Compara operaciones_de_la_especificacion con peticiones_de_la_coleccion_manual y encuentra la operación que existe en la especificación y no tiene petición.

Cada hallazgo se acompaña de evidencia: la petición, la respuesta, la prueba, el informe de ejecución. Pero una captura o una exportación puede llevar la cabecera de autorización a la vista, y entonces la evidencia entregada al cliente contiene una credencial. El borrador tiene una columna para lo que cada evidencia deja visible.

Abre evidencias_del_hallazgo y encuentra la evidencia que deja un secreto a la vista.

Una evidencia con secreto se rehace, no se entrega con un recuadro encima. Se vuelve a generar la exportación con los valores secretos vacíos o sustituidos por un marcador, se comprueba que el archivo final no contiene ninguno y, si el secreto ya había salido en algún archivo compartido, se avisa al cliente para que decida si lo rota. Una evidencia buena permite reproducir el hallazgo con la cuenta de prueba del cliente.