Друзі доброго ранку, як ваші справи?

Блін, який крутий цей тул, це я про NetLimiter.
https://www.netlimiter.com/

Реально спасає життя, коли треба занизити трафік, перевірити, як апка живе на “поганому” інтернеті, або взагалі кільнути якесь з’єднання і подивитись, що буде далі - Він реально мені нещодавно зберіг скоріше за все пару днів відтвореня)

Може хтось же юзав то як вам?

Для КУА це прям дуже сильна штука, бо не треба чекати, поки “десь знайдеться поганий Wi-Fi” або просити когось з інфри щось порізати.

І от тут уже починається найцікавіше. Бо дуже часто “у клієнта все лагає” а з нашей сторони все ок бо у нес мережа як турбіна)
а оказивається це просто апка не готова до слабкого каналу, втрат або різких просадок.

Коротше, якщо тестуєте щось мережеве і ще не юзали NetLimiter - рекомендую. Швидко, наочно і без зайвих танців.

Note: так курс по протоколи в процесі і поки все іде добре) скоро буде 2 анонс)

Обняв 🤗

Друзі привіт, як ваш день?

Сподіваюсь ви та ваші близькі в безпеці.
Давайте сьогодні трохи спустимось нижче браузера, Postman і красивих UI-кнопочок. всеж кінець тижня треба чучуть подумати?)))

Протоколи для QA

Що я маю вам сказати одразу: іноді проблема виглядає так: “апка не конектиться” “дзвінок не стартує” “дані не приходять” “сервер живий, але клієнт каже timeout” тощо - причин мільон і ви без мене з цим стикалися і знаєте

І дуже часто це не UI, не API і навіть не завжди бекенд. Це може бути рівень нижче: порт не слухається/ TCP-з’єднання не встановилось або UDP пакети не доходять ну і DNS резолвиться не туди чи краше firewall ріже трафік тобто стільке же причин як і проблем - ага?))

давайте коротко ще раз TCP - це коли важлива доставка, порядок і контроль.

тобто це все що HTTP / HTTPS/ SSH / WebSocket і деякі REST API. Працює вроді складно, але просто)

Клієнт каже типо щось я хочу підключитись і ось мій SYN

Сервер відповідає: ок, бачу тебе ось мій SYN-ACK

Клієнт підтверджує: ACK, погнали працювати І тільки після цього нормально йдуть дані.

UDP -це вроді одна історія але це вже інша історія. Тут вже швидкість важливіша за гарантії. тут вже буде DNS/ VoIP/ RTP/ WebRTC media/ стрімінг/ і UDP просто відправив пакет і далі вже як життя складеться)

Для кастомерів це може виглядати типо так нема звуку/ нема відео / дзвінок підключився, але медіа не йде/ realtime працює нестабільно а для КУА це вже сигнал: треба дивитись нижче.

Реально знати на рівні лінукса корисно і мати цим користуватися)

ss -tulnp

Показує вам, які TCP/UDP порти слухаються і який процес їх використовує.
Типо щось

ss -tan

Показує TCP-з’єднання і їх стани. Тут можна побачити:
- ESTAB - з’єднання встановлено
- SYN-SENT - клієнт стукає, але відповіді нема
- TIME-WAIT - з’єднання вже закривалось
- CLOSE-WAIT - апка могла не закрити connection нормально

Можно ще 1 корисну штуку

nc -vz server.com 443

Це перевірка, чи доступний TCP-порт і тут важливо не плутати:
- Connection refused - хост доступний, але порт закритий або сервіс не слухає.
- Connection timed out - відповіді нема. Може бути firewall, routing або network issue.

а ось це окремий кайф це tcpdump або udp

sudo tcpdump -i any port 443

sudo tcpdump -i any udp

це тут коли треба розуміти чи пакет взагалі виходить чи приходить відповідь або є DNS-запит чи UDP реально йде ну і сервер сам закриває з’єднання

Це як 1 криклад вам розбору умовно є баг: “Клієнт не може підключитись до сервера” ну і тут І замість просто написати “не працює”, можна перевірити:

ping server.com
nslookup server.com
nc -vz server.com 443
ss -tan | grep 443
sudo tcpdump -i any host server.com

І потім у баг-репорті написати вже нормально: типо щось “Під час спроби підключення клієнт відправляє TCP SYN на server.com:443, але SYN-ACK у відповідь не приходить. З’єднання залишається в SYN-SENT і завершується timeout.” Оце вже звучить як куа, який прийшов не просто кнопку натиснути)

Що я хочу до вас донести Linux-рівень для КУА - це не про “стати адміном”. Це про те, щоб коли апка каже: “Something went wrong” і ви могли зрозуміти, де саме проблема

Іноді один ss або tcpdump дає більше, ніж 30 хвилин кліків по UI.

Всім гарного дня і наближення вихідних)
Сильні💛
Обняв 🤗

Доброго вечора друзі - як ваш день? Сподіваюсь ви та ваші близькі в безпеці

Це сюди - треба якось старі пости подігрівати) Як кажуть замість 1000 слів)

Всім гарного вечора а головне спокійного )

Сильні💛
Обняв 🤗

Друзі доброго раночку - як ви?

Недавно побачив 1 круту штуку і вигляждає прикольно - це для тих хто дивиться в сторону security, AI і pentest.

Короче OWASP APTS роблять штуки)
це типо стандарт від OWASP про те, як мають працювати автономні pentest-системи, особливо ті, де використовується AI. Тобто це не про “як тестувати API” або “як знайти SQL injection”.

Це більше про правила гри: як не вилізти за scope або як логувати дії типр як мати human approval
чи зробити kill switch ну і як же без контролювати AI-агентів

Тобто проєкт офіційно знаходиться в OWASP, але він ще на ранній стадії. Яб не називав це типо золотим стандартом, але як база для розуміння дуже цікаво.

Також окремо подивився, хто стоїть за проєктом і чи немає якихось дивних зв’язків.

всіж знаю так? що AI в security вже не просто “прикольна іграшка”. І якщо інструмент може самостійно сканувати, атакувати, приймати рішення і будувати ланцюжки дій там дуже важливо мати правила, обмеження і контроль.

Бо без governance це вже не автоматизація, а “ну подивимось, що воно зламає”.

Писав писав а лінк чуть не забув додати)) https://github.com/OWASP/APTS

Обняв 🤗
Сильні 💛

Друзі привіт, як ваші справи?


Хто дивився призентацію від Гугл вже?

https://www.youtube.com/watch?v=wYSncx9zLIU

Пошук звісно получив колосальний обгрейд як на мене

Всім гарного дня і продуктивного)

Обняв🤗

Друзі, доброго вечора, як ви?
Сподіваюсь ви в безпеці і близькі теж!

Все бачу, всім по змозі відповідаю - вибачаюсь що поки мало пиши( багато роботи + курсів

АЛЕ - Курс вже написаний десь на 60% і я думаю шо виходить дуже круто і вам спадабається хто прийде)
Я поки паралельно теж інфу серчу потрапив на прикольну штуку - думаю покажу вам )

Ану кажіть - хто чув про Dublin Traceroute? Я от глянув і подумав, що це прям цікава штука для тих, хто хоче копати мережу трохи глибше, ніж просто: ping працює значить все ок)

Короче цей Traceroute це більш розумний варіант traceroute для сучасних мереж. Бо звичайний traceroute не завжди показує реальну картину, особливо коли є: multi-path routing NAT / CGNAT або різні маршрути для пакетів чи дивні проблеми з доступністю або ситуації, коли “у мене працює, а у користувача ні”

Він типо може показувати можливі маршрути пакетів і краще працювати з multi-path мережами також допомагати виявляти NAT і експортувати результат у JSON бути корисним для побудови графів маршрутів

для КУА це може бути прям корисно, коли тестуємо щось мережеве: ну дзвінки все що WebRTC чи realtime відео / аудіо або вже серверні підключення бо якраз іноді проблема не в клієнті і не в сервері, а десь по дорозі між ними.

І тоді замість: “не працює підключення” можна вже сказати більш технічно: типо “Схоже, проблема може бути на рівні маршрутизації / NAT / CGNAT, бо пакети йдуть неочікуваним шляхом”.

https://github.com/insomniacslk/dublin-traceroute

Сильні 💛
Обняв 🤗

Спите? не міг цим не поділитися? і ні кажіть шо у вас таких знайомих нема))


Всім гарного вечора і спокійного🤗

Друзі, привіт! Як ваші справи?

Слухайте, є до вас питання: чим ви користуєтесь для роботи з діаграмами, блок-схеми чи для малювання архітектурні схеми мікросервісів і всім подібним?

Я зараз працюю з https://www.drawio.com, але його можливостей мені вже трохи замало)

Можливо, хтось користується чимось реально топовим і зручним? Можна навіть за підпискою, головне щоб інструмент був толковий і функціональний.

Буду радий, якщо поділитесь своїми варіантами. Думаю, це буде корисно не тільки мені, а й усім у групі)

Гарного вам дня і настрою!

Всіх обіймаю.
Сильні 💛

Друзі привіт - як ваш день?

Я тут все як завжди в запарі - робота потім після 21:00 лекціі і так далі)
Я часто чую від своїх учнів шо вони даже не знаю яка версія у них нттп чи на кліенті чи на рівні nginx - і для мене чучуть дивно бо цеж розуміня як працює - скільки запросів і як вони обробляються і тощо

Ну короче чучуть поговоримо про протоколи?

Протоколи для QA - QUIC
QUIC - це не “ще один протокол для браузера”.

Це транспортний протокол, який працює поверх UDP і використовується в HTTP/3. Тобто якщо сайт або апка працює через HTTP/3 - під капотом там вже може бути не TCP, а QUIC.

Його ви можете зустрічатии там, де браузери, мобільні апки, CDN, стрімінг, відео, великі вебсервіси і все, де важлива швидкість та стабільна робота на поганій мережі. І тут КУА дуже часто навіть не знає, що вже тестує QUIC)

тобто тут ми повині розуміти пару прости штук які дійстно годні)
швидше піднімає connection, має TLS 1.3 всередині, краще працює при packet loss, не блокує всі потоки через один загублений пакет, може пережити зміну Wi-Fi на LTE і вміє робити fallback на HTTP/2, якщо UDP недоступний

Тобто: ви бачите звичайний HTTPS, але реально клієнт може працювати через HTTP/3 і UDP.

Типові симптоми QUIC-проблем: це теж не шось зверх це у браузері працює, а через VPN - ні або через proxy не відкривається і UDP блокує firewall чи Charles або Fiddler не бачить трафік як ви очікуєте або клієнт тихо зробив fallback на HTTP/2 і ви навіть цього не помітили

І це не завжди баг API. Це може бути транспорт.

Шо ви як куа можете і повинні перевірити в тому чи іншому випадку) можно подевитись, який HTTP version реально використовується:

curl -I --http3 https://example.com

Перевірити fallback на HTTP/2:

curl -I --http2 https://example.com

Подивитись UDP-трафік:

sudo tcpdump -i any udp port 443

Перевірити, чи не блокується UDP:

nc -uvz host 443

Бо без розуміння КУА бачить: “HTTPS працює дивно”, “через VPN не конектиться”, “після зміни мережі все впало” і валить баг на бекенд або клієнт.

А з розумінням - ви вже можете сказати: QUIC не піднявся,
чи типо дивись тут UDP блокується, або клієнт зробив fallback на HTTP/2, бо інакше частина мережевих багів так і залишиться магією)


Всім гарного вечора і насторю)
Обняв 🤗

Друзі привіт, як ви?
Сподіваюсь ви та ваші близкі у безпеці 🤗

Там зараз ДОУ робе збір статистики - і кажуть шо дуже мало куа анкет, може хто хоче поділитися своїх досвідом то погнали)
Мені дуже цікаво як росте або падає ринок саме для куа - я знаю більш менш від HR - але цікава тоже бачити шо в реально відбувається.

https://dou.ua/goto/4ko4

Всім гарного дня і настрою)
Обняв🤗

Друзі, всім доброго вечора? як ви?

Поки є час, хотів розібрати для вас цей пул - думаю штука для багатьох була не зовсім очевидна - і може багато з вас не так глибога лізете в тестуванні)

Так що я маю вам сказать)

Чому не (A)
Тут могло би бути але сервер порт не закрив, бо в умові сказано, що сервер працює і порт доступний. Якби порт був закритий - ми б бачили іншу картину, а не тисячі TIME-WAIT на клієнті.

Чому не (C)
DNS тут ні до чого. Якщо домен не резолвиться, ми навіть би нормально не дійдемо до tcp-з’єднання.
А тут проблема саме з новими TCP connections під навантаженням.

і чому всеж не (D) а хотя багато хто сюди дивився і цьому я теж розумію чому
Firewall теж не дуже схоже. Якщо б він реально заблокував сервер, проблема була б стабільна, а не після великої кількості коротких з’єднань, хоча хто скаже чому саме після виликої кількості могло заблочити????????????????

І чому правильна відповідь - (B)
Бо клієнт для кожного нового тсп-з’єднання використовує тимчасовий локальний порт - ephemeral port.

Коли з’єднання закрилось, порт не одразу стає вільним.
Він ще якийсь час висить у TIME-WAIT. І тут якщо під час load test створити дуже багато коротких тсп-з’єднань, ці порти можуть просто закінчитись.

Це частий кейс: коли “сервер живий” “порт відкритий” “мережа є”
але нові з’єднання падають з timeout або дивними помилками.

Так шо ви як КУА дивиться не тільки “сервер доступний чи ні”, а і що відбувається на клієнті.

Якщо бачите тисячі TIME-WAIT після навантаження - дивіться в сторону connection reuse, keep-alive, pooling і ephemeral ports.

Всім гарного вечора і поменше таймаутів ну ви поняли)
Обняв 🤗
Сильні💛

Друзі привіт, як ваш день?

Хочу вам дати короткий приклад Connecting Polling, механізм яки туже суттєво впливає на продуктивність застосунків)

Гарно дня і настрою 💛
Обняв🤗

Друзі доброго ранку) Як ви?

Пив каву то і почитав опять цікаву штуку, кожен раз для себе роблю все той же висновок, інженери будуть потрідки всюди і завжди

https://www.infoq.com/news/2026/04/junior-developer-pipeline-crisis/

Правда з приходом аі люди просто забувают за знання, не внікают в технічні штуки і вчаться а все зробить аі, і дійсно виходить так що ще якись то пару років і не буде заміни зараз цим інженерам сеньорам бо джуніори вже роблять все через аі, до мене ходить парнішка на курси і я ойму постіно кажу - користуватися аі треба і це обо'язково але ти повинен спочатку зрозуміти шо ти робив як воно працює а потім хай він за тебе той апі пише чи ті SQL квері, але коли ти дивишься ти повинен розуміти шо він написав.

Бо багато людей даже не може відрізнити чи правільно їм аі зробив чі не)

Що скажете? почитайте

Всім гарного дня і настрою! Як від жари рятуєтесь?

Обняв 🤗
Сильні 💛

Друзі привіт - як ваш день? Сподіваюсь ви та ваші близки в безпеці.

Ну шо ви вже бачили новий HTTP метод QUERY?) тут RFC 10008 виглядає прям як спроба трохи полегшити життя тим, хто працює зі складними API-запитами.
https://www.rfc-editor.org/info/rfc10008/

Якщо я правельно зрозумів то QUERY це ти щось

QUERY /users
Content-Type: application/json
{
  "status": "active",
  "roles": ["admin", "qa"],
  "sort": "-createdAt"
}

Тобто виглядає ми можем передати складний query у body, але сам метод при цьому задуманий як safe та idempotent. Для КУА тут виглядає цікаво те, що такі запити можна безпечніше retry-ити після network failure, а ще для них передбачено кешування.

Тобто умовно: GET - простий query через URL POST - ми виконуємо операцію через body а вже QUERY - робимо складний пошук через body без зміни стану ресурсу чи не?? І ще один момен який виглядає цікавий момент для тестування: типо для QUERY важливий Content-Type. Якщо його немає або body йому не відповідає - сервер повинен повернути 4xx. Як на мене, виглядає реально зручно. Особливо для складних фільтрів, search API, великих запитів і випадків, коли URL вже перетворився в якусь магічну строку на пів екрана)

Звісно Побачимо, наскільки швидко це почнуть підтримувати фреймворки, proxy, API Gateway і різні інструменти.

Обняв 🤗
Сильні 💛

Друзі привіт, як ви? Сподіваюсь ви та ваші близькі в безпеці.

Бачили цю штуку? ExtSentry Extension Checker. все треба робити з безпекою) Він типо дозволяє швидко перевірити browser extension по ID і подивитись, чи немає його в security/threat feed як malicious, phishing, greyware або підозрілий.

Виглядає використовувати як додатковий чек нормально. Але це все одно не є єдине джерело правди.
https://extsentry.github.io/#checker/check

Сильні 💛

Всім доброго ранку друзі, як ви? сподіваюсь ви та ваші близкі в безпеці.

Сьогодні мені ось це відео підняло найстрій - і не кажіть що ви не такіж - коли баг реально баг і ви ше і технічно розуміє про шо це а дев вам хоче впарити що це фіча - а ти то впевнені шо не)))

Всім гарного дня і настрою)
Обняв 🤗

Друзі привіт, як ваш день?

А ви вже бачили нове оновлення Claude Code Desktop?) Тепер він вміє працювати прямо з iOS Simulator. виглядає прям цікаво насправді тобто запускаєте iOS app, симулятор відкривається прямо поруч із чатом, і можна одразу дивитись результат, дебажити та просити Claude щось поправити.
https://claude.com/download

Поки це public beta, але виглядає реально зручно.

Звісно побачимо, наскільки це буде стабільно)
Я доречі зараз працюю через MCP servers гіт/ жира/ конфлюєнс - це на стількі зручно шо капець - хочете напишу такий міні обзор як це і це прям дуже просто?? тоді з вас серденько по більше

Сильні 💛
Обняв 🤗

Друзі доброго вечора, як ваші справи?)

Там вже давно є курси по ШІ, він опен аі, там мене питають, то я сразу сюди вам лінку кину, для тих хто вже в темі то перші 2 два будуть думаю не треба, можно 3 курс він дійсно цікавий, але якщо користуєтесь тількі як Гугл, то всі 3 буде круто пройти

https://academy.openai.com

Ну і хто любе сертифікати то це точно для вас, вони теж дають і це все безкоштовно)

Поюзайте, вже в наступному посте зроблю по MCP)

Всім гарного вечора, і спокійних вихідних)

Обняв🤗
Сильні💛

Друзі - доброго вечора, як ви?

Це вам сюди теж залуши наглядним прикладом)
Cookies, localStorage, sessionStorage та IndexedDB наче схожі, але працюють зовсім по-різному.

Для КУА важливо знати цю різницю, бо саме там часто ховаються баги з авторизацією, сесіями, кешем і “зниклими” даними.

Сильні 💛