📌 OAuth 2.0 и OpenID Connect простыми словами для QA

OAuth и OpenID Connect часто звучат сложно, но на практике это просто способы безопасно пускать пользователя в систему — без передачи пароля каждому сервису.

Разберёмся без криптографии и лишней теории 👇

▫️ Что такое OAuth 2.0
OAuth — это протокол авторизации.
Он отвечает на вопрос:
👉 «Можно ли этому приложению получить доступ к ресурсу пользователя?»

Пример:
Вы логинитесь в сервис через Google → сервис получает access token, но не знает ваш пароль от Google.

Важно для QA:
— OAuth не про логин, а про доступ
— Токен даёт ограниченные права (scope)
— Токен имеет срок жизни

▫️ Что такое OpenID Connect (OIDC)
OIDC — это надстройка над OAuth, которая добавляет аутентификацию.

OIDC отвечает на вопрос:
👉 «Кто этот пользователь?»

OIDC возвращает ID Token, в котором есть:
— user_id
— email
— имя
— issuer (кто подтвердил пользователя)

Проще:
OAuth → что можно делать
OIDC → кто пользователь

▫️ Типичный OAuth / OIDC flow (упрощённо)
— Пользователь нажал «Login with Google»
— Его редиректит на страницу провайдера
— Пользователь подтверждает доступ
— Приложение получает токены
— Пользователь залогинен

▫️ Основные типы токенов
— Access Token — используется в API-запросах
— Refresh Token — обновляет access token
— ID Token (OIDC) — содержит данные о пользователе

▫️ Что QA важно проверять
— Истечение срока действия access token
— Обновление refresh token
— Поведение при logout
— Доступ по ролям и scope
— Ошибки 401 / 403
— Можно ли использовать старый токен
— Что происходит при отмене доступа у провайдера

▫️ Где смотреть и тестировать
— Browser DevTools → Network / Application
— Postman — подмена токенов
— jwt.io — декодирование JWT
— Webhook.site / httpbin — проверка headers

💡 Совет:
Если не понимаете flow — просто пройдите логин шаг за шагом и смотрите Network. OAuth перестаёт быть «магией», когда видишь реальные запросы.

🔥 Приглашаем на бесплатный открытый вебинар курса «Нагрузочное тестирование»:
«Стенды для нагрузочного тестирования»

От выбора стенда во многом зависит качество и достоверность нагрузочного тестирования. На вебинаре разберём, какие стенды существуют, в чём их особенности и как правильно выбирать окружение под задачи НТ.

Что будет на вебинаре:
- Типы стендов для нагрузочного тестирования
- Основные особенности стендов для НТ
- Как выбирать стенды для нагрузочного тестирования
- Основные цели стендов и на что они влияют

В результате вебинара вы:
- Поймёте, какие стенды подходят для разных задач нагрузочного тестирования
- Научитесь учитывать особенности окружения при планировании НТ
- Сможете более осознанно выбирать стенды под свои проекты

Кому будет полезно:
Специалистам по ручному и автоматизированному тестированию, специалистам по нагрузочному тестированию, разработчикам, прикладным и системным администраторам.

👉 Зарегистрируйтесь: https://vk.cc/d34ypU

Открытый урок проходит в рамках курса «Нагрузочное тестирование», на котором вы научитесь составлять методику, писать скрипты, запускать тесты и настраивать мониторинг нагрузочного тестирования.

Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru

Тридцатилетний ты задремал на работе. Коллеги зумеры:

⚠️ Если компания предлагает вам «разойтись по-хорошему» — не торопитесь подписывать документы.

Созвон на 15 минут без повестки, «ну что, определился?» от HR, допсоглашение до пятницы — так обычно начинаются сокращения в IT.

Многие специалисты под давлением работодателя пишут заявление по собственному желанию, не обсудив компенсацию и условия ухода, и даже не понимают, что их права нарушают.

Команда «5оффер» уже несколько лет помогает IT-специалистам любых грейдов и направлений:
▪️ добиваться выгодных условий при увольнении;
▪️ сохранять работу;
▪️ решать другие трудовые вопросы.

Наши юристы специализируются на трудовом праве и знают специфику IT.

✍️ Сохрани контакт «5оффер», чтобы он был под рукой в сложной ситуации.

Телеграм-канал

🎁 По промокоду 3KONS первичная консультация — 5000 3 000 ₽.

Записаться на консультацию — @Fiveoffer_bot

Реклама. ИП Кузнецова Ирина Сергеевна. ИНН:745111070021. erid: 2W5zFJ5tGzd

📌 ТОП инструментов и подходов для тестирования авторизации и токенов

Авторизация — одно из самых уязвимых мест в системе.
Ошибки с токенами, сессиями и ролями могут приводить не только к багам, но и к серьёзным проблемам с безопасностью.

Собрали инструменты и практики, которые помогают QA эффективно тестировать auth-флоу:

▫️ Postman
— Проверка login/logout
— Работа с JWT, access / refresh tokens
— Подмена токенов, проверка сроков жизни
— Удобно для ручных и автотестов
🔗 https://www.postman.com

▫️ JWT.io
— Декодирование и анализ JWT
— Проверка payload, exp, iss, aud
— Удобно для быстрой ручной валидации токенов
🔗 https://jwt.io

▫️ Chrome DevTools (Application / Network)
— Просмотр cookies, localStorage, sessionStorage
— Анализ Authorization headers
— Проверка обновления токенов и ошибок 401/403
🔗 https://developer.chrome.com/docs/devtools

▫️ HTTPBin / Webhook.site
— Проверка передачи headers
— Эксперименты с токенами и cookies
— Отладка auth-запросов
🔗 https://httpbin.org
🔗 https://webhook.site

▫️ Burp Suite (Community Edition)
— Перехват и модификация auth-запросов
— Проверка уязвимостей сессий
— Повторные запросы с разными токенами
🔗 https://portswigger.net/burp/communitydownload

▫️ OWASP Juice Shop
— Практика тестирования авторизации и сессий
— Реальные уязвимости: broken auth, IDOR, token reuse
— Отлично подходит для обучения
🔗 https://owasp.org/www-project-juice-shop

▫️ Checklist для QA (что проверять)
— Истечение срока действия токена
— Обновление refresh-token
— Доступ по ролям
— Поведение при logout
— Повторное использование старого токена
— Работа в нескольких вкладках

Эти инструменты и проверки помогают находить критичные баги ещё до продакшена и повышать уровень безопасности продукта.

✉️ ТОП бесплатных инструментов для тестирования email-рассылок

Тестирование email-рассылок может включать проверку SMTP, верстки, заголовков, доставки.
Подготовили подборку бесплатных инструментов, которые будут полезны QA.

▫️Mailtrap (Free Sandbox)
Перехватывает тестовые письма в изолированную среду, позволяет проверять HTML, заголовки, вложения и работать через API.
🔗 https://mailtrap.io/email-sandbox/

▫️MailHog
Open-source локальный SMTP-сервер, который собирает все исходящие письма и позволяет просматривать их через веб-интерфейс.
🔗 https://github.com/mailhog/MailHog

▫️Swaks
CLI-инструмент для тестирования SMTP: авторизация, TLS, кастомные заголовки, тестовые письма.
🔗 https://github.com/jetmore/swaks

▫️Mail-in-a-Box
Open-source локальный почтовый сервер для локального. Позволяет тестировать реальные SMTP/IMAP-флоу.
🔗 https://mailinabox.email

▫️Mailcare
Бесплатный sandbox-SMTP: перехватывает тестовые письма, показывает HTML/текст, анализирует заголовки и spam-score. Есть свой API.
🔗 https://mailcare.io

Почему именно эти инструменты?
— безопасное тестирование рассылок без риска отправить письма реальным пользователям
— автоматизация через API — можно покрывать email-флоу тестами
— проверка SMTP-конфигураций, аутентификации, работы с вложениями
— собственная локальная инфраструктура для тестов — нет зависимости от внешних сервисов
— интеграция с CI/CD, чтобы «email-тесты» стали частью автоматизации

Какое неожиданное наблюдение. Всем хороших выходных!