Escaneos autenticados

Ostorlab ofrece soporte para realizar análisis autenticados (Authenticated scans) tanto en la aplicación móvil, en la aplicación web como en los servidores backend. Las credenciales se pueden establecer al crear el análisis (Scan) utilizando el menú "Add Test Credentials".

¿Qué necesito antes de empezar?

Necesita una cuenta de prueba en el objetivo, sus credenciales, los datos de 2FA si el inicio de sesión solicita un código, y acceso de red desde el escáner hasta el objetivo.

• Una cuenta de prueba en el objetivo. Recomendamos una cuenta de prueba dedicada que no se bloquee tras intentos de inicio de sesión fallidos.
• Las credenciales de esa cuenta. Por ejemplo, un login y una contraseña, o un script de Puppeteer para un flujo de inicio de sesión de varios pasos. Consulte ¿Qué tipos de credenciales puedo añadir?.
• El método 2FA, si el inicio de sesión lo requiere. Algunos métodos requieren preparación, como un número de teléfono de prueba dedicado para SMS. Consulte ¿Cómo gestiono OTP y MFA?.
• Acceso de red al objetivo. Consulte ¿Qué acceso de red necesita el escáner?.
• Para un escaneo móvil, la aplicación. Suba un archivo APK o AAB para Android o un archivo IPA no cifrado para iOS, o escanee la aplicación desde la tienda.

¿Qué tipos de credenciales puedo añadir?

Puede añadir credenciales Login & Password, Basic Authentication, Email, Credit card, Phone Number, Address, Certificates, Script, Custom y HTTP Header, además de cuatro tipos de 2FA (SMS, Email, TOTP y Manual). La tabla siguiente describe cada uno.

Al crear un análisis, en el paso set scan Credentials, haga clic en Add Test Credentials

Aparecerá un menú que le permitirá agregar múltiples credenciales de prueba y parámetros como nombre de usuario/contraseña, datos de tarjeta de crédito, dirección y número de teléfono para realizar múltiples pruebas y escenarios, como pagos y procesos de pago (Checkouts).

También puede gestionar las credenciales desde el menú Test Credentials y seleccionarlas al crear un escaneo. Están disponibles los siguientes tipos de credenciales:

Tipo	Úselo para
Login & Password	Un flujo de autenticación sencillo que requiere un nombre de usuario y una contraseña.
Basic Authentication	Objetivos que utilizan el esquema HTTP Basic Authentication.
Email	Una dirección de correo electrónico para usar durante las pruebas.
Credit card	Datos de tarjeta para escenarios como pagos y checkout.
Phone Number	Un número de teléfono para usar durante las pruebas.
Address	Una dirección para usar durante las pruebas.
Certificates	Un certificado de cliente TLS/SSL para TLS mutuo. Para aplicaciones móviles, el certificado debe estar en formato PEM.
Script	Un script de Puppeteer para flujos de autenticación complejos o interacciones como el checkout.
Custom	Pares clave-valor para campos de formulario personalizados, como el nombre de usuario, la contraseña y el nombre de dominio.
HTTP Header	Encabezados como Authorization o User-Agent, habituales en las API.
2FA SMS, 2FA Email, 2FA TOTP, 2FA Manual	Un inicio de sesión que solicita un código de un solo uso. Consulte ¿Cómo gestiono OTP y MFA?.

Para una guía web completa, consulte Análisis Web autenticado. Las guías Web Deep Agentic Scan, Mobile Deep Agentic Scan y Ejecutar un escaneo Multi Asset incluyen el mismo paso de credenciales.

Autenticación de aplicación web con script de Puppeteer / Chrome Recorder

Si tiene aplicaciones web que requieren un flujo de autenticación más complejo, puede cargar scripts de Puppeteer que se ejecutarán durante el análisis. Estos scripts se pueden generar usando the Chrome Devtool Recorder.

Para las aplicaciones móviles que requieren autenticación con un certificado, puede cargar su certificado. El certificado debe estar en formato PEM.

Cargue su certificado

¿Cómo gestiono OTP y MFA?

Añada una credencial 2FA junto a la credencial de inicio de sesión: SMS, Email, TOTP o Manual.

Cada una se crea desde Scan > Test Credentials > New. Elija el método que corresponda a la forma en que su aplicación envía el código:

Método	Qué proporciona	Condición clave
2FA SMS	El Sender Phone Number desde el que su aplicación envía los mensajes OTP.	Contacte con el Soporte de Ostorlab para obtener un número de teléfono de prueba dedicado y configúrelo en la cuenta de prueba.
2FA Email	La dirección Email Sender, y la dirección de correo electrónico y la contraseña del buzón de prueba.	El acceso IMAP/SMTP debe estar habilitado en el buzón. Si el proveedor de correo exige 2FA, utilice una contraseña de aplicación (App Password), no la contraseña habitual.
2FA TOTP	El TOTP Secret (semilla) codificado en Base32.	Habilite TOTP en la cuenta de prueba y conserve la semilla de la configuración del autenticador.
2FA Manual	Una etiqueta de referencia Sender.	El escaneo se pausa en el paso de 2FA. Usted introduce el código desde los detalles del escaneo, y el escaneo permanece en pausa hasta que lo haga.

Para instrucciones paso a paso, consulte Autenticación de dos factores (2FA) para escaneos automatizados.

Esquemas de autenticación complejos para aplicaciones móviles

Los esquemas de autenticación complejos como OTP o el teclado numérico aleatorio se automatizan usando scripts de Appium o los realiza manualmente de manera puntual un miembro del soporte de Ostorlab. Si su aplicación requiere un esquema de autenticación personalizado, póngase en contacto con nosotros por correo electrónico: support@ostorlab.dev para obtener asesoramiento.

¿Puedo probar con más de un rol de usuario?

Puede añadir varias credenciales de prueba a un mismo escaneo. Las credenciales de login y contraseña también aceptan un valor role opcional, que se define a través de la API o de las integraciones de CI, no en la interfaz.

• En la interfaz, puede añadir varias credenciales de prueba a un mismo escaneo.
• En la API, un escaneo acepta una lista de ID de credenciales (credentialIds), y el rol se define en el campo role del tipo LoginPasswordTestCredentials. Consulte API.
• En las integraciones de CI, puede pasar un rol junto con el login y la contraseña:
  • GitLab: OSTORLAB_CREDENTIALS acepta una lista separada por punto y coma con el formato login,password,role,url. El rol y la URL son opcionales para los escaneos móviles.
  • Bitrise: --test-credentials-role es un campo de rol opcional, que se usa con --test-credentials-login y --test-credentials-password.

¿Qué acceso de red necesita el escáner?

Añada a la lista de permitidos las direcciones IP del escáner para que los WAF y los firewalls no interfieran con el escaneo. Si el objetivo no está expuesto a Internet, utilice un proxy inverso o un escáner on-prem; consulte Escanear aplicaciones web internas.

¿Cómo compruebo que el inicio de sesión funcionó?

Abra la Call Coverage del escaneo y revise las solicitudes y las pantallas para confirmar que el escáner inició sesión y llegó a las áreas protegidas.

• Para abrirla, consulte Comprobar cobertura de llamadas.
• Para inicios de sesión con 2FA, consulte Validación de resultados.

Si el escáner no logra superar un flujo de varios pasos, puede guiarlo con UI Prompts. Los UI Prompts son instrucciones en lenguaje natural para acciones de varios pasos, como la creación de una cuenta. La Call Coverage del escaneo muestra los UI Prompts que utilizó.

¿Qué hago si el inicio de sesión falla?

La mayoría de los inicios de sesión fallidos se deben a una de estas cuatro causas: el escáner no puede acceder al objetivo, no se captura un código enviado por SMS o correo electrónico, el escaneo está en pausa en un paso de 2FA Manual, o el flujo es demasiado complejo para un login y una contraseña. Busque el caso correspondiente a continuación.

El escáner no puede acceder al objetivo

• Revise la lista de permitidos y las opciones de acceso interno de ¿Qué acceso de red necesita el escáner?.

No se captura el código SMS

• Asegúrese de que la cuenta de prueba tenga habilitado el 2FA por SMS.
• Confirme que las políticas antispam o de limitación de velocidad de su aplicación permiten los mensajes entrantes desde la pasarela.
• Compruebe que el Sender Phone Number coincide exactamente con el número que se muestra en el dispositivo al recibir una OTP.

No se captura el código de correo electrónico

• Asegúrese de que el cuerpo del correo muestra el código en un formato claro y legible.
• Verifique que el acceso IMAP/SMTP esté habilitado en el buzón y que las credenciales, especialmente la contraseña de aplicación (App Password), sean correctas.
• Asegúrese de que el buzón no esté protegido por una capa de 2FA adicional que impida al escáner iniciar sesión en él.

El escaneo está en pausa

• Una credencial 2FA Manual pausa el escaneo hasta que introduzca el código. Abra los detalles del escaneo y envíe el token, como se describe en Ingreso del token.

El flujo de inicio de sesión es demasiado complejo para un login y una contraseña

• Para aplicaciones web, grabe el flujo como un script de Puppeteer.
• Para flujos de varios pasos, añada UI Prompts.

Si su aplicación utiliza un esquema de autenticación personalizado, o el inicio de sesión sigue fallando, contáctenos en support@ostorlab.dev.