Enmascaramiento de secretos

Las grabaciones se hacen commit a git, así que los secretos se eliminan antes de escribir nada en disco. El enmascaramiento está activado por defecto; el proxy reemplaza los valores de estas cabeceras de petición/respuesta con [REDACTED]:

• Authorization
• Cookie
• Set-Cookie

Esto es seguro: el emparejamiento de reproducción ignora estas cabeceras, así que el enmascaramiento nunca rompe la reproducción. Se aplica a las grabaciones .mock.json, a las grabaciones de WebSocket y a los archivos .har. Para desactivar el enmascaramiento, pasa --no-redact en la CLI o establece redaction: false en la configuración.

Cuando solo algunas cookies son sensibles, permite las inofensivas por nombre (por ejemplo una cookie de theme o de test A/B). Las cookies permitidas conservan sus valores dentro de Cookie/Set-Cookie; cualquier otra cookie sigue enmascarándose.

Cómo se enmascaran los archivos .har

Los archivos .har los escribe el routeFromHAR de Playwright, no el proxy, así que se enmascaran en una pasada aparte. playwrightProxy.teardown() reescribe cada .har del directorio de grabaciones usando la misma configuración de enmascaramiento que el proxy (las cabeceras, allowCookies y bodyPatterns se aplican, tanto a las cabeceras como a los arrays cookies parseados). Esto se ejecuta desde tu globalTeardown de Playwright — así que el enmascaramiento de HAR requiere un globalTeardown que llame a playwrightProxy.teardown() (la configuración recomendada, generada por init).

No puede ejecutarse por prueba: Playwright vuelca un HAR cuando su contexto se cierra pero no espera a los handlers de cierre, así que enmascarar ahí compite con la salida del proceso y puede truncar el archivo. El teardown obtiene la configuración de /__control (el proxy debe estar en ejecución; si es inalcanzable se aplican igualmente los valores por defecto de cabeceras integrados), solo reescribe los archivos que realmente cambió y deja intactos los cuerpos de respuesta en base64. Por defensa en profundidad, graba aun así con credenciales de test de corta vida y revisa los HAR antes de hacer commit — mira el patrón de auth recomendado más abajo.

Patrón de autenticación recomendado

Para mantener el flujo de login y las credenciales totalmente fuera de las grabaciones, ejecuta la autenticación en un setup project de Playwright con el proxy en modo transparent, persiste el storageState en un auth-state.json gitignorado y reúsalo en tus pruebas. Las peticiones grabadas entonces solo llevan las cabeceras de sesión (enmascaradas), nunca el login.

Mira el ejemplo de app autenticada para una configuración funcional contra un proveedor de auth real.

Ajustar qué se enmascara

Las cabeceras por defecto siempre se aplican (mientras el enmascaramiento está activado); puedes añadir a ellas.

Flags de CLI

• --no-redact — desactiva el enmascaramiento de secretos (activado por defecto).
• --redact — activa el enmascaramiento de secretos; solo se necesita para reactivarlo cuando la configuración pone redaction: false.
• --redact-headers <names> — nombres de cabeceras extra a enmascarar, separados por comas (fusionados con los valores por defecto).
• --redact-body <patterns> — patrones regex separados por comas a enmascarar de los cuerpos de petición/respuesta.
• --allow-headers <names> — nombres de cabeceras separados por comas a eximir del enmascaramiento (por ejemplo set-cookie).
• --allow-cookies <names> — nombres de cookies separados por comas a mantener sin enmascarar dentro de Cookie/Set-Cookie.

# Redaction is already on; also redact an API-key header and "sk_live_..." tokens, keep the theme cookie
test-proxy-recorder http://localhost:8000 \
  --redact-headers x-api-key \
  --redact-body "sk_live_[a-zA-Z0-9]+" \
  --allow-cookies theme,locale

Programáticamente

Al construir ProxyServer directamente:

import { ProxyServer } from 'test-proxy-recorder';

// Passing this object enables redaction; pass `false` (or nothing) to keep it off.
const proxy = new ProxyServer('http://localhost:3000', './recordings', undefined, {
  headers: ['x-api-key', 'x-auth'],    // extra headers, merged with the defaults
  bodyPatterns: [/sk_live_[a-z0-9]+/i], // regexes replaced in request/response bodies
  allowHeaders: ['set-cookie'],        // never redact these headers
  allowCookies: ['theme', 'locale'],   // keep these cookies inside Cookie/Set-Cookie
  placeholder: '[REDACTED]',           // default
});

redactSession(session, config) también se exporta si quieres enmascarar grabaciones existentes tú mismo.