개발자를 위한 이메일 테스트 체크리스트: 요청부터 만료까지

이메일 테스트는 메시지가 나타나는지 확인하는 것 이상입니다. 신뢰할 수 있는 테스트는 전달, 렌더링, 사용자 작업, 만료 및 재시도 동작을 통해 애플리케이션 요청의 이벤트를 따릅니다. 또한 흐름이 안전하게 실패하는지 확인합니다.

이 체크리스트는 귀하가 소유하고 있거나 테스트 권한이 있는 시스템 및 계정에만 사용하십시오. 임시 받은편지함을 사용하여 대량 계정을 생성하거나, 다른 웹사이트의 한도를 회피하거나, 허가 없이 제3자 재설정 흐름을 테스트하지 마세요. Once Email는 메시지만 수신합니다. 응답을 보내지 않으며 보낸 사람의 애플리케이션 내에서 발생한 일을 증명할 수 없습니다.

1. 메일을 요청하기 전에 하나의 테스트 케이스를 정의하십시오.

버튼을 누르기 전에 환경, 빌드, 브라우저, 기능 및 예상 결과를 기록하십시오. 각 실행에 signup-valid-address 또는 reset-expired-link와 같은 중립 식별자를 제공합니다. 테스트 이름에 비밀번호, 토큰, 개인 주소를 넣지 마세요.

제품이 실제로 지원하는 경로에 대한 사례를 준비합니다.

• 유효한 가입 또는 주소 확인 요청
• 명백한 입력 오류가 있는 주소
• 첫 번째 메시지가 여전히 유효한 동안 반복된 요청;
• 만료되었거나 이미 사용된 코드
• 기존 계정과 존재하지 않는 계정 모두에 대한 비밀번호 재설정 요청
• 취소, 복귀 탐색 및 해당되는 경우 두 번째 브라우저 세션.

OWASP 웹 보안 테스트 가이드에서는 재설정을 계정에 대한 대체 경로로 간주하고 지원되는 모든 인터페이스를 검토할 것을 권장합니다. 따라서 테스트 계획에서는 동작이 다를 수 있는 웹 인터페이스, 모바일 애플리케이션 및 API를 별도로 다루어야 합니다.

2. 사용자를 열거하지 않고 요청 응답 확인

하나의 승인된 요청을 제출하고 눈에 보이는 응답, 상태 및 시간을 기록해 두십시오. 비밀번호 복구를 위해 기존 계정과 존재하지 않는 계정이 명확하게 다른 메시지나 응답 시점을 통해 계정 멤버십을 공개해서는 안 됩니다.

이를 테스트하기 위해 큰 샘플을 생성하지 마십시오. 시스템 소유자와 함께 로드, 남용 및 속도 제한 테스트를 조정하고 전용 환경을 사용하며 승인된 경계에서 중지하십시오. OWASP의 비밀번호 분실 치트 시트는 재설정된 엔드포인트로 인해 계정 존재가 노출되거나 받은 편지함이 넘칠 수 있으므로 일관된 대응과 과도한 자동 제출에 대한 보호를 권장합니다.

두 번째 클릭이 동시에 유효한 비밀의 안전하지 않은 컬렉션을 자동으로 생성하지 않는지 확인하십시오. 의도된 정책은 첫 번째 코드를 무효화하거나 보류 중인 요청을 재사용하거나 신중하게 제한된 수를 허용할 수 있습니다. 제품 팀은 어떤 결과가 올바른지 정의해야 합니다.

3. 즉각적인 어설션이 아닌 시간이 지정된 상태로 전달을 관찰합니다.

애플리케이션이 요청을 수락하면 타이머를 시작합니다. 메시지가 표시되면 기록하되 몇 초의 지연을 실패로 처리하는 대신 합리적인 관찰 기간을 사용하십시오. 메일은 대기열과 필터를 통과하므로 도착 시간은 고정된 상수가 아닌 분포입니다.

승인된 저위험 테스트에 Once Email를 사용하는 경우:

1. 남은 수명이 충분한 수신 전용 주소를 생성하거나 선택합니다.
2. 테스트 중인 애플리케이션에 주소를 정확하게 복사하세요.
3. 하나의 메시지를 요청하고 받은 편지함을 열어두세요.
4. 만약 나타나지 않는다면, 새로고침하여 확인 이메일 문제해결 체크리스트.
5. 요청 및 관찰된 도착 시간을 UTC로 기록하고 테스트 환경도 기록합니다.

누락된 메시지가 보낸 사람이 메시지를 보낸 적이 없다는 것을 증명한다고 주장하지 마십시오. 애플리케이션 로그, 공급자 이벤트 및 메시지 헤더는 별도의 증거 소스입니다. 가능하면 테스트 시스템에서 생성된 상관 관계 값을 사용하되 액세스 권한을 부여하거나 사용자를 식별하는 경우 공개적으로 노출하지 마십시오.

4. 메시지의 내용과 데이터를 확인합니다.

수신된 제목, 발신자 도메인 및 표시되는 목적을 승인된 템플릿과 비교합니다. 애플리케이션이 둘 다 생성하는 경우 일반 텍스트와 HTML 대안을 확인하세요. 데스크톱과 좁은 모바일 뷰포트에서 간격, 줄 바꿈, 색상 대비, 의미 있는 콘텐츠 순서를 검토하세요.

그런 다음 변수 데이터를 확인합니다.

• 의도된 테스트 주소는 필요한 곳에 나타나고 예상치 못한 곳에는 나타나지 않습니다.
• 환경 이름은 준비 메일이 프로덕션 메일로 오인되는 것을 방지할 만큼 명확합니다.
• 날짜와 만료 명세서는 명확한 시간대를 사용합니다.
• 코드나 액션이 올바른 테스트 케이스와 연관되어 있습니다.
• 링크는 HTTPS와 예상 호스트를 사용합니다.
• 내부 스택 추적, API 키, 비밀번호 또는 관련 없는 고객 데이터가 표시되지 않습니다.

단지 목적지를 찾기 위해 의심스러운 링크를 열지 마십시오. 메시지 HTML을 브라우저 로컬 email link checker]에 복사하여 이메일을 렌더링하지 않고 URL과 원격 리소스를 나열한 다음 대상 호스트를 테스트 사양과 비교합니다.

5. 운동 성공, 재사용 및 만료

코드나 링크의 경우 승인된 해피 경로를 한 번 테스트하세요. 의도한 작업만 수행하고 올바른 환경에 도달하며 불필요한 페이지 요소나 분석 이벤트에 비밀을 노출하지 않는지 확인하세요.

다음으로 보안 전환을 확인합니다.

• 일회용 비밀키는 성공 후 작동을 멈춥니다.
• 만료된 비밀은 작업을 완료하지 않고 거부됩니다.
• 잘못된 값은 안전하게 실패합니다.
• 교체 요청은 문서화된 무효 규칙을 따릅니다.
• 다른 브라우저에서 작업을 열면 필수 컨텍스트를 우회하지 않습니다.
• 비밀번호 재설정으로 인해 다단계 인증이 자동으로 약화되거나 원치 않는 세션이 활성 상태로 유지되지 않습니다.

OWASP는 무작위로, 충분히 길고, 안전하게 저장되고, 일회용이며 만료되는 재설정 비밀을 권장합니다. 또한 HTTPS 재설정 URL과 추측 방지 기능을 권장합니다. 테스트는 통제되지 않은 무차별 대입을 시도하는 것이 아니라 제품 동작을 확인해야 합니다.

6. 테스트 실패 메시지 및 복구

배송이 지연되거나, 코드가 만료되거나, 링크가 이미 사용된 경우 사용자에게 유용한 다음 단계가 필요합니다. 오류로 인해 계정 존재, 비밀 조각 또는 내부 인프라가 드러나지 않는지 확인하세요. 인터페이스는 반복되는 빠른 요청을 장려하지 않고 합법적인 재시도를 허용해야 합니다.

또한 계정 흐름이 완료되기 전에 임시 받은 편지함이 만료되면 어떤 일이 발생하는지 테스트하세요. 계정에 장기적인 복구, 영수증 또는 보안 통지가 필요한 경우 일회용 주소는 적합하지 않습니다. 임시 및 영구 이메일 가이드는 영구적이고 통제된 주소가 더 안전한 테스트 가정인 경우를 설명합니다.

7. 재현 가능한 최소한의 결과를 기록합니다.

유용한 테스트 결과에는 사례, 환경, 빌드, UTC 타임라인, 예상 결과, 실제 결과 및 신중하게 수정된 증거 항목 하나가 포함됩니다. 요청 생성, 메시지 전달, 콘텐츠, 작업, 만료 또는 복구에 문제가 있는지 명시합니다. '이메일이 깨졌습니다.'와 같은 모호한 결과를 피하세요.

증거에 주소, 인증 코드, 재설정 링크, 메시지 ID, 쿠키 또는 내부 호스트 이름이 포함되어 있는 경우 변경하지 않고 업로드하지 마세요. 이슈에 첨부하기 전에 이메일 테스트 증거 수정 가이드를 따르세요.

출시 결정 체크리스트

흐름을 준비로 표시하기 전에 승인된 성공 사례가 통과하고, 부정적인 사례가 안전하게 실패하고, 재시도 및 만료 규칙이 사양과 일치하고, 콘텐츠가 좁은 폭에서 작동하고, 비밀이 로그 또는 분석에 입력되지 않고, 증거가 사용 가능한 자격 증명을 노출하지 않고 실패를 재현할 수 있는지 확인하세요. 성공적인 도착은 유용한 증거이지만 완전한 이메일 흐름 테스트는 아닙니다.