Kotak masuk uji membantu tim keamanan mengamati alur pendaftaran atau pemulihan. Kotak ini harus diperlakukan sebagai bagian dari lingkungan uji, dengan pemilik dan batas yang disepakati, bukan sebagai tujuan tak terbatas untuk rahasia produksi.
Tuliskan ruang lingkup sebelum pengujian
- Identifikasi aplikasi dan lingkungan yang Anda izinkan untuk diuji.
- Gunakan akun sintetis dan tetapkan anggaran permintaan dengan pemilik sistem.
- Pilih kotak masuk yang kontrol aksesnya sesuai dengan sensitivitas pesan.
- Tentukan waktu pembersihan dan identifikasi siapa yang dapat melihat bukti.
Uji batas, bukan hanya keberhasilan pengiriman
Untuk aplikasi yang Anda kontrol, verifikasi bahwa tautan konfirmasi terikat pada akun yang dimaksud, tidak dapat digunakan kembali setelah selesai, dan menghasilkan hasil yang dapat dipahami setelah kedaluwarsa. Periksa perilaku ketika permintaan konfirmasi kedua dibuat. Dokumentasikan perilaku yang diharapkan sebelum memutuskan bahwa perbedaan tersebut merupakan kerentanan.
Jaga kerahasiaan dari laporan
Tangkapan layar yang berisi URL reset aktif dapat memberikan akses sama efektifnya dengan email asli. Redaksi kode, token, cookie, dan alamat pribadi. Simpan cap waktu, pengidentifikasi uji, dan deskripsi keadaan yang diamati alih-alih menyalin seluruh pesan produksi ke pelacak isu.
Tutup pengujian
Hapus akun aplikasi sintetis bila diperlukan, batalkan tautan uji yang masih aktif, dan terapkan kebijakan retensi yang disepakati pada artefak kotak surat. Catat setiap kegagalan pengiriman yang belum terselesaikan secara terpisah dari kegagalan otorisasi: tidak menerima pesan tidak membuktikan bahwa batas kontrol akun aman.
Untuk insiden produksi yang melibatkan pelanggan nyata, gunakan proses penanganan bukti yang disetujui organisasi alih-alih kotak masuk sekali pakai publik.