Тестирование API
Перехват трафика в Postman: встроенный прокси и Interceptor
Postman перехватывает трафик двумя способами: встроенным прокси, через который проходят запросы компьютера или телефона, и браузерным расширением Interceptor, которое ловит запросы из браузера, в том числе по HTTPS. Пойманный запрос приходит со всеми заголовками, параметрами и телом, его сохраняют в коллекцию и превращают в тест, и особенно это выручает на проекте без документации API. Подменять ответы, статус-коды и заголовки на лету Postman не умеет, для этого берут снифферы Charles или Fiddler.
- Прокси и Interceptor
- два способа перехвата в настольной версии Postman
- Без подмены
- менять ответы сервера умеют Charles и Fiddler
- Бесплатно
- урок с заданиями в моём базовом курсе
Зачем перехватывать трафик в Postman
Перехват показывает запросы, которые отправляет браузер или приложение, пока вы им пользуетесь: вход, регистрацию, загрузку страницы. В Postman пойманный запрос можно открыть, поправить и отправить заново, а потом сохранить в коллекцию. Заголовки, авторизация, параметры и тело уже на месте, и переписывать их руками не нужно.
Больше всего это выручает, когда на проекте нет документации API вроде Swagger. Тогда запросы собирают исследованием: пользуются приложением, ловят запросы, сохраняют их и меняют, чтобы получить нужные статус-коды. Пойманный запрос я называю отправной точкой для тестов, ведь он уже собран так, как его отправляет настоящий клиент.
Запросы браузера видны и на вкладке Network в DevTools, оттуда их копируют командой Copy as cURL и импортируют в Postman. Перехват избавляет от этого шага. Встроенный прокси работает только в настольной версии Postman, а в веб-версии из двух способов доступен один Interceptor.
Пример из админки SaaS-сервиса, у которой нет документации API. Тестировщик выгружает отчёт по своей компании, ловит запрос и видит в адресе параметр companyId=1042. В сохранённом запросе он меняет число на id другой компании и отправляет его снова. Если сервер вернул чужой отчёт, а не ответ 403, это критическая уязвимость, и запрос из Postman прикладывают к баг-репорту.
Способ 1: встроенный прокси Postman
Прокси-сервер – это посредник между клиентом и сервером. Запросы сначала приходят в Postman, он записывает их и передаёт дальше. По тому же принципу работают снифферы Charles и Fiddler.
В уроке 2020 года прокси включали в окне захвата запросов и cookies: переключатель на On, порт 5555. В отличие от Charles, Postman сам системный прокси не настраивал, поэтому в параметрах прокси Windows вручную включали прокси-сервер с адресом localhost и тем же портом. После этого запросы браузера появлялись в разделе History. В новых версиях сессию запускают кнопкой Start Proxy Session, а номер порта стоит сверить в окне прокси: по документации Postman по умолчанию теперь 5559.
В уроке 2025 года на macOS сессия заработала без дополнительных настроек, и Postman показал все системные запросы, включая запросы других программ: любое приложение, которое ходит в интернет, тоже клиент. Лишнего там много, поэтому нужный запрос находят поиском по адресу.
HTTPS
В 2020 году встроенный прокси ловил только HTTP, поэтому я показывал его на учебном сайте users.bugred.ru, который работал без шифрования. Сайты на HTTPS при включённом прокси не открывались, пока его не выключали. По документации Postman, начиная с версий 10.17 для macOS и 10.18 для Windows, программа при первом запуске сессии ставит на компьютер сертификат Postman Proxy CA и видит HTTPS-запросы.
Телефон
По документации Postman через этот прокси можно провести и трафик мобильного приложения. В настройках Wi-Fi телефона указывают адрес компьютера и порт прокси, а для HTTPS ставят на телефон сертификат Postman.
Выключить после работы
Пока системный прокси указывает на Postman, весь трафик идёт через него. Закончив, прокси в системе выключают, иначе без запущенного Postman сайты перестанут открываться.
Способ 2: расширение Postman Interceptor
Interceptor – это расширение для браузера, которое работает в паре с настольной или веб-версией Postman. Его ставят из магазина расширений, в Postman открывают вкладку Interceptor и включают перехват. На Linux и в старых версиях для macOS и Windows ещё устанавливают Interceptor Bridge, мост между браузером и программой, а начиная с версий 10.17.4 для macOS и 10.18 для Windows он встроен. Системный прокси при этом настраивать не нужно, запросы ловятся прямо в браузере.
Interceptor видит и HTTPS. В уроке 2020 года я открываю страницу входа Яндекса, ввожу логин, и в Postman появляется запрос с этим логином в теле. В версии 2025 года Postman сам открывает страницу расширения для вашего браузера. В расширении входят в учётную запись Postman и нажимают Start Capture, после чего в Postman идут только запросы из браузера.
Их тоже немало, потому что страница обращается к счётчикам, рекламе и сторонним сервисам. Нужный запрос ищут по адресу, например по домену учебного API.
Пример: из перехваченного входа в коллекцию
Так я разбираю перехват в уроке 2020 года на учебном сайте users.bugred.ru, у которого есть документация API. С другим сайтом порядок тот же.
1. Включить перехват
Запустить прокси или Interceptor и очистить History, чтобы старые запросы не мешали.
2. Пройти сценарий
Зарегистрировать пользователя и войти под ним. Я регистрирую его POST-запросом из Postman по документации сайта, а вхожу уже через браузер.
3. Найти запрос
Среди перехваченных запросов найти POST на эндпоинт входа. В его теле лежат почта и пароль, а в заголовках вся служебная информация, которую иначе пришлось бы выписывать вручную.
4. Сохранить в коллекцию
Сохранить запрос в новую коллекцию и дать ему понятное имя с ожидаемым статус-кодом.
5. Изменить и отправить
Поменять данные под проверку: неверный пароль, пустое обязательное поле, другой пользователь. Из одного пойманного запроса так получаются и позитивные, и негативные тесты.
6. Выключить перехват
Остановить сессию и выключить прокси в системе, чтобы он не мешал открывать сайты на HTTPS.
Чем Postman уступает Charles и Fiddler
Перехват в Postman подходит, чтобы посмотреть запросы и собрать из них коллекцию. Менять трафик на лету Postman не умеет, и для проверок, где нужно подменить ответ сервера, его не хватит. Такие проверки делают в специализированных снифферах.
На моём канале есть ролики и про Charles, и про Fiddler. Они записаны давно, но показанные в них функции никуда не делись, а Charles с тех пор почти не изменился. Вот что умеют снифферы и чего не умеет Postman.
Подмена статус-кода
Вернуть клиенту 500 или 404 вместо 200 и посмотреть, как приложение покажет ошибку.
Подмена тела ответа
Изменить данные, пришедшие с сервера, и проверить клиентскую валидацию и отображение.
Подмена адреса
Перенаправить запрос на другой сервер, в Charles для этого есть функция Map Remote.
Подмена заголовков
Убрать или изменить заголовок запроса или ответа.
Видеоуроки, шпаргалки и задания
Перехват в Postman я разбираю в пятом уроке мини-курса "Postman для тестировщика" на YouTube, который вышел вслед за роликом о Charles: прокси, учебный сайт на HTTP и расширение Interceptor. В 2025 году вышел короткий обновлённый урок о двух режимах перехвата в новой версии программы.
В бесплатном базовом курсе по тестированию тема идёт уроком "Перехват HTTP и HTTPs" с заданиями после теории. Шпаргалка по HTTPS разбирает шифрование TLS и версии протокола, а шпаргалка по HTTP показывает, из чего состоят запрос и ответ, которые попадают в перехват.
- Урок курсаЭтот урок с заданиями – бесплатно
- Мой видеоурокперехват HTTP и HTTPS запросов в Postman
- Мой видеоурокPostman для тестировщика 2.0, перехват трафика HTTP и HTTPS
- ШпаргалкаHTTPS, TLS и версии HTTP
- ШпаргалкаHTTP-запрос и ответ
- СтатьяPostman для тестировщика: с чего начать
- СтатьяПростые автотесты в Postman
Курсы по теме
Вопросы и ответы
Как перехватить запросы в Postman?
В настольной версии есть два способа. Встроенный прокси запускают в Postman и направляют на его порт трафик компьютера или телефона. Расширение Interceptor ставят в браузер (на Linux и в старых версиях Postman ещё и Interceptor Bridge), включают перехват, и запросы из браузера появляются в Postman. Пойманные запросы сохраняют в коллекцию.
Может ли Postman перехватывать HTTPS?
Да. Расширение Interceptor ловит HTTPS-запросы браузера. Встроенный прокси в старых версиях видел только HTTP, а по документации Postman, начиная с версий 10.17 для macOS и 10.18 для Windows, он ставит на компьютер свой сертификат и видит HTTPS.
Что такое Postman Interceptor?
Расширение для браузера, которое работает вместе с настольной или веб-версией Postman. Оно перехватывает запросы, которые отправляет браузер, в том числе по HTTPS, и передаёт их в Postman без настройки системного прокси.
Чем перехват в Postman отличается от Charles и Fiddler?
Postman показывает и сохраняет пойманные запросы, чтобы собрать из них коллекцию и тесты. Charles и Fiddler умеют менять трафик на лету: подменять статус-коды, тело ответа, заголовки и адреса. Для проверок, где нужен такой подменённый ответ сервера, берут сниффер.
Можно ли перехватить трафик мобильного приложения через Postman?
Можно, через встроенный прокси. По документации Postman в настройках Wi-Fi телефона указывают адрес компьютера и порт прокси, а для HTTPS ставят на телефон сертификат Postman. Подменять ответы для мобильного приложения удобнее в Charles.
Работает ли перехват в веб-версии Postman?
Частично. Встроенный прокси есть только в настольной версии, а расширение Interceptor по документации Postman работает и с веб-версией, причём Interceptor Bridge для неё не нужен.
Посмотреть программы курсов
Программа каждого курса открыта целиком: видны все модули, уроки и число шагов.