Skip to main content
Pentest のテストアカウントがログイン時に CAPTCHA を要求される場合に設定します。アカウントの保存だけでは、保護されたページへのアクセスを証明できません。

​
前提条件

  • 登録済みの Pentest アプリと、テストユーザーの編集権限。
  • Password 認証を使う専用のテストアカウント。
  • テストキーを使う場合は、テスト対象の CAPTCHA 設定へのアクセス。
  • 自動フォールバックを使う場合は、管理者による機能の有効化と必要なソルバーの設定。

​
ログインを設定する

1

パスワードアカウントを開く

アプリの Settings → Test users で Add test user または Add authentication を開きます。Password を選び、アカウント情報を入力します。必要に応じて Login URL (optional) を入力します。ログインページは保存済みの対象と範囲内にある必要があります。CAPTCHA options (optional) を展開します。
2

CAPTCHA オプションを選ぶ

対象側の例外を用意していない場合、Customer bypass は None にします。テスト環境にテストキーを設定済みの場合は Target test keys を選びます。CAPTCHA provider を選び、対象に設定済みの公開 sitekey を Installed test sitekey に入力します。検証用の secret はアプリのサーバーに保持します。Automated fallback で Allow for this identity または Disable for this identity を選びます。インストール全体で無効な機能は、ここで許可しても有効になりません。
パスワードアカウントのバイパスと自動フォールバック設定。

パスワードアカウントの CAPTCHA オプション。

3

保存して実行結果を確認する

Save login をクリックし、オンデマンドの pentest を開始します。保護されたページをテスト済みと判断する前に、認証結果を読みます。成功状態: 実行がログイン後のアクセスを証明し、匿名アクセスの拒否を確認します。アカウント保存や CAPTCHA の完了だけでは不十分です。CAPTCHA が未解決なら認証後のテストはできません。設定を修正するか、検証済みの Session token を追加してから再実行します。

​
対象側の例外を選ぶ

Bypass header のフォームには Header name と Bypass secret が表示されます。保存が拒否される場合、管理者に保護された設定を依頼するか、検証済みのセッションを使います。

​
プロバイダーのテストキー

テストキーはテスト環境だけで使います。ボット対策を無効にする場合があるため、pentest のために本番の保護を置き換えないでください。
CAPTCHA プロバイダーと設定済みの公開 test sitekey。

テストキー設定。検証用 secret はアプリのサーバーに保持します。

​
自動フォールバックの動作

CloudThinker は設定済みの顧客バイパスを先に試します。フォールバックが有効な場合、対応する reCAPTCHA v2、reCAPTCHA v3、hCaptcha、Turnstile のログインを同じブラウザーセッションで試行できます。 チャレンジやプロバイダーの検証が拒否する場合もあります。プロバイダーの選択は成功を保証しません。設定済みソルバーのクレジットを消費する場合があります。 これらはパスワードログイン用の設定です。他のログイン方法は Pentest の実行 を参照してください。

​
トラブルシューティング

対象のテストキーやバイパス、フォールバックの利用可否を確認します。解決できない場合は検証済みセッションを使います。
管理者に機能と必要なソルバーの設定を確認してもらいます。Allow for this identity はインストール全体の無効設定を上書きしません。
ウィジェットとサーバーに、選択したプロバイダーの対応するテストキーが設定されているか確認します。CloudThinker への入力は対象の検証設定を変更しません。
ヘッダーポリシーには保護された認証情報の設定が必要です。管理者に依頼するか、検証済みセッションを追加します。

​
次のステップ

Pentest を実行する

テスト前に範囲、アクセス、強度を確認

Cyber レポートを作成する

証拠とテストの制限を共有