Serveur proxy HTTP dans JMeter : Exemple de script d’enregistrement

1. Démarrez JMeter en mode GUI pour la création de scripts.
2. Ajouter un groupe de threads au plan de test.
3. Ajoutez un contrôleur d'enregistrement sous le groupe de threads.
4. Ajoutez les valeurs par défaut des requêtes HTTP et un gestionnaire de cookies HTTP le cas échéant.
5. Ajoutez l'enregistreur de script de test HTTP(S) et sélectionnez le contrôleur d'enregistrement comme cible.
6. Utilisez des modèles d'inclusion/exclusion pour limiter le trafic non pertinent.

Le guide d'enregistrement officiel d'Apache JMeter est la référence faisant autorité pour chaque version.

Configurez le navigateur de test avec un hôte proxy HTTP et HTTPS. 127.0.0.1 et le même port. Si le navigateur s'exécute dans une autre machine virtuelle ou un conteneur, localhost fait référence à cet environnement ; utilisez plutôt une adresse privée accessible et approuvée.

Proxy host: 127.0.0.1
Proxy port: 8888

Include: https?://test.example.com/.*
Exclude: .*(.png|.jpg|.gif|.css|.woff2)(?.*)?$

Ne filtrez pas trop sévèrement lors de la première analyse, car une API d'application peut utiliser un autre sous-domaine. Enregistrez une première fois, examinez les hôtes, puis affinez les critères.

1. Démarrez l'enregistreur et ne faites confiance à son certificat temporaire que dans le navigateur de test isolé.
2. Ouvrez l'environnement de test autorisé.
3. Effectuez un trajet propre à vitesse humaine.
4. Arrêtez l'enregistrement immédiatement après la dernière action commerciale.
5. Rétablissez les paramètres de proxy par défaut du navigateur.

Renommez les échantillonneurs en fonction de l'action métier et regroupez les requêtes associées sous « Contrôleurs de transactions ». Supprimez les outils d'analyse, les publicités, les mises à jour du navigateur, les widgets de chat et les ressources statiques dupliquées, sauf si elles sont explicitement incluses dans le périmètre.

Examinez chaque échantillonneur à la recherche de secrets. Les mots de passe doivent provenir de données d'exécution protégées, et la modification des jetons nécessite une corrélation.

Validez un utilisateur et une itération avant d'ajouter de la charge. Utilisez temporairement l'arborescence des résultats, vérifiez les redirections et les corps de réponse, et ajoutez des assertions pour le résultat métier attendu. Un code HTTP 200 seul ne prouve pas que la connexion ou la transaction a réussi.

Threads: 1
Ramp-up: 1 second
Loop Count: 1

Après le débogage, supprimez les écouteurs lourds et exécutez l'interface non graphique :

jmeter -n -t recorded-test.jmx -l results.jtl -e -o html-report

Le répertoire de rapports doit être nouveau ou vide. Augmentez la charge progressivement et surveillez le système cible ainsi que JMeter.

Enregistrez le plan réutilisable sous forme de .jmx fichier et conserver les données générées séparément :

• JMX : Échantillonneurs, contrôleurs, assertions, minuteurs, variables et configuration.
• JTL : Résultats bruts des échantillons pour analyse.
• Tableau de bord HTML : percentiles, débit, erreurs et threads actifs.
• Métriques du serveur : Télémétrie du processeur, de la mémoire, de la base de données, de la file d'attente et des services.

Créez une version du plan avec des propriétés non confidentielles et des données de test. Consignez les versions de JMeter et de Java, la version cible, l'environnement, le nombre d'utilisateurs, la montée en charge et la durée.

Pour le protocole HTTPS, JMeter génère une autorité de certification temporaire au démarrage de l'enregistreur. Importez-la uniquement dans le navigateur de test dédié, enregistrez le site autorisé, puis supprimez-la.

1. Démarrer l'enregistreur de script de test HTTP(S).
2. Localisez le certificat ApacheJMeterTemporaryRootCA généré.
3. Importez-le comme autorité de confiance dans le profil isolé.
4. Enregistrez le parcours HTTPS approuvé.
5. Retirez le certificat une fois terminé.

L’épinglage de certificats, le protocole TLS mutuel, les navigateurs gérés, les applications mobiles et les protocoles de transport récents peuvent bloquer l’interception. Ne relâchez pas les contrôles de sécurité en production. Utilisez un environnement de test, une spécification d’API ou une méthode de capture alternative approuvée.

Les identifiants de session, les jetons CSRF, l'état OAuth, les signatures de requêtes et les identifiants de ressources changent d'une exécution à l'autre. La corrélation extrait une nouvelle valeur d'une réponse et la substitue dans les requêtes suivantes.

1. Repérez la réponse qui contient en premier la valeur dynamique.
2. Ajoutez un extracteur JSON, CSS, XPath ou d'expressions régulières.
3. Stockez le résultat dans une variable JMeter nommée.
4. Remplacez les valeurs codées en dur ultérieures par la référence à la variable.
5. Signalez clairement l'échec lorsque l'extraction ne renvoie aucune correspondance.

JSON Extractor
Variable: csrfToken
JSON Path: $.csrf.token
Default: NOT_FOUND

Later header:
X-CSRF-Token: ${csrfToken}

La paramétrisation fournit des données utilisateur indépendantes, souvent issues d'un fichier CSV. La corrélation capture les données générées par le serveur lors de l'exécution. Les plans réalistes nécessitent généralement les deux.

JMeter est un outil d'évaluation des performances des protocoles. Il ne peut pas mesurer à lui seul les événements visuels tels que le Largest Contentful Paint.