TESTOREST

⚛️Острые и актуальные темы в тестировании к сентябрю 2025

1️⃣Тестирование в условиях AI разработки, когда часть кода генерируется ИИ.

Вопросы(на которые еще предстоит ответить):

🌀Есть ли особенности в тестировании ИИ кода?
🌀Если автоматизированные тесты пишет ИИ, то как им доверять?
🌀Возможно ли с юридической точки зрения использовать ИИ в тестировании на вашем проекте?
---

2️⃣Безопасность как неотъемлемая часть тестирования.
QA всё чаще участвует в security testing.

Навыки, которые здесь пригодятся:
🌀Понимание OWASP Top 10.
🌀Проведение базовых проверок: SQL-инъекции, XSS, неправильная аутентификация.
🌀Работа с DAST/SAST-инструментами (например, OWASP ZAP, Burp Suite).

Ожидания от QA: не быть экспертом по безопасности, но уметь "заметить красный флаг".
---

3️⃣Рост важности soft skills.
QA всё чаще:
🌀Транслируют информацию о рисках команде, заказчику.
🌀Обучаются основам DevOps, чтобы понимать pipeline.
🌀Пишут документацию, проводят воркшопы для коллег.
🌀Выступают как "голос пользователя" в команде.

Как результат одним из ключевых навыков становится системное мышление — видеть продукт целиком, а не только тест-кейсы.
---

❓Какие бы острые, актуальные темы добавили?
(пишите в комментариях к данному посту)

#мнение_автора
@testorest

Друзья!
9 сентября 2025 в День тестировщика состоится 11-ая ежегодная конференция по нагрузочному тестированию (НТ) https://www.perfconf.ru/ . 

Аудитория: инженеры и руководители в области НТ, DevOps, SRE, маркетологи и др.

25+ крутых докладов от именитых спикеров из MTS AI, Ви.Tech, "Перфоманс Лаб", Positive Technologies, X5 tech, Cloud.ru, "Постгрес Про", VK, ecom.tech, Сбер на темы о нагрузочном тестировании, хаос инженеринге,  оптимизации производительности и тюнинга, практик DevOps и CI\CD, управления командой и лидирования, практик SRE, использования ИИ для мониторинга пр. Вы увидите как разбирают реальные кейсы, узнаете о последних тренда индустрии и многое другое!

Итого: 3 параллельных потока, круглый стол про инциденты, живой нетворкинг, подарки участникам, афтепати!

Всем подписчикам канала @testorest организаторы дарят промокод на скидку10% на билет.
ПРОМОКОД: tg10.

Так же можно присоединиться к каналу конференции https://t.me/performanceconf

⚛️Что делать, если чувствуешь застой в профессии?

Шаги:

1️⃣Выбери направление:
- Автоматизация (Web, API, Mobile)
- Тестирование производительности
- Безопасность
- QA-аналитика(глубже в тест-дизайн)
- Управление процессами тестирования

2️⃣Начни с малого:
- Пройди бесплатный курс
- Напиши 1 автотест
- Научись писать SQL-запросы к БД
- Попробуй Postman для API

3️⃣Делай заметки:
Веди блог (можно только для себя), чтобы структурировать знания.

4️⃣Попроси фидбек у коллег или руководителя:
"Как ты думаешь, в каком направлении мне развиваться? Что я могу улучшить?"

5️⃣Найди ментора или сообщество:
- Telegram-каналы, форумы.
- Участвуй в обсуждениях.


❇️Самопроверочный чек-лист: "Не застрял ли я?"

За последние 3 месяца я:

- Изучил хотя бы один новый инструмент или технологию
- Применил что-то новое в работе
- Прочитал статью/книгу или прошёл курс
- Поделился знаниями с коллегами
- Задавал вопросы по требованиям или архитектуре
- Понял, как работает система, а не только интерфейс
- Поставил себе профессиональную цель


Если меньше 4 галочек — пора запускать "режим развития".

#саморазвитие
@testorest

Кто сегодня четверГусь?)
@testorest

⚛️Технические навыки открывают дверь. Soft skills — решают, как далеко ты зайдёшь.

Последнее время ловлю себя на мысли, что технически можно научиться чему угодно.

Hard skills можно выучить за месяцы при практической работе.

Soft skills — формируются годами, и именно они определяют, насколько ты:
- предсказуем в работе;
- вызываешь доверие;
- способствуешь здоровой командной динамике;
- способен влиять на процессы, а не просто выполнять их.

Рассмотрим Soft skills , которые позволяют вам становиться более ответственным и полезным членом команды.

❇️Ответственность.

Нашёл — значит, ты за это отвечаешь.

Ситуация:
Найден баг или замечание, которые кажутся спорными. Не ясно является ли это багом.

На самом деле ни одно замечание не является «не багом». Это проблема, с которой нужно разобраться до конца.
Возможно вы обнаружите серьезное отклонение.
Как минимум баг нужно завести в системе, чтобы вернуться к нему чуть позже и провести исследования.
Когда заказчик найдет точно такой же вам будет, где брать информацию.

Так ты становишься гарантом качества, а не просто "находчиком багов". Ты не просто передаёшь проблему — ты запускаешь процесс.

❇️Думать о будущем.

Ситуация:
Как часто вы возвращались к багам прошлых спринтов пытаясь понять, что имелось ввиду и что нужно сделать?
Было бы проще, если бы были важные комментарии в задаче и более подробное описание.
Т.е. ,стоит описывать баг так, чтобы вы сами могли понять о чем речь через месяц.

Так ты сэкономишь команде и себе часы.

❇️Приоритизация и Продумывание рисков.

Ситуация:
Что будет, если не починить этот баг прямо сейчас? Иногда можно сэкономить время отложив незначительные баги на следующую итерацию.
А порой баг нужно чинить немедленно, иначе с вашей системой будет не удобно работать.

К рискам так же относится:

- сложность задачи
- наличие технических инструментов и навыков для работы с ними
- использование новых технологий первый раз
- наличие тестового окружения
- возможность тестирования фичи
- отсутствие коллеги
- больничный
и т.д.

Умение приоритизировать — ключевой навык. Он позволяет не просто кричать "всё сломано!», а спокойно отделять критичное от косметических замечаний.

❇️Вовлеченность и инициатива

Ситуация:
Тут про то, что касается зоны вашей ответственности. Нашли проблему - разберитесь до необходимого уровня, заведите задачу по ней.
У других членов команды тоже много работы, вряд ли они кинутся решать очередную 1001 проблему, с которой вы пришли.
Обычно от коллег ожидаются ответы на вопросы, помощь в направлении по проблеме и то, что в зоне их ответственности.

Так же, если вы ждете, что команда будет вам помогать при возникновении различных вопросов - предполагается, что и вы помогаете им.
Игра в одни ворота - заметна и не способствует здоровой атмосфере в команде.

Ты не обязан решать всё сам.
Но ты обязан запустить процесс, а не ждать, пока кто-то заметит проблему.

❇️Коммуникация и эмпатия

Не все баги — "ошибка разработчика".
Иногда — это недопонимание требований, недостаток документации, пробел в бизнес-логике.
Лучшая подача бага не как "ты сломал", а как "вот что я вижу, давайте разберёмся".
Здесь важно умение вести диалог:
- без обвинений;
- с уважением к чужой работе;
- с фокусом на решении.

Это строит доверие, а не конфликты.
---
Конечно и я не всегда следовала данным принципам, но с опытом это то, на что стараюсь ориентироваться.

❓А какие качества выделили бы вы для работе в команде?
Пишите в комментариях.

#qa_изжизни #мнение_автора
@testorest

⚛️Потенциальные баги, связанные с токенами 🤪

Продолжаю разбираться с темой токенов.
Сегодня подборка проблем с токенами, которые могут привести к багам.

1️⃣Долгий срок жизни
Риск: Если токен скомпрометирован, злоумышленник может долго его использовать.

2️⃣Отсутствие отзыва токена (No token revocation)
Вы выходите из системы, меняете пароль, блокируете аккаунт, а токен остается активным.
Риск: Пользователь "вышел", но его сессия всё ещё действительна.

3️⃣Хранение токена в небезопасном месте
Это когда токены хранятся в localStorage, sessionStorage или в переменных JavaScript.
Риск: Уязвимость к XSS — атакующий может украсть токен.

4️⃣Refresh-токен не одноразовый
Когда один и тот же refresh-токен можно использовать много раз.
Риск: Если токен перехвачен, злоумышленник может получать новые access-токены.

5️⃣Использование слабых алгоритмов (HS256 с общим ключом)
Когда используется алгоритм проверки подлинности токена HS256, но ключ стал известен.
Риск: Если злоумышленник узнает ключ, то сможет подписать любой токен.

6️⃣Отсутствие привязки к устройству или IP
Когда токен действует с любого устройства, геолокации или браузера.
Риск: Перехват токена = полный доступ.

7️⃣Ошибка валидации токена в микросервисах
Когда один из микросервисов доверяет токену без проверки.
Риск: Прямой доступ к внутреннему API.


❓Если есть что добавить- пишите в комментариях.

#токен
@testorest

⚛️Интересный опыт про передачу создания проверок и автоматизированных сценариев ИИ.
Читать тут.

Пробовали ли вы создавать проверки с помощью ИИ?
Насколько это применимо на вашем проекте?

#ии #ai
@testorest

⚛️Чем отличаются Токены от Сессии?

Почти во всех системах используется механизм сессий и токенов.
И информация об этих сущностях довольно запутанно поясняется в сети.
А нам с вами все это тестировать...


Давайте разбираться чем же эти два понятия отличаются.

На приложенной картинке краткая сравнительная таблица.

#токен #сессии
@testorest

⚛️Почему AI не может полностью заменить тестировщиков?

❗️Длиный текст 😏
Но аргументы важно знать в лицо. Особенно если вас между делом спросят "Скоро ли тестировщиков заменит ИИ?".

🔍1. Недостаток человеческой эмпатии и интуиции
Почему важно:
• Пользователи взаимодействуют с продуктами по-разному: у каждого — свои ожидания, привычки, уровень подготовки.
• Тестировщик "на глаз" может заметить, что интерфейс выглядит нелогично или некомфортно для пользователя.

Что не может AI:
• Не понимает эмоциональный опыт пользователя (UX) .
• Не способен сделать вывод: "Это работает, но все же неудобно."


🎯 2. Ограниченность данных и сценариев обучения
Почему важно:
• AI обучается на исторических данных и заранее заданных шаблонах поведения.
• Если в системе появляется новый тип ошибки или уникальная ситуация, ИИ может её не распознать.

Что не может AI:
• Сгенерировать неожиданные, сложные сценарии тестирования, как это делает человек.
• Обнаружить ошибки, которые не были учтены при обучении модели.


🧠 3. Отсутствие аналитического мышления и здравого смысла
Почему важно:
• Тестировщики умеют анализировать требования, находить противоречия, задавать уточняющие вопросы ещё до начала разработки.
• Они видят "что-то странное", даже если формально всё соответствует спецификации.

Что не может AI:
• Не умеет мыслить критически и ставить под сомнение логику работы системы.
• Не понимает контекста, если он выходит за рамки алгоритма.


🔄 4. Сложности с адаптацией к изменяющимся условиям
Почему важно:
• В реальных проектах требования часто меняются.
• Тестировщик быстро адаптируется к новым условиям, без полной перенастройки всего процесса.

Что не может AI:
• Динамически адаптироваться к изменениям в бизнес-логике без переобучения/перенастройки.
• Быстро понять новые сценарии использования продукта, если они отличаются от старых.


📋 5. Ограничения в exploratory testing (исследовательском тестировании)
Почему важно:
• Исследовательское тестирование — это творческий и гибкий подход , когда тестировщик сам решает, что проверить, исходя из того, что видит.
• Это позволяет находить скрытые проблемы, которые невозможно предугадать заранее.

Что не может AI:
• Не умеет выполнять неструктурированное исследование системы .
• Не обладает способностью "почувствовать", где может быть проблема.


🤝 6. Работа в команде и коммуникация
Почему важно:
• Тестировщик общается с аналитиками, разработчиками, менеджерами.
• Он объясняет сложные технические вещи простым языком, аргументирует важность найденных багов.

Что не может AI:
• Эффективно взаимодействовать с людьми в неформальной манере.
• Участвовать в обсуждении требований, дизайна и качества продукта.


🛠️ 7. Зависимость от автоматизированной среды
Почему важно:
• AI-инструменты работают только там, где есть:
• доступ к API
• четко определённые входы и выходы
• стабильная среда

Что не может AI:
• Тестировать нестабильную или неполную функциональность
• Работать в условиях неопределенности и динамических изменений


В итоге вывод: на текущий момент AI — помощник, а не замена.

#ai #ии
@testorest

Если бы специалистам придумывали названия в 15 веке

@testorest

⚛️Тестирование безопасности. Где практиковаться?

Последнее время тестирование безопасности становится все более необходимым пунктом для большинства проектов.

🪲С помощью проекта можно попробовать потренироваться в нахождении багов связанных с безопасностью.
Систему лучше развернуть локально.

На вкладке проекта Challenges можно увидеть вшитые уязвимости, которые нужно постараться найти. Так же там перечислены другие темы с багами в данном приложении.

Есть инструкция как продвигаться в практике на странице.

🤝 Делитесь проектами, на которых можно потренироваться в тестировании.

#самообучение #qa_практика #иб
@testorest

⚛️Кто любит подумать над очередной задачкой, головоломкой или просто работает в QA сфере: попробуйте пройти небольшой челендж для тестировщиков 🤓
Актуально и для новичков и для продолжающих)

Челендж представляет собой задания на анг. языке (но кого это сейчас останавливает? ) связанные, в основном, с работой в консоли браузера. Формулировки краткие и довольно понятные.

#челендж #qa_практика
@testorest

⚛️ Возник вопрос, какие системы управления тест-кейсами сейчас удовлетворяют условиям:

1. хостинг на своем сервере(не облако)
2. удобная(субъективно)
3. есть прогоны
4. возможность добавлять автотесты (не обязательно)
5. интеграция с CI/CD(не обязательно)

❓ Напишите в комменатриях, если знаете подходящие.


И отметьте, если вам не трудно, в опросе ниже, какими системами вы сейчас пользуетесь(особенно ценно будет увидеть ваши комментарии с упоминанием других систем).

@testorest

Всем благоприятного начала недели! 😁

@testorest

⚛️ Авторизация.

3️⃣ Авторизация —предоставление прав на выполнение определённых действий в системе. Например, открытие доступа к функционалу заказа еды в Интернет-магазине продуктов.

#авторизация
@testorest