Captura HTTPS en un iPhone, sin necesidad de Mac

Una hoja de inicio de sesión cubre la app hasta que el teléfono queda emparejado. Elige Iniciar sesión con Apple o introduce tu correo y contraseña. No hay paso de activación aparte ni código que escribir: la app intercambia tu sesión iniciada por una credencial de dispositivo de larga duración, la guarda en el llavero del dispositivo y cierra la hoja.

Abre el dashboard en cualquier navegador y mira la pestaña Devices: el teléfono ya está ahí y aparece como Online. Puedes renombrarlo desde cualquiera de los dos lados; el nombre se sincroniza en ambas direcciones en tiempo real y el dispositivo conserva su identidad aunque lo renombres.

Instalar el perfil no basta. iOS exige un interruptor de confianza aparte y explícito para cualquier certificado raíz instalado por el usuario, y es el paso que más gente se salta. Ve a Ajustes, luego General, luego Información, luego Ajustes de confianza de certificados, y activa Busymate DevTools en la lista de confianza total.

Vuelve a la app. Comprueba la confianza cada pocos segundos mientras la hoja de configuración está abierta y de nuevo cada vez que vuelve a primer plano, así que en uno o dos segundos la tarjeta de estado se pone verde y dice Ready. La pantalla de inicio cambia el aviso de configuración incompleta por los controles de captura. La confianza sobrevive a una reinstalación de la app: esto se hace una vez por teléfono.

Confiar en el certificado no lo abre todo. La app solo descifra los dominios de su lista de SSL proxy; cualquier otra conexión sigue fluyendo, pero permanece cifrada y aparece con un candado cerrado, solo con el nombre de host y un contador de peticiones. Abre la lista desde el engranaje de la tarjeta de estado —Settings, luego Tunnel, luego SSL Proxying—, toca Add Domain e introduce un host.

Un nombre de host sin más coincide exactamente con ese host. Un asterisco y un punto al principio coinciden con el dominio padre y con todos sus subdominios a cualquier profundidad, que suele ser lo que quieres para una API. En la misma sección Tunnel hay dos interruptores relacionados: Inspect All Requests registra todas las conexiones que hace el teléfono en lugar de solo los hosts de la lista, y MITM All Hosts descifra todos los hosts HTTPS; es más pesado y conviene dejarlo apagado salvo que lo necesites. Ignore Hosts oculta por completo del feed el ruido de fondo, como la telemetría.

También puedes gestionar esta lista desde el dashboard: edita ahí los dominios de SSL proxy del dispositivo y el cambio se envía al teléfono en vivo, así que un compañero puede añadir un host por ti sin tocar el dispositivo.

En la pantalla de inicio, la fila Status lleva el interruptor de la VPN. Actívalo. Verás un breve Syncing y luego Connected; el icono de la app se asienta en un anillo verde fijo con una insignia VPN, y la misma insignia VPN aparece en la barra de estado de iOS. Desde ese momento, cada petición que haga el teléfono, por Wi-Fi o por datos móviles, se transmite a tu dashboard, y el túnel sigue activo cuando cambias de app.

Usa la app que estás depurando. Luego mira el dashboard: las filas nuevas aparecen en lo alto del feed en cuanto ocurren, una fila por petición, y la barra lateral de dispositivos te permite centrarte solo en este teléfono. Haz clic en cualquier fila para abrir la petición y la respuesta completas —cabeceras y cuerpo, con el JSON formateado—. En el propio teléfono, Settings, luego Tools, luego Network Log muestra la misma captura agrupada por dominio, con un candado abierto en cada host que elegiste descifrar.