Capturer le HTTPS sur un iPhone, sans Mac

Une feuille de connexion recouvre l'app jusqu'à ce que le téléphone soit appairé. Choisissez Se connecter avec Apple ou saisissez votre e-mail et votre mot de passe. Il n'y a ni étape d'activation séparée ni code à saisir : l'app échange votre session connectée contre un identifiant d'appareil longue durée, le stocke dans le trousseau de l'appareil et ferme la feuille.

Ouvrez le dashboard dans n'importe quel navigateur et regardez l'onglet Devices — le téléphone y est déjà et apparaît Online. Vous pouvez le renommer d'un côté ou de l'autre ; le nom se synchronise dans les deux sens en temps réel, et l'appareil conserve son identité malgré les renommages.

Installer le profil ne suffit pas. iOS exige un interrupteur de confiance distinct et explicite pour tout certificat racine installé par l'utilisateur, et c'est l'étape que la plupart des gens oublient. Allez dans Réglages, puis Général, puis Informations, puis Réglages des certificats, et activez Busymate DevTools dans la liste de confiance totale.

Revenez dans l'app. Elle revérifie la confiance toutes les quelques secondes tant que la feuille de configuration est ouverte, et à chaque retour au premier plan, si bien qu'en une seconde ou deux la carte d'état passe au vert et indique Ready. L'écran d'accueil remplace la mention de configuration incomplète par les commandes de capture. La confiance survit à une réinstallation de l'app — vous ne le faites qu'une fois par téléphone.

Faire confiance au certificat n'ouvre pas tout. L'app ne déchiffre que les domaines de sa liste SSL proxy ; toute autre connexion continue de passer, mais reste chiffrée et s'affiche avec un cadenas fermé, uniquement le nom d'hôte et un compteur de requêtes. Ouvrez la liste depuis l'engrenage de la carte d'état — Settings, puis Tunnel, puis SSL Proxying —, touchez Add Domain et saisissez un hôte.

Un nom d'hôte simple correspond exactement à cet hôte. Un astérisque et un point en tête correspondent au domaine parent et à tous ses sous-domaines à n'importe quelle profondeur, ce qui est généralement ce que vous voulez pour une API. Deux interrupteurs liés se trouvent dans la même section Tunnel : Inspect All Requests journalise toutes les connexions du téléphone au lieu des seuls hôtes listés, et MITM All Hosts déchiffre tous les hôtes HTTPS — plus lourd, à laisser désactivé sauf besoin précis. Ignore Hosts masque entièrement du flux le bruit de fond comme la télémétrie.

Vous pouvez aussi gérer cette liste depuis le dashboard : modifiez-y les domaines SSL proxy de l'appareil et le changement est poussé en direct vers le téléphone, si bien qu'un collègue peut ajouter un hôte pour vous sans toucher l'appareil.

Sur l'écran d'accueil, la ligne Status porte l'interrupteur VPN. Activez-le. Vous verrez un bref Syncing, puis Connected ; l'icône de l'app se fige sur un anneau vert avec un badge VPN, et le même badge VPN apparaît dans la barre d'état d'iOS. À partir de cet instant, chaque requête du téléphone, en Wi-Fi comme en cellulaire, est transmise à votre dashboard, et le tunnel reste actif quand vous changez d'app.

Utilisez l'app que vous déboguez. Puis regardez le dashboard : les nouvelles lignes apparaissent en haut du flux dès qu'elles se produisent, une par requête, et la barre latérale des appareils vous permet de vous concentrer sur ce seul téléphone. Cliquez sur n'importe quelle ligne pour ouvrir la requête et la réponse complètes — en-têtes et corps, JSON mis en forme. Sur le téléphone lui-même, Settings, puis Tools, puis Network Log montre la même capture groupée par domaine, avec un cadenas ouvert sur chaque hôte que vous avez choisi de déchiffrer.