はじめに

BurpSuite, ZAP, Fiddler は、SSL の通信を解読しながら転送するプロキシツールで、デバグ/セキュリティ診断で使われている

最近、オレオレ証明書のままだと、(診断対象外のドメインの)外部JSを読まない(「オレオレだから危険承知でアクセスしてね」ダイアログがHTMLページの内部処理(XHRなど)なので表示されない)で、エラーとなるケースが結構多いので、そろそろプロキシの証明書を認証局として信用させる方法をメモしておく

プロキシの仕組み

証明書を信頼させるためのメニューがある

ただし、このメニューだと Firefox には信頼されないと思う(Firefoxは独自管理だから)

Fiddlerは簡単に信頼させられるので、使いやすいプロキシとタンデムにして運用するのもアリだと思う

つまり

Webブラウザ⇔Fiddler⇔BurpSuiteまたはZAP⇔Webアプリケーション

な感じ。