Proxy de débogage web expliqué : Fiddler, Charles, Burp Suite — Comment ils fonctionnent
C'est quoi
Un proxy de débogage web s'intercale entre navigateur (client) et serveur, interceptant requêtes/réponses HTTP(S) pour inspection, modification, et relecture.
Principaux outils
| Outil | Plateforme | Forces | Coût |
|---|---|---|---|
| Fiddler Classic / Everywhere | Win / Mac / Linux | Déchiffrement HTTPS auto, scriptable (JScript/TS), Composer, AutoResponder | Gratuit / 10$/mois |
| Charles Proxy | Mac / Win / Linux | UI polie, throttling, repeat/edit, vues Focus/Sequence | 50$ licence |
| Burp Suite Community / Pro | Java (tout) | Scanner (Pro), Intruder, Repeater, Sequencer, Extensions (BApp Store) | Gratuit / 449$/an |
| mitmproxy | CLI / Web UI | Scriptable (Python), mode transparent, léger | Gratuit (OSS) |
| Proxyman | Mac / iOS | UI native Apple, capture iOS remote via USB | Gratuit / 69$ |
Configuration de base
- Installer proxy ; noter port (défaut 8888 Fiddler, 8888 Charles, 8080 Burp).
- Installer certificat CA racine (proxy → HTTPS → Trust).
- Configurer proxy navigateur/système :
127.0.0.1:PORT. - Pour mobile : proxy Wi-Fi sur IP ordi:PORT ; installer CA sur appareil.
Workflows courants
- Débogage API : Inspecter payloads JSON, headers, latence.
- Reproduction bugs : Modifier requête (changer user-id, params) → rejouer.
- Performance : Timeline waterfall, identifier ressources bloquantes.
- Tests sécurité : Burp Scanner, sondes manuelles XSS/CSRF/SQLi.
- Reverse engineering app mobile : Bypass pinning (Frida + proxy).
Éthique/Légal
Interceptez seulement trafic vous appartenant ou avec permission explicite test. Interception non autorisée viole lois écoutes (ECPA, GDPR, CMA).