Tài khoản test không giới hạn trên một tên miền catch-all

Vì sao một nhà cung cấp thư là hình dạng sai cho QA

Mọi cách cấp địa chỉ email cho một bộ kiểm thử đều đã được thử qua, và mỗi cách lại rò rỉ ở một chỗ khác nhau:

Hàng thứ tư chính là nội dung của hướng dẫn này. Đó là cùng một cơ chế mà các tên miền dùng một lần công khai vận hành trên đó — một máy chủ chấp nhận mọi địa chỉ trên một tên miền thay vì một danh sách hộp thư — được áp dụng cho một cái tên mà không ai ngoài bạn đang dùng.

Bản ghi DNS duy nhất

Tại nhà cung cấp DNS của bạn, hãy thêm một bản ghi MX duy nhất tại gốc của một tên miền bạn sở hữu. Không cần bản ghi nào khác, không cần TXT để chứng minh gì cả, không cần tài khoản trên trang này:

Bản ghi MX cho tên miền10 smtp.grabmail.ioSao chép

1. Công bố bản ghi MX. Priority 10, trỏ đến smtp.grabmail.io. Hãy xóa mọi bản ghi MX khác trên tên miền đó — thư chỉ có thể được chuyển đến một nơi duy nhất, và một bản ghi còn sót lại sẽ gửi một phần thư đi nơi khác.
2. Chờ DNS cập nhật. Thường chỉ mất vài phút; đôi khi lâu bằng TTL của bản ghi cũ từng có ở đó trước đây. dig MX qa-example.com sẽ cho biết khi nào nó đã có hiệu lực.
3. Gửi một thư đến bất kỳ địa chỉ nào trên đó. Lượt chuyển thư đầu tiên chính là thứ kết nối tên miền: máy chủ tra cứu MX ngay tại khoảnh khắc đó, thấy chính mình trong đó, và chấp nhận. Từ đó trở đi, mọi địa chỉ trên tên miền đều là một hộp thư.

Một hình mẫu đặt tên tự nói lên ai đã tạo ra hộp thư

Vì mọi địa chỉ đều hợp lệ, local part hoàn toàn tự do để mang thông tin — và vào lúc hai giờ sáng, với một lượt chạy thất bại và một hộp thư đang mở, bạn sẽ muốn nó làm đúng điều đó. Ba phần, nối với nhau bằng dấu gạch ngang, theo thứ tự sau:

// one helper, every runner: who made it, which run, and eight random characters
export const testAddress = (who: string, run = process.env.GITHUB_RUN_ID ?? 'local') =>
  `${who}-${run}-${crypto.randomUUID().slice(0, 8)}@qa-example.com`;

testAddress('signup');        // signup-1234567890-3f9a1c2e@qa-example.com

Đọc bất kỳ địa chỉ nào, cùng ba lệnh gọi

Không có gì trong API thay đổi khi dùng tên miền riêng của bạn. Cùng lệnh gọi liệt kê, cùng lệnh gọi lấy thư, cùng lệnh xóa — không cần key ở gói công khai, và tên miền trong địa chỉ là thứ duy nhất khác đi:

$ curl -sG https://grabmail.io/api/v1/mailbox --data-urlencode "address=signup-1234567890-3f9a1c2e@qa-example.com"

Điều đó có nghĩa là mọi helper trên trang này đều hoạt động nguyên vẹn sau khi chỉ cần sửa một hằng số: fixture của Playwright, task của Cypress, các module Python và Node. Có ba điều đáng biết mà các tên miền công khai không bao giờ khiến bạn phải bận tâm:

Một lỗi 404 nghĩa là MX chưa có ở đó

Lượt liệt kê trả về 404 cho một tên miền không được lưu trữ ở đây. Với tên miền riêng của bạn, đó là vấn đề DNS — bản ghi chưa kịp lan truyền, hoặc trỏ đi nơi khác — chứ không phải vấn đề của API. Hãy chạy dig MX trước tiên.

Alias cũng hoạt động trên tên miền của bạn

Mọi hộp thư, trên bất kỳ tên miền nào, đều có một địa chỉ thứ hai trên một tên miền riêng biệt, chuyển thư vào hộp thư đó nhưng không đọc được nó. Hãy đưa địa chỉ đó cho một trang web khi bạn muốn nó không thể mở được hộp thư; còn bạn thì thăm dò trên địa chỉ thật của chính mình.

Một địa chỉ bận rộn sẽ được phân trang

Một địa chỉ catch-all hứng thư dội ngược hay cả một ngày thông báo có thể chứa nhiều hơn một trang 200 thư. Hãy truyền next ngược lại thành before cho đến khi nó là null.

Giữ cho một tên miền kiểm thử luôn dùng được

Một tên miền riêng của bạn không nằm trong bất kỳ danh sách chặn email dùng một lần nào, và đó thường chính là lý do để dùng nó ngay từ đầu: ứng dụng đang được kiểm thử từ chối grabmail.io và mọi tên miền công khai khác, đúng như nó nên làm. Bốn thói quen sau giữ cho tình trạng đó tiếp tục:

• Dùng một tên miền riêng biệt — qa-example.com, không phải một subdomain của production và không phải tên miền khách hàng vẫn viết thư đến. Dịch vụ này chỉ chấp nhận tên miền cấp đăng ký (example.com, không bao giờ là mail.example.com), và một tên miền kiểm thử không nên có nhiệm vụ nào khác.
• Đừng công bố nó. Các danh sách chặn được xây dựng từ những gì xuất hiện trên các trang email tạm thời công khai và trong các bộ dữ liệu địa chỉ bị rò rỉ dùng chung. Một tên miền chỉ xuất hiện trong bộ kiểm thử của riêng bạn thì không có cách nào lọt vào đó được.
• Khóa nó lại bằng SPF và DMARC. Một tên miền chỉ nhận thư mà không có SPF là một tên miền mà bất kỳ ai cũng có thể giả mạo để gửi thư đi; hai bản ghi sẽ khóa chặt lỗ hổng đó, và không tốn kém gì cả.
• Đừng trỏ thư thật vào đó. Ngay khoảnh khắc một hệ thống staging gửi thông báo cho khách hàng đến một địa chỉ catch-all, một hộp thư công khai sẽ chứa dữ liệu khách hàng. Tên miền kiểm thử chỉ nên mang thư kiểm thử.

Nếu ứng dụng từ chối mọi tên miền catch-all — một số bước kiểm tra gian lận làm vậy, bằng cách dò xem một địa chỉ ngẫu nhiên trên tên miền đó có được chấp nhận hay không — thì có một nhóm tên miền .com trả phí, trông như bình thường, được giữ ngoài các danh sách chặn, mô tả trên trang bảng giá. Bài vì sao biểu mẫu đăng ký chặn email dùng một lần giải thích từng kiểu kiểm tra nhìn thấy gì.

Dành cho một team: một tên miền, nhiều tester, nhiều pipeline

Một tên miền catch-all duy nhất phục vụ cho tất cả mọi người, vì local part là thứ duy nhất cần khác nhau, và việc đó thì miễn phí. Điều một team cần là sự thống nhất về cách đặt tên ở trên, cùng ba quy ước nhỏ:

Một tiền tố cho mỗi pipeline và mỗi người

e2e-, nightly-, alice-. Tìm kiếm tiền tố đó trong log của một job sẽ ra mọi hộp thư mà job đó đã tạo; tìm tiền tố của một đồng nghiệp sẽ ra đúng lỗi mà họ đang xem xét.

Không bao giờ dùng chung bất cứ thứ gì

Không có “hộp thư chung của team” nào trên tên miền đó, và không có fixture nào phát ra một địa chỉ cố định. Nếu hai người cần cùng một hộp thư, một trong hai người sẽ gửi địa chỉ đó cho người kia.

Các giới hạn tốc độ được tính theo từng client

Một lần đọc mỗi giây cho mỗi địa chỉ, 1200 yêu cầu mỗi phút cho mỗi client — một CI runner là một client, một laptop là một client khác. Một team mười người cùng chạy bộ kiểm thử một lúc là mười client, chứ không phải một.

Các giới hạn được áp dụng

Tên miền riêng của bạn nhận được cùng một dịch vụ như các tên miền công khai, với cùng những mức trần. Không mức nào có thể điều chỉnh, và không mức nào là vấn đề đối với một bộ kiểm thử:

Trước khi bạn coi như đã xong

• Một tên miền cấp đăng ký riêng biệt, với một bản ghi MX: 10 smtp.grabmail.io, và không có bản ghi MX nào khác.
• Một thư đã được gửi đến bất kỳ địa chỉ nào trên đó, và đọc lại được qua API.
• SPF và DMARC đã được công bố, để không ai có thể gửi thư mạo danh tên miền đó.
• Một helper đặt tên — ai, lượt chạy nào, tám ký tự ngẫu nhiên — được mọi bộ kiểm thử sử dụng.
• Tên miền được giữ trong cấu hình môi trường, không bao giờ trong code, ảnh chụp màn hình, hay ticket.
• Không có gì gửi thư khách hàng thật được trỏ vào đó.

Từ đây trở đi, các bộ kiểm thử đều đã được viết sẵn: Playwright với tên miền nằm trong fixture của nó, kỷ luật không phụ thuộc runner cụ thể, và workflow GitHub Actions với tên miền nằm trong một biến.

Câu hỏi