Nuestro interés: somos Geonode y vendemos proxies, por lo que la primera mitad de este artículo trata sobre cómo utilizar nuestro tipo de producto con Postman. Hay que reconocer que Postman no es una herramienta adecuada para tareas que requieran un uso intensivo de proxies: aplica la configuración de proxy de forma global en lugar de por solicitud, por lo que no es fácil enviar una solicitud a través de un proxy y otra directamente. Es excelente para comprobar si un proxy funciona y para explorar una API a través de él; sin embargo, no es la herramienta adecuada para una carga de trabajo que requiera un enrutamiento diferente por cada llamada. Úsala para verificar tu configuración y, a continuación, traslada el trabajo real a un cliente que te permita controlar cada solicitud individualmente.
¿Qué función quieres?
Decídelo primero y el resto es sencillo.
Quieres que Postman envíe tus solicitudes a través de un proxy. Motivos: un proxy corporativo es la única vía de salida de tu red, o estás probando una API a través de un proxy para comprobar la geolocalización o el acceso. Esta es la configuración de proxy global, que se explica a continuación.
Quieres capturar solicitudes de otra aplicación. Motivos: ver lo que envía realmente una aplicación móvil o un navegador, o depurar una integración de terceros. Se trata del proxy integrado de Postman, que se explica más adelante. Postman actúa como intermediario y el resto del software se conecta a él.
Se configuran en lugares diferentes y resuelven problemas distintos.
Configuración de un proxy global
La documentación de Postman describe tres métodos.
Proxy predeterminado: utiliza automáticamente el proxy configurado en tu sistema. Si tu sistema operativo ya tiene uno configurado, Postman lo detecta y no tienes que hacer nada.
El proxy del sistema habilita explícitamente el proxy del sistema para las solicitudes; esta es la opción que debes marcar cuando tengas un proxy del sistema configurado y Postman parezca ignorarlo.
El proxy personalizado te permite especificar un servidor diferente. Esta es la opción que debes utilizar para un servicio de proxy comercial, y se configura en «Configuración», en la pestaña «Proxy».
Los protocolos compatibles son más amplios de lo que la gente espera. La documentación enumera «los protocolos HTTP, SOCKS5, SOCKS5H, SOCKS4 y SOCKS4A», con una limitación que se indica claramente: «Postman solo admite el envío de solicitudes HTTP y HTTPS a través de un proxy SOCKS».
Merece la pena fijarse en la entrada SOCKS5H. La variante «h» envía el nombre de host al proxy para su resolución, en lugar de resolverlo localmente, lo que evita que las consultas DNS se filtren a tu propio resolutor mientras tu tráfico sale hacia otro lugar. Si utilizas SOCKS específicamente para cambiar tu ubicación aparente, elige SOCKS5H en lugar de «SOCKS5».
La autenticación es una opción independiente. Para un proxy que requiera credenciales, la documentación indica que hay que «añadir las credenciales a la aplicación de escritorio de Postman» introduciendo un nombre de usuario y una contraseña en la pestaña «Configuración del proxy». Ten en cuenta que se trata de la aplicación de escritorio; la versión del navegador no puede conectarse a un proxy de tu red local.
La lista de exclusión te permite excluir hosts: «introduce una lista de hosts separados por comas. Las solicitudes enviadas a estos hosts no utilizarán el proxy personalizado». Introduce aquí localhost, 127.0.0.1 y cualquier nombre de host interno; de lo contrario, las solicitudes dirigidas a tu propio servidor de desarrollo se enrutarán a través del proxy y fallarán, lo que puede resultar confuso.
Comprobar que realmente funciona
El paso que la gente se salta, y el que te ahorra una hora.
Envía una solicitud a un servicio que muestre la dirección que ve:
GET https://api.ipify.org?format=json
. Ejecútalo con el proxy desactivado, anota la dirección; a continuación, activa el proxy y vuelve a ejecutarlo. Si la dirección no cambia, significa que no se está utilizando el proxy. No aparecerá ningún mensaje de error que te lo indique; la solicitud simplemente se envía directamente y se completa con éxito.
Tres razones habituales por las que no surte efecto:
La lista de exclusiones coincide con tu destino. Comprueba si hay alguna entrada que lo incluya sin querer.
Estás utilizando la versión para navegador de Postman, que no puede conectarse a un proxy de tu equipo. Es necesaria la aplicación de escritorio.
La configuración está en la pestaña equivocada. «Predeterminado», «Sistema» y «Personalizado» son opciones independientes, y configurar un proxy personalizado mientras está seleccionada la opción de proxy del sistema no tiene ningún efecto.
En el caso de los proxies con segmentación geográfica, no basta con comprobar la dirección. Verifícalo por el resultado: solicita algo que realmente difiera según la región y confirma que la respuesta cambia. Si un servicio de búsqueda indica el país correcto mientras que tu API devuelve datos de tu región de origen, significa que la segmentación no está funcionando donde debería.
Los ajustes que provocan errores en las solicitudes
Hay dos ajustes de Postman que interactúan con el uso del proxy y provocan errores confusos.
Verificación del certificado SSL. Si tu proxy intercepta el tráfico TLS —algo habitual en los proxies corporativos—, Postman rechazará el certificado porque ha sido emitido por la propia autoridad del proxy en lugar de por una de confianza. El síntoma es un error de TLS en cada solicitud HTTPS.
La solución correcta es añadir el certificado de la autoridad de certificación (CA) de tu organización en la configuración de certificados de Postman. La solución tentadora es desactivar la verificación de SSL de forma global, pero conviene entender lo que eso conlleva: todas las solicitudes en Postman aceptarán entonces cualquier certificado, incluso en las API en las que te interesaría mucho saber si algo está interceptando tu tráfico. Si debes desactivarla, hazlo a sabiendas y vuelve a activarla después.
Tiempos de espera de las solicitudes. El tiempo de espera predeterminado de Postman es generoso, pero un proxy —especialmente uno residencial— añade una latencia real a cada solicitud. Si las solicitudes a través de un proxy agotan el tiempo de espera mientras que las mismas solicitudes funcionan directamente, aumenta el tiempo de espera en la configuración antes de concluir que el proxy no funciona.
Una nota relacionada con las ejecuciones de colecciones: a través de un proxy con límite de tráfico, una ejecución de colección con un archivo de datos grande realiza una solicitud por cada fila y se paga por cada una de ellas. Esto resulta obvio a posteriori, pero sorprende al ver la factura.
El proxy integrado de Postman: captura de tráfico
La otra función, y una que resulta realmente útil.
La documentación lo describe así: «La aplicación de escritorio de Postman cuenta con un proxy integrado capaz de capturar tráfico HTTP y HTTPS». Intercepta las solicitudes de las aplicaciones cliente, las reenvía, captura las respuestas y también puede recopilar cookies.
El puerto predeterminado es el 5559.
Para configurar otro dispositivo para que se conecte a él, la documentación indica tres pasos: busca la dirección IP local de tu ordenador, configura los ajustes inalámbricos del dispositivo para que utilice un proxy HTTP con esa IP y el puerto del proxy y, en el caso concreto de iOS, ve a Ajustes, Wi-Fi, el icono de información, Configurar proxy, Manual, y a continuación introduce la IP y el puerto del servidor.
Esta es la forma más rápida de responder a la pregunta «¿qué está enviando realmente esta aplicación móvil?», que, de otro modo, resulta sorprendentemente complicada de contestar.
HTTPS requiere un certificado. La documentación indica explícitamente que el proxy «requiere la instalación del certificado postman-proxy-ca.crt en los dispositivos cliente para capturar el tráfico HTTPS seguro», y que, en el ordenador anfitrión, «la instalación del certificado permite al proxy de Postman capturar el tráfico HTTPS seguro enviado desde navegadores y otras aplicaciones cliente».
Entiende lo que eso significa antes de hacerlo. Estás instalando una autoridad de certificación que puede emitir certificados para cualquier dominio, y Postman descifra a continuación tu tráfico TLS para mostrártelo. Ese es todo el mecanismo: no hay forma de inspeccionar el tráfico cifrado sin romper el cifrado.
Hay dos consecuencias que conviene tomarse muy en serio. Elimina el certificado cuando hayas terminado, sobre todo en un teléfono que utilices para asuntos personales. Y no captures tráfico que contenga credenciales importantes para ti mientras el certificado esté instalado, ya que esas credenciales se descifran y se muestran.
Uso de entornos para gestionar tareas que dependen del proxy
Dado que Postman no puede cambiar el proxy en cada solicitud, la solución práctica consiste en modificar todo lo demás, y su función de entornos resulta ideal para ello.
Introduce la URL base de destino en una variable de entorno, no en la solicitud. Una colección cuyas solicitudes utilicen todas {{baseUrl}}
puede apuntar a un host diferente cambiando de entorno, lo que te permite comparar el comportamiento entre regiones sin tener que editar nada:
{{baseUrl}}/api/products?region={{region}}
Crea un entorno por cada escenario. Un entorno «directo» y otro «a través de proxy», cada uno con sus propias variables, te permiten cambiar de contexto con un solo menú desplegable. Aún tendrás que activar o desactivar la configuración del proxy en «Configuración», pero todo lo demás cambia con el entorno.
Guarda la comprobación de la dirección como una solicitud en la colección. Una GET https://api.ipify.org?format=json
guardada junto a tus solicitudes reales significa que confirmar el proxy requiere un solo clic en lugar de abrir una nueva pestaña. Añade un script de prueba para que registre lo que ha encontrado:
const ip = pm.response.json().ip;
pm.environment.set("observedIp", ip);
console.log("Exit address:", ip);
Comprueba el contenido dependiente de la región, no la dirección. Para el trabajo con segmentación geográfica, lo útil es comprobar si la respuesta difiere realmente:
pm.test("Response is region-specific", function () {
pm.expect(pm.response.json().currency).to.eql(pm.environment.get("expectedCurrency"));
});
Se trata del mismo principio que en cualquier otro aspecto del trabajo con proxies: una consulta de IP te indica lo que piensa el servicio de búsqueda, y solo la propia respuesta del destino te indica si la segmentación ha funcionado.
Y mantén las credenciales fuera de la colección. Las credenciales del proxy deben figurar en la configuración de Postman, y las credenciales de la API deben estar en variables de entorno marcadas como secretas —no en la solicitud y, desde luego, tampoco en una colección que pretendas exportar o compartir—. Una colección exportada incluye los valores de sus variables a menos que estén marcados como secretos, lo que supone una forma fácil de publicar un token por accidente.
¿Qué cliente utilizar para cada tarea?
Postman es una buena herramienta con un uso específico, y saber cuáles son sus límites te ahorra tiempo.
Utiliza Postman para: explorar una API de forma interactiva, comprobar si un proxy funciona, capturar el tráfico de un dispositivo y compartir una colección de peticiones con tus compañeros.
Utiliza curl para: cualquier cosa que quieras reproducir, automatizar mediante un script o pegar en un ticket. Control del proxy por solicitud con -x
, salida detallada que muestra exactamente lo que se ha transmitido por la red y un comando que funciona de forma idéntica en cualquier máquina:
curl -x http://user:pass@proxy.example.com:9000 https://api.ipify.org
. Postman puede generar un comando curl a partir de cualquier solicitud, lo cual es la forma más rápida de pasar de la exploración a algo reproducible.
Utiliza un cliente HTTP adecuado en el código para: cualquier cosa que implique un volumen real, enrutamiento por solicitud, lógica de reintentos o gestión de sesiones. La configuración global del proxy de Postman es un valor único para toda la aplicación, por lo que una carga de trabajo que requiera salidas diferentes por solicitud no puede expresarse en ella en absoluto.
Un flujo de trabajo práctico: comprueba que el proxy funciona en Postman, exporta la solicitud como curl para confirmarlo fuera de la interfaz gráfica y, a continuación, impleméntalo en el código con control por solicitud. Cada paso es más rápido que depurar el anterior con la herramienta equivocada.
Solución de problemas
Las solicitudes funcionan sin el proxy, pero fallan con él. Comprueba primero las credenciales: un código de estado 407 significa que el proxy te ha rechazado, y se trata de un error distinto al 401 procedente del destino. A continuación, comprueba si tu proveedor utiliza una lista de direcciones IP permitidas en la que no figure tu dirección actual.
Todo va lento. Los proxies residenciales añaden una latencia real por solicitud, y eso es una cuestión física más que un fallo. Aumenta el tiempo de espera y comprueba los resultados antes de concluir que algo no funciona.
Errores TLS en todas las solicitudes HTTPS. El proxy está interceptando el TLS. Añade el certificado de la CA en lugar de desactivar la verificación.
Parece que se ignoran los ajustes del proxy. Comprueba la lista de excepciones, asegúrate de que estás en la aplicación de escritorio y confirma que has activado la opción correcta: «personalizada», «del sistema» y «predeterminada» son opciones distintas.
La captura no muestra nada. Confirma que el dispositivo esté en la misma red, que el puerto coincida y que ningún cortafuegos de tu equipo esté bloqueando las conexiones entrantes en el puerto 5559.
La captura HTTPS muestra conexiones pero no contenido. El certificado de la CA no está instalado o no es de confianza en el dispositivo cliente. En algunas plataformas, instalar un certificado y marcarlo como de confianza son pasos distintos.
Un error 407 que persiste a pesar de tener las credenciales correctas. Comprueba si hay caracteres en la contraseña que necesiten codificación y confirma si tu proveedor exige credenciales; muchos ofrecen en su lugar una lista de direcciones IP permitidas, lo que elimina por completo las credenciales de la configuración y merece la pena utilizarlo cuando tu dirección es estable.
Preguntas frecuentes
¿Cómo configuro un proxy en Postman?
En la aplicación de escritorio, abre «Configuración» y ve a la pestaña «Proxy»; a continuación, selecciona un proxy personalizado e introduce el servidor y el puerto. Postman también permite utilizar automáticamente el proxy del sistema. Añade las credenciales en la misma pestaña si el proxy las requiere.
¿Admite Postman los proxies SOCKS?
Sí; la documentación enumera HTTP, SOCKS5, SOCKS5H, SOCKS4 y SOCKS4A. La limitación indicada es que solo se pueden enviar solicitudes HTTP y HTTPS a través de un proxy SOCKS. Es preferible utilizar SOCKS5H en lugar de SOCKS5, ya que resuelve los nombres de host en el proxy y evita la filtración de consultas DNS.
¿Por qué Postman ignora mi configuración de proxy?
Normalmente se debe a una de estas tres razones: el servidor de destino coincide con una entrada de la lista de exclusión, estás utilizando la versión para navegador en lugar de la aplicación de escritorio, o has configurado un proxy personalizado mientras hay seleccionada otra opción de proxy. Compruébalo solicitando un servicio que muestre tu dirección.
¿Cómo capturo solicitudes con Postman?
Utiliza el proxy integrado, cuyo puerto predeterminado es el 5559. Averigua la IP local de tu ordenador, configura el dispositivo cliente para que lo utilice como proxy HTTP en ese puerto e instala el certificado postman-proxy-ca.crt en el dispositivo si necesitas capturar HTTPS.
¿Por qué me aparecen errores SSL al utilizar un proxy en Postman?
Porque el proxy intercepta el tráfico TLS y presenta su propio certificado, en el que Postman no confía. Añade el certificado de la autoridad de certificación (CA) de tu organización en la configuración de certificados de Postman. Desactivar la verificación SSL funciona y se aplica a todas las solicitudes posteriores, lo que supone un coste significativo.
¿Puedo configurar un proxy diferente para cada solicitud en Postman?
No. La configuración del proxy se aplica a toda la aplicación, lo cual es la razón principal por la que Postman no es adecuado para cargas de trabajo que requieran salidas diferentes por cada solicitud. Para eso, utiliza un cliente basado en código y emplea Postman para verificar que el proxy funciona antes de implementarlo.
¿Cuál es la diferencia entre la configuración de proxy de Postman y su «proxy de captura»?
La configuración del proxy redirige las propias solicitudes de Postman a través de un proxy externo. El proxy de captura hace que Postman actúe como un proxy a través del cual otras aplicaciones envían sus solicitudes, de modo que puedas ver lo que transmiten. Son direcciones opuestas y configuraciones independientes.
¿Es seguro instalar el certificado CA de Postman?
Se trata de una compensación deliberada. El certificado permite a Postman descifrar tu tráfico HTTPS, que es la única forma de inspeccionarlo; y eso significa que cualquier entidad con ese certificado puede emitir certificados de confianza para cualquier dominio. Instálalo cuando necesites la función de captura, elimínalo cuando hayas terminado y evita manejar credenciales confidenciales mientras esté instalado.
Conclusión
La confusión en torno a este tema se debe exclusivamente a un problema de nomenclatura. La configuración de proxy de Postman envía tus solicitudes a través del proxy de otra persona; el proxy de captura de Postman convierte a Postman en el intermediario para otras aplicaciones. Decidir cuál te conviene te llevará diez segundos y te ahorrará tener que leer la documentación equivocada.
Para la primera opción, utiliza la aplicación de escritorio, configura un proxy personalizado en «Configuración», añade localhost a la lista de excepciones y —esto es lo importante— compruébalo solicitando un servicio que muestre tu dirección, ya que una configuración de proxy que no hace nada no genera ningún error.
Para la segunda opción, utiliza el puerto 5559 y un certificado de CA en el dispositivo cliente. Ten en cuenta que el certificado existe para que Postman pueda descifrar tu tráfico, y elimínalo cuando hayas terminado.
Y ten en cuenta hasta dónde llega Postman. Aplica la configuración del proxy de forma global, por lo que no puede gestionar el enrutamiento por solicitud. Úsalo para confirmar que un proxy funciona, exporta la solicitud como curl para comprobarlo fuera de la interfaz gráfica y, a continuación, implementa la solución definitiva en código —lo cual es más rápido que intentar que una herramienta interactiva realice una tarea que debería estar automatizada mediante un script—.