Используется ли авторизация, сертификаты и логин для защиты тестов?

Что проверяют

Как у вас устроен доступ к тестовым стендам и как автотесты проходят авторизацию, не раскидывая секреты. Вопрос двойной: защита окружения и тестирование самой защиты. Следом обычно спрашивают, где лежат пароли тестовых пользователей и как тесты логинятся.

Как отвечать

Разделите ответ на слои и в каждом дайте пример со своего проекта:

• доступ к стенду: stage и test закрыты от интернета через VPN, белый список IP, basic auth на прокси или корпоративный SSO. Иногда нужен клиентский сертификат (mTLS), и тогда он есть и у раннера CI;
• авторизация автотестов: логинятся через API, а не через форму. Тест получает токен запросом к сервису авторизации или по OAuth 2.0 client credentials и подставляет Authorization: Bearer .... В Playwright состояние входа сохраняют через storageState, в REST Assured или Postman токен берут в общем setup. Вход через интерфейс проверяют одним отдельным сценарием;
• секреты: пароли, ключи и сертификаты хранятся в переменных CI (GitLab CI/CD variables, GitHub Secrets) или в Vault, а не в репозитории. У каждой роли свой тестовый пользователь, данные синтетические, без копии прода.

Про сертификаты. На стенде с самоподписанным сертификатом правильный путь это добавить корпоративный CA в truststore, а не отключать проверку через relaxedHTTPSValidation() или verify=False: так тесты перестают замечать реальную поломку TLS.

Второй смысл вопроса это тесты самой авторизации: 401 без токена и с просроченным токеном, 403 при чужой роли, доступ к чужому ресурсу по подменённому id (IDOR), выход и отзыв токена. Если на проекте таких мер не было, скажите честно и опишите, что предложили бы внедрить первым.

Где спотыкаются

Путают аутентификацию и авторизацию, а заодно 401 и 403. Первая проверяет, кто вы, вторая решает, что вам можно.

Держат логины и токены прямо в коде тестов или в коллекции Postman, которая лежит в общем доступе.

Логинятся через UI в каждом тесте. Прогон растягивается в разы, а поломка формы входа валит весь набор.