Работали ли вы с HTTP через фреймворки и инструменты типа curl или Postman?
Что проверяют
Понимаете ли вы протокол или просто нажимаете Send в чужой коллекции. Для тестировщика это ещё и вопрос про воспроизводимость: сможете ли приложить к багу запрос, который команда повторит одной командой. Следом просят показать руками: «отправьте POST с JSON и токеном».
Как отвечать
Сначала база протокола, коротко и без пересказа учебника:
- методы: GET и HEAD безопасные, PUT и DELETE идемпотентные, POST нет, и повторно проведённая оплата это реальный баг, а не теория;
- коды: 201 с заголовком
Location, 204 без тела, 401 против 403, 409 на конфликт, 422 на невалидное тело, 429 сRetry-After; - заголовки:
Content-Type,Authorization,ETagвместе сIf-None-Match,Cache-Control, идентификатор запроса для поиска в логах.
Дальше инструменты с конкретикой. curl: -i для заголовков ответа, -v для всего обмена вместе с TLS-рукопожатием, -H и -d @body.json для JSON, -F для multipart, -b и -c для кук, --resolve чтобы попасть в конкретный инстанс мимо балансировщика, -w '%{http_code} %{time_total}' для замера, разбор ответа через jq. Postman: коллекции с окружениями, скрипты перед запросом, проверки в pm.test и валидация по JSON-схеме, прогон в CI через newman, импорт из OpenAPI. Уместно упомянуть Bruno или файлы .http, если запросы важно хранить в git и ревьюить как код.
Заканчивайте тем, что отличает тестировщика от разработчика. Проверяете не только счастливый путь: чужой токен на чужом объекте, пропущенные поля, неверный Content-Type, повтор одного запроса дважды, поведение при таймауте. Дальше те же проверки в автотестах: RestAssured, pytest с requests, APIRequestContext в Playwright.
Где спотыкаются
Путают 401 и 403. Первое означает «не поняли, кто вы», второе «поняли, но нельзя», и от этого зависит, куда идти чинить и на кого заводить баг.
Проверяют только код ответа. Ответ 200 с телом {"error": "..."} проходит такую проверку насквозь, поэтому в тестах нужна схема и утверждения по конкретным полям.
Выкладывают коллекцию с боевыми токенами в репозиторий. Секреты живут в переменных окружения, а экспорт коллекции стоит просмотреть глазами перед коммитом.