Privacidade de dados na automação de testes: mantenha os dados sensíveis on-premise
Privacidade de dados na automação de testes explicada: para onde vão as capturas de tela, os vídeos e os prompts de IA, o que o GDPR e a HIPAA exigem, e como a IA local, um modelo que fornecemos ou um seu, mantém os dados de teste dentro de casa.
11 min de leituraPela equipe do GUI Test Studio
O que um teste de ponta a ponta vê
Definição
A privacidade de dados na automação de testes é a prática de saber, e limitar, onde vão parar os dados com que os seus testes lidam.
- Ela importa sobretudo nos testes de ponta a ponta, porque eles trabalham pelas telas do seu aplicativo.
Um teste de ponta a ponta conduz o seu aplicativo como um usuário faz.Então ele vê tudo o que um usuário vê: nomes de clientes, números de conta, prontuários de pacientes, preços, endereços e as ferramentas internas que a sua equipe usa todos os dias.
Um teste de regressão de um portal de seguros falha na etapa de pagamento.O relatório dele contém uma captura de tela do formulário: o nome do cliente, o endereço, o número da apólice e os últimos dígitos de um cartão.O vídeo mostra a sessão inteira.
Se a execução aconteceu em uma grade de testes na nuvem, tudo isso agora está nos servidores de outra empresa, pelo tempo que as regras de retenção dela mandarem.
Para onde vão os dados de teste: capturas de tela, vídeos e prompts de IA
Toda ferramenta de testes faz cópias do que vê.A questão é onde elas ficam guardadas, por quanto tempo e quem pode abri-las.
| Onde | O que contém | Quem tem acesso |
|---|---|---|
| Os próprios arquivos do seu framework | Traces, capturas de tela e vídeos escritos ao lado da execução do teste. | Qualquer pessoa que consiga ler essa pasta, o seu servidor de CI e o armazenamento de artefatos dele. |
| Uma grade de testes na nuvem | Vídeos de sessão, capturas de tela e logs de cada execução. | O provedor, segundo as regras de retenção e de acesso dele. |
| Um serviço de testes SaaS ou de testes visuais | Capturas de tela e linhas de base enviadas para comparação. | O serviço, a menos que você o instale na sua própria rede. |
| Um modelo de IA na nuvem | As imagens e o texto de cada prompt. | O provedor de IA, segundo os termos dele para a sua conta. |
| Rastreadores de bugs e chat | As capturas de tela e os vídeos que as pessoas anexam a um bug. | Todos que conseguem abrir o chamado ou o canal. |
Playwright
Os frameworks de código aberto guardam as evidências na máquina que executou o teste, a menos que você as envie para algum lugar.Um trace do Playwright registra um screencast, snapshots do DOM de cada ação, o console e cada requisição de rede, e os vídeos dele são escritos na pasta de saída dos testes.Um trace de um formulário de login contém o que quer que esse formulário tenha mostrado.
Selenium Grid
O Selenium Grid roda em máquinas que você mesmo configura, então os arquivos dele ficam onde você os coloca.O custo é o tempo para montar, operar e manter essa grade.
BrowserStack · Sauce Labs · TestMu AI
Grades na nuvem como BrowserStack, Sauce Labs e TestMu AI (antiga LambdaTest) executam os seus testes nos navegadores e dispositivos delas.A documentação da BrowserStack lista os logs de sessão, o vídeo, as capturas de tela e os logs do Selenium como lugares onde dados sensíveis podem aparecer, e documenta configurações para mascarar valores e desativar as gravações.A Sauce Labs grava um vídeo de cada teste por padrão, e documenta configurações para desativar o vídeo, as capturas de tela das etapas e os logs.
Applitools Eyes
Os serviços de testes visuais comparam capturas de tela em um servidor.O Applitools Eyes, por exemplo, envia cada captura de tela ao servidor Eyes dele, que pode ser a nuvem pública deles, uma nuvem dedicada ou uma instalação na sua própria rede.
Os recursos de IA acrescentam mais um caminho.A autocorreção, a geração de testes e a revisão visual muitas vezes enviam o conteúdo da página, capturas de tela ou os dois a um modelo na nuvem.
Privacidade de dados na automação de testes: GDPR, HIPAA, PCI DSS e SOC 2
GDPR
Pelo GDPR, qualquer informação sobre uma pessoa identificável é um dado pessoal, e os dados pessoais em capturas de tela não são exceção.
- As regras valem para os ambientes de teste tanto quanto para a produção.
- Um serviço de testes que guarda as suas capturas de tela trata dados pessoais em seu nome, o que exige um contrato de tratamento de dados.
- Se ele os mantém fora do Espaço Econômico Europeu, as regras de transferência também se aplicam.
- A minimização de dados significa guardar só o necessário, pelo tempo necessário.
HIPAA
Pela HIPAA, um serviço que cria, recebe, mantém ou transmite informações de saúde protegidas para uma entidade coberta é um associado comercial, e precisa de um contrato de associado comercial.
- O Departamento de Saúde e Serviços Humanos dos EUA diz que isso vale para um serviço na nuvem mesmo quando ele guarda os dados criptografados sem a chave.
- Um serviço de testes que guarda gravações de prontuários de pacientes pode cair nessa regra.
PCI DSS
O PCI DSS v4.0 diz que números de cartão reais não são usados em ambientes de pré-produção, a menos que esses ambientes sejam protegidos como parte do ambiente de dados do titular do cartão.Teste com os números de cartão de teste do seu provedor de pagamentos, e uma captura de tela de um formulário de pagamento nunca mostra um número real.
SOC 2
O SOC 2 é o relatório de um auditor sobre os controles de uma organização de serviços, não um certificado.Quando uma ferramenta de testes guarda as suas capturas de tela, ela se torna mais um fornecedor que a sua própria auditoria precisa considerar.Menos lugares guardando cópias significa menos fornecedores a avaliar.
Gestão de dados de teste: dados sintéticos e mascaramento
A captura de tela mais segura é a que não mostra nada real.
Dados de produção
Mascarados: o mesmo formato, dados de ninguém
Do
- Execute os testes com uma conta de teste cheia de dados sintéticos: nomes, endereços e números que parecem reais e não pertencem a ninguém.
- Mascare os dados de produção antes que eles cheguem a um ambiente de teste, mantendo o formato: os mesmos tamanhos, formatos e relações.
- Use os números de cartão de teste do seu provedor de pagamentos.
- Feche o e-mail, o chat e os documentos antes de gravar um teste: uma gravação de tela mostra a tela inteira.
- Guarde os segredos no cofre de segredos da sua ferramenta de CI, nunca em um teste ou nos logs dele.
Avoid
- Copiar um banco de dados de produção para um ambiente de teste do jeito que ele está.
- Gravar um teste com o registro de um cliente real aberto.
- Anexar vídeos de tela inteira com dados reais a chamados que todos podem ler.
- Enviar telas a um serviço de IA que a sua empresa não aprovou.
Um checklist de privacidade de dados para ferramentas de automação de testes
Antes de escolher uma ferramenta, ou antes de ativar um recurso novo da que você já tem, faça cinco perguntas.
- 1Onde as capturas de tela, os vídeos e os logs são armazenados, e em que país?
- 2Por quanto tempo eles são guardados, e nós mesmos podemos excluí-los?
- 3O que é enviado a um modelo de IA, a qual provedor e com a conta de quem?
- 4Os testes, as execuções e os relatórios podem ficar inteiramente nos nossos próprios computadores?
- 5Do que a ferramenta ainda precisa da internet, e o que essa conexão transporta?
Para ver lado a lado como funcionam as ferramentas de testes de ponta a ponta de hoje, veja o estudo comparativo.
Como a automação de testes on-premise mantém as suas telas dentro de casa
Definição
Automação de testes on-premise significa que a ferramenta de testes e tudo o que ela produz rodam em computadores que você controla.
- O GUI Test Studio funciona assim.
Você grava um teste de ponta a ponta no GUI Test Runner-Recorder, ou o descreve em um prompt, e o edita no GUI Test Studio em uma linha do tempo visual.Um teste é um único arquivo, salvo em uma pasta só dele, onde você escolher.
Gravar
No seu próprio computador
Executar
O seu computador ou os seus próprios agentes de build
Relatar
Salvo em uma pasta ao lado do teste
Compartilhar
Só o que você escolher enviar
Cada execução fica guardada na pasta results, dentro da pasta do próprio teste: o vídeo, o Relatório de confiança e a entrada do histórico dela.Nenhum teste, gravação, captura de tela ou resultado é enviado a nós.
O GTS Engine + AI encontra e verifica cada elemento no seu computador.Ele pergunta ao aplicativo onde está um elemento, pelas informações de acessibilidade dele, e o encontra pela visão quando o aplicativo não diz nada.As asserções textuais leem as palavras na tela com um reconhecimento de texto instalado com a suíte, então nenhum serviço externo lê as suas telas.Como o mecanismo encontra cada elemento.
Em um pipeline de CI/CD, o gtr-cli executa os mesmos testes nos seus próprios agentes de build e escreve cada artefato em uma pasta que você escolhe.Veja CI/CD.
Quando um teste falha, um relatório de bug é um PDF ou uma planilha escritos no seu disco.Se você conectar o Jira, o item é criado no seu próprio site do Jira, direto do seu computador: nada passa pelos nossos servidores.
Automação de testes com IA local: asserções com IA que ficam no seu computador
A Análise inteligente com IA é o lado de IA, opcional, do GTS Engine + AI.Quando uma asserção falha, ela dá um segundo olhar, diz em palavras simples o que mudou e dá o veredito final dessa asserção.Ela fica desativada até você ativá-la, e você escolhe onde ela é executada.
| Onde a IA é executada | O que sai do seu computador |
|---|---|
| Desativada, o padrão | Nada. |
| Um modelo de IA local neste computador | Nada.O modelo roda no mecanismo integrado do GUI Test Studio, na sua própria placa de vídeo ou no seu processador. |
| Um servidor de IA que a sua empresa opera | A asserção reprovada, para o seu próprio servidor: o LM Studio ou qualquer servidor local compatível com a OpenAI. |
| Um modelo na nuvem, com a sua própria chave | Só uma asserção reprovada, enviada direto à OpenAI ou à Anthropic com a sua chave, nunca por nós. |
Com um provedor na nuvem, uma asserção aprovada nunca é enviada.
- Uma asserção visual reprovada envia duas imagens: o elemento como era esperado e como foi encontrado.
- Uma asserção textual reprovada envia a parte da tela que ela leu e as palavras que esperava.
- As Instruções para a IA que você escreveu para essa asserção vão junto.
- A sua chave de API é guardada criptografada, só para a sua conta do Windows.
Um modelo de IA local, um LLM local, é baixado uma vez, quando você pede, do editor dele.Antes de ser usado, ele é conferido com o checksum publicado, e um arquivo que não confere é excluído.Depois disso, o modelo não precisa de conexão com a internet.Configurar para mim recomenda o melhor modelo que a sua placa de vídeo e a sua memória conseguem executar bem, e o baixa.
Prefere não executar um modelo você mesmo?No plano Enterprise, podemos executar a Análise inteligente com IA para a sua equipe no nosso próprio serviço, como uma opção com preço à parte.Como qualquer opção na nuvem, isso significa que as asserções reprovadas saem dos seus computadores, então escolha-a quando as suas regras permitirem.Veja os preços.
Testes a partir de um prompt, sem enviar as suas telas
O GUI Test Studio também pode criar um teste a partir de um prompt.Você descreve o fluxo, um assistente de IA o executa no seu computador e salva um teste comum.
Com o Claude ou o ChatGPT, o assistente trabalha a partir do que vê: capturas da sua tela e os textos que ele lê nela.Elas vão para o provedor do assistente, sob a sua conta nele.
Para uma tela com dados reais, use um modelo de IA local no lugar.O cartão Este computador cria o teste com um modelo no mecanismo integrado do GUI Test Studio, ou com um seu, e o seu pedido e a sua tela nunca saem do computador.Veja Criar um teste a partir de um prompt.
O que ainda se conecta à internet
Veja a que os aplicativos se conectam, e o que cada conexão transporta.
Nos seus computadores
O nosso site
A sua IA na nuvem, se você escolher uma
O seu site do Jira
| Conexão | Por quê | O que transporta |
|---|---|---|
| Login e licença | Para confirmar a sua avaliação gratuita ou a sua assinatura, na inicialização e depois regularmente. | A sua conta e uma breve descrição do computador.Nunca um teste. |
| Atualizações | Para verificar se há uma versão mais nova na inicialização. | O nome do aplicativo, a versão dele e o seu login.Nunca um teste. |
| Estatísticas de uso | Para saber quais recursos são usados.Ativadas por padrão, desativadas com uma única opção. | Só contagens e configurações: nunca um teste, um nome de arquivo, um endereço, uma captura de tela ou um texto das suas telas. |
| IA na nuvem, se você a escolher | Para explicar uma asserção reprovada. | As imagens e as palavras dessa asserção, para o provedor que você escolheu. |
| Um modelo local, se você o escolher | Para baixar uma vez um modelo dos nossos.Um modelo seu não precisa de conexão. | Nada sobre você nem sobre os seus testes. |
| Jira, se você o conectar | Para registrar um teste reprovado como um item. | O relatório de bug e as imagens dele, para o seu próprio site do Jira. |
- Você desativa as estatísticas de uso nas Preferências de qualquer um dos aplicativos, ou no instalador.
- Desativá-las também exclui o que o seu computador enviou antes.
- Uma instalação silenciosa as desativa com /TELEMETRY=off.
Perguntas
É seguro usar IA na automação de testes com dados sensíveis?
É, quando a IA é executada onde os seus dados podem ir.No GUI Test Studio, a Análise inteligente com IA vem desativada por padrão e pode ser executada em um modelo de IA local no seu próprio computador, um dos nossos ou um seu, para que as telas que ela compara nunca saiam dele.
Capturas de tela e vídeos de teste são dados pessoais perante o GDPR?
Sim, quando mostram informações sobre uma pessoa identificável, como o nome ou o número de conta de um cliente.Trate-os como qualquer outra cópia de dados pessoais: guarde-os onde você tem controle, e só pelo tempo de que precisar.
O que é automação de testes on-premise?
Automação de testes on-premise significa que a ferramenta de testes e tudo o que ela produz rodam em computadores que você controla, não na nuvem de um provedor.Você decide onde os testes, as gravações e os resultados ficam guardados, e quem pode abri-los.
O GUI Test Studio envia os meus testes ou capturas de tela aos servidores dele?
Não.Os testes, as gravações, as capturas de tela, os resultados e os relatórios ficam nos seus computadores, como arquivos.Os aplicativos só contatam o nosso site para fazer o seu login, verificar a sua licença e as atualizações, e enviar estatísticas de uso que você pode desativar, as quais nunca contêm o conteúdo de um teste.
Que modelos de IA locais posso usar?
O GUI Test Studio recomenda o melhor modelo que a sua placa de vídeo consegue executar bem e o baixa uma vez, quando você pede.Você também pode apontá-lo para um servidor de IA que você já opera, como o LM Studio ou qualquer servidor local compatível com a OpenAI.
Playwright, Selenium, BrowserStack, Sauce Labs, TestMu AI, LambdaTest, Applitools, Jira, LM Studio, Claude, ChatGPT, OpenAI, Anthropic e Windows são marcas registradas de seus respectivos proprietários.
Pronto para gravar o seu primeiro teste?
Todos os recursos, por 15 dias.
Prefere ver no tipo de aplicativo que você testa?Agende uma chamada gratuita de 30 minutos com a nossa equipe.