ApiCatcher est désormais disponible sur Android
ApiCatcher for Android est désormais disponible sur Google Play. ApiCatcher couvre ainsi les quatre plateformes : iOS, Android, macOS et Windows.
Comment ça fonctionne
La version iOS intercepte le trafic au niveau système via Network Extension — un appui suffit pour démarrer la capture, sans configuration de proxy. Android reprend la même philosophie, mais s'appuie en interne sur l'API VpnService d'Android.
Au lancement de la capture, ApiCatcher crée un VpnService et une interface réseau virtuelle TUN pour intercepter tous les paquets IP de l'appareil. La bibliothèque tun2proxy (écrite en Rust) analyse les paquets TCP et transfère de manière transparente les connexions HTTP/HTTPS vers un proxy local à 127.0.0.1:8888. Un proxy MITM basé sur Netty enregistre le trafic HTTP directement ; pour le HTTPS, il déchiffre via des tunnels CONNECT et des certificats émis dynamiquement. Les applications ne détectent pas le proxy — inutile de toucher aux réglages proxy Wi-Fi ou données mobiles.
Fonctionnalités principales
La version Android aligne ses fonctionnalités clés sur la version iOS — ce n'est pas un simple sniffer de paquets.
La capture HTTPS et WebSocket (WS/WSS) est incluse. Les trames WebSocket s'affichent sous forme de liste de messages, comme dans une conversation, pour examiner facilement chaque envoi et réception. Les listes d'autorisation/refus par Host filtrent les requêtes hors sujet et évitent d'être noyé sous le trafic d'autres applications.
Pour le débogage d'API, les règles de réécriture couvrent les réponses mockées, la modification de requêtes/réponses, le remplacement par regex, la redirection, le drop et les réponses différées. Les scripts prennent le relais pour une logique plus complexe. Vous pouvez rejouer une requête instantanément, ou composer des scénarios de rejeu enchaînant plusieurs requêtes selon leurs dépendances, avec injection de paramètres entre les étapes.
ApiCatcher génère automatiquement la documentation API pendant la capture et fusionne les champs de réponse lorsque le même endpoint est capturé plusieurs fois. L'export vers Postman ou Apifox inclut l'historique de capture comme cas de test. L'export HAR et l'extraction de fichiers image, vidéo et audio sont également pris en charge.
Le mapping DNS, le scan d'API, le décodage Protobuf et le rejeu planifié sont aussi disponibles.
L'interface reprend le design iOS pour une expérience familière. JSON et XML bénéficient de la coloration syntaxique avec plusieurs thèmes au choix — l'éditeur de code utilise le même thème. Recherche JSON, repli de chemins et comparaison JSON sont intégrés. Le contenu binaire s'affiche en vue hexadécimale ; images (y compris SVG), vidéos et audio se lisent directement dans l'application.
Pour commencer
Capturer du HTTPS sur Android nécessite d'installer et de faire confiance à un certificat CA. Contrairement à iOS, Android 7 et versions ultérieures n'autorisent l'installation des certificats CA que dans le magasin utilisateur — pas dans le magasin système. Pour capturer le trafic HTTPS de votre propre application, il faut configurer le projet pour faire confiance aux certificats utilisateur.
Les étapes d'installation du certificat CA, les limitations HTTPS et la configuration développeur sont détaillées sur la page ApiCatcher for Android.
ApiCatcher for Android nécessite Android 11 (API 30) ou version ultérieure.