Postman: qué es, pruebas de API y trabajo con solicitudes

Qué es Postman y sus funciones clave

Postman es una plataforma para desarrollar y probar API, disponible como aplicación de escritorio (Windows, macOS, Linux) y versión web. Creado originalmente como extensión para Chrome en 2012, Postman se ha convertido en un ecosistema completo con soporte de monitoreo, mock servers y generación de código de cliente.

Formatos de solicitudes y respuestas

Postman admite todos los métodos HTTP: GET, POST, PUT, PATCH, DELETE, HEAD, OPTIONS. El cuerpo de la solicitud puede estar en formatos JSON, XML, form-data, x-www-form-urlencoded y binary. La respuesta se muestra con resaltado de sintaxis, Pretty-print y la posibilidad de ver los encabezados sin procesar.

Soporte de autenticación

Los tipos de autenticación integrados incluyen Bearer Token, Basic Auth, Digest Auth, OAuth 1.0, OAuth 2.0, API Key y AWS Signature. Postman agrega automáticamente los encabezados Authorization según el tipo seleccionado, lo que acelera las pruebas de endpoints protegidos sin copiar tokens manualmente.

Interfaz de Postman y navegación

La interfaz de Postman consta de un panel lateral (Collections, APIs, Environments), un área de trabajo (Request Builder/Response Viewer) y un panel inferior (Console, Runner). La pestaña Params permite editar los parámetros de consulta de la URL en vista de tabla, y la pestaña Headers administra los encabezados HTTP.

Postman Console

Console (View → Show Postman Console) registra todas las solicitudes y respuestas de red en orden cronológico, incluidos los redireccionamientos intermedios y los encabezados. Es una herramienta indispensable al depurar flujos OAuth complejos y cadenas de redireccionamientos cuando el Response Viewer estándar solo muestra el resultado final.

Workspaces y trabajo en equipo

Postman admite espacios de trabajo en equipo con control de versiones de colecciones mediante Fork y Merge. Los miembros del equipo pueden comentar las solicitudes, proponer cambios y sincronizar las colecciones en tiempo real. Public Workspace permite publicar documentación de API para desarrolladores externos.

Creación y envío de solicitudes HTTP

Una solicitud básica en Postman se crea seleccionando un método HTTP e introduciendo una URL en la barra de direcciones. Tras el envío, la respuesta se muestra en el panel inferior con el código de estado, el tiempo de ejecución y el tamaño. Los parámetros de la solicitud se codifican automáticamente al escribir.

Variables dinámicas y snippets

Se pueden usar variables dinámicas en el formato {{$variable}} en la URL y el cuerpo de la solicitud. Las variables integradas {{$guid}}, {{$timestamp}} y {{$randomInt}} generan valores únicos para cada solicitud. Los snippets de código están disponibles mediante el botón Code (), que genera una solicitud equivalente en cURL, Python, JavaScript, Kotlin, Swift y otros lenguajes.

// Ejemplo de script en Pre-request: generación de firma HMAC
const timestamp = Date.now().toString();
const secret = pm.environment.get("api_secret");
const hash = CryptoJS.HmacSHA256(timestamp, secret);
pm.request.headers.add({
    key: "X-Signature",
    value: hash.toString()
});

Colecciones y variables de entorno

Las colecciones son grupos de solicitudes relacionadas combinadas por proyecto o módulo funcional. Cada colección puede contener carpetas anidadas, encabezados compartidos y scripts Pre-request que se ejecutan antes de cada solicitud de la colección. El orden de las solicitudes se establece arrastrándolas.

Variables de entorno y variables globales

Postman admite cinco niveles de variables: global, collection, environment, data y local. La prioridad de resolución de conflictos va de local a global. Los archivos de entorno contienen pares clave-valor para distintos entornos: development, staging, production. Cambiar de entorno modifica todas las URL y tokens automáticamente.

Automatización de pruebas de API con scripts

Postman permite escribir pruebas en JavaScript en la pestaña Tests que se ejecutan tras recibir la respuesta. Las pruebas verifican el código de estado, el cuerpo de la respuesta, los encabezados y el tiempo de ejecución. Los resultados se muestran en el panel Test Results con indicadores de aprobación por colores.

Biblioteca pm y encadenamiento de solicitudes

El objeto pm proporciona métodos para trabajar con la respuesta: pm.response, pm.expect, pm.variables. El encadenamiento de solicitudes se implementa guardando los datos de la respuesta de una solicitud en una variable y usándola en la siguiente. Esta es la base para crear pruebas de integración y verificar la lógica de negocio mediante una secuencia de llamadas a la API.

// Prueba: verificación de la estructura de la respuesta y guardado del token
pm.test("Status code is 200", () => {
    pm.response.to.have.status(200);
});

const json = pm.response.json();
pm.environment.set("auth_token", json.data.token);

Collection Runner y Newman

Collection Runner ejecuta todas las solicitudes de la colección secuencialmente, ejecutando pruebas en cada paso. Newman es la versión de consola de Postman para pipelines de CI/CD (Jenkins, GitHub Actions, GitLab CI). Newman exporta informes en formatos JSON, JUnit y HTML para integrarse con sistemas de monitoreo.

Trabajo con GraphQL y WebSocket

Las solicitudes GraphQL en Postman se envían mediante POST a un único endpoint con cuerpo en formato JSON. La pestaña GraphQL (Beta) ofrece un editor visual con resaltado de sintaxis, autocompletado de campos y esquema. Las variables de la solicitud se pasan en un panel Variables independiente.

Pruebas de WebSocket y Socket.IO

Postman admite conexiones WebSocket mediante una interfaz independiente con panel de mensajes. Se pueden enviar mensajes de texto y binarios, ver el historial de conexión y reconectarse automáticamente al interrumpirse. El cliente Socket.IO funciona en modo de compatibilidad con el protocolo Engine.IO.

// Prueba WebSocket en Postman mediante la API de pm
const ws = new WebSocket("wss://echo.websocket.org");
ws.onmessage = (event) => {
    pm.test("Echo response received", () => {
        pm.expect(event.data).to.eql("Hello");
    });
};

Mock servers y monitoreo en Postman

Los mock servers de Postman permiten emular endpoints de API basados en colecciones existentes. Esto es útil cuando el backend aún no está listo, pero el frontend o la aplicación móvil ya se está desarrollando. Un mock server devuelve una respuesta de ejemplo de la colección con encabezados y código de estado correctos.

Creación de un Mock server

Un mock server se crea desde una colección con un clic: seleccione la colección → Mock Servers → Add a new mock server. Postman genera una URL única que se puede usar en el código de la aplicación en lugar de la API real. Para cada solicitud de la colección, el mock devuelve una Example Response guardada, lo que permite probar la interfaz antes de que termine el backend.

Monitoreo de API con Postman Monitors

Monitors ejecutan una colección según un horario (cada 5 minutos, hora o día) y verifican la disponibilidad y corrección de la API. Cuando una prueba falla, el monitor envía una notificación a email o Slack. El monitoreo funciona desde la nube de Postman, no requiere un servidor independiente y admite hasta 10,000 solicitudes al mes en el plan gratuito.

// Prueba para monitoreo: verificación del tiempo de respuesta
pm.test("Response time < 2000ms", () => {
    pm.expect(pm.response.responseTime).to.be.below(2000);
});

pm.test("Content-Type is JSON", () => {
    pm.response.to.have.header("Content-Type");
});

Seguridad y gestión de secretos

Postman proporciona mecanismos para trabajar de forma segura con claves de API. Las variables de tipo Secret se cifran y no se muestran en la interfaz. Para el trabajo en equipo, use un Workspace con roles Admin, Editor y Viewer.

Cifrado de variables

Al crear una variable de entorno, seleccione el tipo Secret: el valor se oculta con asteriscos en todas las interfaces. Los secretos no se exportan a la colección al compartirla y no se muestran en los registros de Newman. Se recomienda guardar contraseñas y tokens solo en variables Secret.

Integración con Vault

Postman admite integración con HashiCorp Vault y AWS Secrets Manager. Los scripts Pre-request pueden obtener secretos dinámicamente desde un almacenamiento externo, evitando guardar datos sensibles en los archivos de entorno de la colección.

Seguridad y gestión de secretos

Postman proporciona mecanismos para trabajar de forma segura con claves de API. Las variables de tipo Secret se cifran y no se muestran en la interfaz. Para el trabajo en equipo, use un Workspace con roles Admin, Editor y Viewer.

Cifrado de variables

Al crear una variable de entorno, seleccione el tipo Secret: el valor se oculta con asteriscos en todas las interfaces. Los secretos no se exportan a la colección al compartirla y no se muestran en los registros de Newman. Se recomienda guardar contraseñas y tokens solo en variables Secret.

Integración con Vault

Postman admite integración con HashiCorp Vault y AWS Secrets Manager. Los scripts Pre-request pueden obtener secretos dinámicamente desde un almacenamiento externo, evitando guardar datos sensibles en los archivos de entorno de la colección.