Proxies de depuración web para Android

Hoy en día, existen varias herramientas potentes para depurar el tráfico web en Android, que van desde aplicaciones independientes hasta suites profesionales que se integran con tu ordenador. La elección dependerá de si necesitas una solución completa en el móvil o prefieres analizar el tráfico en una pantalla grande.

Aquí te presento las opciones más destacadas, organizadas por su enfoque:

📱 Aplicaciones Autónomas (Todo-en-uno en el Móvil)

Estas aplicaciones funcionan de forma independiente en tu dispositivo Android, sin necesidad de un ordenador, aunque algunas ofrecen modos de colaboración.

• Reqable (antes HttpCanary): Es una solución de depuración de APIs todo-en-uno muy completa [citation:1]. Ofrece un modo independiente para inspeccionar tráfico HTTP/HTTPS directamente en el móvil con visores como JSON o Hex. También tiene un modo colaborativo que permite reenviar el tráfico a la versión de escritorio escaneando un código QR, ideal para análisis más profundos sin configurar proxies manualmente [citation:1][citation:4]. Soporta modo VPN y proxy, y protocolos como HTTP/1.x, HTTP2 y SOCKS [citation:1][citation:4]. Está disponible en Google Play.

💻 Herramientas que Requieren Ordenador (Enfocadas en Análisis Profesional)

Estas herramientas funcionan con un cliente de escritorio potente y una app complementaria en el móvil o mediante la configuración del proxy del sistema.

• HTTP Toolkit: Es una herramienta de código abierto excelente para interceptar, visualizar y modificar tráfico HTTP [citation:2][citation:7]. La app en Android actúa como un puente que, usando las VPN APIs, redirige todo el tráfico del dispositivo a la interfaz de escritorio sin configuración manual de certificados [citation:2][citation:7]. Sus puntos fuertes son la facilidad para interceptar HTTPS, el soporte para dispositivos rooteados (con Frida para certificados a nivel sistema) y la capacidad de crear reglas para modificar respuestas automáticamente [citation:7]. La app está en Google Play, pero requiere la versión de escritorio [citation:2][citation:10].

• Proxyman: Es un depurador de redes nativo para macOS con un enfoque muy visual e intuitivo [citation:5]. Para Android, proporciona guías detalladas para configurar el proxy WiFi, instalar su certificado CA y modificar el archivo network_security_config.xml de la app si es necesario [citation:5][citation:9]. Ofrece herramientas profesionales como breakpoints (para modificar peticiones en caliente) y map local (para mockear respuestas con archivos locales) [citation:5].

• Proxy del Sistema Android + Herramientas de Escritorio: Es el método tradicional y más estándar. Consiste en configurar el proxy manualmente en los ajustes WiFi de tu dispositivo Android para que el tráfico pase por una herramienta instalada en tu ordenador [citation:3][citation:8].

  • Burp Suite: Es la herramienta de referencia para pruebas de seguridad y pentesting [citation:8]. Para usarla, debes configurar un listener en tu PC, establecer el proxy en el móvil e instalar el certificado CA de Burp en el dispositivo [citation:8].
  • Charles Proxy: Es otro clásico muy utilizado para depuración de aplicaciones. Su funcionamiento es similar a Burp Suite: se configura un proxy en el móvil y se instala su certificado SSL.

⚙️ Consideraciones Técnicas Importantes

Para que cualquiera de estas herramientas funcione correctamente con tráfico HTTPS (que es la mayoría hoy en día), hay algunos conceptos clave que debes conocer:

• Instalación de Certificados CA (Autoridad Certificadora): Para que la herramienta pueda "descifrar" y mostrar el tráfico HTTPS, el dispositivo Android debe confiar en su certificado. La herramienta actúa como un "hombre en el medio" (MITM) de confianza [citation:1][citation:8].
• Limitaciones en Android Moderno (7+): Desde Android 7 (Nougat), las aplicaciones no confían en los certificados de usuario por defecto por razones de seguridad. Esto significa que, para interceptar el tráfico de una app específica que no esté configurada para depuración, necesitarás:
  • Un dispositivo rooteado para poder instalar el certificado como de sistema [citation:7][citation:8].
  • Modificar el archivo network_security_config.xml de la aplicación que estás desarrollando para que incluya tu certificado de depuración [citation:5][citation:9].
• Proxy del Sistema vs. Proxy del Emulador: Si usas el emulador de Android, es importante distinguir el Proxy del Sistema (para depurar tráfico de apps con certificados) del Proxy del Emulador (para salir a internet tras un firewall corporativo, pero que no permite inspeccionar HTTPS) [citation:3].

Espero que esta comparativa te sea de gran ayuda. Si me cuentas un poco más sobre tu caso de uso específico (por ejemplo, si estás desarrollando tu propia app o haciendo análisis de seguridad de una app de terceros), podré orientarte mejor sobre cuál de estas herramientas se adapta más a lo que necesitas.

¡Claro que sí! Entender que prefieras herramientas de código abierto es un gran punto de partida. Permite una transparencia total, la posibilidad de auditar el código y, a menudo, una comunidad muy activa detrás.

De las opciones que mencionamos antes y buscando en el mercado, la alternativa open source más destacada y completa es HTTP Toolkit. También hay otras opciones gratuitas, aunque no sean de código abierto, que pueden serte útiles.

Aquí tienes un resumen de las alternativas:

🏆 La Mejor Opción Open Source: HTTP Toolkit

HTTP Toolkit es, con diferencia, la herramienta de código abierto más potente y moderna para depurar tráfico HTTP/S [citation:2]. Es una excelente alternativa a opciones como Charles o Fiddler.

• Código Abierto y Transparente: Su código está disponible en GitHub, donde cuenta con más de 11,000 estrellas y 161 contribuidores, lo que habla de su salud y comunidad [citation:2][citation:7].
• Interceptación Simplificada: Una de sus mayores ventajas es la facilidad para interceptar el tráfico de Android (y otras plataformas) sin una configuración manual compleja de certificados. Usa las VPN APIs para redirigir el tráfico de todo el dispositivo o de una app específica [citation:2].
• Características Profesionales: No es una herramienta simple. Incluye funcionalidades avanzadas como breakpoints para modificar peticiones en caliente, la capacidad de crear reglas automáticas para "mockear" respuestas y visores de datos con resaltado de sintaxis para JSON, HTML, etc. [citation:2].
• Ideal para Pentesting: Para dispositivos rooteados, ofrece scripts de Frida que permiten saltarse la fijación de certificados (SSL pinning) en aplicaciones, algo crucial en análisis de seguridad [citation:7].

🤔 Alternativas Gratuitas (Pero No Open Source)

Si lo que buscas es una herramienta sin costo, pero no necesariamente de código abierto, las opciones que ya vimos tienen versiones gratuitas muy competentes:

• Reqable (Comunidad): Tiene una edición gratuita para la comunidad muy completa que funciona de forma independiente en el móvil o en colaboración con el escritorio [citation:3]. Su código no es abierto, pero es una herramienta gratuita de gran calidad.
• Burp Suite (Community Edition): Es el estándar de la industria para pruebas de seguridad. Su edición comunitaria es gratuita e incluye el proxy y las herramientas manuales esenciales, aunque carece del escáner de vulnerabilidades automático de la versión de pago [citation:5].

⚙️ Recordatorio Técnico (Válido para Todas)

Independientemente de la herramienta que elijas, recuerda las limitaciones de Android moderno que comentamos. Para interceptar tráfico HTTPS de aplicaciones en Android 7+:

• Sin Root: Solo podrás inspeccionar el tráfico de las aplicaciones que tú mismo desarrolles y hayas configurado para depuración (modificando el network_security_config.xml).
• Con Root: Podrás instalar el certificado CA de la herramienta como certificado de sistema y así inspeccionar el tráfico de cualquier aplicación del dispositivo.

¿Tienes pensado usar un dispositivo rooteado o vas a trabajar sobre todo con aplicaciones en desarrollo? Saberlo me ayudaría a darte algún consejo más específico.