Fiddler para depurar el tráfico HTTP de aplicaciones de Windows y UWP: guía completa con configuración de proxy

Instalación y configuración inicial

La instalación de Fiddler Classic toma alrededor de dos minutos. Descarga el instalador desde el sitio oficial telerik.com/fiddler y ejecútalo. Después de la instalación, Fiddler se configura automáticamente como el proxy del sistema de Windows en el puerto 127.0.0.1:8888.

Justo después de iniciar, verás la ventana principal con tres áreas:

• Panel izquierdo (Sesiones) — lista de todas las solicitudes interceptadas en tiempo real
• Panel superior derecho — detalles de la solicitud seleccionada (encabezados, cuerpo, parámetros)
• Panel inferior derecho — respuesta del servidor

Lo primero que debes hacer es configurar la filtración, de lo contrario, la lista incluirá todo el tráfico del sistema de Windows (actualizaciones, telemetría, OneDrive, etc.), y será difícil encontrar las solicitudes necesarias. Ve a la pestaña Filtros en la parte derecha y activa Usar filtros. En el campo Mostrar solo los siguientes Hosts, especifica los dominios que te interesan.

También te recomendamos configurar la auto-salvaguarda de sesiones de inmediato: Archivo → Capturar tráfico y Archivo → Guardar → Todas las sesiones. Esto te permitirá volver al tráfico grabado más tarde y analizarlo sin conexión.

Interceptación del tráfico HTTPS: configuración del certificado

Por defecto, Fiddler solo intercepta tráfico HTTP. Para trabajar con HTTPS (que representa más del 95% del tráfico moderno), es necesario configurar la descifrado SSL. Fiddler actúa como un Man-in-the-Middle: genera su propio certificado raíz y lo firma para todas las conexiones HTTPS.

Configuración paso a paso de la interceptación HTTPS:

1. Abre Herramientas → Opciones → HTTPS
2. Marca la casilla Capturar HTTPS CONNECTs
3. Marca la casilla Descifrar tráfico HTTPS
4. En el menú desplegable, selecciona ...de todos los procesos
5. Haz clic en el botón Acciones → Confiar en el certificado raíz
6. Confirma la instalación del certificado en el almacén del sistema de Windows
7. Reinicia Fiddler

Después de esto, en la columna Protocolo verás HTTPS en lugar de CONNECT, y podrás ver el contenido descifrado de las solicitudes y respuestas.

Algunas aplicaciones utilizan Certificate Pinning: verifican un certificado específico del servidor y se negarán a funcionar a través de Fiddler. En este caso, verás un error de conexión en la aplicación. Eludir el pinning es un tema aparte, que va más allá de este artículo.

Cómo interceptar el tráfico de aplicaciones UWP

UWP (Plataforma Universal de Windows) son aplicaciones de Microsoft Store: Correo, Mapas, Películas y TV, Spotify, Netflix y muchas más. Su característica es que, por razones de seguridad, funcionan en un contenedor aislado (App Container) y no utilizan el proxy del sistema. Por eso, la configuración normal de Fiddler no intercepta su tráfico.

Para resolver este problema, Fiddler proporciona una herramienta especial: AppContainer Loopback Exemption Utility. Esta añade la aplicación UWP a la lista de excepciones, permitiéndole acceder al proxy local de Fiddler.

Forma 1 — a través de la interfaz de Fiddler:

1. En el menú selecciona WinConfig (botón en la barra de herramientas o Herramientas → Exenciones de Loopback de Win8)
2. Se abrirá una lista de todas las aplicaciones UWP instaladas
3. Encuentra la aplicación deseada y marca la casilla junto a ella
4. Haz clic en Guardar cambios
5. Reinicia la aplicación UWP

Forma 2 — a través de la línea de comandos (para automatización):

CheckNetIsolation LoopbackExempt -a -n="Microsoft.WindowsMaps_8wekyb3d8bbwe"

Reemplaza Microsoft.WindowsMaps_8wekyb3d8bbwe por el Nombre de la Familia del Paquete de la aplicación deseada. Puedes encontrarlo en PowerShell con el comando:

Get-AppxPackage | Select-Object Name, PackageFamilyName | Sort-Object Name

Después de agregar la excepción, la aplicación UWP comenzará a enviar tráfico a través de Fiddler. Verás sus solicitudes en la lista de sesiones: generalmente se identifican fácilmente por el User-Agent o por el host de destino.

Filtros, puntos de interrupción y modificación de solicitudes

Las tres funciones más poderosas de Fiddler para depuración son la filtración de sesiones, los puntos de interrupción y el AutoResponder. Analicemos cada una de ellas.

Filtración de sesiones

La pestaña Filtros permite mostrar solo las solicitudes necesarias. Opciones principales:

• Mostrar solo los siguientes Hosts — filtro por dominio (por ejemplo, api.example.com)
• Mostrar solo si la URL contiene — filtro por parte de la URL
• Mostrar solo si el tipo de contenido de la respuesta — solo JSON, XML, imágenes, etc.
• Ocultar si la URL contiene — excluir solicitudes ruidosas (por ejemplo, telemetría, analítica)

También puedes usar la línea QuickExec en la parte inferior de la ventana para comandos rápidos. Por ejemplo, select status 404 resaltará todas las solicitudes con error 404, mientras que bold api resaltará en negrita todas las sesiones que contengan "api" en la URL.

Puntos de interrupción (Breakpoints)

Los puntos de interrupción permiten detener una solicitud o respuesta antes de su envío/recepción y modificar el contenido manualmente. Esto es análogo a un punto de parada en un depurador de código, pero para HTTP.

• Reglas → Puntos de interrupción automáticos → Antes de las solicitudes — detiene cada solicitud antes de enviarla
• Reglas → Puntos de interrupción automáticos → Después de las respuestas — detiene cada respuesta antes de enviarla a la aplicación
• Clic derecho en la sesión → Punto de interrupción → Interrumpir en la solicitud — punto de interrupción específico en una URL concreta

Cuando la solicitud está detenida, puedes modificar cualquier encabezado, cuerpo de la solicitud, URL y presionar Ejecutar hasta completar para continuar. Esto es especialmente útil para probar el comportamiento de la aplicación con datos modificados.

AutoResponder

AutoResponder es una herramienta para reemplazar respuestas del servidor. Creas una regla: "si la URL coincide con el patrón, devuelve este archivo/respuesta". Aplicaciones:

• Pruebas de la aplicación con simulaciones de API sin un backend real
• Simulación de errores del servidor (500, 503, timeouts)
• Sustitución de recursos: cargar una versión local de JS/CSS en lugar de la del servidor
• Aceleración del desarrollo: almacenar en caché solicitudes lentas a APIs externas

Conexión de un proxy externo a través de Fiddler

Una de las características importantes de Fiddler es trabajar en modo "proxy a través de proxy" (upstream proxy). Fiddler intercepta el tráfico localmente y luego lo envía a través de un servidor proxy externo. Esto permite depurar solicitudes y cambiar la dirección IP o la geolocalización al mismo tiempo.

Cuándo es necesario:

• Pruebas del comportamiento de la aplicación al trabajar a través de un proxy corporativo
• Verificación de contenido geodependiente: cómo funciona la aplicación desde otro país
• Depuración de una aplicación que utiliza un proxy
• Pruebas de API con restricciones de IP (lista blanca por IP)

Configuración del proxy upstream en Fiddler Classic:

1. Abre Herramientas → Opciones → Gateway
2. Selecciona Configuración de proxy manual
3. En el campo Proxy, ingresa la dirección del proxy en el formato host:port
4. Si el proxy requiere autenticación, especifica el nombre de usuario y la contraseña
5. Haz clic en OK y reinicia la captura de tráfico

Fiddler admite proxies HTTP, HTTPS y SOCKS5 como upstream. Para SOCKS5, el formato de entrada es un poco diferente:

socks=proxy.example.com:1080

Para tareas de prueba de comportamiento geodependiente de aplicaciones, los proxies residenciales son muy adecuados: utilizan IP reales de usuarios domésticos del país deseado, y la aplicación recibe respuestas exactamente como lo haría un usuario real de esa región. Esto es importante si la API devuelve contenido diferente según la geolocalización.

Si necesitas alta velocidad para descargar grandes volúmenes de datos durante la depuración, los proxies de centros de datos son adecuados: proporcionan una conexión estable y mínima latencia, lo que es conveniente al trabajar con APIs pesadas.

static function OnBeforeRequest(oSession: Session) {
  if (oSession.HostnameIs("api.us-service.com")) {
    oSession["x-OverrideGateway"] = "us-proxy.example.com:8080";
  }
}

Escenarios prácticos: análisis, pruebas de API, geo-bypass

Analicemos tareas específicas que son convenientes de resolver con Fiddler.

Escenario 1: Ingeniería inversa de la API de una aplicación móvil

Quieres automatizar acciones en la aplicación, pero no tiene una API pública. Solución: ejecuta la aplicación en un emulador de Android o a través del cliente de Windows, configúralo para usar Fiddler como proxy y graba todas las solicitudes mientras realizas las acciones necesarias.

Después de la grabación, obtienes una imagen completa: endpoints, formatos de solicitudes, encabezados de autenticación, tokens. Estos datos se pueden usar para escribir tu propio cliente o automatización a través de scripts.

Escenario 2: Depuración de un parser de marketplace

Al desarrollar un parser para Wildberries, Ozon u otros marketplaces, a menudo no está claro por qué se bloquean las solicitudes. Fiddler permite comparar las solicitudes del navegador (que pasan) con las solicitudes del parser (que se bloquean) y encontrar diferencias en los encabezados, el orden en que aparecen, los valores de las cookies o el fingerprint de TLS.

Un hallazgo típico: el parser envía encabezados en un orden diferente, falta el Accept-Language, o User-Agent contiene la versión de Python. Corrigiendo estos detalles en el código del parser, reduces la probabilidad de bloqueo.

Escenario 3: Pruebas de contenido geodependiente

Si tu aplicación muestra contenido diferente a los usuarios de diferentes países, necesitas probarla con IP reales de esos países. Configura Fiddler con un proxy upstream de la región deseada, inicia la aplicación y verás exactamente lo que ve un usuario de ese país, además de un registro completo de todas las solicitudes.

Escenario 4: Monitoreo de la actividad en segundo plano de las aplicaciones

¿Quieres saber a dónde "llama" un programa instalado? Inicia Fiddler, ejecuta el programa y espera 5-10 minutos. En la lista de sesiones aparecerán todos los hosts a los que se ha dirigido el programa. Esto es útil para auditar la seguridad de software de terceros, verificar la telemetría o conexiones no deseadas.

Escenario 5: Exportación de solicitudes para reproducción

Fiddler permite exportar solicitudes interceptadas en formato cURL, que se pueden ejecutar directamente en la terminal o insertar en Postman. Clic derecho en la sesión → Copiar → Solicitud cURL. Esto es conveniente para pasar la solicitud a un colega o para documentar la API.

Fiddler Classic vs Fiddler Everywhere: qué elegir

Telerik mantiene dos versiones del producto, y la elección entre ellas no siempre es obvia. Analicemos las diferencias clave.

Cuándo elegir Fiddler Classic: trabajas solo en Windows, necesitas trabajar con aplicaciones UWP, utilizas FiddlerScript para automatización, o te importa una versión completamente gratuita sin limitaciones.

Cuándo elegir Fiddler Everywhere: trabajas en macOS o Linux, necesitas una interfaz moderna, es importante la colaboración en colecciones de solicitudes compartidas, o deseas integración con pipelines CI/CD.

También vale la pena mencionar alternativas: Charles Proxy (de pago, popular en macOS), mitmproxy (gratuito, de consola, muy flexible), Wireshark (funciona a nivel de paquetes, no HTTP). Cada herramienta tiene sus puntos fuertes, pero para la mayoría de las tareas de depuración de aplicaciones de Windows, Fiddler Classic sigue siendo la opción óptima.

Problemas típicos y sus soluciones

Al trabajar con Fiddler, a veces surgen problemas comunes. Aquí están los más frecuentes y sus soluciones.

Problema: La aplicación no funciona con Fiddler activado

Causas: Certificate Pinning, proxy duro en la aplicación, o la aplicación no confía en el certificado de Fiddler. Soluciones:

• Instala el certificado de Fiddler en el almacén Máquina Local → Raíz Confiable
• Verifica si la aplicación utiliza certificate pinning
• Agrega el host a las excepciones SSL: Herramientas → Opciones → HTTPS → Omitir descifrado para los siguientes hosts

Problema: Después de cerrar Fiddler, Internet no funciona

Fiddler no pudo eliminar el proxy del sistema al cerrarse inesperadamente. Solución: abre Configuración de Windows → Red → Proxy y desactiva el proxy manual. O vuelve a iniciar Fiddler y ciérralo correctamente.

Problema: Solo se ven túneles CONNECT, pero no el contenido HTTPS

La interceptación HTTPS no está configurada. Regresa a la sección sobre la configuración del certificado y asegúrate de que la casilla Descifrar tráfico HTTPS esté marcada y que el certificado esté instalado en el almacén del sistema.

Problema: El tráfico de la aplicación UWP no aparece en Fiddler

No se ha agregado una excepción de loopback para esta aplicación. Usa WinConfig (descrito en la sección sobre UWP) y reinicia la aplicación después de agregar la excepción.

Problema: El proxy upstream no funciona (error de conexión)

Verifica: la dirección y el puerto del proxy, la validez del nombre de usuario/contraseña, la disponibilidad del servidor proxy (intenta conectarte directamente sin Fiddler). También asegúrate de que el proxy soporte el protocolo necesario: no todos los proxies HTTP admiten el túnel HTTPS.

Conclusión

Fiddler es una herramienta indispensable para todos los que trabajan con tráfico HTTP de aplicaciones de Windows. Permite ver todas las solicitudes en tiempo real, modificarlas sobre la marcha, probar el comportamiento de las aplicaciones en diferentes condiciones y resolver tareas que no se pueden realizar con las DevTools del navegador. Especialmente valiosa es la compatibilidad con aplicaciones UWP a través del mecanismo de excepciones de loopback: esta es una oportunidad única que no tienen la mayoría de los competidores.

Para tareas de prueba del comportamiento geodependiente de aplicaciones o verificación de funcionamiento a través de proxies externos, configura un proxy upstream en Fiddler. Si necesitas IP reales de países específicos para pruebas precisas, considera los proxies residenciales: proporcionan la geolocalización más realista y un riesgo mínimo de bloqueos por parte de los servicios que se están probando.

Comienza con Fiddler Classic: es gratuito, está bien documentado y cubre el 90% de las tareas de depuración en Windows. A medida que crezcan tus necesidades, puedes pasar a Fiddler Everywhere o complementar tu flujo de trabajo con herramientas especializadas como mitmproxy para una automatización más flexible.