Basic-Auth-Header-Generator

So funktioniert die HTTP-Basic-Authentifizierung

Die Basic-Authentifizierung ist in RFC 7617 definiert. Ist eine Ressource geschützt, antwortet der Server mit 401 Unauthorized und einem Header WWW-Authenticate: Basic realm="...". Der Client verbindet daraufhin Benutzername und Passwort mit einem Doppelpunkt, kodiert das Ergebnis als Base64 und sendet es mit jeder Anfrage:

Authorization: Basic base64(username ":" password)

# Beispiel aus RFC 7617: Benutzer "Aladdin", Passwort "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Browser wickeln diesen Austausch selbst ab und zeigen einen Anmeldedialog an, während Skripte und API-Clients den Header meist schon mit der ersten Anfrage senden, ohne auf die Aufforderung (Challenge) des Servers zu warten. Da der Doppelpunkt die beiden Werte trennt, darf der Benutzername keinen enthalten, das Passwort hingegen schon. Ein Server kann seiner Challenge charset="UTF-8" hinzufügen, um anzukündigen, dass Zugangsdaten mit Nicht-ASCII-Zeichen in UTF-8 erwartet werden.

Base64 ist keine Verschlüsselung

Der Header wirkt unleserlich, doch jeder, der ihn sieht, kann das Passwort in Sekunden wiederherstellen, mit dem Decoder auf dieser Seite oder mit jedem anderen Base64-Decoder. Basic-Authentifizierung ist nur über HTTPS vertretbar, wo TLS den Header bei der Übertragung verschlüsselt. Beachten Sie außerdem:

• die Zugangsdaten werden mit jeder Anfrage mitgesendet, sodass schon eine einzige unverschlüsselte HTTP-Anfrage sie preisgibt;
• Proxys, Load Balancer und Debugging-Tools protokollieren den Header Authorization unter Umständen, wenn sie nicht ausdrücklich anders konfiguriert sind;
• Browser merken sich eingegebene Zugangsdaten, bis sie geschlossen werden, und es gibt keine standardisierte Möglichkeit zum Abmelden.

Für öffentliche APIs eignen sich widerrufbare API-Token oder OAuth besser. Für interne Tools, Staging-Websites und Server-zu-Server-Aufrufe über TLS bleibt die Basic-Authentifizierung eine vernünftige Wahl.

Den Header aus Code senden

# curl erzeugt den Header selbst
curl -u 'user:password' https://api.example.com/

// JavaScript fetch (btoa verarbeitet nur Latin-1-Zeichen)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

Vermeiden Sie es, Zugangsdaten in die URL einzubetten, wie bei https://user:password@host/. RFC 3986 rät von dieser Form ab, sie landet im Browserverlauf und in Serverprotokollen, und moderne Browser schränken sie ein.