Generador de encabezados Basic Auth

Cómo funciona la autenticación HTTP Basic

La autenticación Basic se define en RFC 7617. Cuando un recurso está protegido, el servidor responde con 401 Unauthorized y un encabezado WWW-Authenticate: Basic realm="...". Entonces el cliente une el nombre de usuario y la contraseña con dos puntos, codifica el resultado en Base64 y lo envía con cada petición:

Authorization: Basic base64(username ":" password)

# Ejemplo de RFC 7617: usuario "Aladdin", contraseña "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Los navegadores gestionan este intercambio por su cuenta y muestran un cuadro de inicio de sesión, mientras que los scripts y los clientes de API suelen enviar el encabezado en la primera petición sin esperar al desafío. Como los dos puntos separan ambos valores, el nombre de usuario no puede contenerlos; la contraseña, sí. Un servidor puede añadir charset="UTF-8" a su desafío para indicar que espera en UTF-8 las credenciales con caracteres no ASCII.

Base64 no es cifrado

El encabezado parece ilegible, pero cualquiera que lo vea puede recuperar la contraseña en segundos, con el decodificador de esta página o con cualquier decodificador Base64. La autenticación Basic solo es aceptable con HTTPS, donde TLS cifra el encabezado durante la transmisión. Ten en cuenta también que:

• las credenciales viajan con cada petición, así que basta una sola petición por HTTP sin cifrar para exponerlas;
• los proxies, los balanceadores de carga y las herramientas de depuración pueden registrar el encabezado Authorization si no se configuran para evitarlo;
• los navegadores recuerdan las credenciales introducidas hasta que se cierran, y no existe una forma estándar de cerrar sesión.

Para API públicas, los tokens de API revocables u OAuth son más adecuados. La autenticación Basic sigue siendo una opción razonable para herramientas internas, entornos de preproducción y llamadas entre servidores a través de TLS.

Enviar el encabezado desde código

# curl construye el encabezado por sí mismo
curl -u 'user:password' https://api.example.com/

// fetch de JavaScript (btoa solo admite caracteres Latin-1)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# requests de Python
requests.get(url, auth=('user', 'password'))

Evita incluir las credenciales en la URL, como en https://user:password@host/. RFC 3986 desaconseja esa forma, que acaba en el historial del navegador y en los registros del servidor, y los navegadores modernos la restringen.