Basic Auth हेडर जनरेटर

HTTP Basic ऑथेंटिकेशन कैसे काम करता है

Basic ऑथेंटिकेशन RFC 7617 में परिभाषित है। जब कोई संसाधन सुरक्षित होता है, तो सर्वर 401 Unauthorized और WWW-Authenticate: Basic realm="..." हेडर के साथ जवाब देता है। इसके बाद क्लाइंट यूज़रनेम और पासवर्ड को कोलन से जोड़ता है, परिणाम को Base64 में एनकोड करता है और उसे हर अनुरोध के साथ भेजता है:

Authorization: Basic base64(username ":" password)

# RFC 7617 का उदाहरण: यूज़र "Aladdin", पासवर्ड "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

ब्राउज़र यह आदान-प्रदान ख़ुद सँभालते हैं और लॉगिन डायलॉग दिखाते हैं, जबकि स्क्रिप्ट और API क्लाइंट आमतौर पर सर्वर के चैलेंज का इंतज़ार किए बिना पहले ही अनुरोध के साथ हेडर भेज देते हैं। चूँकि कोलन दोनों मानों को अलग करता है, इसलिए यूज़रनेम में कोलन नहीं होना चाहिए; पासवर्ड में हो सकता है। सर्वर अपने चैलेंज में charset="UTF-8" जोड़कर बता सकता है कि गैर-ASCII क्रेडेंशियल UTF-8 में अपेक्षित हैं।

Base64 एन्क्रिप्शन नहीं है

हेडर देखने में उलझा हुआ लगता है, लेकिन इसे देखने वाला कोई भी व्यक्ति कुछ ही सेकंड में पासवर्ड वापस पा सकता है, चाहे इस पेज के डिकोडर से या किसी भी Base64 डिकोडर से। Basic ऑथेंटिकेशन केवल HTTPS पर ही स्वीकार्य है, जहाँ TLS रास्ते में हेडर को एन्क्रिप्ट रखता है। यह भी ध्यान रखें कि:

• क्रेडेंशियल हर अनुरोध के साथ जाते हैं, इसलिए सादे HTTP पर भेजा गया एक भी अनुरोध उन्हें उजागर कर देता है;
• प्रॉक्सी, लोड बैलेंसर और डीबगिंग टूल Authorization हेडर को लॉग कर सकते हैं, जब तक उन्हें ऐसा न करने के लिए सेट न किया जाए;
• ब्राउज़र दर्ज किए गए क्रेडेंशियल बंद होने तक याद रखते हैं, और लॉग आउट करने का कोई मानक तरीक़ा नहीं है।

सार्वजनिक API के लिए रद्द किए जा सकने वाले API टोकन या OAuth बेहतर विकल्प हैं। आंतरिक टूल, स्टेजिंग साइटों और TLS पर होने वाली सर्वर-से-सर्वर कॉल के लिए Basic ऑथेंटिकेशन अब भी एक उचित विकल्प है।

कोड से हेडर भेजना

# curl हेडर ख़ुद बनाता है
curl -u 'user:password' https://api.example.com/

// JavaScript fetch (btoa केवल Latin-1 अक्षर सँभाल पाता है)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

क्रेडेंशियल को URL में डालने से बचें, जैसे https://user:password@host/ में। RFC 3986 इस रूप को अप्रचलित मानता है, यह ब्राउज़र हिस्ट्री और सर्वर लॉग में पहुँच जाता है, और आधुनिक ब्राउज़र इस पर पाबंदियाँ लगाते हैं।