Generator Header Basic Auth

Cara kerja autentikasi HTTP Basic

Autentikasi Basic didefinisikan dalam RFC 7617. Saat sebuah sumber daya dilindungi, server membalas dengan 401 Unauthorized dan header WWW-Authenticate: Basic realm="...". Klien kemudian menggabungkan nama pengguna dan kata sandi dengan titik dua, mengenkode hasilnya sebagai Base64, lalu mengirimkannya bersama setiap permintaan:

Authorization: Basic base64(username ":" password)

# Contoh dari RFC 7617: pengguna "Aladdin", kata sandi "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Browser menangani pertukaran ini sendiri dan menampilkan dialog login, sedangkan skrip dan klien API biasanya langsung mengirim header pada permintaan pertama tanpa menunggu tantangan dari server. Karena titik dua memisahkan kedua nilai, nama pengguna tidak boleh mengandung titik dua, sedangkan kata sandi boleh. Server dapat menambahkan charset="UTF-8" pada tantangannya untuk memberi tahu bahwa kredensial non-ASCII diharapkan dalam UTF-8.

Base64 bukan enkripsi

Header ini tampak acak, tetapi siapa pun yang melihatnya dapat memulihkan kata sandi dalam hitungan detik, baik dengan decoder di halaman ini maupun dengan decoder Base64 mana pun. Autentikasi Basic hanya layak digunakan melalui HTTPS, karena TLS mengenkripsi header selama transit. Perlu diingat juga bahwa:

• kredensial ikut terkirim pada setiap permintaan, sehingga satu permintaan HTTP biasa saja sudah cukup untuk membocorkannya;
• proxy, load balancer, dan alat debugging mungkin mencatat header Authorization ke log kecuali dikonfigurasi untuk tidak melakukannya;
• browser mengingat kredensial yang dimasukkan sampai browser ditutup, dan tidak ada cara standar untuk logout.

Untuk API publik, token API yang dapat dicabut atau OAuth lebih cocok. Autentikasi Basic tetap menjadi pilihan yang wajar untuk alat internal, situs staging, dan komunikasi antarserver melalui TLS.

Mengirim header dari kode

# curl membuat header sendiri
curl -u 'user:password' https://api.example.com/

// JavaScript fetch (btoa hanya menangani karakter Latin-1)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

Hindari menyisipkan kredensial di URL, seperti pada https://user:password@host/. RFC 3986 sudah tidak menganjurkan bentuk itu, URL semacam ini tersimpan di riwayat browser dan log server, dan browser modern membatasinya.