Generatore di header Basic Auth

Come funziona l’autenticazione HTTP Basic

L’autenticazione Basic è definita nella RFC 7617. Quando una risorsa è protetta, il server risponde con 401 Unauthorized e un header WWW-Authenticate: Basic realm="...". Il client unisce allora nome utente e password con i due punti, codifica il risultato in Base64 e lo invia con ogni richiesta:

Authorization: Basic base64(username ":" password)

# Esempio dalla RFC 7617: utente "Aladdin", password "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

I browser gestiscono questo scambio da soli e mostrano una finestra di accesso, mentre script e client API di solito inviano l’header già con la prima richiesta, senza attendere la richiesta di autenticazione del server. Poiché i due punti separano i due valori, il nome utente non può contenerli; la password sì. Un server può aggiungere charset="UTF-8" alla sua richiesta di autenticazione per indicare che le credenziali non ASCII sono attese in UTF-8.

Base64 non è cifratura

L’header sembra illeggibile, ma chiunque lo veda può recuperare la password in pochi secondi, con il decodificatore di questa pagina o con un qualsiasi decodificatore Base64. L’autenticazione Basic è accettabile solo su HTTPS, dove TLS cifra l’header durante il transito. Tieni inoltre presente che:

• le credenziali viaggiano con ogni richiesta, quindi basta una sola richiesta HTTP in chiaro per esporle;
• proxy, bilanciatori di carico e strumenti di debug possono registrare nei log l’header Authorization, se non sono configurati per evitarlo;
• i browser ricordano le credenziali inserite finché non vengono chiusi, e non esiste un modo standard per disconnettersi.

Per le API pubbliche sono più adatti token API revocabili oppure OAuth. L’autenticazione Basic resta una scelta ragionevole per strumenti interni, siti di staging e chiamate da server a server su TLS.

Inviare l’header dal codice

# curl crea l'header automaticamente
curl -u 'user:password' https://api.example.com/

// fetch in JavaScript (btoa gestisce solo caratteri Latin-1)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

Evita di inserire le credenziali nell’URL, come in https://user:password@host/. La RFC 3986 sconsiglia questa forma, che finisce nella cronologia del browser e nei log del server, e i browser moderni la limitano.