Генератор заголовка Basic Auth

Как работает HTTP Basic-аутентификация

Basic-аутентификация описана в RFC 7617. Когда ресурс защищён, сервер отвечает кодом 401 Unauthorized с заголовком WWW-Authenticate: Basic realm="...". Тогда клиент соединяет имя пользователя и пароль через двоеточие, кодирует результат в Base64 и отправляет его с каждым запросом:

Authorization: Basic base64(username ":" password)

# Пример из RFC 7617: пользователь "Aladdin", пароль "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Браузеры проводят этот обмен сами и показывают окно входа, а скрипты и API-клиенты обычно отправляют заголовок уже с первым запросом, не дожидаясь запроса аутентификации от сервера. Поскольку двоеточие разделяет два значения, имя пользователя не должно его содержать, а пароль может. Сервер может добавить в свой запрос аутентификации charset="UTF-8", чтобы сообщить, что учётные данные с символами не из ASCII ожидаются в UTF-8.

Base64 — это не шифрование

Заголовок выглядит зашифрованным, но любой, кто его увидит, восстановит пароль за секунды с помощью декодера на этой странице или любого декодера Base64. Basic-аутентификация допустима только поверх HTTPS, где TLS шифрует заголовок при передаче. Также учитывайте, что:

• учётные данные передаются с каждым запросом, поэтому один-единственный запрос по обычному HTTP раскрывает их;
• прокси-серверы, балансировщики нагрузки и инструменты отладки могут записывать заголовок Authorization в журналы, если это явно не запрещено;
• браузеры помнят введённые учётные данные, пока их не закроют, а стандартного способа выйти из системы нет.

Для публичных API лучше подходят отзываемые API-токены или OAuth. Basic-аутентификация остаётся разумным выбором для внутренних инструментов, тестовых сайтов и межсерверных вызовов поверх TLS.

Отправка заголовка из кода

# curl сам формирует заголовок
curl -u 'user:password' https://api.example.com/

// JavaScript fetch (btoa поддерживает только символы Latin-1)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

Не встраивайте учётные данные в URL, как в https://user:password@host/. RFC 3986 признаёт такую форму устаревшей, она попадает в историю браузера и журналы сервера, а современные браузеры её ограничивают.