Generator för Basic Auth-headers

Så fungerar HTTP Basic-autentisering

Basic-autentisering definieras i RFC 7617. När en resurs är skyddad svarar servern med 401 Unauthorized och headern WWW-Authenticate: Basic realm="...". Klienten sätter då ihop användarnamnet och lösenordet med ett kolon, kodar resultatet som Base64 och skickar det med varje anrop:

Authorization: Basic base64(username ":" password)

# Exempel från RFC 7617: användare "Aladdin", lösenord "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Webbläsare sköter det här utbytet själva och visar en inloggningsruta, medan skript och API-klienter oftast skickar headern redan med det första anropet utan att vänta på utmaningen. Eftersom kolonet skiljer de två värdena åt får användarnamnet inte innehålla något kolon, men lösenordet får det. En server kan lägga till charset="UTF-8" i sin utmaning för att tala om att inloggningsuppgifter med tecken utanför ASCII förväntas i UTF-8.

Base64 är inte kryptering

Headern ser oläslig ut, men den som ser den kan få fram lösenordet på några sekunder, med avkodaren på den här sidan eller valfri Base64-avkodare. Basic-autentisering är bara acceptabel över HTTPS, där TLS krypterar headern under överföringen. Tänk också på att:

• inloggningsuppgifterna skickas med varje anrop, så det räcker med ett enda anrop över okrypterad HTTP för att röja dem;
• proxyservrar, lastbalanserare och felsökningsverktyg kan logga headern Authorization om de inte uttryckligen konfigureras att låta bli;
• webbläsare kommer ihåg angivna inloggningsuppgifter tills de stängs, och det finns inget standardiserat sätt att logga ut.

För publika API:er passar återkallbara API-tokens eller OAuth bättre. Basic-autentisering är fortfarande ett rimligt val för interna verktyg, testmiljöer och anrop mellan servrar över TLS.

Skicka headern från kod

# curl bygger headern själv
curl -u 'user:password' https://api.example.com/

// JavaScript fetch (btoa hanterar bara Latin-1-tecken)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

Undvik att bädda in inloggningsuppgifter i URL:en, som i https://user:password@host/. RFC 3986 avråder från den formen, den hamnar i webbläsarhistorik och serverloggar, och moderna webbläsare begränsar den.