Basic Auth

L'authentification basique HTTP envoie le nom d'utilisateur et le mot de passe encodés en Base64 dans l'en-tête Authorization ; elle est simple mais doit être utilisée sur HTTPS.

Objectif

Elle fournit le mécanisme d'authentification HTTP le plus simple, sans cookies ni jetons.

Mécanisme

L'en-tête est Authorization: Basic base64(user:pass). Le navigateur envoie 401 accompagné de WWW-Authenticate: Basic pour ouvrir la boîte de dialogue de connexion. Il n'y a ni expiration ni déconnexion (fermer le navigateur est la seule issue). Le Base64 n'est pas un chiffrement, donc HTTPS est indispensable pour éviter la fuite d'identifiants.

Cas d’usage

Authentification API simple
Accès aux outils internes
Systèmes hérités
Tests et débogage

Exemples

entrée

user:pass

Output

Authorization: Basic dXNlcjpwYXNz

Base64 encoding

Erreurs courantes

Using Basic Auth over plain HTTP (not HTTPS) leaks the password: Always pair it with HTTPS

Termes associés

Un jeton Bearer est un type de jeton qui fonctionne uniquement par possession : il est envoyé dans l'en-tête Authorization: Bearer <token>, de sorte que quiconque le détient peut l'utiliser, sans identifiants supplémentaires.

JWT (JSON Web Token) est un jeton compact et autonome qui transmet de façon sûre des affirmations en objet JSON, largement utilisé pour l'authentification sans état et l'échange d'informations.

OAuth 2.0 est un cadre d'autorisation permettant à des applications tierces d'accéder aux ressources de l'utilisateur avec son consentement, sans partager de mots de passe, au moyen de jetons.

Outils associés

Décodeur Basic Auth

Basic Auth Decode — outil 100% côté client. Confidentialité d'abord, sans aller-retour serveur.

Encodeur Basic Auth

Construit un en-tête HTTP Basic Authorization (RFC 7617). Saisissez le nom d'utilisateur en ligne 1 et le mot de passe en ligne 2 ; les identifiants sont encodés en UTF-8 puis en base64, les mots de passe non ASCII sont donc pris en charge.

References