Generador de encabezados Basic Auth

Cómo generar un encabezado Basic Auth

1. Introduce el Usuario y la Contraseña.
2. Deja Juego de caracteres en UTF-8, salvo que el servidor sea uno antiguo que espera ISO-8859-1 (Latin-1).
3. Copia el resultado con Copiar encabezado para la línea completa Authorization: Basic …, o con Copiar solo el token para la parte en Base64.
4. En Código listo para usar, pon tu endpoint en URL y copia el fragmento de tu cliente. Intercambiar envía el encabezado al decodificador para comprobarlo.

Qué contiene el encabezado

La autenticación Basic se define en el RFC 7617. El cliente une los dos valores con dos puntos, codifica los bytes en Base64 y los envía en un solo encabezado:

Las dos últimas filas muestran por qué importa el juego de caracteres: el mismo texto produce bytes distintos, así que un servidor que espera la otra codificación ve una contraseña incorrecta. Un servidor que quiera UTF-8 puede indicarlo en su desafío: WWW-Authenticate: Basic realm="api", charset="UTF-8".

Aquí Base64 es solo un formato de transporte. Cualquiera que copie el encabezado puede convertirlo de nuevo en la contraseña con el decodificador de Basic Auth, y por eso Basic Auth solo debe usarse sobre HTTPS. Base64 no es cifrado lo explica con más detalle.

Caracteres de los que avisa la herramienta

• Dos puntos en el usuario. El RFC 7617 lo prohíbe. El servidor separa por los primeros dos puntos, así que parte del usuario acabaría en la contraseña.
• Caracteres de control, como tabulaciones o saltos de línea, que no están permitidos en las credenciales Basic.
• Caracteres que no existen en Latin-1 cuando se elige ese juego de caracteres, por ejemplo emoji o cirílico. Se sustituyen por ?, que nunca es lo que quieres.
• Caracteres no ASCII en UTF-8. Es lo correcto según el RFC, pero los servidores heredados pueden leerlo de otra forma, así que pruébalo antes.

Los dos puntos en la contraseña están permitidos, ya que solo los primeros separan los dos valores.

Enviar Basic Auth desde código

Los fragmentos de la herramienta se generan con tus valores y con las comillas adecuadas para cada lenguaje. Las versiones básicas son así:

curl -u 'deploy:hunter2' https://api.example.com/

import requests

r = requests.get("https://api.example.com/",
                 auth=("deploy".encode("utf-8"), "hunter2".encode("utf-8")))

El ejemplo de Python pasa bytes a propósito. Cuando requests recibe valores str los codifica como Latin-1, así que una contraseña con € o ł fallaría; con bytes envía exactamente el UTF-8 que elegiste.

En JavaScript para navegador, construye tú el encabezado: fetch rechaza las URL que llevan user:pass@, y btoa() lanza un error con caracteres fuera de Latin-1, así que codifica la cadena a bytes UTF-8 antes de pasarla a Base64. El fragmento de fetch generado evita los dos problemas incrustando el token ya terminado. La guía de Base64 en JavaScript explica el paso a UTF-8, y Node.js muestra la versión con Buffer.

Cuando la petición sigue devolviendo 401

Mira primero el encabezado WWW-Authenticate de la respuesta. Si dice Bearer, la API espera un token y nunca aceptará credenciales Basic. Si dice Basic, decodifica el encabezado que enviaste de verdad (con curl -v aparece como > Authorization: Basic …) y compáralo con lo que esperabas; los espacios sobrantes o un salto de línea final copiado desde un gestor de contraseñas son culpables habituales. Los proxies usan su propio encabezado, Proxy-Authorization, con el mismo formato.

Preguntas frecuentes