Где именно в HTTP-запросе следует указывать данные для аутентификации, такие как логин и пароль?

Данные для аутентификации, такие как логин и пароль, обычно передаются в HTTP-запросе в заголовке Authorization. Наиболее распространённый способ — использовать схему Basic Authentication, где логин и пароль кодируются в Base64 и передаются в заголовке:

Authorization: Basic base64(login:password)

Например, если логин user, пароль pass, то строка для кодирования будет user:pass.

Пример на Android с использованием HttpURLConnection:

String credentials = "user:pass";
String auth = "Basic " + Base64.encodeToString(credentials.getBytes(), Base64.NO_WRAP);
connection.setRequestProperty("Authorization", auth);

Передавать логин и пароль в теле запроса или в URL (например, в параметрах GET) не рекомендуется из соображений безопасности.