Где именно в структуре HTTP-запроса обычно указывается логин и пароль для аутентификации?

Логин и пароль для аутентификации в HTTP-запросе обычно указываются в заголовке Authorization. В случае базовой аутентификации (Basic Auth) данные передаются в виде строки, закодированной в Base64, например:

Authorization: Basic base64(username:password)

Это позволяет серверу распознать пользователя и проверить его права доступа. В URL логин и пароль также могут передаваться, но это считается небезопасным и не рекомендуется.