¿Dónde exactamente en la solicitud HTTP se deben indicar los datos de autenticación, como el nombre de usuario y la contraseña?

Los datos de autenticación, como el nombre de usuario y la contraseña, generalmente se transmiten en la cabecera Authorization de la solicitud HTTP. La forma más común es usar el esquema Basic Authentication, donde el nombre de usuario y la contraseña se codifican en Base64 y se envían en la cabecera:

Authorization: Basic base64(login:password)

Por ejemplo, si el nombre de usuario es user y la contraseña pass, la cadena para codificar será user:pass.

Ejemplo en Android usando HttpURLConnection:

String credentials = "user:pass";
String auth = "Basic " + Base64.encodeToString(credentials.getBytes(), Base64.NO_WRAP);
connection.setRequestProperty("Authorization", auth);

Enviar el nombre de usuario y la contraseña en el cuerpo de la solicitud o en la URL (por ejemplo, en los parámetros GET) no se recomienda por motivos de seguridad.