Où exactement dans la requête HTTP doit-on indiquer les données d'authentification, telles que le nom d'utilisateur et le mot de passe?

Les données d'authentification, telles que le nom d'utilisateur et le mot de passe, sont généralement transmises dans l'en-tête Authorization de la requête HTTP. La méthode la plus courante consiste à utiliser le schéma Basic Authentication, où le nom d'utilisateur et le mot de passe sont encodés en Base64 et envoyés dans l'en-tête:

Authorization: Basic base64(login:password)

Par exemple, si le nom d'utilisateur est user et le mot de passe pass, la chaîne à encoder sera user:pass.

Exemple en Android avec HttpURLConnection:

String credentials = "user:pass";
String auth = "Basic " + Base64.encodeToString(credentials.getBytes(), Base64.NO_WRAP);
connection.setRequestProperty("Authorization", auth);

Il n'est pas recommandé d'envoyer le nom d'utilisateur et le mot de passe dans le corps de la requête ou dans l'URL (par exemple, dans les paramètres GET) pour des raisons de sécurité.