Dove esattamente nella richiesta HTTP devono essere indicati i dati di autenticazione, come username e password?

I dati di autenticazione, come nome utente e password, vengono solitamente trasmessi nell'intestazione Authorization della richiesta HTTP. Il metodo più comune è utilizzare lo schema Basic Authentication, in cui nome utente e password vengono codificati in Base64 e inviati nell'intestazione:

Authorization: Basic base64(login:password)

Ad esempio, se il nome utente è user e la password pass, la stringa da codificare sarà user:pass.

Esempio su Android con HttpURLConnection:

String credentials = "user:pass";
String auth = "Basic " + Base64.encodeToString(credentials.getBytes(), Base64.NO_WRAP);
connection.setRequestProperty("Authorization", auth);

Inviare nome utente e password nel corpo della richiesta o nell'URL (ad esempio, nei parametri GET) non è raccomandato per motivi di sicurezza.