Dove esattamente nella struttura di una richiesta HTTP vengono di solito indicati login e password per l'autenticazione?

Логин и пароль для аутентификации в HTTP-запросе обычно указываются в заголовке Authorization. В случае базовой аутентификации (Basic Auth) данные передаются в виде строки, закодированной в Base64, например:

Authorization: Basic base64(username:password)

Это позволяет серверу распознать пользователя и проверить его права доступа. В URL логин и пароль также могут передаваться, но это считается небезопасным и не рекомендуется.