Onde exatamente na estrutura de uma requisição HTTP normalmente se indica o login e a senha para autenticação?

O nome de utilizador e a palavra-passe para autenticação na solicitação HTTP geralmente são indicados no cabeçalho Authorization. No caso de autenticação básica (Basic Auth), os dados são transmitidos como uma string codificada em Base64, por exemplo:

Authorization: Basic base64(nome de utilizador:palavra-passe)

Isto permite ao servidor reconhecer o utilizador e verificar os seus direitos de acesso. Na URL, o nome de utilizador e a palavra-passe também podem ser transmitidos, mas isso é considerado inseguro e não é recomendado.