Du har sett den — popup-rutan med "Ange användarnamn och lösenord" som dyker upp direkt i webbläsaren, ovanpå sidan. Det är HTTP Basic Auth. Det skickar ditt lösenord nästan i klartext varje gång. Och en gång räcker.
01Hur det fungerar
Du försöker besöka en skyddad sida. Servern svarar med 401 Unauthorized och frågar artigt vem du är. Browsern visar popup-rutan, du fyller i, browsern packar in det i en header som följer med på varje följande request:
Den långa strängen ser kryptisk ut, eller hur? Den är det inte. Den är bara ada:kanin123 omvänd till något som heter base64. Vem som helst med ett enradskommando kan vända tillbaka.
02Base64 är inte kryptering
Det här är förvirrande för många: base64 ser ut som något hemligt. Det är det inte. Base64 är bara ett sätt att skriva binär data med bokstäver — samma sak som att skriva ett telefonnummer med ord. Inget är gömt. Allt går att läsa.
03Prova själv — koda och dekoda
Skriv ett användarnamn och lösenord. Du får exakt det som din webbläsare skulle skicka. Tryck sedan på dekoda för att se hur lätt det är att vända tillbaka.
04När är Basic Auth okej?
Tre regler:
- Bara över HTTPS. Aldrig HTTP.
- Bara för enkla interna API:er, dev-miljöer, eller "lås till en kontor-router". Aldrig för publika tjänster med riktiga användare.
- Om en sajt ber dig logga in via Basic Auth till en konsument-tjänst — det är en varningssignal. De ska använda en riktig login-sida med POST + cookies eller token.
05Vad är "riktig" auth då?
De flesta moderna sajter använder kombinationer av dessa:
- Cookies + sessioner (lektion 28) — du skickar lösenord en gång, sen får du en cookie
- JWT / Bearer tokens (lektion 29) — moderna API:er ger dig en signerad lapp
- Passkeys / WebAuthn — det allra senaste, helt utan lösenord
Nästa lektion (28) går igenom cookies — de små filerna som bär din inloggning mellan sidladdningar.