Zum Hauptinhalt springen
Bethemesh
Sicherheit & Datenschutz

Basic-Auth-Generator & Decoder

Kodiere Benutzername und Passwort als UTF-8 und dann als Base64, um den HTTP-Header Authorization: Basic zu erhalten – mit fertigen curl- und fetch-Beispielen –, oder füge einen vorhandenen Basic-Header ein, um Benutzername und Passwort auszulesen.

  • Zwischenablage

Dieses Widget einbetten

Passe die Darstellung an, prüfe die Vorschau und kopiere anschließend den Code.

Vorschau

Art des Einbettungscodes

Zu kopierender Code

Responsive und automatisch von Bethemesh in der Größe angepasst.

Base64 ist keine Verschlüsselung: Jeder kann diese Zugangsdaten dekodieren. Sende den Basic-Header nur über HTTPS.

War dieses Werkzeug hilfreich?

Wie funktioniert dieses Tool?

Dieses Tool baut den HTTP-Header `Authorization: Basic …` aus Benutzername und Passwort und funktioniert auch umgekehrt: Es dekodiert einen Basic-Header und zeigt die enthaltenen Zugangsdaten. Es hilft dir beim Testen einer API, eines Webhooks oder eines per .htpasswd geschützten Verzeichnisses und beim Debuggen einer Anfrage, die mit 401 abgelehnt wird.

Das Basic-Schema ist in RFC 7617 definiert: Der Client verbindet Benutzername, Doppelpunkt und Passwort, kodiert diese Zeichenkette als UTF-8-Bytes und dann als Base64. Das RFC-Beispiel `Aladdin:open sesame` ergibt `QWxhZGRpbjpvcGVuIHNlc2FtZQ==`, also den Header `Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==`. Das Tool wendet genau diese Methode an und liefert zusätzlich einen curl-Befehl und einen fetch-Aufruf, die den Header senden.

Das Dekodieren läuft umgekehrt: Das Tool akzeptiert den vollständigen Header oder nur den Base64-Wert, dekodiert ihn als UTF-8 und trennt Benutzername und Passwort am ersten Doppelpunkt. Das zeigt: Base64 ist keine Verschlüsselung – wer den Header abfängt, liest das Passwort im Klartext. Basic Auth gehört deshalb nur über HTTPS, und der Server sollte einen Passwort-Hash speichern (etwa bcrypt in .htpasswd), nie den Base64-Wert.

So verwenden Sie dieses Tool

  1. Zugangsdaten eingeben

    Gib Benutzername und Passwort ein: Das Tool erzeugt den Base64-Wert und den passenden Header Authorization: Basic.

  2. Passendes Beispiel kopieren

    Übernimm den reinen Header, den curl-Befehl oder den fetch-Aufruf – fertig zum Einfügen in Terminal, Code oder API-Client.

  3. Oder einen Header dekodieren

    Füge einen vorhandenen Header `Authorization: Basic …` oder nur dessen Base64-Teil ein, um Benutzername und Passwort anzuzeigen.

Basic-Kodierung

Basic-Kodierung

Authorization = 'Basic ' + Base64(UTF-8(Benutzername + ':' + Passwort))

Anwendungsfälle

Geschützte API mit curl oder Postman aufrufen

Erzeuge Header oder curl-Befehl für eine API, die Basic Auth erwartet, etwa die Jira-Cloud-API mit E-Mail-Adresse und API-Token.

Einen 401 Unauthorized verstehen

Dekodiere den Authorization-Header, den dein Client sendet, und prüfe, ob Benutzername, Passwort und Trennzeichen dem entsprechen, was der Server erwartet.

Webhook oder Uptime-Monitoring einrichten

Viele Dienste verlangen den vollständigen Wert des Authorization-Headers, um einen geschützten Endpunkt aufzurufen: Erzeuge ihn ohne Skript oder Terminal.

Beispiele

Basic-Header für ein Testkonto

Eingabe

Vorgang: Erzeugen; Benutzername: Aladdin; Passwort: open sesame

Ergebnis

Zugangsdaten in Base64: QWxhZGRpbjpvcGVuIHNlc2FtZQ==; Authorization-Header: Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Tipps und bewährte Vorgehensweisen

  • Ein Benutzername darf keinen Doppelpunkt enthalten: Der Server trennt am ersten „:“. Ein Doppelpunkt im Passwort ist dagegen kein Problem.
  • Mit curl erzeugt `-u benutzer:passwort` denselben Header; setze die Zugangsdaten in einfache Anführungszeichen, wenn das Passwort $, ! oder & enthält.
  • Ein Basic-Header ist ein Geheimnis, das sich unverändert wiederverwenden lässt: Füge ihn nie in ein Ticket, ein Log oder einen geteilten Screenshot ein.

Quellen und Referenzen

Häufig gestellte Fragen

Ist HTTP Basic Authentication sicher?

Allein bietet sie keine Vertraulichkeit: Base64 ist sofort dekodiert und der Header geht bei jeder Anfrage mit. Über HTTPS ist der Transport verschlüsselt, und Basic ist für eine interne API, eine Staging-Umgebung oder ein Admin-Tool vertretbar. Für eine öffentliche Anwendung nimmst du besser Tokens (OAuth 2.0, widerrufbare API-Keys) und eine Begrenzung der Versuche.

Wie dekodiere ich einen Authorization-Basic-Header?

Entferne das Präfix „Basic“, dekodiere den Wert per Base64 und lies den entstandenen UTF-8-Text: Alles vor dem ersten Doppelpunkt ist der Benutzername, der Rest das Passwort. Das Tool erledigt das automatisch, wenn du den Header oder seinen Wert einfügst.

Darf das Passwort Umlaute oder Doppelpunkte enthalten?

Ja. RFC 7617 erlaubt dem Server, charset="UTF-8" anzukündigen, und das Tool kodiert immer in UTF-8 – Umlaute, ß und Emojis sind also kein Problem. Ein Doppelpunkt ist im Passwort erlaubt, im Benutzernamen nicht.

Was ist der Unterschied zwischen Basic und Bearer?

Basic überträgt Benutzername und Passwort selbst, Base64-kodiert. Bearer überträgt ein undurchsichtiges Token oder ein JWT eines Autorisierungsservers, das ablaufen oder widerrufen werden kann, ohne das Passwort zu ändern. Beide nutzen den Authorization-Header und setzen HTTPS voraus.

Wie melde ich mich im Browser von Basic Auth ab?

Es gibt kein standardisiertes Logout: Der Browser hält die Zugangsdaten im Speicher und sendet sie während der ganzen Sitzung erneut. Den Browser komplett schließen, ein privates Fenster nutzen oder eine neue 401-Antwort auslösen sind die einzigen praktischen Wege.

Ist das dasselbe wie eine .htpasswd-Datei?

Nein. Die .htpasswd-Datei auf dem Server speichert einen Passwort-Hash (bcrypt oder APR1-MD5), der Basic-Header auf Client-Seite transportiert das Klartext-Passwort in Base64. Dieses Tool erzeugt den Header, den der Client sendet, nicht den .htpasswd-Eintrag.

Verwandte Werkzeuge

Mit diesen Werkzeugen weitermachen

Werkzeuge, die diesem ähnlich sind oder es ergänzen.

Ähnliche Werkzeuge

Base64 kodieren und dekodieren

Kodiere Text als Base64 oder dekodiere Base64 zurück in lesbaren Text.

Sicherheit & DatenschutzEmpfohlenDieses Werkzeug verwenden

cURL-Generator

cURL-Befehle aus HTTP-Anfragedaten erstellen.

Sicherheit & DatenschutzDieses Werkzeug verwenden

HTTP-Header-Generator

HTTP-Header für Anfragen oder Antworten zusammenstellen.

Sicherheit & DatenschutzDieses Werkzeug verwenden

Auch interessant