Codificación Basic
Authorization = 'Basic ' + Base64(UTF-8(usuario + ':' + contraseña))
Generador y decodificador Basic Auth
Codifica un usuario y una contraseña en UTF-8 y luego en Base64 para obtener la cabecera HTTP Authorization: Basic, con ejemplos de curl y fetch listos para pegar, o pega una cabecera Basic existente para recuperar el usuario y la contraseña.
- Portapapeles
Base64 no es cifrado: cualquiera puede decodificar estas credenciales. Envía el encabezado Basic solo por HTTPS.
¿Te ha resultado útil esta herramienta?
¿Cómo funciona esta herramienta?
Esta herramienta construye la cabecera HTTP `Authorization: Basic …` a partir de un usuario y una contraseña, y también hace lo contrario: decodifica una cabecera Basic para mostrar las credenciales que contiene. Sirve a desarrolladores que prueban una API, un webhook o un directorio protegido con .htpasswd, y a quien depura una petición rechazada con 401.
El esquema Basic se define en la RFC 7617: el cliente une el usuario, dos puntos y la contraseña, codifica esa cadena en bytes UTF-8 y después en Base64. El ejemplo de la RFC, `Aladdin:open sesame`, da `QWxhZGRpbjpvcGVuIHNlc2FtZQ==`, es decir, la cabecera `Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==`. La herramienta aplica exactamente este método y ofrece además un comando curl y una llamada fetch que envían la cabecera.
La decodificación sigue el camino inverso: la herramienta acepta la cabecera completa o solo el valor Base64, lo decodifica en UTF-8 y separa el usuario de la contraseña en los primeros dos puntos. Esto demuestra que Base64 no es cifrado: quien intercepte la cabecera lee la contraseña en claro. Por eso Basic Auth solo debe viajar por HTTPS, y el servidor debe guardar un hash de la contraseña (bcrypt en .htpasswd, por ejemplo), nunca el valor Base64.
Cómo utilizar esta herramienta
Introduce las credenciales
Escribe el usuario y la contraseña: la herramienta genera el valor Base64 y la cabecera Authorization: Basic correspondiente.
Copia el ejemplo que necesitas
Toma solo la cabecera, el comando curl o la llamada fetch, listos para pegar en tu terminal, tu código o tu cliente de API.
O decodifica una cabecera
Pega una cabecera `Authorization: Basic …` existente, o solo su parte Base64, para ver el usuario y la contraseña que contiene.
Codificación Basic
Casos de uso
Llamar a una API protegida con curl o Postman
Genera la cabecera o el comando curl para una API que espera Basic Auth, como la API de Jira Cloud con un correo y un token de API.
Entender un 401 Unauthorized
Decodifica la cabecera Authorization que envía tu cliente para comprobar que el usuario, la contraseña y el separador son los que espera el servidor.
Configurar un webhook o un monitor de disponibilidad
Muchos servicios piden el valor completo de la cabecera Authorization para llamar a un endpoint protegido: genéralo sin scripts ni terminal.
Ejemplos
Cabecera Basic para una cuenta de prueba
Entrada
Usuario: Aladdin; contraseña: open sesameResultado
Base64: QWxhZGRpbjpvcGVuIHNlc2FtZQ==; cabecera: Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==Consejos y buenas prácticas
- El nombre de usuario no puede contener dos puntos: el servidor corta en los primeros «:». Dos puntos en la contraseña no causan problemas.
- Con curl, `-u usuario:contraseña` genera la misma cabecera; pon las credenciales entre comillas simples si la contraseña contiene $, ! o &.
- Una cabecera Basic es un secreto reutilizable tal cual: no la pegues en un ticket, un log ni una captura de pantalla compartida.
Fuentes y referencias
- J. Reschke, RFC 7617 — The Basic HTTP Authentication Scheme (se abre en una pestaña nueva), RFC Editor, 2015Página en inglés
- S. Josefsson, RFC 4648 — The Base16, Base32, and Base64 Data Encodings (se abre en una pestaña nueva), RFC Editor, 2006Página en inglés
Preguntas frecuentes
¿Es segura la autenticación HTTP Basic?
Por sí sola no ofrece confidencialidad: Base64 se decodifica al instante y la cabecera viaja en cada petición. Con HTTPS el transporte va cifrado y Basic es aceptable para una API interna, un entorno de preproducción o una herramienta de administración. Para una aplicación pública, mejor tokens (OAuth 2.0, claves de API revocables) y límite de intentos.
¿Cómo decodifico una cabecera Authorization Basic?
Quita el prefijo «Basic», decodifica el valor en Base64 y lee el texto UTF-8 resultante: lo que va antes de los primeros dos puntos es el usuario y el resto, la contraseña. La herramienta lo hace automáticamente al pegar la cabecera o su valor.
¿La contraseña puede tener acentos o dos puntos?
Sí. La RFC 7617 permite que el servidor anuncie charset="UTF-8", y la herramienta siempre codifica en UTF-8, así que admite tildes, eñes y emojis. Los dos puntos se aceptan en la contraseña, pero no en el nombre de usuario.
¿Qué diferencia hay entre Basic y Bearer?
Basic envía el propio usuario y la contraseña, codificados en Base64. Bearer envía un token opaco o un JWT emitido por un servidor de autorización, que puede caducar o revocarse sin cambiar la contraseña. Ambos usan la cabecera Authorization y ambos requieren HTTPS.
¿Cómo cierro sesión en Basic Auth desde el navegador?
No existe un cierre de sesión estándar: el navegador guarda las credenciales en memoria y las reenvía durante toda la sesión. Cerrar el navegador por completo, usar una ventana privada o provocar una nueva respuesta 401 son las únicas opciones prácticas.
¿Es lo mismo que un archivo .htpasswd?
No. El archivo .htpasswd, en el servidor, guarda un hash de la contraseña (bcrypt o APR1-MD5), mientras que la cabecera Basic, en el cliente, lleva la contraseña en claro codificada en Base64. Esta herramienta genera la cabecera que envía el cliente, no la entrada de .htpasswd.
Herramientas relacionadas
Continúa con estas herramientas
Herramientas similares o complementarias a esta.
Herramientas similares
Codifica texto en Base64 o decodifica una cadena Base64 para recuperar su contenido original.
Seguridad y privacidadDestacadaUsar esta herramienta
Genera un comando cURL completo a partir de una solicitud HTTP.
Seguridad y privacidadUsar esta herramienta
Crea encabezados HTTP personalizados y obtén una salida lista para utilizar en tus solicitudes.
Seguridad y privacidadUsar esta herramienta
También te puede interesar
GuíaBuenas prácticasPrincipiante
Seguridad web: comprender las protecciones esenciales de un sitio
Comprende las capas que protegen un sitio web: HTTPS, cabeceras HTTP, CSP, SRI, autenticación, contraseñas e integridad.
29 de agosto de 20262 min
GuíaBuenas prácticasPrincipiante
Cabeceras HTTP de seguridad: cuáles activar y por qué
Comprende HSTS, CSP, X-Content-Type-Options, Referrer-Policy y Permissions-Policy y cómo verificar las cabeceras realmente enviadas.
29 de agosto de 20261 min