Codificação Basic
Authorization = 'Basic ' + Base64(UTF-8(utilizador + ':' + palavra-passe))
Gerador e descodificador Basic Auth
Codifique um nome de utilizador e uma palavra-passe em UTF-8 e depois em Base64 para obter o cabeçalho HTTP Authorization: Basic, com exemplos curl e fetch prontos a colar, ou cole um cabeçalho Basic existente para recuperar o utilizador e a palavra-passe.
- Área de transferência
Base64 não é cifragem: qualquer pessoa pode descodificar estas credenciais. Envie o cabeçalho Basic apenas por HTTPS.
Esta ferramenta foi útil?
Como funciona esta ferramenta?
Esta ferramenta constrói o cabeçalho HTTP `Authorization: Basic …` a partir de um nome de utilizador e de uma palavra-passe, e faz também o inverso: descodifica um cabeçalho Basic para mostrar as credenciais que contém. Destina-se a programadores que testam uma API, um webhook ou um diretório protegido por .htpasswd, e a quem depura um pedido recusado com 401.
O esquema Basic é definido pelo RFC 7617: o cliente junta o nome de utilizador, dois pontos e a palavra-passe, codifica essa cadeia em bytes UTF-8 e depois em Base64. O exemplo do RFC, `Aladdin:open sesame`, dá `QWxhZGRpbjpvcGVuIHNlc2FtZQ==`, ou seja, o cabeçalho `Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==`. A ferramenta aplica exatamente este método e fornece ainda um comando curl e uma chamada fetch que enviam o cabeçalho.
A descodificação faz o caminho inverso: a ferramenta aceita o cabeçalho completo ou apenas o valor Base64, descodifica-o em UTF-8 e separa o utilizador da palavra-passe nos primeiros dois pontos. Isto mostra que Base64 não é cifragem: quem intercetar o cabeçalho lê a palavra-passe em claro. O Basic Auth só deve, por isso, circular por HTTPS, e o servidor deve guardar um hash da palavra-passe (bcrypt no .htpasswd, por exemplo), nunca o valor Base64.
Como usar esta ferramenta
Introduza as credenciais
Escreva o nome de utilizador e a palavra-passe: a ferramenta produz o valor Base64 e o cabeçalho Authorization: Basic correspondente.
Copie o exemplo de que precisa
Utilize só o cabeçalho, o comando curl ou a chamada fetch, prontos a colar no terminal, no código ou no cliente de API.
Ou descodifique um cabeçalho
Cole um cabeçalho `Authorization: Basic …` existente, ou apenas a sua parte Base64, para ver o utilizador e a palavra-passe que contém.
Codificação Basic
Casos de uso
Chamar uma API protegida com curl ou Postman
Gere o cabeçalho ou o comando curl para uma API que espera Basic Auth, como a API do Jira Cloud com um endereço de e-mail e um token de API.
Perceber um 401 Unauthorized
Descodifique o cabeçalho Authorization enviado pelo seu cliente para confirmar que o utilizador, a palavra-passe e o separador são os esperados pelo servidor.
Configurar um webhook ou uma monitorização
Muitos serviços pedem o valor completo do cabeçalho Authorization para chamar um endpoint protegido: gere-o sem scripts nem terminal.
Exemplos
Cabeçalho Basic para uma conta de teste
Entrada
Operação: Gerar; Utilizador: Aladdin; Palavra-passe: open sesameResultado
Credenciais em Base64: QWxhZGRpbjpvcGVuIHNlc2FtZQ==; Cabeçalho Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==Dicas e boas práticas
- O nome de utilizador não pode conter dois pontos: o servidor separa nos primeiros «:». Dois pontos na palavra-passe não causam problemas.
- Com o curl, `-u utilizador:palavra-passe` gera o mesmo cabeçalho; coloque as credenciais entre plicas se a palavra-passe contiver $, ! ou &.
- Um cabeçalho Basic é um segredo reutilizável tal como está: não o cole num ticket, num log ou numa captura de ecrã partilhada.
Fontes e referências
- J. Reschke, RFC 7617 — The Basic HTTP Authentication Scheme (abre num novo separador), RFC Editor, 2015Página em inglês
- S. Josefsson, RFC 4648 — The Base16, Base32, and Base64 Data Encodings (abre num novo separador), RFC Editor, 2006Página em inglês
Perguntas frequentes
A autenticação HTTP Basic é segura?
Por si só não oferece confidencialidade: Base64 descodifica-se de imediato e o cabeçalho segue em cada pedido. Com HTTPS o transporte é cifrado e o Basic é aceitável para uma API interna, um ambiente de testes ou uma ferramenta de administração. Para uma aplicação pública, prefira tokens (OAuth 2.0, chaves de API revogáveis) e limitação de tentativas.
Como descodificar um cabeçalho Authorization Basic?
Retire o prefixo «Basic», descodifique o valor em Base64 e leia o texto UTF-8 obtido: o que vem antes dos primeiros dois pontos é o utilizador e o resto a palavra-passe. A ferramenta fá-lo automaticamente quando cola o cabeçalho ou o seu valor.
A palavra-passe pode ter acentos ou dois pontos?
Sim. O RFC 7617 permite ao servidor anunciar charset="UTF-8", e a ferramenta codifica sempre em UTF-8, o que suporta acentos, cedilhas e emojis. Os dois pontos são aceites na palavra-passe, mas não no nome de utilizador.
Qual é a diferença entre Basic e Bearer?
O Basic envia o próprio utilizador e a palavra-passe, codificados em Base64. O Bearer envia um token opaco ou um JWT emitido por um servidor de autorização, que pode expirar ou ser revogado sem alterar a palavra-passe. Ambos usam o cabeçalho Authorization e ambos exigem HTTPS.
Como terminar sessão no Basic Auth no navegador?
Não existe um fim de sessão normalizado: o navegador mantém as credenciais em memória e reenvia-as durante toda a sessão. Fechar completamente o navegador, usar uma janela privada ou provocar uma nova resposta 401 são as únicas soluções práticas.
É o mesmo que um ficheiro .htpasswd?
Não. O ficheiro .htpasswd, no servidor, guarda um hash da palavra-passe (bcrypt ou APR1-MD5), ao passo que o cabeçalho Basic, no cliente, transporta a palavra-passe em claro codificada em Base64. Esta ferramenta produz o cabeçalho enviado pelo cliente, não a entrada do .htpasswd.
Ferramentas relacionadas
Continue com estas ferramentas
Ferramentas semelhantes ou complementares a esta.
Ferramentas semelhantes
Codifique texto em Base64 ou descodifique uma cadeia Base64 para recuperar o conteúdo original.
Segurança e privacidadeEm destaqueUtilizar esta ferramenta
Gere um comando cURL completo a partir de um pedido HTTP.
Segurança e privacidadeUtilizar esta ferramenta
Construa cabeçalhos HTTP personalizados e obtenha uma saída pronta a usar nos seus pedidos.
Segurança e privacidadeUtilizar esta ferramenta
Leia também
GuiaBoas práticasIniciante
Cabeçalhos HTTP de segurança: quais ativar e porquê
Compreenda HSTS, Referrer-Policy, Permissions-Policy, proteções de framing e isolamento cross-origin antes de os implementar.
29 de agosto de 20263 min
GuiaBoas práticasIniciante
Content Security Policy (CSP): reduzir riscos XSS e carregamentos indesejados
Aprenda a construir uma CSP progressiva, compreender as suas diretivas e evitar políticas demasiado permissivas ou que quebram o site.
29 de agosto de 20263 min
GuiaBoas práticasIntermédio
Criptografia, hashing e HMAC: entender as diferenças
Saiba quando usar criptografia, hashing, HMAC ou PBKDF2 para confidencialidade, integridade, autenticação e palavras-passe.
23 de setembro de 20262 min
GuiaBoas práticasIntermédio
OAuth 2.0, PKCE, JWT, JWK e JWKS: entender seus papéis
Entenda como OAuth 2.0, PKCE, JWT, JWK e JWKS se relacionam: autorização, tokens, chaves públicas e verificação.
23 de setembro de 20262 min