Autenticação Básica: como funciona e quando ainda faz sentido usar

A Autenticação Básica, conhecida em inglês como HTTP Basic Auth, é o método de login mais antigo e mais simples que existe na web. Ela faz parte do próprio protocolo HTTP e não depende de nenhuma biblioteca extra para funcionar.

O funcionamento é direto: quando o navegador ou uma aplicação tenta acessar uma área protegida, o servidor responde pedindo usuário e senha. Essas informações são enviadas juntas, separadas por dois pontos, e depois codificadas em Base64 dentro do cabeçalho Authorization da requisição.

Um ponto importante é que Base64 não é criptografia, é apenas uma forma de representar o texto. Qualquer pessoa que interceptar a requisição consegue decodificar o usuário e a senha com poucos segundos de trabalho. Por isso, a Autenticação Básica só deve ser usada sobre HTTPS, nunca sobre HTTP puro.

Veja um exemplo simples de como validar esse tipo de autenticação em PHP:

<?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Area restrita"');
    header('HTTP/1.1 401 Unauthorized');
    exit('Acesso negado.');
}

$usuario = $_SERVER['PHP_AUTH_USER'];
$senha   = $_SERVER['PHP_AUTH_PW'];

$hashArmazenado = buscarHashDoUsuario($usuario);

if (!$hashArmazenado || !password_verify($senha, $hashArmazenado)) {
    header('WWW-Authenticate: Basic realm="Area restrita"');
    header('HTTP/1.1 401 Unauthorized');
    exit('Credenciais invalidas.');
}

echo "Bem-vindo, {$usuario}!";

Apesar de simples, esse método ainda aparece em cenários bem específicos: ferramentas internas de administração, painéis de monitoramento acessados só pela equipe técnica, ou APIs internas que já rodam atrás de uma VPN. Para aplicações voltadas ao público em geral, existem opções mais seguras e flexíveis, como veremos em outras matérias sobre autenticação por token.

Se você mantém algum sistema legado que ainda usa Autenticação Básica, o mínimo recomendável é garantir HTTPS obrigatório, limitar tentativas de login e nunca reutilizar essas credenciais em outros sistemas.