> Autenticación HTTP Basic (RFC 7617): cómo funciona, por qué no usa cookies y qué normas del RGPD se aplican a las páginas protegidas con contraseña. > > Canonical: https://www.flowconsent.com/es/services/seguridad/basic Seguridad # HTTP Basic Authentication Esencial · [Sitio oficial](https://datatracker.ietf.org/doc/html/rfc7617) La autenticación HTTP Basic es el mecanismo de control de acceso definido por el IETF en la RFC 7617 (2015). El servidor responde con la cabecera WWW-Authenticate: Basic, el navegador muestra su propio cuadro de inicio de sesión y después envía el usuario y la contraseña codificados en Base64 en cada petición. No instala cookies ni carga recursos de terceros, por lo que no requiere consentimiento, pero solo debe usarse con HTTPS porque las credenciales no van cifradas. [Bloquear HTTP Basic Authentication hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=security) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Seguridad](https://www.flowconsent.com/es/services/seguridad) - Consentimiento Esencial - Consentimiento previo No obligatorio - Cookies documentadas 0 - Servidores Not applicable (handled by the website's own web server) Presentación ## ¿Qué hace HTTP Basic Authentication? ## **¿Qué es la autenticación HTTP Basic?** La autenticación HTTP Basic es el mecanismo de control de acceso más sencillo integrado en el protocolo HTTP. Está especificada por el IETF en la RFC 7617, publicada en septiembre de 2015 por Julian Reschke, que sustituye la definición anterior de la RFC 2617. No es un producto comercial: los servidores web habituales (Apache, Nginx, IIS, Caddy) la admiten de forma nativa. Se utiliza sobre todo para proteger entornos de preproducción, áreas de administración, herramientas internas y API. ## **Cómo aparece en un sitio web** Cuando un visitante solicita una página protegida, el servidor responde con el código 401 y la cabecera WWW-Authenticate: Basic, a menudo con un nombre de realm. Los detectores de tecnologías identifican el mecanismo por esta cabecera. El navegador muestra entonces su propio cuadro de diálogo de acceso. El usuario y la contraseña se unen con dos puntos, se codifican en Base64 y se envían en la cabecera Authorization de cada petición posterior. No se carga JavaScript ni se contacta con ningún dominio externo. ## **Cookies y datos personales** La autenticación Basic no utiliza cookies. El navegador conserva las credenciales en memoria durante la sesión y las reenvía automáticamente. Los datos personales implicados son el nombre de usuario, la contraseña y la dirección IP del visitante, que normalmente queda registrada en los logs de acceso del servidor. Base64 es una codificación, no un cifrado: cualquiera que intercepte una petición sin cifrar puede leer la contraseña. ## **RGPD y consentimiento** No se necesita consentimiento. El mecanismo solo sirve para dar acceso a un usuario autorizado al servicio que ha solicitado, lo que entra en la excepción de lo estrictamente necesario del artículo 5.3 de la Directiva ePrivacy (artículo 22.2 de la LSSI en España). El tratamiento de las credenciales y los registros se basa en el contrato con el usuario o en el interés legítimo del titular del sitio en proteger el acceso. El mecanismo en sí no envía datos a terceros ni fuera de la UE. La obligación de seguridad del artículo 32 del RGPD sigue siendo aplicable. ## **Recomendaciones prácticas** - Sirva las zonas protegidas solo por HTTPS, nunca por HTTP simple. - Guarde las contraseñas con hash en el servidor (bcrypt o Argon2 en archivos htpasswd). - Limite el plazo de conservación de los logs de acceso y menciónelos en la política de privacidad. - Para cuentas de usuario públicas, es preferible un inicio de sesión basado en sesiones o un proveedor de identidad; la autenticación Basic queda para accesos internos o temporales. - Limite los intentos de acceso o restrinja por IP. Cumplimiento ## HTTP Basic Authentication y el RGPD - Base jurídica Performance of a contract or legitimate interest (Art. 6(1)(b) or 6(1)(f) GDPR); storage of credentials in the browser is exempt from consent as strictly necessary (Art. 5(3) ePrivacy Directive) - Nivel de riesgo low - Normativa aplicable GDPR, ePrivacy Directive ### Evaluación de impacto (EIPD) La autenticación Basic en sí no exige una evaluación de impacto: solo trata credenciales de acceso y registros de conexión de un grupo limitado de usuarios autorizados. Los puntos que conviene vigilar son la seguridad del transporte (HTTPS es imprescindible porque Base64 no ofrece protección), el almacenamiento de las contraseñas en el servidor y el plazo de conservación de los logs. ### Texto de ejemplo para su banner > Esta zona está protegida con la autenticación HTTP estándar. Su navegador envía sus credenciales en cada petición para mantener la sesión iniciada; no se guarda ninguna cookie ni se comparte nada con terceros. Cookies y rastreadores ## Lo que HTTP Basic Authentication instala y contacta - Método de seguimiento Server-side HTTP authentication scheme, detected through a WWW-Authenticate: Basic response header (usually with a 401 status). No script, no cookie. - Ubicación de los servidores Not applicable (handled by the website's own web server) - Modo sin cookies disponible Sí Preguntas ## Preguntas frecuentes sobre HTTP Basic Authentication ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿La autenticación HTTP Basic instala cookies? No. El navegador conserva las credenciales en memoria y las reenvía en la cabecera Authorization de cada petición. No se escribe nada en cookies ni en el almacenamiento local. ### ¿Necesito un banner de cookies para una página protegida con autenticación Basic? No. El mecanismo es estrictamente necesario para dar acceso a un usuario autorizado al servicio que ha pedido, por lo que está exento de consentimiento. Aun así, conviene describir el tratamiento de credenciales y registros en la política de privacidad. ### ¿Es segura la autenticación Basic? Solo con HTTPS. El usuario y la contraseña van codificados en Base64, que cualquiera puede decodificar, así que con HTTP simple viajan en claro. Con TLS, límite de intentos y contraseñas robustas con hash, es aceptable para herramientas internas y entornos de preproducción. ### ¿Por qué no se puede cerrar sesión en una zona con autenticación Basic? El navegador guarda las credenciales durante la sesión y el protocolo no tiene ninguna orden de cierre de sesión. Normalmente hay que cerrar el navegador, una de las razones para preferir un inicio de sesión basado en sesiones en cuentas públicas. ### ¿Qué norma define la autenticación HTTP Basic? La RFC 7617, publicada por el IETF en septiembre de 2015. Deja obsoleta la parte Basic de la RFC 2617 y añade un parámetro charset para que el servidor pueda anunciar credenciales en UTF-8. Misma categoría ## Más servicios: Seguridad [Ver toda la categoría](https://www.flowconsent.com/es/services/seguridad) ### [ClickGuard](https://www.flowconsent.com/es/services/seguridad/clickguard) [Marketing](https://www.flowconsent.com/es/services/seguridad/clickguard) · ### [Skyflow](https://www.flowconsent.com/es/services/seguridad/skyflow) [Esencial](https://www.flowconsent.com/es/services/seguridad/skyflow) · ### [AWS Certificate Manager](https://www.flowconsent.com/es/services/seguridad/aws-certificate-manager) [Seguridad](https://www.flowconsent.com/es/services/seguridad/aws-certificate-manager) · ### [MaxMind](https://www.flowconsent.com/es/services/seguridad/maxmind) [Esencial](https://www.flowconsent.com/es/services/seguridad/maxmind) · ### [OpenSSL](https://www.flowconsent.com/es/services/seguridad/openssl) [Seguridad](https://www.flowconsent.com/es/services/seguridad/openssl) · ### [ARCaptcha](https://www.flowconsent.com/es/services/seguridad/arcaptcha) [Esencial](https://www.flowconsent.com/es/services/seguridad/arcaptcha) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)