HTTP Authentication
No todos los clientes soportan todos los esquemas de autenticación de forma nativa. Esta matriz muestra qué clientes manejan cada esquema automáticamente, cuáles requieren configuración manual y cuáles no tienen soporte.
| Cliente | Basic RFC 7617 | Digest MD5 RFC 7616 | Digest SHA-256 RFC 7616 | Bearer RFC 6750 | Bearer + Discovery RFC 9728 | NTLM MS-NLMP | Kerberos RFC 4559 |
|---|---|---|---|---|---|---|---|
Chrome Navegador — diálogo nativo de credenciales (v117+) | Nativo | Nativo | Nativo | — | — | Nativo | — |
Firefox Navegador — diálogo nativo de credenciales (v93+) | Nativo | Nativo | Nativo | — | — | Nativo | — |
Safari Navegador — diálogo nativo de credenciales (WebKit, sin SHA-256) | Nativo | Nativo | — | — | — | Nativo | — |
Edge Navegador — diálogo nativo de credenciales (Chromium, v117+) | Nativo | Nativo | Nativo | — | — | Nativo | — |
curl Herramienta HTTP de línea de comandos (flag --digest; soporte completo RFC 7616) | Parcial | Parcial | Parcial | Parcial | — | Parcial | Parcial |
wget Herramienta HTTP de línea de comandos (solo MD5) | Parcial | Parcial | — | — | — | — | — |
http (HTTPie) Herramienta HTTP de línea de comandos (solo MD5 vía plugin) | Parcial | Parcial | — | Parcial | — | — | — |
fetch / XHR API HTTP de JavaScript en el navegador | — | — | — | — | — | — | — |
axios Librería HTTP de JavaScript | Parcial | — | — | — | — | — | — |
requests Librería HTTP de Python (HTTPDigestAuth, solo MD5) | Parcial | Parcial | — | — | — | — | — |
Postman Cliente API con soporte OAuth 2.0 | Parcial | Parcial | Parcial | Parcial | — | Parcial | — |
Insomnia Cliente API con soporte OAuth 2.0 (solo MD5) | Parcial | Parcial | — | Parcial | — | — | — |
Claude Cliente MCP — Model Context Protocol | — | — | — | Parcial | Nativo | — | — |
Perplexity Cliente MCP — Model Context Protocol | — | — | — | Parcial | Nativo | — | — |
Úsalo solo para herramientas internas, sistemas heredados o cuando HTTPS está garantizado y no hay mejor opción. El amplio soporte de clientes lo hace tentador, pero la contraseña está codificada de forma reversible — trata cada petición como si enviara la contraseña en texto claro.
Mejora sobre Basic pero limitado a entornos donde los navegadores lo gestionan nativamente. El escaso soporte en JavaScript y frameworks modernos lo hace poco práctico para nuevas APIs.
El estándar para APIs modernas. Cualquier cliente que pueda establecer una cabecera de petición funciona. La emisión del token (flujos OAuth 2.0) debe configurarse externamente — usa discovery RFC 9728 si quieres clientes sin configuración previa.
Ideal para ecosistemas donde los clientes no pueden preconfigurarse: agentes de IA, servidores MCP y APIs federadas. Una sola respuesta 401 le da al cliente todo lo necesario para descubrir el servidor de autorización y obtener un token.
Restringido a entornos de dominio Windows. Evítalo en nuevos servicios web — Kerberos o Bearer son los reemplazos correctos. Úsalo únicamente al interoperar con IIS, SharePoint u otros sistemas Microsoft donde la autenticación de dominio es obligatoria y no puede modernizarse.
El método de autenticación preferido en entornos Active Directory. Úsalo cuando todos los clientes estén unidos al dominio y se requiera Single Sign-On — el usuario nunca ve un diálogo de credenciales. Requiere que el servidor esté registrado como SPN en Active Directory y que los navegadores estén configurados vía política empresarial. No es adecuado para APIs de internet público.