À propos de cet outil
L’authentification est la première chose dont un test d’API a besoin, et une source fréquente de 401 déroutants : un mot de passe avec des caractères non ASCII encodé avec btoa, un token collé avec « Bearer » déjà inclus, ou une clé API envoyée dans la query string qui finit dans les logs. Cet outil construit l’en-tête pour l’auth Basic (RFC 7617, encodée en UTF-8 avant Base64), les Bearer tokens (RFC 6750) et les clés API en en-tête ou en paramètre de requête, et affiche la commande curl correspondante ainsi qu’une config Playwright utilisant extraHTTPHeaders avec des secrets lus dans des variables d’environnement. Pour les client credentials OAuth 2.0, il affiche la requête de token en curl et un petit helper Playwright, car ce flux échange des identifiants contre un token au lieu d’envoyer un en-tête fixe. Les saisies ne sont jamais enregistrées ni envoyées.
Mode d’emploi
- Choisissez le schéma : « Basic », « Bearer token », « API key » (clé API) ou « OAuth 2.0 client credentials ».
- Saisissez les identifiants et l’URL de la requête. Des avertissements signalent les erreurs courantes, comme un deux-points dans un nom d’utilisateur Basic ou un http:// en clair.
- Copiez la ligne d’en-tête, la commande curl ou l’extrait Playwright, et déplacez le secret dans une variable d’environnement avant de committer.
FAQ : Générateur d’en-têtes d’authentification
Le Base64 de l’auth Basic est-il une forme de chiffrement ?
Non. Base64 est un encodage que n’importe qui peut inverser. L’auth Basic n’est sûre qu’en HTTPS, et les identifiants sont envoyés à chaque requête.
Pourquoi btoa échoue-t-il sur mon mot de passe ?
btoa n’accepte que les caractères Latin-1 : des caractères comme € ou les emoji lèvent une erreur. La RFC 7617 recommande UTF-8, donc cet outil encode d’abord le texte en octets UTF-8, ce que décoderont les serveurs qui attendent de l’UTF-8.
Où stocker les identifiants de test ?
Dans des variables d’environnement ou le coffre de secrets de votre CI, jamais dans le dépôt. C’est pour cela que les extraits Playwright lisent des valeurs process.env. Préférez des comptes de test dédiés avec des droits minimaux et des tokens à courte durée de vie.