【入門編】Authorizationヘッダーの構造とBasic/Digest認証の仕組み – HTTPプロトコル・通信規格実践ガイド

扉を開けるための「合言葉」：HTTP認証の仕組みを紐解こう

Webの世界を旅していると、私たちは毎日何百回と「ログイン」という作業を行っていますよね。でも、ブラウザの裏側で一体どんなやり取りが行われているのか、考えたことはありますか？

実は、サーバーに対して「私は誰なのか」を証明するプロセスは、物理的な世界で例えるなら「郵便局で身分証を提示して小包を受け取る」ようなものなんです。今回は、HTTP通信における認証の基本である「Basic認証」と「Digest認証」の仕組みを、ネットワークの現場目線で優しく解説していきます。

—

1. そもそも「Authorizationヘッダー」って何者？

Webサイトにアクセスしたとき、サーバーが「ここは会員専用エリアですよ」と門前払いをすることがあります。その際、クライアント（ブラウザ）はサーバーに対して「これを見れば私が誰だかわかるはずです」と、手紙の封筒に「Authorization（承認）」という名のスタンプを押して情報を送ります。これが`Authorization`ヘッダーです。

中身はシンプルで、こんな形式をしています。

形式： Authorization: 認証方式認証情報
Authorization: Basic dXNlcjpwYXNzd29yZA==

ここから、この「認証方式」がどう変わっていくのか、二つの代表選手を見ていきましょう。

—

2. Basic認証：超シンプルだけど実は「無防備」

Basic認証は、最も古くからある、いわば「直球勝負」の仕組みです。

仕組みを例えると？

「ユーザー名」と「パスワード」を半角コロンでつなぎ、それを「誰でも元に戻せる魔法（Base64エンコード）」で変換して送るだけ。

ユーザー名: `admin`
パスワード: `secret`
合体: `admin:secret`
Base64変換: `YWRtaW46c2VjcmV0`

なぜこれが「危ない」のか？

Base64は「暗号」ではありません。ただの「文字の変換ルール」に過ぎないのです。もし暗号化されていない通信（HTTP）でこれを送ったら、途中のネットワークにいる悪意ある人に、変換ルールを逆再生されるだけでパスワードが丸見えになってしまいます。

「鍵のかかっていない封筒に、鍵の番号を書いて送るようなもの」。これがBasic認証の正体です。だからこそ、必ずHTTPS（SSL/TLSによる暗号化）とセットで使うのが鉄則なんですね。

—

3. Digest認証：ハッシュの力で「中身を見せずに証明する」

Basic認証の脆弱性を補うために生まれたのが「Digest（ダイジェスト）認証」です。こちらは少し頭を使います。

仕組みを例えると？

パスワードそのものを送るのではなく、「パスワードを使って作った『特別な指紋（ハッシュ値）』だけを送る」という方法です。

1. サーバーが「今のランダムな合言葉（nonce）」を教えてくれる。
2. クライアントは「パスワード」と「合言葉」を混ぜ合わせ、専用の計算式（ハッシュ関数）で「指紋」を作る。
3. サーバーは手元のパスワードで同じ計算を行い、届いた「指紋」と一致するか確認する。

これなら、もし途中で通信を盗聴されても、相手に届くのは「指紋」だけ。元になるパスワードそのものは決してネットワークを流れないため、非常に安全性が高いのです。

—

4. 現場で役立つ！認証のやり取り（イメージ）

実際の通信では、こんな会話が行われています。

クライアント：このページ見せて！
GET /secret-page HTTP/1.1

サーバー：誰か証明して。このランダムな合言葉(nonce)を使ってね。
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Digest realm=”Area51″, nonce=”dcd98b71…”

クライアント：計算したよ。これなら僕だってわかるでしょ？
Authorization: Digest username=”MTH”, realm=”Area51″, nonce=”dcd98b71…”, response=”6629fae4…”

—

まとめ：一歩ずつ理解を深めよう

今回お伝えしたかったのは、以下のポイントです。

Authorizationヘッダーは、サーバーへの「身分証明書」。
Basic認証は手軽だけど、そのまま送ると危険（HTTPS必須！）。
Digest認証はハッシュ計算を使って、パスワードを隠しながら証明する賢い仕組み。

ネットワークのトラブルシューティングをしていると、こうした認証ヘッダーの不備で「なぜかログインできない！」という場面に遭遇することがよくあります。そんな時、「今、手紙の中身（ヘッダー）はどうなっているかな？」と中身を覗き込む勇気を持つだけで、解決の糸口はぐっと近づきますよ。

難しいプロトコルも、こうして身近な郵便の仕組みに置き換えれば怖くありません。ぜひ、デベロッパーツールを開いて、実際の通信を眺めてみてくださいね。あなたのエンジニアライフが、より豊かになりますように！