ユーザ認証のダイアログボックスが画面に表示される。Zone」という文字が見える。よる通信が一度行われている。セッションを見てみよう。サーバのレスポンスが少し異なる。ステータス行とヘッダ行を抜き出してみよう。ヘッダを追加して返す。サーバがサポートする認証方法と、アクセス制限の掛かった領域の説明文が含まれる。領域の説明文と共に、認証用の画面を表示する。ここで間違ったパスワードを入れてみよう。ユーザ「user」、パスワード「badpass」と入力してみる。ブラウザは認証情報を作成し、それをヘッダに追加して再度リクエストを送る。すると、再度ダイアログボックスが画面に表示された。よる通信が行われている。ブラウザのリクエストの、リクエスト行とヘッダ行を抜き出してみよう。ヘッダが追加されている点のみが異なる。ブラウザが選択した認証方法と、ユーザ認証情報が含まれている。上の例では、「dXNlcjpiYWRwYXNz」が認証情報だ。呼ばれるアルゴリズムで変換されているだけだ。簡単に元のデータに戻すことができる。上記の認証情報を元に戻すと「user:badpass」となる。平文でパスワードが流れていることが分かる。認証情報を送らなかった場合と全く同じとなる。認証の再試行を行うために、再度入力を求めたわけだ。正しい認証情報を入力してみよう。今度は成功したので、「OK」と表示された。ヘッダが追加されている。ステータスでページを返却した。認証は、以上の手順によって行われている。ブラウザの役割なのである。ブラウザの仕様で、サーバ側には回数などの決まりは存在しない。ヘッダを自動的に追加する。返すことが予想されるからである。ブラウザを終了させるしかない。このため、基本認証を使う場合は、パスワードが流出する危険性は更に大きくなるのだ。