Zitat von Dr. EvilDas ganze nennt sich HTTP Authentication. Die gilt bis zum Sitzungsende. Die wird unverschlüsselt übermittelt, aber das wird jedes Passwort im Internet wenn kein SSL verwendet wird.
Unverschlüsselt, allerdings bei Digest gehasht. Wobei die Übertragung bei deinem Code keine Rolle spielt, damit greift man den Wert beim Client ab.