Это полностью зависит от того, является ли это HTTPS или HTTP-запросом. Как правило, запросы HTTP-аутентификации отправляются в так называемом «текстовом эквиваленте». Он закодирован в Base-64, который легко переворачивается, поэтому он в основном открытый текст - это означает, что он не защищен.
Некоторые браузеры, такие как Internet Explorer, имеют некоторые расширения, позволяющие отправлять «безопасные» пароли на серверы, которые понимают и могут их декодировать. Обычно это означает, что IIS работает в доменной среде. Я ставлю в кавычки безопасный, потому что, как и большинство вещей, которые делает Microsoft, степень истинной безопасности часто обсуждается.
Если вы используете HTTPS, пароль по-прежнему отправляется тем же способом, но поскольку он передается по безопасному транспорту, не имеет значения, является ли пароль открытым текстом или нет, так как транспорт кодирует его.