A única coisa relacionada à autenticação no RSS é o suporte a autenticação básica baseada em URL, como https://user:password@www.example.com (para a qual não temos suporte) ou algo como o que atualmente suportamos com api_key e api_username na URL.
Embora seria bom eliminar completamente a autenticação baseada em URL, acredito que o caminho a seguir, para que ainda tenhamos suporte a RSS privado, é permitir esse tipo de autenticação apenas para feeds de tópicos/categorias. Posteriormente, poderemos adicionar suporte a chaves de API de somente leitura.
O problema também é que os leitores de RSS geralmente possuem apenas um único campo de URL para adicionar um feed. Portanto, mesmo que o RSS tivesse suporte a cabeçalhos, os leitores não teriam onde adicionar credenciais em um cabeçalho.