Единственное, что касается аутентификации в RSS, — это поддержка базовой аутентификации через URL, например https://user:password@www.example.com (которую мы пока не поддерживаем), или что-то вроде того, что мы сейчас поддерживаем через api_key и api_username в URL.
Хотя было бы неплохо полностью отказаться от аутентификации через URL, я считаю, что правильный путь вперёд — чтобы мы по-прежнему могли поддерживать приватные RSS-каналы, — это разрешить этот тип аутентификации только для каналов тем и категорий. Позже мы также можем добавить поддержку ключей API только для чтения.
Проблема также в том, что RSS-ридеры обычно имеют лишь одно поле для ввода URL при добавлении канала. Поэтому даже если бы RSS поддерживал заголовки, в ридерах негде было бы указать учётные данные для заголовка.