твои данные передаются каждый раз в поле заголовка запроса Authorization. И запоминает пароли не сервер а браузер
вероятно имел ввиду "Сервером каждый раз проверяется наличие HTTP заголовка Authorization". И в случае если там такого нет сервер отвечает чем-то вроде такого "WWW-Authenticate: Basic realm="WallyWorld"