mdk ..
Esas cabeceras "fuera de contexto" parece que se comportan así ..
Pero, si usas el "código completo" .. veras que sólo pregunta una vez:
Código PHP:
<?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
header('WWW-Authenticate: Basic realm="My Realm"');
header('HTTP/1.0 401 Unauthorized');
echo 'Text to send if user hits Cancel button';
exit;
} else {
echo "<p>Hello {$_SERVER['PHP_AUTH_USER']}.</p>";
echo "<p>You entered {$_SERVER['PHP_AUTH_PW']} as your password.</p>";
}
?>
Extraido del manual oficial de PHP:
http://www.php.net/manual/en/features.http-auth.php
Un saludo,