2 paragraphes, un par serveur/ecoute

server {
 name = localhost
 auth=off
}
server {
 name = x.y.z.t # ou son nom de domaine externe
 auth = on
}

note que tu peux faire des trucs encore plus sioux en spécifiant quel dossier peut nécessiter une authentification

des exemples et explications sont dispos ici
https://docs.nginx.com/nginx/admin-guide/security-controls/configuring-http-basic-authentication/

tu trouves aussi la combinaison que j'ai adapté :

le satisfy any fera que l'accès sera autorisé si au moins l'une des conditions est remplie

donc soit on vient de localhost (127.0.0.1) soit on a un code

 satisfy any; 
 allow 127.0.0.1;
 deny all;
 auth_basic "Administrator’s Area";
 auth_basic_user_file conf/htpasswd;