HTTP 401 Autenticación necesaria
401 Unauthorized indica que la petición carece de autenticación válida y el servidor espera una sesión, un token o una clave API.
Significado
A pesar del nombre Unauthorized, el código 401 suele significar que no se ha autenticado al usuario o sus credenciales son incorrectas. La respuesta debe incluir una cabecera WWW-Authenticate adecuada. Cuando el usuario está identificado pero no autorizado, corresponde 403.
Causas habituales
- No has iniciado sesión o tu sesión ha caducado.
- La solicitud de API no contiene la cabecera Authorization o el token está caducado.
- El usuario o la contraseña son incorrectos en HTTP Basic Auth.
- El reloj del dispositivo no es correcto y hace que un token temporal parezca inválido.
¿Qué puede hacer un visitante?
- Cierra sesión y vuelve a entrar con las credenciales adecuadas.
- Si el inicio de sesión no se mantiene, borra únicamente las cookies del sitio afectado.
- Comprueba la fecha, hora y zona horaria del dispositivo.
¿Qué puede hacer el administrador?
- Devuelve 401 con WWW-Authenticate cuando falta autenticación y 403 cuando faltan permisos.
- Revisa caducidad de tokens, el proceso de renovación previsto y la gestión de sesiones.
- En API explica si faltan claves, son incorrectas o han caducado sin revelar información sensible.
Impacto en SEO
Una página pública que devuelve 401 de forma persistente no puede indexarse normalmente. Comprueba que no se haya colocado accidentalmente una protección de inicio de sesión en contenido público.
Preguntas frecuentes
¿Qué diferencia hay entre HTTP 401 y 403?
401 significa que falta autenticación o es incorrecta. 403 significa que el acceso está prohibido a pesar de que la petición se ha entendido.
¿Por qué mi API devuelve 401?
Suele faltar Authorization, la clave es incorrecta o el token de acceso ha caducado.