HTTP 401 Authentification requise
401 Unauthorized indique que la requête ne présente pas d'authentification valide : le serveur attend une connexion, un jeton ou une clé API.
Signification
Malgré le terme Unauthorized, 401 correspond généralement à une authentification absente ou échouée. La réponse doit inclure l'en-tête WWW-Authenticate approprié. Si l'utilisateur est identifié mais ne possède pas les droits nécessaires, le code 403 convient davantage.
Causes fréquentes
- Vous n'êtes pas connecté ou votre session a expiré.
- Une requête API ne présente pas d'en-tête Authorization ou son jeton a expiré.
- Un identifiant ou un mot de passe HTTP Basic Auth est incorrect.
- L'horloge de l'appareil est fausse et rend un jeton temporel invalide.
Que peut faire un visiteur ?
- Déconnectez-vous puis reconnectez-vous avec les bons identifiants.
- Si votre session ne persiste pas, effacez uniquement les cookies du site concerné.
- Vérifiez la date, l'heure et le fuseau horaire de votre appareil.
Que peut faire le responsable ?
- Renvoyez 401 avec WWW-Authenticate pour une authentification absente et 403 pour des droits insuffisants.
- Vérifiez l'expiration des jetons, la procédure de renouvellement prévue et la gestion des sessions.
- Dans les API, distinguez les clés manquantes, invalides et expirées avec un message clair, sans révéler de secret.
Impact sur le référencement
Un contenu destiné au public qui répond systématiquement 401 ne peut pas être indexé normalement. Vérifiez qu'une restriction d'authentification ne bloque pas accidentellement les pages publiques.
Questions fréquentes
Quelle est la différence entre les codes 401 et 403 ?
401 correspond à une authentification absente ou incorrecte. 403 indique que le serveur refuse l'accès malgré une requête comprise.
Pourquoi mon API renvoie-t-elle 401 ?
L'en-tête Authorization peut être absent, la clé incorrecte ou le jeton d'accès expiré.