HTTP 401 Autenticazione richiesta
401 Unauthorized significa che la richiesta non contiene autenticazione valida e il server richiede login, token o chiave API.
Significato
Nonostante la parola Unauthorized, il codice 401 indica di solito che non sei autenticato oppure le credenziali non sono valide. La risposta deve includere un'intestazione WWW-Authenticate adeguata. Se il server riconosce l'identità ma nega i permessi, il codice appropriato è 403.
Cause comuni
- Non hai effettuato l'accesso oppure la sessione è scaduta.
- La richiesta API non contiene Authorization o usa un token ormai scaduto.
- Nome utente o password errati nell'autenticazione HTTP Basic.
- L'orologio del dispositivo è sbagliato e rende invalido un token con scadenza temporale.
Cosa può fare un visitatore?
- Esci dall'account e accedi di nuovo con le credenziali corrette.
- Se il login non rimane attivo, prova a cancellare i cookie soltanto del sito interessato.
- Controlla data, ora e fuso orario del dispositivo.
Cosa può fare il gestore?
- Restituisci 401 con WWW-Authenticate per richieste non autenticate e 403 per permessi insufficienti.
- Verifica scadenza dei token, flusso di rinnovo e gestione delle sessioni.
- Nelle API distingui in modo chiaro chiavi mancanti, non valide o scadute, senza esporre dati segreti.
Effetti sulla SEO
Una risorsa pubblica che restituisce stabilmente 401 non può essere indicizzata normalmente. Verifica che le pagine destinate ai motori di ricerca non siano protette per errore.
Domande frequenti
Qual è la differenza tra HTTP 401 e 403?
401 riguarda autenticazione mancante o non valida. 403 indica che l'accesso è vietato, spesso per autorizzazioni insufficienti.
Perché una API restituisce 401?
Di solito manca l'header Authorization, la chiave non è corretta o il token è scaduto.