HTTP 401 Unauthorized: المعنى والأسباب وطريقة الإصلاح

ماذا يعني

يفتقر الطلب إلى بيانات اعتماد صالحة. رغم الاسم Unauthorized فهو يعني عدم المصادقة: سجّل الدخول أو أرسل رمزًا مميزًا صالحًا.

الأسباب الشائعة

ترويسة Authorization مفقودة
رمز مميز منتهي الصلاحية أو ملغى
اسم مستخدم أو كلمة مرور أو مفتاح API خاطئ

طريقة الإصلاح

إن كنت العميل أو الزائر

أرسل بيانات الاعتماد بالصيغة التي تطلبها ترويسة WWW-Authenticate، وجدّد الرموز المنتهية، وتحقق من الأخطاء الإملائية أو مفتاح بيئة خاطئة.

إن كنت مسؤولًا عن الموقع أو الواجهة البرمجية

ضمّن دائمًا ترويسة WWW-Authenticate مع 401. استخدم 403 عندما يكون المستخدم مصادقًا عليه لكنه غير مسموح له.

مثال على الاستجابة

HTTP/1.1

HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json

{
  "type": "about:blank",
  "title": "Unauthorized",
  "status": 401,
  "detail": "The access token expired."
}

المواصفة

RFC 9110 §15.5.2

الأسئلة الشائعة

› 401 أم 403؟

401: لا نعرف من أنت، فصادق على هويتك. 403: نعرف من أنت، وغير مسموح لك بهذا.

› لماذا أحصل على 401 مباشرة بعد تسجيل الدخول؟

غالبًا لأن الرمز لا يُرفق بالطلبات (CORS دون credentials، أو اسم ترويسة خاطئ) أو لأن فرق الساعة يجعله يبدو منتهيًا.