Bedeutung
Der Anfrage fehlen gültige Anmeldedaten. Trotz des Namens bedeutet es „nicht authentifiziert“: Melden Sie sich an oder senden Sie ein gültiges Token.
Typische Ursachen
- Fehlender Authorization-Header
- Abgelaufenes oder widerrufenes Token
- Falscher Benutzername, Passwort oder API-Schlüssel
So beheben Sie es
Als Client oder Besucher
Senden Sie Anmeldedaten in dem Format, das der WWW-Authenticate-Header verlangt, erneuern Sie abgelaufene Tokens und prüfen Sie auf Tippfehler oder einen Schlüssel aus der falschen Umgebung.
Als Betreiber der Website oder API
Bei 401 immer einen WWW-Authenticate-Header mitsenden. 403 verwenden, wenn der Nutzer authentifiziert, aber nicht berechtigt ist.
Beispielantwort
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Spezifikation
FAQ
› 401 oder 403?
401: Wir wissen nicht, wer Sie sind – authentifizieren Sie sich. 403: Wir wissen, wer Sie sind, und Sie dürfen das nicht.
› Warum erhalte ich direkt nach dem Login 401?
Meist wird das Token nicht an die Anfragen angehängt (CORS ohne Credentials, falscher Header-Name) oder eine Zeitabweichung lässt es abgelaufen erscheinen.