Qué significa
La petición carece de credenciales de autenticación válidas. Pese al nombre, significa no autenticado: inicia sesión o envía un token válido.
Causas habituales
- Falta la cabecera Authorization
- Token caducado o revocado
- Usuario, contraseña o clave de API incorrectos
Cómo solucionarlo
Si eres el cliente o visitante
Envía las credenciales en el formato que pide la cabecera WWW-Authenticate, renueva los tokens caducados y comprueba erratas o claves de otro entorno.
Si administras el sitio o la API
Incluye siempre una cabecera WWW-Authenticate con 401. Usa 403 cuando el usuario está autenticado pero no tiene permiso.
Respuesta de ejemplo
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Especificación
Preguntas frecuentes
› ¿401 o 403?
401: no sabemos quién eres, autentícate. 403: sabemos quién eres y no puedes hacer esto.
› ¿Por qué recibo 401 justo después de iniciar sesión?
Normalmente el token no se adjunta a las peticiones (CORS sin credenciales, nombre de cabecera incorrecto) o el desfase de reloj hace que parezca caducado.