Signification
La requête ne contient pas d'identifiants d'authentification valides. Malgré son nom, il signifie non authentifié : connectez-vous ou envoyez un jeton valide.
Causes courantes
- En-tête Authorization manquant
- Jeton expiré ou révoqué
- Nom d'utilisateur, mot de passe ou clé d'API erronés
Comment corriger
Côté client ou visiteur
Envoyez les identifiants au format demandé par l'en-tête WWW-Authenticate, renouvelez les jetons expirés et vérifiez les fautes de frappe ou la clé d'un autre environnement.
Côté propriétaire du site ou de l’API
Incluez toujours un en-tête WWW-Authenticate avec 401. Utilisez 403 quand l'utilisateur est authentifié mais pas autorisé.
Exemple de réponse
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Spécification
FAQ
› 401 ou 403 ?
401 : nous ne savons pas qui vous êtes, authentifiez-vous. 403 : nous savons qui vous êtes, et vous n'avez pas le droit de faire cela.
› Pourquoi ai-je une 401 juste après m'être connecté ?
Généralement le jeton n'est pas joint aux requêtes (CORS sans identifiants, mauvais nom d'en-tête) ou un décalage d'horloge le fait paraître expiré.