Cosa significa
La richiesta non contiene credenziali di autenticazione valide. Nonostante il nome, significa non autenticato: accedi o invia un token valido.
Cause comuni
- Header Authorization mancante
- Token scaduto o revocato
- Nome utente, password o chiave API errati
Come risolvere
Lato client o visitatore
Invia le credenziali nel formato richiesto dall'header WWW-Authenticate, rinnova i token scaduti e controlla refusi o chiavi dell'ambiente sbagliato.
Lato gestore del sito o dell’API
Includi sempre un header WWW-Authenticate con 401. Usa 403 quando l'utente è autenticato ma non autorizzato.
Risposta di esempio
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Specifica
Domande frequenti
› 401 o 403?
401: non sappiamo chi sei, autenticati. 403: sappiamo chi sei e non puoi farlo.
› Perché ricevo 401 subito dopo il login?
Di solito il token non viene allegato alle richieste (CORS senza credenziali, nome dell'header errato) oppure lo sfasamento dell'orologio lo fa sembrare scaduto.