Wat het betekent
Het verzoek mist geldige inloggegevens. Ondanks de naam betekent het niet-geauthenticeerd: log in of stuur een geldig token.
Veelvoorkomende oorzaken
- Ontbrekende Authorization-header
- Verlopen of ingetrokken token
- Verkeerde gebruikersnaam, wachtwoord of API-sleutel
Zo los je het op
Als client of bezoeker
Stuur inloggegevens in het formaat dat de WWW-Authenticate-header vraagt, vernieuw verlopen tokens en controleer op typfouten of een sleutel uit de verkeerde omgeving.
Als beheerder van de site of API
Stuur bij 401 altijd een WWW-Authenticate-header mee. Gebruik 403 als de gebruiker wel geauthenticeerd is maar geen toegang heeft.
Voorbeeldantwoord
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Specificatie
Veelgestelde vragen
› 401 of 403?
401: we weten niet wie je bent, authenticeer je. 403: we weten wie je bent, en dit mag je niet.
› Waarom krijg ik 401 direct na het inloggen?
Meestal wordt het token niet aan verzoeken toegevoegd (CORS zonder credentials, verkeerde headernaam) of laat klokverschil het verlopen lijken.