O que significa
A requisição não tem credenciais de autenticação válidas. Apesar do nome, significa não autenticado: faça login ou envie um token válido.
Causas comuns
- Cabeçalho Authorization ausente
- Token expirado ou revogado
- Usuário, senha ou chave de API errados
Como resolver
Se você é o cliente ou visitante
Envie as credenciais no formato que o cabeçalho WWW-Authenticate pede, renove tokens expirados e verifique erros de digitação ou chaves de outro ambiente.
Se você mantém o site ou a API
Sempre inclua um cabeçalho WWW-Authenticate com 401. Use 403 quando o usuário está autenticado, mas não tem permissão.
Resposta de exemplo
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Especificação
Perguntas frequentes
› 401 ou 403?
401: não sabemos quem você é, autentique-se. 403: sabemos quem você é e você não pode fazer isso.
› Por que recebo 401 logo depois de fazer login?
Geralmente o token não está sendo anexado às requisições (CORS sem credenciais, nome de cabeçalho errado) ou a diferença de relógio faz parecer que expirou.