Что это значит
В запросе нет действительных учётных данных. Несмотря на название, это означает «не аутентифицирован»: войдите или отправьте действительный токен.
Типичные причины
- Отсутствует заголовок Authorization
- Токен истёк или отозван
- Неверные имя пользователя, пароль или API-ключ
Как исправить
Если вы клиент или посетитель
Отправьте учётные данные в формате, указанном в заголовке WWW-Authenticate, обновите истёкшие токены и проверьте опечатки или ключ от другого окружения.
Если вы владелец сайта или API
Всегда добавляйте заголовок WWW-Authenticate к 401. Если пользователь аутентифицирован, но прав не хватает, используйте 403.
Пример ответа
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Спецификация
Частые вопросы
› 401 или 403?
401: мы не знаем, кто вы, — аутентифицируйтесь. 403: мы знаем, кто вы, и вам это делать нельзя.
› Почему я получаю 401 сразу после входа?
Обычно токен не прикрепляется к запросам (CORS без учётных данных, неверное имя заголовка) или из-за расхождения часов он выглядит истёкшим.