Що це означає
У запиті немає дійсних облікових даних. Попри назву, це означає «не автентифіковано»: увійдіть або надішліть дійсний токен.
Типові причини
- Відсутній заголовок Authorization
- Прострочений або відкликаний токен
- Хибне ім'я користувача, пароль чи API-ключ
Як виправити
Якщо ви клієнт або відвідувач
Надсилайте облікові дані у форматі, якого вимагає заголовок WWW-Authenticate, оновлюйте прострочені токени й перевірте друкарські помилки або ключ не того середовища.
Якщо ви власник сайту чи API
Завжди додавайте заголовок WWW-Authenticate до 401. Використовуйте 403, коли користувач автентифікований, але не має дозволу.
Приклад відповіді
HTTP/1.1
HTTP/1.1 401 Unauthorized
Date: Tue, 07 Oct 2025 09:30:00 GMT
Server: nginx
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/problem+json
{
"type": "about:blank",
"title": "Unauthorized",
"status": 401,
"detail": "The access token expired."
}Специфікація
Часті запитання
› 401 чи 403?
401: ми не знаємо, хто ви, автентифікуйтеся. 403: ми знаємо, хто ви, і вам цього робити не можна.
› Чому я отримую 401 одразу після входу?
Зазвичай токен не додається до запитів (CORS без credentials, хибна назва заголовка) або розбіжність годинників робить його схожим на прострочений.