Əsas fikir
401 cavabında server autentifikasiya çağırışını WWW-Authenticate başlığı ilə göndərməlidir. 403 sorğunun başa düşüldüyünü, lakin yerinə yetirilmədiyini bildirir; səbəb mütləq etimadnamə deyil. Başlıq və server loglarını tutuşdurun.
401 autentifikasiya çağırışını göstərir
HTTP 401 sorğuda hədəf resurs üçün etibarlı autentifikasiya məlumatının olmadığını göstərir. RFC 9110-a görə server 401 cavabında istifadə olunan autentifikasiya sxemini bildirən WWW-Authenticate başlığını göndərməlidir; diaqnostikada sxemi, qorunan sahəni (realm) və başlığın proxy-dən keçib-keçmədiyini yoxlayın. HTTP 403 isə serverin sorğunu başa düşdüyünü, lakin onu yerinə yetirməkdən imtina etdiyini bildirir; bunun səbəbi autentifikasiyadan kənar siyasət, resurs vəziyyəti və ya başqa məhdudiyyət ola bilər. Hansı qatın cavab verdiyini — proxy, identiklik provayderi və ya tətbiqi — müəyyən edin.
İstifadəçi, tətbiq və administrator yoxlamaları
İstifadəçi giriş məlumatını yoxlaya, hesabdan çıxıb yenidən daxil ola və cihaz saatını yoxlaya bilər; problem qalarsa, həmin saytın kukilərini təmizləyə bilər. API müştərisi Authorization sxemini, tokenin müddətini, yenilənmə axınını və cari API sənədlərini yoxlamalıdır. Məlum etibarlı etimadnamə ilə müqayisə problemin müştəridə, etimadnamədə, yoxsa serverdə olduğunu ayırmağa kömək edir. OAuth Bearer tokeninin səlahiyyəti (scope) çatmırsa, standartda 403 cavabı nəzərdə tutulur; bunu etibarsız tokenə görə 401 cavabından ayırın. Administrator SSO/IdP konfiqurasiyasını, vaxt sinxronizasiyasını, proksi və şəbəkələrarası ekranın başlıqları necə emal etdiyini, ləğv edilmiş açarları və hesab vəziyyətini yoxlamalıdır.
Uğursuz autentifikasiyanı nəzarətə çevirin
401 sayında artım oğurlanmış istifadəçi adı–parol cütlərinin yoxlanmasını (credential stuffing), parolların ardıcıl sınağını və ya nasaz inteqrasiyanı göstərə bilər. IP, hesab, tətbiq, vaxt, uğurlu girişlər və geolokasiya üzrə nümunələri tutuşdurun; tək uğursuz sorğunu hücum kimi təsnif etməyin. MFA, qısaömürlü token, avtomatik yeniləmə, ən az səlahiyyət və mərkəzləşdirilmiş ləğv prosedurunu tətbiq edin. Loglarda token və parol kimi sirrləri yazmayın.