Главная мысль
В ответе 401 сервер должен отправить запрос аутентификации в заголовке WWW-Authenticate. 403 означает, что запрос понят, но сервер отказывается его выполнять; причина не обязательно связана с учётными данными. Сопоставьте заголовок и журналы сервера.
401 означает отсутствие подходящих учётных данных
HTTP 401 означает, что запрос не содержит действительных учётных данных для целевого ресурса. Согласно RFC 9110, сервер в ответе 401 должен отправить заголовок WWW-Authenticate, указывающий используемую схему; при диагностике проверьте схему, область защиты (realm) и прохождение заголовка через прокси. HTTP 403 означает, что сервер понял запрос, но отказывается его выполнять; причиной могут быть политика, состояние ресурса или другое ограничение, не связанное с аутентификацией. Определите, какой слой ответил: прокси, поставщик удостоверений (IdP) или приложение.
Проверки для пользователя, приложения и администратора
Пользователь может проверить данные для входа, выйти из аккаунта и войти снова, проверить часы устройства; если проблема остаётся — очистить cookies этого сайта. Клиент API должен проверить схему заголовка Authorization, срок действия токена, процесс его обновления и актуальную документацию API. Сравнение с заведомо действующими учётными данными помогает определить, где проблема: в клиенте, учётных данных или сервере. При недостаточных правах (scope) OAuth Bearer-токена стандарт предусматривает ответ 403; отличайте его от 401 из-за недействительного токена. Администратору следует проверить конфигурацию SSO/IdP, синхронизацию времени, обработку заголовков прокси и межсетевым экраном, отозванные ключи и состояние аккаунта.
Отслеживайте ошибки аутентификации как сигнал риска
Рост числа 401 может указывать на проверку украденных пар логин–пароль (credential stuffing), перебор паролей или неисправную интеграцию. Сопоставьте IP-адрес, аккаунт, приложение, время, успешные входы и географию; единичный отказ не следует автоматически считать атакой. Используйте многофакторную аутентификацию (MFA), короткоживущие токены с обновлением, минимальные привилегии и централизованный отзыв доступа. Не записывайте в журналы токены и пароли.