401 Unauthorized signifie que la requête ne comporte pas d’identifiants d’authentification valides pour la ressource cible. Malgré son nom, ce code concerne l’authentification (« qui êtes-vous ? »), et non l’autorisation. Le serveur doit envoyer un en-tête WWW-Authenticate contenant au moins un défi d’authentification (challenge), comme Basic realm="Staging" ou Bearer, qui indique au client comment s’authentifier.
Si la requête contenait déjà des identifiants, le 401 signifie qu’ils ont été rejetés : mot de passe erroné ou jeton expiré. Les navigateurs affichent une boîte de dialogue de connexion pour les défis Basic et Digest. Les API renvoient 401 pour les jetons absents ou invalides, afin que le client puisse obtenir un nouveau jeton et réessayer.
Utilisez 403 Forbidden lorsque l’utilisateur est identifié mais n’a pas l’autorisation, et 407 lorsque c’est un proxy, et non le serveur d’origine, qui exige une authentification.
Exemple de réponse
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO et vérification des redirections
Les pages protégées par une authentification ne peuvent pas être indexées : les robots d’exploration ne se connectent pas, et les URL qui renvoient 401 sont traitées comme les autres erreurs 4xx. C’est exactement ce que vous voulez pour les sites de préproduction, les espaces d’administration et les contenus privés, et l’authentification HTTP tient un site de préproduction à l’écart des résultats de recherche de façon bien plus fiable que robots.txt. Vérifiez que le site de production n’a pas conservé par erreur le mot de passe de préproduction, et ne répondez jamais 401 aux robots d’exploration sur des pages publiques.
Pour vérifier une URL protégée avec TrueURL, vous pouvez ajouter un en-tête Authorization dans la section En-têtes de requête personnalisés. Utilisez pour cela des identifiants de test.
Causes fréquentes et cas d’usage
- Une authentification HTTP Basic protège un site de préproduction ou d’administration.
- Un jeton d’API est absent, expiré ou révoqué.
- Une session a expiré et l’API répond 401 au lieu de rediriger vers une page de connexion.
- Les identifiants ont été perdus lors d’une redirection : de nombreux clients suppriment l’en-tête
Authorizationlorsqu’une redirection mène vers un autre hôte.