401 Unauthorized का मतलब है कि रिक्वेस्ट में टारगेट रिसोर्स के लिए वैध ऑथेंटिकेशन क्रेडेंशियल नहीं हैं। नाम के बावजूद, इसका संबंध ऑथेंटिकेशन (“आप कौन हैं?”) से है, ऑथराइज़ेशन यानी अनुमति से नहीं। सर्वर को कम से कम एक चैलेंज के साथ WWW-Authenticate हेडर भेजना ज़रूरी है, जैसे Basic realm="Staging" या Bearer, जो क्लाइंट को बताता है कि ऑथेंटिकेट कैसे करना है।
अगर रिक्वेस्ट में पहले से क्रेडेंशियल थे, तो 401 का मतलब है कि उन्हें रिजेक्ट कर दिया गया: गलत पासवर्ड या एक्सपायर हो चुका टोकन। Basic और Digest चैलेंज के लिए ब्राउज़र लॉगिन डायलॉग दिखाते हैं। API गायब या अमान्य टोकन के लिए 401 लौटाते हैं, ताकि क्लाइंट नया टोकन लेकर दोबारा कोशिश कर सके।
जब यूज़र की पहचान हो चुकी हो, लेकिन उसे अनुमति न हो, तो 403 Forbidden इस्तेमाल करें, और जब ओरिजिन सर्वर की जगह कोई प्रॉक्सी ऑथेंटिकेशन मांगे, तो 407।
उदाहरण रिस्पॉन्स
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO और रीडायरेक्ट जांच
ऑथेंटिकेशन के पीछे वाले पेज इंडेक्स नहीं हो सकते: क्रॉलर लॉगिन नहीं करते, और 401 लौटाने वाले URL को दूसरे 4xx एरर की तरह माना जाता है। स्टेजिंग साइट, एडमिन एरिया और प्राइवेट कॉन्टेंट के लिए आप ठीक यही चाहते हैं, और HTTP ऑथेंटिकेशन किसी स्टेजिंग साइट को robots.txt के मुकाबले कहीं ज़्यादा भरोसेमंद तरीके से सर्च नतीजों से बाहर रखता है। पक्का करें कि प्रोडक्शन साइट पर गलती से स्टेजिंग वाला पासवर्ड न रह जाए, और पब्लिक पेजों पर क्रॉलर को कभी 401 न लौटाएं।
TrueURL से किसी सुरक्षित URL की जांच करने के लिए आप कस्टम रिक्वेस्ट हेडर में Authorization हेडर जोड़ सकते हैं। इसके लिए टेस्ट क्रेडेंशियल इस्तेमाल करें।
आम वजहें और इस्तेमाल
- HTTP Basic ऑथेंटिकेशन किसी स्टेजिंग या एडमिन साइट को सुरक्षित रखता है।
- API टोकन गायब है, एक्सपायर हो गया है या रद्द कर दिया गया है।
- सेशन खत्म हो गया और API लॉगिन पेज पर रीडायरेक्ट करने की जगह 401 लौटाता है।
- रीडायरेक्ट के दौरान क्रेडेंशियल खो गए: जब कोई रीडायरेक्ट दूसरे होस्ट पर ले जाता है, तो कई क्लाइंट
Authorizationहेडर हटा देते हैं।