401 Unauthorized significa que a requisição não tem credenciais de autenticação válidas para o recurso de destino. Apesar do nome, ele trata de autenticação (“quem é você?”), e não de autorização. O servidor precisa enviar um cabeçalho WWW-Authenticate com pelo menos um desafio, como Basic realm="Staging" ou Bearer, que diga ao cliente como se autenticar.
Se a requisição já continha credenciais, o 401 significa que elas foram rejeitadas: uma senha errada ou um token expirado. Os navegadores mostram uma caixa de login para desafios Basic e Digest. As APIs retornam 401 quando o token está ausente ou é inválido, para que o cliente obtenha um token novo e tente de novo.
Use 403 Forbidden quando o usuário é conhecido, mas não tem permissão, e 407 quando quem exige a autenticação é um proxy, e não o servidor de origem.
Exemplo de resposta
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO e verificação de redirecionamentos
Páginas protegidas por autenticação não podem ser indexadas: os rastreadores não fazem login, e URLs que retornam 401 são tratadas como os demais erros 4xx. É exatamente isso que você quer em sites de staging, áreas administrativas e conteúdo privado, e a autenticação HTTP mantém um site de staging fora dos resultados de busca de forma muito mais confiável do que o robots.txt. Garanta que o site de produção não fique com a senha do staging por engano e nunca responda aos rastreadores com 401 em páginas públicas.
Para verificar uma URL protegida com o TrueURL, você pode adicionar um cabeçalho Authorization em Cabeçalhos de requisição personalizados. Use credenciais de teste para isso.
Causas comuns e casos de uso
- A autenticação HTTP Basic protege um site de staging ou uma área administrativa.
- Um token de API está ausente, expirou ou foi revogado.
- Uma sessão expirou, e a API responde 401 em vez de redirecionar para uma página de login.
- As credenciais se perderam em um redirecionamento: muitos clientes descartam o cabeçalho
Authorizationquando um redirecionamento leva a outro host.