401 Unauthorized, isteğin hedef kaynak için geçerli kimlik bilgileri içermediği anlamına gelir. Adı yanıltıcı olsa da konu yetkilendirme değil, kimlik doğrulamadır (“siz kimsiniz?”). Sunucu, istemciye nasıl kimlik doğrulayacağını söyleyen ve Basic realm="Staging" veya Bearer gibi en az bir kimlik doğrulama yöntemi (challenge) içeren bir WWW-Authenticate başlığı göndermelidir.
İstek zaten kimlik bilgileri içeriyorsa 401, bu bilgilerin reddedildiği anlamına gelir: yanlış bir parola veya süresi dolmuş bir token. Tarayıcılar Basic ve Digest yöntemleri için bir giriş penceresi gösterir. API'ler eksik veya geçersiz token'lar için 401 döndürür; böylece istemci yeni bir token alıp tekrar deneyebilir.
Kullanıcı biliniyor ama yetkisi yoksa 403 Forbidden, kimlik doğrulamayı kaynak sunucu değil de bir proxy istiyorsa 407 kullanın.
Örnek yanıt
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO ve yönlendirme kontrolü
Kimlik doğrulamanın arkasındaki sayfalar dizine eklenemez: tarama botları giriş yapmaz ve 401 döndüren URL'ler diğer 4xx hataları gibi değerlendirilir. Test (staging) siteleri, yönetim panelleri ve özel içerikler için istediğiniz tam olarak budur; HTTP kimlik doğrulaması bir test sitesini arama sonuçlarının dışında robots.txt dosyasından çok daha güvenilir şekilde tutar. Canlı sitede test şifresinin yanlışlıkla kalmadığından emin olun ve herkese açık sayfalarda tarama botlarına asla 401 ile yanıt vermeyin.
Korumalı bir URL'yi TrueURL ile kontrol etmek için Özel istek başlıkları bölümüne bir Authorization başlığı ekleyebilirsiniz. Bunun için test amaçlı kimlik bilgileri kullanın.
Yaygın nedenler ve kullanım alanları
- HTTP Basic kimlik doğrulaması bir test sitesini veya yönetim panelini korur.
- Bir API token'ı eksik, süresi dolmuş veya iptal edilmiş.
- Bir oturumun süresi doldu ve API, giriş sayfasına yönlendirmek yerine 401 ile yanıt veriyor.
- Kimlik bilgileri bir yönlendirmede kayboldu: birçok istemci, yönlendirme başka bir ana makineye gittiğinde
Authorizationbaşlığını atar.