401 Unauthorized significa que la solicitud no incluye credenciales de autenticación válidas para el recurso de destino. Pese a su nombre, se refiere a la autenticación (“¿quién eres?”), no a la autorización. El servidor debe enviar un encabezado WWW-Authenticate con al menos un desafío, como Basic realm="Staging" o Bearer, que indique al cliente cómo autenticarse.
Si la solicitud ya contenía credenciales, el 401 significa que se rechazaron: una contraseña incorrecta o un token caducado. Los navegadores muestran un cuadro de diálogo de inicio de sesión para los desafíos Basic y Digest. Las API devuelven 401 cuando falta el token o no es válido, para que el cliente pueda obtener uno nuevo y volver a intentarlo.
Usa 403 Forbidden cuando se sabe quién es el usuario pero no tiene permiso, y 407 cuando es un proxy, y no el servidor de origen, quien exige la autenticación.
Ejemplo de respuesta
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO y verificación de redirecciones
Las páginas protegidas por autenticación no se pueden indexar: los rastreadores no inician sesión, y las URL que devuelven 401 se tratan como los demás errores 4xx. Eso es justo lo que quieres para los sitios de staging (preproducción), las áreas de administración y el contenido privado, y la autenticación HTTP mantiene un sitio de staging fuera de los resultados de búsqueda con mucha más fiabilidad que robots.txt. Asegúrate de que el sitio de producción no conserve por accidente la contraseña de staging, y nunca respondas con 401 a los rastreadores en páginas públicas.
Para verificar una URL protegida con TrueURL, puedes agregar un encabezado Authorization en Encabezados de solicitud personalizados. Usa credenciales de prueba para ello.
Causas frecuentes y casos de uso
- La autenticación HTTP Basic protege un sitio de staging o de administración.
- Un token de API falta, caducó o se revocó.
- Una sesión caducó y la API responde 401 en lugar de redirigir a una página de inicio de sesión.
- Las credenciales se perdieron en una redirección: muchos clientes descartan el encabezado
Authorizationcuando una redirección lleva a otro host.