401 Unauthorized indica che la richiesta non contiene credenziali di autenticazione valide per la risorsa di destinazione. Nonostante il nome, riguarda l’autenticazione (“chi sei?”), non l’autorizzazione. Il server deve inviare un’intestazione WWW-Authenticate con almeno una challenge, come Basic realm="Staging" o Bearer, che indica al client come autenticarsi.
Se la richiesta conteneva già delle credenziali, il 401 significa che sono state rifiutate: una password sbagliata o un token scaduto. Per le challenge Basic e Digest i browser mostrano una finestra di login. Le API restituiscono 401 per i token mancanti o non validi, così il client può ottenere un nuovo token e riprovare.
Usa 403 Forbidden quando l’utente è noto ma non ha il permesso, e 407 quando a richiedere l’autenticazione è un proxy anziché il server di origine.
Esempio di risposta
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO e verifica dei redirect
Le pagine protette da autenticazione non possono essere indicizzate: i crawler non effettuano il login e gli URL che restituiscono 401 vengono trattati come gli altri errori 4xx. È esattamente ciò che vuoi per i siti di staging, le aree di amministrazione e i contenuti privati, e l’autenticazione HTTP tiene un sito di staging fuori dai risultati di ricerca in modo molto più affidabile di robots.txt. Assicurati che il sito di produzione non conservi per errore la password dello staging, e non rispondere mai 401 ai crawler sulle pagine pubbliche.
Per verificare un URL protetto con TrueURL, puoi aggiungere un’intestazione Authorization in Intestazioni di richiesta personalizzate. Usa credenziali di test.
Cause comuni e casi d’uso
- L’autenticazione HTTP Basic protegge un sito di staging o di amministrazione.
- Un token API è mancante, scaduto o revocato.
- Una sessione è scaduta e l’API risponde 401 invece di reindirizzare a una pagina di login.
- Le credenziali sono andate perse durante un reindirizzamento: molti client eliminano l’intestazione
Authorizationquando un reindirizzamento porta a un altro host.