401 Unauthorized betekent dat het verzoek geen geldige inloggegevens voor de doelresource bevat. Ondanks de naam gaat het om authenticatie (“wie ben je?”), niet om autorisatie. De server moet een WWW-Authenticate-header sturen met ten minste één challenge, zoals Basic realm="Staging" of Bearer, die de client vertelt hoe hij zich kan authenticeren.
Bevatte het verzoek al inloggegevens, dan betekent de 401 dat die zijn afgewezen: een verkeerd wachtwoord of een verlopen token. Browsers tonen een inlogvenster bij Basic- en Digest-challenges. API’s geven 401 terug bij ontbrekende of ongeldige tokens, zodat de client een nieuw token kan ophalen en het opnieuw kan proberen.
Gebruik 403 Forbidden als de gebruiker bekend is maar geen toegang heeft, en 407 als niet de oorspronkelijke server maar een proxy om authenticatie vraagt.
Voorbeeldresponse
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO en redirects controleren
Pagina’s achter authenticatie kunnen niet worden geïndexeerd: crawlers loggen niet in, en URL’s die 401 teruggeven, worden behandeld als andere 4xx-fouten. Dat is precies wat je wilt voor stagingsites, beheeromgevingen en privécontent, en HTTP-authenticatie houdt een stagingsite veel betrouwbaarder uit de zoekresultaten dan robots.txt. Zorg dat de productiesite niet per ongeluk het stagingwachtwoord houdt, en antwoord crawlers nooit met 401 op openbare pagina’s.
Wil je een beveiligde URL met TrueURL controleren, dan kun je onder Aangepaste requestheaders een Authorization-header toevoegen. Gebruik daarvoor testgegevens.
Veelvoorkomende oorzaken en toepassingen
- HTTP Basic-authenticatie beschermt een staging- of beheersite.
- Een API-token ontbreekt, is verlopen of is ingetrokken.
- Een sessie is verlopen en de API antwoordt met 401 in plaats van door te sturen naar een inlogpagina.
- Inloggegevens zijn bij een redirect verloren gegaan: veel clients laten de
Authorization-header weg als een redirect naar een andere host leidt.