401 Unauthorized oznacza, że w żądaniu brakuje prawidłowych danych uwierzytelniających do zasobu docelowego. Wbrew nazwie chodzi o uwierzytelnianie („kim jesteś?”), a nie o autoryzację. Serwer musi wysłać nagłówek WWW-Authenticate z co najmniej jednym wyzwaniem (challenge), np. Basic realm="Staging" lub Bearer, które informuje klienta, jak się uwierzytelnić.
Jeśli żądanie zawierało już dane uwierzytelniające, kod 401 oznacza, że zostały one odrzucone: hasło jest błędne albo token wygasł. Przeglądarki wyświetlają okno logowania dla wyzwań Basic i Digest. API zwracają 401 przy brakującym lub nieprawidłowym tokenie, aby klient mógł uzyskać nowy token i spróbować ponownie.
Gdy użytkownik jest znany, ale nie ma uprawnień, użyj kodu 403 Forbidden, a gdy uwierzytelnienia wymaga serwer proxy, a nie serwer źródłowy – kodu 407.
Przykładowa odpowiedź
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO i sprawdzanie przekierowań
Stron wymagających uwierzytelnienia nie da się zaindeksować: roboty się nie logują, a adresy URL zwracające 401 są traktowane jak inne błędy 4xx. Właśnie tego potrzebujesz w przypadku witryn testowych (staging), paneli administracyjnych i treści prywatnych – uwierzytelnianie HTTP znacznie skuteczniej niż robots.txt chroni witrynę testową przed pojawieniem się w wynikach wyszukiwania. Upewnij się, że witryna produkcyjna nie zachowała przez przypadek hasła ze środowiska testowego, i nigdy nie odpowiadaj robotom kodem 401 na stronach publicznych.
Aby sprawdzić chroniony adres URL w TrueURL, możesz dodać nagłówek Authorization w sekcji „Własne nagłówki żądania”. Używaj do tego testowych danych logowania.
Typowe przyczyny i zastosowania
- Uwierzytelnianie HTTP Basic chroni witrynę testową lub panel administracyjny.
- Brakuje tokenu API albo token wygasł lub został unieważniony.
- Sesja wygasła, a API odpowiada kodem 401, zamiast przekierować na stronę logowania.
- Dane uwierzytelniające giną przy przekierowaniu: wielu klientów usuwa nagłówek
Authorization, gdy przekierowanie prowadzi do innego hosta.