błąd 401 Unauthorized

Błąd 401 Unauthorized oznacza, że żądanie wymaga uwierzytelnienia, które nie zostało dostarczone lub jest nieprawidłowe.

Co oznacza odpowiedź HTTP 401 Unauthorized

Błąd 401 Unauthorized jest odpowiedzią protokołu HTTP informującą, że serwer nie może zrealizować żądania bez prawidłowego uwierzytelnienia. Oznacza to zwykle brak danych logowania, niepoprawny token, nieważną sesję albo przekazanie poświadczeń w formacie, którego dana usługa nie akceptuje. Nazwa odpowiedzi bywa myląca, ponieważ nie opisuje jeszcze decyzji o odmowie dostępu wynikającej z uprawnień. W praktyce serwer mówi: „żądanie nie zawiera prawidłowego dowodu tożsamości”, a niekoniecznie: „użytkownik ma zbyt małe uprawnienia”.

Status 401 należy do klasy odpowiedzi HTTP 4xx, czyli błędów związanych z żądaniem klienta. W standardzie HTTP odpowiedź tego rodzaju powinna wskazywać sposób uwierzytelnienia w nagłówku WWW-Authenticate. Przykładowo serwer może zwrócić WWW-Authenticate: Basic realm="Panel" albo wskazać schemat Bearer używany z tokenem dostępowym. Sam kod 401 nie określa jednego mechanizmu logowania. Może pojawić się przy formularzu logowania, autoryzacji Basic, tokenach Bearer, kluczach API, sesjach opartych na ciasteczkach lub innych rozwiązaniach wdrożonych przez konkretną aplikację.

Różnica między uwierzytelnieniem a uprawnieniami

Uwierzytelnienie odpowiada na pytanie, kim jest klient, natomiast autoryzacja określa, jakie działania wolno mu wykonać. Jeżeli przeglądarka nie wysłała ciasteczka sesyjnego albo token wygasł, serwer może zwrócić 401. Jeżeli tożsamość została rozpoznana, lecz konto nie ma prawa do wskazanego zasobu, typową odpowiedzią jest 403 Forbidden. Rozróżnienie nie jest absolutne dla każdej aplikacji, ponieważ część systemów celowo zwraca 401 także w innych sytuacjach, na przykład aby nie ujawniać istnienia chronionego zasobu.

W przypadku mechanizmu Basic dane uwierzytelniające są przekazywane w nagłówku Authorization jako zakodowana wartość zawierająca nazwę użytkownika i hasło. Kodowanie Base64 nie jest szyfrowaniem, dlatego taki mechanizm powinien być używany przez połączenie HTTPS. W przypadku schematu Bearer nagłówek może wyglądać jak Authorization: Bearer token. Token może mieć określony czas ważności, zakres działania, odbiorcę lub wymagany format. Pomyłka w prefiksie, dodatkowa spacja, użycie tokena dla innego środowiska albo przesłanie tokena po wygaśnięciu może skutkować właśnie odpowiedzią 401.

Najczęstsze przyczyny po stronie przeglądarki i aplikacji

Na laptopie lub komputerze błąd może wystąpić po wylogowaniu, zmianie hasła, wygaśnięciu sesji albo usunięciu ciasteczek. Zdarza się także po przełączeniu adresu aplikacji między środowiskiem lokalnym i produkcyjnym, gdy przeglądarka przechowuje sesję przypisaną do innej domeny. Problem może powodować blokowanie ciasteczek, niezgodność atrybutów Secure i SameSite, błędny zegar systemowy przy tokenach zależnych od czasu albo rozszerzenie przeglądarki modyfikujące nagłówki żądania. Samo odświeżenie strony pomaga tylko wtedy, gdy aplikacja potrafi automatycznie uzyskać nową sesję.

W aplikacjach korzystających z interfejsu API warto sprawdzić adres żądania, metodę HTTP, obecność nagłówka Authorization, nazwę schematu uwierzytelnienia oraz odpowiedź WWW-Authenticate. W narzędziach deweloperskich przeglądarki można porównać żądanie kończące się kodem 401 z żądaniem wykonanym po ponownym logowaniu. Należy zwrócić uwagę na przekierowania, ponieważ połączenie z niewłaściwym hostem może usunąć lub nie przekazać poświadczeń. Przydatne jest również sprawdzenie treści odpowiedzi: aplikacja może zwracać komunikat o wygasłej sesji, brakującym tokenie, nieprawidłowym odbiorcy tokena albo wymaganym sposobie logowania. Nie należy kopiować tokenów ani haseł do publicznych zgłoszeń, ponieważ są to dane umożliwiające dostęp do konta.

Postępowanie diagnostyczne i serwisowe

Rozwiązywanie problemu warto rozpocząć od ustalenia, czy 401 pojawia się tylko w jednej aplikacji, w jednej przeglądarce, czy również w innych programach korzystających z tego samego połączenia. Jeżeli ponowne logowanie przywraca dostęp, najbardziej prawdopodobna jest nieważna sesja lub wygasły token. Gdy błąd występuje tylko w jednej przeglądarce, można sprawdzić ustawienia ciasteczek, rozszerzenia, profil użytkownika i zapisane dane witryny. Jeżeli problem powtarza się niezależnie od przeglądarki, większe znaczenie mają konfiguracja konta, adres usługi, sposób logowania albo awaria po stronie aplikacji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku błędu 401 można sprawdzić działanie systemu, przeglądarki, połączenia z aplikacją oraz lokalne przyczyny utraty sesji. Diagnostyka powinna rozdzielać problem sprzętowy od programowego: kod 401 jest generowany przez serwer lub aplikację, więc wymiana podzespołu nie naprawi nieprawidłowego hasła czy wygasłego tokena. Serwisowa analiza komputera może jednak wykazać, czy błąd wynika z uszkodzonego profilu przeglądarki, nieprawidłowej konfiguracji, złośliwej modyfikacji ustawień, problemów z certyfikatami lub niepoprawnie działającego oprogramowania klienckiego.