Unauthorized

개요

401 Unauthorized는 인증이 필요한데 자격 증명이 없거나 잘못되어 요청이 거부되었음을 뜻합니다. 이름은 "Unauthorized"지만 실제 의미는 "인증되지 않음(unauthenticated)"으로, 서버가 요청자의 신원을 확인하지 못한 상태입니다.

규격상 401 응답에는 어떤 인증 방식을 써야 하는지 알리는 WWW-Authenticate 헤더가 포함되어야 합니다. 올바른 자격 증명을 갖춰 다시 인증하면 접근할 수 있는 여지가 있다는 점에서, 재인증으로 해결되지 않는 403과 구분됩니다.

언제 발생하나

• Authorization 헤더가 아예 없거나, 토큰이 만료·변조되어 유효하지 않을 때 반환됩니다.
• API 키·사용자명·비밀번호가 틀렸거나, 토큰의 대상(audience)·스코프가 맞지 않을 때 발생합니다.

요청 / 응답 예시

GET /api/me HTTP/1.1
Host: api.example.com
Authorization: Bearer expired.token.here

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="api", error="invalid_token"
Content-Type: application/json

{"error":"invalid_token","message":"Access token has expired"}

코드로 보기

app.use('/api', (req, res, next) => {
  const token = req.headers.authorization;
  if (!isValid(token))
    return res.status(401).set('WWW-Authenticate', 'Bearer').json({ error: 'invalid_token' });
  next();
});

curl -i https://api.example.com/api/me
# -> 401 Unauthorized  (add: -H 'Authorization: Bearer <token>')

실무 참고

• 401은 "누구인지 모른다"(인증), 403은 "누구인지 알지만 권한이 없다"(인가)라는 점이 핵심 차이입니다.
• 브라우저의 Basic 인증에서는 401을 받으면 로그인 팝업이 뜨는데, 이는 WWW-Authenticate 헤더 때문입니다.
• 일부 프레임워크·CDN은 세션 만료를 419 같은 비표준 코드로 표현하기도 하나, 표준은 401입니다.

관련 상태코드

관련 헤더

스펙 근거