L’errore 401 Unauthorized indica che la richiesta non contiene credenziali valide per la risorsa.
Indice dei contenuti
Errore 401 Unauthorized
Questa guida approfondisce errore 401 Unauthorized con controlli progressivi, modifiche reversibili e verifiche finali. Non inviare password, cookie, token, chiavi private o codici 2FA nei ticket.
Che cosa significa
A differenza del 403, un 401 può essere risolto presentando credenziali corrette. Il testo Unauthorized non significa necessariamente che l’utente non esista: token scaduti, cookie non inviati e proxy che rimuovono header producono lo stesso codice.
La protezione può essere applicata dal web server tramite Basic Authentication, da WordPress, da una API, da Cloudflare Access o da un sistema esterno.
Come riconoscere il problema
- Il browser mostra una finestra username e password.
- Una API restituisce 401 dopo la scadenza del token.
- Il sito funziona ma un endpoint protetto no.
- Dopo un cambio dominio il cookie non viene inviato.
- Un proxy o CDN modifica l’header Authorization.
Cause più frequenti
1. Credenziali errate
Username, password o token non corrispondono alla risorsa. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla pagina mostrata dal browser.
2. Token scaduto o revocato
API key, bearer token o sessione non sono più validi.
3. Basic Auth configurata
Una directory o staging richiede autenticazione web server.
4. Cookie con dominio o Secure errato
La sessione non viene inviata all’hostname o al protocollo richiesto.
5. Header Authorization rimosso
Proxy, rewrite o configurazione FastCGI possono non inoltrare l’header.
6. Nonce o Application Password WordPress
L’integrazione usa un metodo non supportato o credenziali revocate.
Diagnosi passo per passo
Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
- Leggi WWW-Authenticate. Identifica Basic, Bearer o altro schema previsto.
- Prova un nuovo login. Genera una sessione e credenziali aggiornate.
- Controlla la richiesta. Verifica che Authorization o cookie siano realmente inviati.
- Confronta accesso diretto e proxy. Determina se la CDN rimuove o modifica header.
- Controlla.htaccess e protezione directory. Cerca AuthType, AuthUserFile e regole correlate.
- Verifica API e permessi. Controlla endpoint, utente, scope e metodo di autenticazione.
- Leggi log applicativi. Cerca token expired, invalid signature e user not authenticated.
Procedura di risoluzione
Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
- Aggiorna le credenziali. Reimposta password o genera un token con privilegi minimi.
- Correggi il client. Invia lo schema e l’header previsti dalla documentazione.
- Allinea cookie e URL. Usa HTTPS, hostname corretto e dominio cookie coerente.
- Inoltra Authorization. Correggi proxy o configurazione del web server senza esporre il token.
- Rimuovi Basic Auth solo se non serve. Mantieni protetti staging e aree riservate.
- Revoca token vecchi. Elimina credenziali duplicate e non più usate.
- Verifica 401 e 403 separatamente. Dopo autenticazione controlla anche i permessi dell’utente.
Domande frequenti
Che cosa significa l’errore 401 Unauthorized: autenticazione e accesso?
Il testo Unauthorized non significa necessariamente che l’utente non esista: token scaduti, cookie non inviati e proxy che rimuovono header producono lo stesso codice. A differenza del 403, un 401 può essere risolto presentando credenziali corrette.
Quali controlli fare per diagnosticare l’errore 401 Unauthorized: autenticazione e accesso?
Leggi WWW-Authenticate. Identifica Basic, Bearer o altro schema previsto.
Guide Xlogic correlate
- WordPress REST API 401 Unauthorized: cause e soluzioni
- Errore 429 Too Many Requests: cause e rimedi
- Errore 403 Forbidden: cause e soluzioni per sito e cPanel