Errore 401 Unauthorized: autenticazione e accesso

In breve: L’errore 401 Unauthorized indica che la richiesta non contiene credenziali valide per la risorsa.

Errore 401 Unauthorized

Questa guida approfondisce errore 401 Unauthorized con controlli progressivi, modifiche reversibili e verifiche finali. Non inviare password, cookie, token, chiavi private o codici 2FA nei ticket.

Che cosa significa

A differenza del 403, un 401 può essere risolto presentando credenziali corrette. Il testo Unauthorized non significa necessariamente che l’utente non esista: token scaduti, cookie non inviati e proxy che rimuovono header producono lo stesso codice.

La protezione può essere applicata dal web server tramite Basic Authentication, da WordPress, da una API, da Cloudflare Access o da un sistema esterno.

Come riconoscere il problema

• Il browser mostra una finestra username e password.
• Una API restituisce 401 dopo la scadenza del token.
• Il sito funziona ma un endpoint protetto no.
• Dopo un cambio dominio il cookie non viene inviato.
• Un proxy o CDN modifica l’header Authorization.

Cause più frequenti

1. Credenziali errate

Username, password o token non corrispondono alla risorsa. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla pagina mostrata dal browser.

2. Token scaduto o revocato

API key, bearer token o sessione non sono più validi.

3. Basic Auth configurata

Una directory o staging richiede autenticazione web server.

4. Cookie con dominio o Secure errato

La sessione non viene inviata all’hostname o al protocollo richiesto.

5. Header Authorization rimosso

Proxy, rewrite o configurazione FastCGI possono non inoltrare l’header.

6. Nonce o Application Password WordPress

L’integrazione usa un metodo non supportato o credenziali revocate.

Diagnosi passo per passo

1. Leggi WWW-Authenticate. Identifica Basic, Bearer o altro schema previsto. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
2. Prova un nuovo login. Genera una sessione e credenziali aggiornate. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
3. Controlla la richiesta. Verifica che Authorization o cookie siano realmente inviati. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
4. Confronta accesso diretto e proxy. Determina se la CDN rimuove o modifica header. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
5. Controlla.htaccess e protezione directory. Cerca AuthType, AuthUserFile e regole correlate. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
6. Verifica API e permessi. Controlla endpoint, utente, scope e metodo di autenticazione. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
7. Leggi log applicativi. Cerca token expired, invalid signature e user not authenticated. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.

Procedura di risoluzione

1. Aggiorna le credenziali. Reimposta password o genera un token con privilegi minimi. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
2. Correggi il client. Invia lo schema e l’header previsti dalla documentazione. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
3. Allinea cookie e URL. Usa HTTPS, hostname corretto e dominio cookie coerente. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
4. Inoltra Authorization. Correggi proxy o configurazione del web server senza esporre il token. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
5. Rimuovi Basic Auth solo se non serve. Mantieni protetti staging e aree riservate. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
6. Revoca token vecchi. Elimina credenziali duplicate e non più usate. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
7. Verifica 401 e 403 separatamente. Dopo autenticazione controlla anche i permessi dell’utente. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.

Domande frequenti

Guide Xlogic correlate

• WordPress REST API 401 Unauthorized: cause e soluzioni
• Errore 429 Too Many Requests: cause e rimedi
• Errore 403 Forbidden: cause e soluzioni per sito e cPanel

Fonti tecniche

• Imunify360 Documentation