Erreur HTTP 401 : Unauthorized

L'erreur HTTP 401 "Unauthorized" est le code de réponse standard indiquant que l'authentification est requise pour accéder à une ressource. Malgré son nom, ce code concerne l'authentification (prouver son identité) et non l'autorisation (avoir les droits).

Le code 401 est accompagné d'un en-tête WWW-Authenticate qui spécifie le mécanisme d'authentification accepté (Basic, Bearer, Digest, etc.). Le client peut alors réessayer avec les bonnes credentials. C'est le comportement qui déclenche la popup de login des navigateurs pour les sites protégés par Basic Auth.

Pour le monitoring d'APIs protégées, le 401 est un signal critique. Un 401 inattendu peut signifier une expiration de token, une révocation d'accès, ou un changement dans la configuration d'authentification. MoniTao permet de monitorer ces endpoints en configurant l'authentification appropriée.

Causes principales des erreurs 401

L'erreur 401 se produit lorsque l'authentification échoue. Voici les causes les plus courantes :

• Credentials manquantes : La requête ne contient pas d'en-tête Authorization alors que la ressource l'exige. C'est le cas le plus simple.
• Token expiré : Les JWT et tokens OAuth ont une durée de vie limitée. Passé ce délai, ils sont rejetés avec un 401.
• Token révoqué : Un token peut être invalidé côté serveur (déconnexion, changement de mot de passe, révocation manuelle) tout en restant valide côté client.
• Identifiants incorrects : Login/mot de passe erronés, clé API mal copiée, ou secret modifié sans mise à jour côté client.

Différence entre 401 et 403

Ces deux codes sont souvent confondus mais ont des significations distinctes :

• 401 Unauthorized : "Qui êtes-vous ?" - L'identité n'est pas établie. Le client doit fournir des credentials valides.
• 403 Forbidden : "Vous n'avez pas le droit" - L'identité est connue mais les permissions sont insuffisantes.
• Action appropriée : 401 = demander une authentification. 403 = pas la peine de réessayer avec les mêmes credentials.
• Sémantique correcte : Utilisez 401 pour les endpoints non authentifiés, 403 pour les accès authentifiés mais non autorisés.

Résolution des erreurs 401

Selon la cause identifiée, voici les solutions à appliquer :

• Vérifier les credentials : Assurez-vous que le token ou les identifiants sont corrects. Attention aux espaces en début/fin et à la casse.
• Renouveler le token : Si le token est expiré, utilisez le refresh token ou régénérez-en un nouveau via le mécanisme prévu.
• Vérifier le format : L'en-tête Authorization doit avoir le bon format : "Bearer " ou "Basic ".
• Consulter les logs : Les logs serveur peuvent indiquer la raison exacte du rejet : token malformé, signature invalide, etc.

Exemples d'authentification HTTP

Voici comment configurer l'authentification pour différents types de requêtes :

# cURL - Basic Auth
curl -u username:password https://api.example.com/resource

# cURL - Bearer Token
curl -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIs..." https://api.example.com/resource

# JavaScript fetch - Bearer Token
fetch("https://api.example.com/resource", {
    headers: {
        "Authorization": "Bearer " + accessToken
    }
})

# PHP - Vérification côté serveur
$authHeader = $_SERVER["HTTP_AUTHORIZATION"] ?? "";
if (!preg_match("/Bearer\s+(\S+)/", $authHeader, $matches)) {
    http_response_code(401);
    header("WWW-Authenticate: Bearer");
    exit(json_encode(["error" => "Token requis"]));
}

L'en-tête WWW-Authenticate dans la réponse 401 indique au client quel mécanisme d'authentification utiliser.

Monitoring des endpoints authentifiés

Monitorer des APIs protégées nécessite une configuration spécifique :

• Configurer l'authentification : Dans MoniTao, ajoutez vos credentials (Basic Auth ou Bearer Token) dans la configuration du monitor.
• Surveiller l'expiration : Configurez des alertes pour être prévenu avant l'expiration des tokens de monitoring.
• Compte dédié : Créez un compte ou token spécifique pour le monitoring avec des droits minimaux (lecture seule).
• Rotation planifiée : Planifiez la rotation des tokens de monitoring avant leur expiration pour éviter les fausses alertes.

Questions fréquentes sur HTTP 401

Conclusion

L'erreur HTTP 401 Unauthorized signale un problème d'authentification : credentials manquantes, expirées ou invalides. Une bonne compréhension de la différence avec 403 (autorisation) permet d'implémenter des systèmes de sécurité plus robustes.

MoniTao supporte le monitoring d'APIs protégées avec Basic Auth et Bearer Token. Configurez vos monitors avec des tokens dédiés longue durée et recevez des alertes en cas de 401 inattendu, signalant un problème d'authentification à résoudre immédiatement.

Prêt à dormir sur vos deux oreilles ?

Commencez gratuitement, sans carte bancaire.

Créer mon compte Voir les tarifs