Estou implementando um serviço de um site que faz o seguinte:
O meu site (A) conecta em alguns serviços externo providos por terceiros (B, C e D) usando webservices.
Na verdade A é uma API REST no backend que é acessado pelo javascript do frontend. O frontend não necessariamente é o meu, o cliente pode desenvolver o seu próprio frontend acessando a minha API REST se assim ele preferir.
Cada usuário do meu site A tem um login e senha no site B, um no site C e um no site D. Cada um desses logins e senhas dos sites B, C e D ficam salvos no meu banco de dados, por meio de uma funcionalidade oferecida ao usuário para este fim. Esses logins e senhas são diferentes entre si e diferentes do login e senha que uso para logar o cliente no site A.
Há algumas funcionalidades que o cliente acessa no meu site A que dependem da integração com os serviços B, C e D, e neste momento o login e a senha do respectivo serviço integrado é usado.
Por vezes, o login e senha enviados ao B, C ou D estão errados porque o meu usuário (do site A) os salvou incorretamente ao usar a funcionalidade que salva esses logins e senhas no banco de dados.
Pois bem, a minha dúvida é qual é o código de status HTTP que devolvo ao navegador do cliente quando o login e senha para a integração estão errados.
400 - Bad Request não parece ser bom porque isso é para requisições HTTP malformadas e a requisição recebida pelo meu site A é bem formada.
401 - Unauthorized não parece ser bom porque isso seria para uma falha de autenticação ou autorização no site A que é onde o navegador está se conectando. Ocorre que a falha de autenticação foi na integração com o site B, C ou D e não no site A. Além disso, em caso desse código ser aplicado, um cabeçalho
WWW-Authenticate
deveria estar presente para permitir o navegador a se (re)autenticar no meu site, o que não faz nenhum sentido no meu caso.403 - Forbidden também não parece correto porque o cliente tem sim acesso a funcionalidade solicitada, o problema é apenas que ela não foi configurada adequadamente.
404 - Page Not Found também não é correto porque a página de fato existe e o cliente deve saber disso.
405 - Method Not Allowed também não é correto porque o método HTTP usado (GET, POST, PUT, etc) é o correto.
406 - Not Acceptable e 506 - Variant Also Negotiates também não parecem ser corretos porque isso tem a ver com o content negotiation que não tem relação com o problema ocorrido.
407 - Proxy Authentication Required também não parece ser correto porque isso diz para o cliente se autenticar em um proxy antes de tentar a requisição novamente com o site A. Ocorre que a requisição com o site A é válida e não precisa de proxy nenhum, o problema é entre A e B, C ou D.
409 - Conflict também não parece ser correto porque isso é para o caso de ocorrer um conflito entre duas ou mais requisições que alteram o estado do servidor.
412 - Precondition Failed e 417 Expectation Failed também não parece ser corretos porque isso tem a ver com o conteúdo dos cabeçalhos da requisição, que no meu caso não têm qualquer problema.
421 - Misdirected Request também não parece ser correto porque isso ocorre quando o servidor não é capaz de produzir uma resposta ao cliente, e não é esse o caso.
422 - Unprocessable Entity também não parece ser correto porque isso é para o caso de a requisição ter algum erro semântico. Ocorre que a requisição está correta afinal de contas.
424 - Failed Dependency é usado pelo WebDav no método PROPPATCH para especificar que a alteração de uma propriedade falhou porque isso desencadeou a alteração de uma outra propriedade e esta outra alteração falhou, tal como consta na RFC4918. Eu acho que usar isso para representar um erro de login e senha seria algo inadequado.
500 - Internal Server Error é para quando ocorre um erro imprevisto e não tratado no servidor, ou então para erros genéricos do lado do servidor. Não é esse o caso.
502 - Bad Gateway também não parece ser correto porque isso é para sinalizar uma resposta inválida do serviço integrado B, C ou D. Ocorre que a resposta de B, C ou D é válida, embora seja uma resposta de erro. Até faria sentido se o login e senha fossem algo privativos do site A com um desses outros sites, mas no caso eu estou usando um login e senha dados pelo cliente.
503 - Service Unavailable também não parece ser correto porque isso é para quando o servidor estiver congestionado ou em manutenção, o que não é o caso.
510 - Not Extended não parece ser correto porque após ler a RFC2774, isso daí tem a ver com extensões especificados em cabeçalhos da requisição. No meu caso não existe cabeçalho nenhum com qualquer propriedade especial relevante.
511 - Network Authentication Required também não parece ser correto porque isso é para quando ocorre um problema com a infraestrutura de rede do lado do cliente para ele obter acesso ao site A. No meu caso, se a requisição chegou ao site A, é porque ele já tem o acesso.
Quanto aos códigos 402 - Payment Required, 408 - Request Timeout, 410 - Gone, 411 - Length Required, 413 - Payload Too Large, 414 - Request-URI Too Long, 415 - Unsupported Media Type, 416 - Request Range Not Satisfiable, 418 - I'm a Teapot, 423 - Locked, 426 - Upgrade Required, 429 - Too Many Requests, 431 - Request Header Fields Too Large, 451 - Unavailable For Legal Reasons, 501 - Not Implemented, 504 - Gateway Timeout, 505 - HTTP Version Not Supported, 507 - Insufficient Storage e 508 - Loop Detected, estes claramente não tem relação nenhuma com o meu problema.
Há alguns status não-oficiais usados por aí, mas nenhum deles parece se adequar também.
Assim sendo, nenhum dos códigos HTTP 4xx e 5xx oficiais que achei especificados em algum lugar parecem fazer sentido para o meu caso. Então, o que devo fazer? Que código HTTP devo utilizar e por quê? Se nenhum dos códigos de status oficiais forem adequados, seria melhor eu inventar um para isso ou forçar o uso de algum já existente? Se for forçar o uso de algum já existente, qual seria e por quê?
Além disso, noto que esse meu problema deve ser algo comum e recorrente, e portanto já deveria estar coberto em algum dos códigos existente.
Um outro ponto é que não tenho certeza se é problema no cliente (4xx) ou no servidor (5xx), uma vez que a requisição do cliente não pôde ser atendida devido a um problema na integração no lado do servidor (5xx), entretanto a razão de ocorrer essa falha é porque o cliente forneceu informações incorretas (4xx), mas essas informações não foram passadas pelo cliente no momento da requisição, e sim estavam armazenadas no lado do servidor (5xx).
Nota 1: Eu estou ciente das questões acerca de armazenar login e senha de clientes para serviços de terceiros ao invés de solicitá-los em cada requisição e das implicações em relação a segurança disso. Entretanto, o que estou pedindo tem pouca relação com isso.
Nota 2: Considerando-se os comentários e as duas respostas postadas, esclareço que não posso simplesmente retornar 200 indiscriminadamente para qualquer requisição para então impor ao cliente que interprete a resposta para saber se houve um erro ou não. Retornar um 400 para todo e qualquer erro e esperar o mesmo do cliente também está fora de cogitação. É um requisito importante que o código de status HTTP deva ser um código informativo.
Nota 3: Por enquanto, estou usando um código personalizado 432 para esta situação.
200 OK
. Se a integração torna impossível a execução da ação,500 Internal Server Error
. (Edit) O ponto do Ricardo é perfeito. Integrações são parte da sua aplicação.200 OK
indica que sua aplicação ainda funciona. A não ser que ela seja apenas um proxy.