Existem dois conceitos importantes que explico abaixo. Mas, como o nome do erro 401 é "não autorizado", quando na verdade deveria ser "não autenticado", ocorre esse tipo de confusão.
Autenticação
Autenticação é o processo que visa identificar quem é o usuário. Em outras palavras, se o usuário está "logado" ele está autenticado.
Autorização
Autorização é o processo que visa identificar se um usuário tem permissão de realizar uma operação. Naturalmente, ela depende da autenticação pois não há como saber se um usuário pode fazer algo sem saber quem é esse usuário (sem ele estar logado).
401 - Unauthorized
Esse erro só indica se o usuário está ou não autenticado, embora o nome do erro seja "não autorizado", o que confunde bastante. Então, esqueça o nome pois o nome correto deveria ser "401 - Unauthenticated (Não autenticado)".
403 - Forbidden
Esse sim indica que o servidor sabe quem é o usuário (ou seja, ele está logado), porém o usuário não tem permissão de acessar o recurso solicitado (por isso o nome Forbidden (Proibido)).
Em suma, o problema todo da confusão ocorre devido ao nome inapropriado do erro 401!
Fonte: SOF