401 Unauthorized
Ela ocorre quando o acesso ao recurso do servidor requer autenticação - através do cabeçalho WWW-Authenticate
- e esta falha por algum motivo (falta de credencial ou credencial inválida). O cliente tentando conectar o servidor pode tentar uma nova requisição com um credencial mais apropriada. Se uma nova tentativa for feita pelo mesmo agente com as mesmas credenciais o servidor deve fornecer mais informações relevantes para o usuário entender o que está acontecendo.
A semântica a ser entendida aqui é que falta autenticação válida, só isto.
403 Forbidden
Ocorre quando o servidor recusa atender o pedido por causa de alguma regra que determina a negação do acesso. O cliente não deve tentar novamente mesmo com credenciais já que a negação não ocorreu por falha do cliente, nem tão pouco por algo que poderá ser resolvido no servidor por conta própria. O servidor pode dar maiores informações se a tentativa for feita com um método HEAD
. Estas informações devem descrever a razão para a negação. Caso ele não deseje dar maiores informações então o código de erro de ser trocado pelo 404 Not Found
.
A semântica aqui é que não foi dada autorização de acesso independente do que o cliente forneça.
Fonte.
Ainda que não esteja estritamente correto de acordo com a RFC, alguns servidores são configurados para só responder 404 Not Found
em qualquer deste casos. Isto segue o princípio da obscuridade.
Se considerar que a autenticação via HTTP caiu em desuso na maioria das aplicações; e que saber se o recurso não existe ou você não pode acessar, no fundo dá no mesmo; em uma abordagem pragmática faz sentido deixar de lado estes dois códigos de erro.
Claro que pode haver casos para usar a recomendação mas é preciso saber quando. O uso criativo e responsável dos códigos não é algo inerentemente ruim. REST é um caso onde se usa muito, e há discussões intermináveis sobe qual deve usar em cada caso.
Coloquei no GitHub para referência futura.