49

Ao desenhar uma aplicação, é comum eu ficar em dúvida quanto a qual código HTTP retornar quando um usuário não tem acesso a um determinado recurso: se é 401 Unauthorized ou se é 403 Forbidden.

Queria uma explicação clara quanto à diferença entre ambos.

1
  • 4
    +1 pela pergunta. Eu tenho a mesma dúvida :) Commented 10/02/2015 às 17:36

4 Respostas 4

41

401 Unauthorized

Ela ocorre quando o acesso ao recurso do servidor requer autenticação - através do cabeçalho WWW-Authenticate - e esta falha por algum motivo (falta de credencial ou credencial inválida). O cliente tentando conectar o servidor pode tentar uma nova requisição com um credencial mais apropriada. Se uma nova tentativa for feita pelo mesmo agente com as mesmas credenciais o servidor deve fornecer mais informações relevantes para o usuário entender o que está acontecendo.

A semântica a ser entendida aqui é que falta autenticação válida, só isto.

403 Forbidden

Ocorre quando o servidor recusa atender o pedido por causa de alguma regra que determina a negação do acesso. O cliente não deve tentar novamente mesmo com credenciais já que a negação não ocorreu por falha do cliente, nem tão pouco por algo que poderá ser resolvido no servidor por conta própria. O servidor pode dar maiores informações se a tentativa for feita com um método HEAD. Estas informações devem descrever a razão para a negação. Caso ele não deseje dar maiores informações então o código de erro de ser trocado pelo 404 Not Found.

A semântica aqui é que não foi dada autorização de acesso independente do que o cliente forneça.

Fonte.

Ainda que não esteja estritamente correto de acordo com a RFC, alguns servidores são configurados para só responder 404 Not Found em qualquer deste casos. Isto segue o princípio da obscuridade.

Se considerar que a autenticação via HTTP caiu em desuso na maioria das aplicações; e que saber se o recurso não existe ou você não pode acessar, no fundo dá no mesmo; em uma abordagem pragmática faz sentido deixar de lado estes dois códigos de erro.

Claro que pode haver casos para usar a recomendação mas é preciso saber quando. O uso criativo e responsável dos códigos não é algo inerentemente ruim. REST é um caso onde se usa muito, e há discussões intermináveis sobe qual deve usar em cada caso.

Coloquei no GitHub para referência futura.

5
  • 1
    A meu ver é a resposta mais completa. Sanou minhas dúvidas :) Commented 11/02/2015 às 12:06
  • 1
    Respondi porque percebi que as outras faltavam alguma coisa :)
    – Maniero
    Commented 11/02/2015 às 12:34
  • 2
    Sim, ficou uma boa resposta, apesar de ter respondido coisas técnicas que realmente não estavam na pergunta. Mas toda informação é bem-vinda :) e desta vez sem depreciar as demais respostas.
    – Syzoth
    Commented 11/02/2015 às 16:42
  • 3
    Eu não deprecio outras respostas, eu comento sobre respostas que se depreciam com erros existentes. Deixar passar erros existentes sem comentar nada é um prejuízo para toda a comunidade. Erros devem ser apontados, não jogados para baixo do tapete. Eu sei que muita gente acha que a preocupação deve ser com o indivíduo, eu acho que que a preocupação deve ser com a comunidade.
    – Maniero
    Commented 11/02/2015 às 16:46
  • 2
    Concordo com você, infelizmente apesar de não ter depreciado neste momento você ainda procura distorcer um pouco as coisas, mas não irei entrar em discussão, apenas elogiei a boa resposta e a sua melhora ao se portar diante das demais respostas. :) Até logo.
    – Syzoth
    Commented 11/02/2015 às 16:57
20

O Erro 401 se refere apenas quanto a autenticação, mas não trata autorização.

O Erro 401 será retornado quando o sistema não conseguir identificar o usuário, enquanto que o erro 403 quando o sistema conseguir identificar o usuário, porém detectar que ele não tem permissão para aquele conteúdo.

1
  • 1
    simples e direto ao ponto! Commented 28/04/2016 às 23:48
17

401 Unauthorized

É semelhante ao 403 Forbidden, mas usamos especificamente quando uma autenticação é necessária e ela falha ou não é feita tal autenticação. É usado geralmente com HTTP Basic Authentication

403 Forbidden

Pode ser uma área restrita, o pedido é considerado valido, porém o servidor recusa-se a respondê-lo. Diferente do 401 Unauthorized que necessitará de uma autenticação.

5

Existem dois conceitos importantes que explico abaixo. Mas, como o nome do erro 401 é "não autorizado", quando na verdade deveria ser "não autenticado", ocorre esse tipo de confusão.

Autenticação

Autenticação é o processo que visa identificar quem é o usuário. Em outras palavras, se o usuário está "logado" ele está autenticado.

Autorização

Autorização é o processo que visa identificar se um usuário tem permissão de realizar uma operação. Naturalmente, ela depende da autenticação pois não há como saber se um usuário pode fazer algo sem saber quem é esse usuário (sem ele estar logado).

401 - Unauthorized

Esse erro só indica se o usuário está ou não autenticado, embora o nome do erro seja "não autorizado", o que confunde bastante. Então, esqueça o nome pois o nome correto deveria ser "401 - Unauthenticated (Não autenticado)".

403 - Forbidden

Esse sim indica que o servidor sabe quem é o usuário (ou seja, ele está logado), porém o usuário não tem permissão de acessar o recurso solicitado (por isso o nome Forbidden (Proibido)).

Em suma, o problema todo da confusão ocorre devido ao nome inapropriado do erro 401!

Fonte: SOF

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .