Tendo como base a lista de código de status HTTP e suas descrições eu recomendo.
400 - Requisição inválida (Bad request)
400 Requisição inválida (Bad Request)
O pedido não pode ser entregue devido à sintaxe incorreta.
O fato de faltar um parâmetro, o TOKEN, esta mensagem é a que melhor descreve o erro que ocorreu durante a requisição
Porque não 403 Proibido (unauthorized access)
?
403 Proibido (unauthorized access)
O pedido foi um pedido legal, mas o servidor está recusando a responder a ela.
Ao contrário de um 401 - Não autorizado(Unauthorized)
, autenticação não fará diferença.
No caso não é um acesso negado à uma requisição ou diretório e sim a falta de um parâmetro na requisição, desta forma a falta de privilégios não retrata da melhor forma a falha na requisição.
Porque não 503 - internal server error
?
503 Serviço indisponível (Service Unavailable)
O servidor está em manutenção ou não consegue dar conta dos processamentos de recursos devido à sobrecarga do sistema. Isto deve ser uma condição temporária.
Como de fato seu servidor não apresenta nenhum erro esta não é a melhor resposta para um acesso indevido a uma requisição.