3. Das WWW-Authenticate-Antwortheaderfeld
Wenn die geschützte Ressourcenanforderung keine Authentifizierungsinformationen enthält oder kein Zugriffstoken enthält, das den Zugriff auf die geschützte Ressource ermöglicht, muss der Ressourcenserver das HTTP-„WWW-Authenticate"-Antwortheaderfeld einschließen.
Alle durch diese Spezifikation definierten Herausforderungen müssen den auth-scheme-Wert „Bearer" verwenden.
3.1. Fehlercodes (Error Codes)
Wenn eine Anfrage fehlschlägt, antwortet der Ressourcenserver mit dem entsprechenden HTTP-Statuscode und enthält einen der folgenden Fehlercodes in der Antwort:
invalid_request: Die Anfrage ist fehlerhaft geformt.
invalid_token: Das bereitgestellte Zugriffstoken ist abgelaufen, widerrufen, fehlerhaft oder aus anderen Gründen ungültig.
insufficient_scope: Die Anfrage erfordert höhere Privilegien als vom Zugriffstoken bereitgestellt.