3. Définitions des codes d'état
3.1 401 Unauthorized
Le code d'état 401 (Unauthorized) indique que la requête n'a pas été appliquée parce qu'elle ne comporte pas d'informations d'authentification valides pour la ressource cible. Le serveur qui génère une réponse 401 doit envoyer un champ d'en-tête WWW-Authenticate (section 4.1) contenant au moins un défi applicable à la ressource cible (MUST).
Si la requête comportait des informations d'authentification, la réponse 401 indique que l'autorisation a été refusée pour ces informations. L'agent utilisateur peut répéter la requête avec un champ d'en-tête Authorization nouveau ou remplacé (section 4.2) (MAY). Si la réponse 401 contient le même défi que la réponse précédente, et si l'agent utilisateur a déjà tenté une authentification au moins une fois, l'agent utilisateur devrait présenter à l'utilisateur la représentation jointe, car elle contient généralement des informations de diagnostic pertinentes (SHOULD).
3.2 407 Proxy Authentication Required
Le code d'état 407 (Proxy Authentication Required) est semblable à 401 (Unauthorized), mais il indique que le client doit s'authentifier lui-même pour utiliser un mandataire. Le mandataire doit envoyer un champ d'en-tête Proxy-Authenticate (section 4.3) contenant un défi applicable à ce mandataire pour la ressource cible (MUST). Le client peut répéter la requête avec un champ d'en-tête Proxy-Authorization nouveau ou remplacé (section 4.4) (MAY).