3. Il campo di intestazione della risposta WWW-Authenticate
Se la richiesta di risorsa protetta non include credenziali di autenticazione o non contiene un token di accesso che consente l'accesso alla risorsa protetta, il server delle risorse deve includere il campo di intestazione della risposta HTTP "WWW-Authenticate".
Tutte le sfide definite da questa specifica devono utilizzare il valore auth-scheme "Bearer".
3.1. Codici di errore (Error Codes)
Quando una richiesta fallisce, il server delle risorse risponde utilizzando il codice di stato HTTP appropriato e include uno dei seguenti codici di errore nella risposta:
invalid_request: La richiesta è malformata.
invalid_token: Il token di accesso fornito è scaduto, revocato, malformato o non valido per altri motivi.
insufficient_scope: La richiesta richiede privilegi più elevati di quelli forniti dal token di accesso.