خطای 401 یا Unauthorized معمولاً به نبودن یا پذیرفته‌نشدن اطلاعات احراز هویت مربوط است. با این حال، صفحهٔ خطا ممکن است از وب‌سرور، پراکسی یا برنامه صادر شود. ابتدا مشخص کنید کدام لایه پاسخ را داده است؛ تغییر رمز وردپرس همیشه مسئلهٔ یک پوشهٔ محافظت‌شده را حل نمی‌کند.
۴۰۱ با ۴۰۳ و ۴۲۹ یکسان نیست
طبق تعریف HTTP 401، سرور برای منبع هدف اعتبار احراز هویت معتبر دریافت نکرده است و پاسخ باید چالش WWW-Authenticate داشته باشد. ۴۰۳ رد دسترسی و ۴۲۹ محدودیت تعداد درخواست است. در عمل بعضی پیاده‌سازی‌ها دقیق نیستند؛ هدر، متن و لاگ را کنار هم ببینید.
اول مسیر و مخاطب را مشخص کنید
- آیا صفحهٔ عمومی، wp-admin، پوشهٔ محافظت‌شده یا API خطا می‌دهد؟
- آیا پنجرهٔ ورود مرورگر می‌آید یا فرم عادی وردپرس؟
- آیا مشکل برای همهٔ کاربران است یا یک نشست و نقش مشخص؟
- چه تغییر اخیر در کش، پراکسی یا سیاست دسترسی انجام شده است؟
حفاظت پوشه را حذف نکنید
Basic Auth می‌تواند پیش از رسیدن درخواست به وردپرس عمل کند. اگر صفحه عمداً خصوصی است، راه درست استفاده از دسترسی مجاز همان لایه است؛ حذف Directory Privacy یا فایل حفاظت برای ناپدیدشدن خطا، سطح دسترسی را عوض می‌کند. نام کاربری و رمز را از مالک مجاز بگیرید و آن را در URL یا تصویر عمومی قرار ندهید.
نشست وردپرس و API را جدا بررسی کنید
اگر مسیر مربوط به وردپرس است، اعتبار نشست، کوکی و نقش موردنیاز را بررسی کنید. در API، شیوهٔ احراز هویت و مجوز همان endpoint اهمیت دارد؛ ورود موفق مرورگر الزاماً درخواست یک برنامهٔ دیگر را مجاز نمی‌کند. nonce را هم به‌جای حساب کاربری یا مجوز دسترسی در نظر نگیرید. توکن، کوکی و هدر Authorization را در گزارش عمومی نگذارید.
کش و افزونه را با شواهد بررسی کنید
یک نشست آزمایشی جدا می‌تواند اثر دادهٔ محلی را روشن کند، اما رفع خطا در آن، علت را قطعی نمی‌کند. اگر کش مظنون است، فقط مسیر و لایهٔ مرتبط را با رعایت سیاست صفحات خصوصی بررسی کنید. پاک‌کردن همهٔ کش‌ها یا خاموش‌کردن همهٔ افزونه‌های امنیتی، اولین اقدام مناسبی نیست. تغییر محدود و قابل بازگشت را در محیط تست انجام دهید.
تأیید رفع خطای 401
کاربر مجاز باید به منبع موردنظر دسترسی داشته باشد و کاربر نامجاز همچنان محدود بماند. هر دو حالت را آزمون کنید. اگر فقط با حذف حفاظت صفحه باز شد، علت فنی حل نشده است. زمان، مسیر و شناسهٔ درخواستِ غیرمحرمانه را برای پشتیبانی ثبت کنید؛ رمز اصلی را برای بررسی در تیکت یا متن مقاله ننویسید.
راهنمای مرتبط
بازبینی فنی و منابع: ۲۷ مهر ۱۴۰۵. تاریخ انتشار اولیه و مسیر قبلی حفظ شده‌اند.
