Lỗi 401 là gì? Nguyên nhân và cách khắc phục 401 Unauthorized

Lỗi 401 là gì?

401 Unauthorized là mã trạng thái HTTP cho biết yêu cầu truy cập không có thông tin xác thực hợp lệ cho tài nguyên đích. Thông tin xác thực có thể bị thiếu, nhập sai, hết hiệu lực, bị thu hồi hoặc không được máy chủ chấp nhận. “Xác thực” là quá trình người dùng hoặc ứng dụng chứng minh danh tính, chẳng hạn bằng mật khẩu, cookie phiên đăng nhập, token hoặc API key.

Tên gọi “Unauthorized” dễ khiến nhiều người hiểu rằng tài khoản đã đăng nhập nhưng không có quyền. Tuy nhiên, lỗi 401 chủ yếu liên quan đến việc chưa xác thực được danh tính. Theo RFC 9110 và tài liệu MDN về mã 401, client thường cần cung cấp hoặc làm mới thông tin xác thực hợp lệ trước khi gửi lại yêu cầu.

Ví dụ, người chưa đăng nhập khi mở khu vực thành viên có thể nhận lỗi 401. Người đã đăng nhập nhưng tài khoản không được phép mở trang quản trị có thể nhận lỗi 403. Dù vậy, chỉ riêng mã 403 không phải lúc nào cũng đủ để kết luận quá trình xác thực đã hoàn tất, vì một số hệ thống triển khai mã trạng thái không hoàn toàn nhất quán.

Lỗi 401 thuộc nhóm lỗi phía client theo quy ước HTTP, nhưng không có nghĩa nguyên nhân luôn nằm ở người dùng. Dịch vụ xác thực, plugin, middleware, proxy, API gateway hoặc cấu hình máy chủ cũng có thể từ chối một yêu cầu vốn đáng lẽ hợp lệ.

Chẩn đoán lỗi 401 trước khi khắc phục

Trước khi xóa dữ liệu trình duyệt hoặc thay đổi cấu hình, bạn cần xác định vị trí lỗi và phạm vi ảnh hưởng của nó.Năm câu hỏi sau giúp chọn đúng nhánh kiểm tra:

1. URL hoặc endpoint có chính xác không?
2. Tài nguyên có yêu cầu đăng nhập, token hoặc khóa truy cập không?
3. Lỗi xuất hiện trong trình duyệt hay khi ứng dụng gọi API?
4. Lỗi chỉ xảy ra trên một trình duyệt, thiết bị hoặc mạng, hay trên mọi môi trường?
5. Chỉ một tài khoản gặp lỗi hay nhiều tài khoản cùng bị?

Cách đọc kết quả:

• Lỗi xảy ra trong trình duyệt với một tài khoản: Ưu tiên kiểm tra URL, thông tin đăng nhập, cookie và phiên.
• Chỉ một trình duyệt hoặc thiết bị bị lỗi: Kiểm tra dữ liệu website, tiện ích mở rộng, VPN, proxy hoặc phần mềm bảo mật.
• Chỉ request API bị lỗi: Kiểm tra endpoint, cơ chế xác thực, header, token hoặc API key.
• Nhiều tài khoản và môi trường cùng bị: Tăng khả năng sự cố nằm ở tài nguyên, dịch vụ xác thực hoặc phía máy chủ.

Theo RFC 9110, phản hồi 401 từ máy chủ gốc phải có trường WWW-Authenticate chứa ít nhất một yêu cầu xác thực áp dụng cho tài nguyên. Header này cho biết cơ chế xác thực mà máy chủ mong đợi, chẳng hạn Bearer hoặc Basic, nên đặc biệt hữu ích khi kiểm tra API. Người dùng website thông thường không bắt buộc phải mở công cụ dành cho nhà phát triển để xem thông tin này.

Mỗi phép thử chỉ giúp tăng hoặc giảm khả năng của một nhóm nguyên nhân, không phải bằng chứng tuyệt đối. Chẳng hạn, nếu website hoạt động trong cửa sổ riêng tư, dữ liệu trình duyệt hoặc tiện ích có khả năng gây xung đột; kết quả đó chưa chứng minh chắc chắn phía website không có vấn đề.

Trong ví dụ xuyên suốt dưới đây, giả sử một hệ thống có website chứa khu vực thành viên và ứng dụng di động gọi API hồ sơ người dùng. Cùng một tài khoản có thể gặp 401 trên website do phiên hết hạn, trong khi ứng dụng có thể gặp lỗi vì access token không còn hợp lệ.

Không cần xóa DNS cache như một bước mặc định. Khi đã nhận được phản hồi HTTP 401, trình duyệt hoặc ứng dụng đã kết nối tới một máy chủ. Chỉ nên kiểm tra DNS nếu có dấu hiệu tên miền trỏ nhầm máy chủ, hạ tầng vừa thay đổi hoặc lỗi chỉ xuất hiện ở một môi trường phân giải tên miền cụ thể.

Khắc phục lỗi 401 khi truy cập bằng trình duyệt

1. Kiểm tra URL

Hãy kiểm tra xem URL có thiếu ký tự, chứa đường dẫn cũ hoặc dẫn thẳng vào một tài nguyên được bảo vệ hay không. Bookmark cũ cũng có thể trỏ đến trang không còn sử dụng đúng luồng đăng nhập hiện tại.

Thay vì liên tục tải lại URL đang báo lỗi, bạn hãy quay về trang chủ hoặc trang đăng nhập chính thức của dịch vụ. Trong ví dụ trên, người dùng mở trang hồ sơ từ bookmark cũ và nhận 401; khi vào trang đăng nhập chính thức, hệ thống yêu cầu tạo lại phiên đăng nhập.

2. Đăng xuất và đăng nhập lại

Nếu giao diện vẫn cho phép, bạn hãy đăng xuất rồi đăng nhập lại. Việc này giúp tạo phiên mới khi cookie hoặc phiên cũ không còn được máy chủ chấp nhận.

Khi đăng nhập, bạn cần kiểm tra:

• Email hoặc tên tài khoản có đúng không.
• Chữ hoa, chữ thường và ký tự đặc biệt trong mật khẩu.
• Bộ gõ có làm thay đổi ký tự được nhập hay không.
• Trình quản lý mật khẩu có tự điền nhầm tài khoản không.
• Tài khoản có vừa đổi mật khẩu trên thiết bị khác không.

Nếu không chắc mật khẩu còn đúng, hãy dùng chức năng khôi phục mật khẩu của chính dịch vụ. Bạn không nên thử liên tục nhiều mật khẩu vì nền tảng có thể giới hạn số lần đăng nhập hoặc tạm khóa tài khoản.

3. Thử cửa sổ riêng tư

Cookie phiên giúp website nhận biết người dùng qua nhiều request. Nếu cookie cũ, hỏng hoặc không còn khớp với phiên trên máy chủ, website có thể trả về 401 dù người dùng từng đăng nhập thành công.

Hãy mở cửa sổ riêng tư hoặc ẩn danh, truy cập trang đăng nhập chính thức và thử lại:

• Nếu đăng nhập được trong cửa sổ riêng tư, hãy ưu tiên kiểm tra cookie, dữ liệu website hoặc tiện ích của cửa sổ thường.
• Nếu cửa sổ riêng tư cũng lỗi, nguyên nhân có thể liên quan đến tài khoản, thông tin đăng nhập hoặc phía dịch vụ.

4. Xóa cookie và dữ liệu của đúng website

Nếu cửa sổ riêng tư hoạt động nhưng cửa sổ thường vẫn báo 401, bạn hãy xóa cookie và dữ liệu của riêng miền đang gặp lỗi rồi đăng nhập lại. Không cần mặc định xóa toàn bộ lịch sử, mật khẩu đã lưu hoặc dữ liệu của mọi website.

Lưu ý: Xóa cookie có thể đăng xuất bạn khỏi website tương ứng. Hãy bảo đảm bạn biết thông tin đăng nhập hoặc có thể sử dụng chức năng khôi phục tài khoản trước khi thực hiện.

Chỉ nên xóa cache khi có dấu hiệu trình duyệt tiếp tục dùng tài nguyên cũ hoặc dữ liệu cục bộ gây xung đột. Cache không phải nguyên nhân mặc định của mọi lỗi 401.

Sau bước này, bạn có thể diễn giải kết quả như sau:

• Đăng nhập lại thành công: Phiên trước hoặc thông tin xác thực cũ có khả năng đã hết hiệu lực.
• Chỉ cửa sổ thường bị lỗi: Ưu tiên kiểm tra cookie, dữ liệu website và tiện ích.
• Mọi trình duyệt đều lỗi với cùng tài khoản: Chuyển sang kiểm tra trạng thái tài khoản hoặc liên hệ bên vận hành.
• Nhiều tài khoản cùng lỗi: Ưu tiên kiểm tra tài nguyên hoặc hệ thống xác thực phía máy chủ.

Kiểm tra trình duyệt, tiện ích, thiết bị và mạng

Một số tiện ích có thể can thiệp vào cookie, script hoặc request mà trình duyệt gửi đi. Hãy tạm tắt từng tiện ích liên quan đến chặn nội dung, quyền riêng tư hoặc bảo mật rồi thử lại. Nếu lỗi biến mất, bật lại từng tiện ích để xác định thành phần gây xung đột thay vì xóa tất cả cùng lúc. Bạn cũng có thể thử trình duyệt, thiết bị hoặc mạng khác để cô lập phạm vi sự cố.

Chỉ nên thử mạng khác khi có căn cứ nghi ngờ VPN, proxy, mạng công ty, mạng trường học hoặc phần mềm bảo mật đang thay đổi request. Đổi thiết bị hay mạng là phép thử để thu hẹp nguyên nhân, không phải cách sửa chính thức.

Trong ví dụ khu vực thành viên, lỗi biến mất sau khi tạm tắt một tiện ích chặn request. Người dùng có thể bật lại các tiện ích lần lượt để xác định thành phần gây xung đột thay vì tiếp tục đổi mật khẩu.

Khắc phục lỗi 401 khi gọi API

Khi lỗi 401 xuất hiện trong một request API, cần kiểm tra chính request thay vì áp dụng các mẹo dành cho trình duyệt. Một số thuật ngữ cần biết:

• Authorization là header mà client thường dùng để gửi thông tin xác thực.
• Token là chuỗi đại diện cho phiên hoặc quyền truy cập theo cơ chế của dịch vụ.
• API key là khóa dùng để nhận diện hoặc xác thực client theo thiết kế của API.

Hãy kiểm tra theo thứ tự sau:

1. Xác nhận endpoint và môi trường: Không dùng thông tin xác thực của môi trường thử nghiệm cho endpoint production hoặc ngược lại.
2. Kiểm tra request có gửi thông tin xác thực hay không: Header có thể bị thiếu do lỗi trong mã, biến môi trường chưa được nạp hoặc cấu hình công cụ gọi API chưa đúng.
3. Đối chiếu kiểu xác thực với tài liệu API: Nếu API yêu cầu Bearer token, request phải sử dụng đúng cơ chế đó.
4. Kiểm tra cú pháp header: Tên header, tiền tố, dấu cách và giá trị phải đúng định dạng mà API yêu cầu.
5. Kiểm tra vòng đời token hoặc API key: Thông tin xác thực có thể hết hạn, bị thu hồi, thiếu ký tự hoặc thuộc sai tài khoản, client hay môi trường.
6. Kiểm tra cơ chế làm mới token: Ứng dụng có thể tiếp tục gửi access token cũ dù token đã hết hạn.
7. Xem WWW-Authenticate nếu công cụ cho phép: Đồng thời đọc phần thân phản hồi sau khi đã loại bỏ dữ liệu nhạy cảm.
8. Đối chiếu tài liệu chính thức của API: Một số hệ thống tùy chỉnh có thể sử dụng 401 và 403 không hoàn toàn nhất quán.

Một request tối giản có thể có dạng:

GET /api/profile
Authorization: Bearer <access_token>

Giá trị <access_token> chỉ là phần giữ chỗ. Không đưa token thật vào tài liệu công khai, ảnh chụp màn hình hoặc ví dụ gửi qua kênh không an toàn. Token có cấu trúc đúng không đồng nghĩa với token hợp lệ. Máy chủ vẫn có thể từ chối nếu token đã hết hạn, bị thu hồi, được phát hành cho client khác hoặc không dành cho môi trường hiện tại.

Thông thường:

• Token bị thiếu, hết hạn hoặc không được chấp nhận có thể dẫn đến 401.
• Request đã được nhận diện nhưng không có quyền thực hiện hành động có thể nhận 403.
• Cấp thêm quyền không thể làm một token đã hết hạn trở nên hợp lệ.

Trong ví dụ ứng dụng hồ sơ, API trả về 401 vì access token đã hết hạn. Ứng dụng cần sử dụng cơ chế làm mới token mà hệ thống hỗ trợ hoặc yêu cầu người dùng đăng nhập lại; thay đổi quyền tài khoản không giải quyết được vấn đề vòng đời token.

Không chia sẻ các dữ liệu sau trong kho mã công khai, log không được bảo vệ, ảnh chụp hoặc ticket hỗ trợ:

• Token còn hiệu lực.
• API key.
• Cookie phiên đăng nhập.
• Header Authorization nguyên vẹn.
• Mật khẩu hoặc thông tin khôi phục tài khoản.

Khi nào nên liên hệ quản trị viên hoặc bộ phận hỗ trợ?

Bạn nên dừng tự xử lý và chuyển sự cố khi:

• Đăng nhập lại, tạo phiên mới hoặc làm mới token không giải quyết được lỗi.
• Lỗi lặp lại trên nhiều trình duyệt, thiết bị hoặc mạng.
• Nhiều tài khoản cùng nhận 401 tại một tài nguyên.
• Bạn không có quyền kiểm tra dịch vụ xác thực, plugin, middleware, proxy hoặc máy chủ.
• Lỗi xuất hiện trở lại ngay sau khi đăng nhập hoặc làm mới thông tin xác thực.

Báo cáo sự cố nên đủ chi tiết để bên vận hành tái hiện lỗi, nhưng không chứa bí mật. Có thể sử dụng mẫu sau:

URL hoặc endpoint:
Thời điểm xảy ra và múi giờ:
Thao tác ngay trước khi xuất hiện lỗi:
Mã trạng thái hoặc thông báo: 401 Unauthorized
Trình duyệt, thiết bị, hệ điều hành hoặc công cụ gọi API:
Phạm vi: Một hay nhiều tài khoản, thiết bị hoặc mạng
Các bước đã thử:
Kết quả quan sát ở từng bước:
Mã định danh tài khoản đã làm mờ, nếu cần đối chiếu:

Không gửi mật khẩu, token, API key, cookie phiên hoặc header Authorization nguyên vẹn. Nếu cần cung cấp request mẫu, bạn hãy thay bí mật bằng giá trị giữ chỗ và xóa dữ liệu cá nhân không cần thiết.

Trong ví dụ khu vực thành viên, một báo cáo hữu ích có thể ghi URL hồ sơ, thời điểm lỗi, trình duyệt, kết quả thử cửa sổ riêng tư và mã 401. Cookie hoặc token không cần và không nên được đính kèm.

Nếu bạn quản trị website hoặc API, cần kiểm tra gì?

Trước khi sửa cấu hình, cần xác định phản hồi 401 có đúng thiết kế hay không. Đây là phản hồi phù hợp khi tài nguyên yêu cầu xác thực nhưng request không có thông tin xác thực hợp lệ.

Bạn chỉ nên coi 401 là sự cố hệ thống khi mã này xuất hiện ngoài thiết kế, xảy ra với request đáng lẽ hợp lệ hoặc giao diện không cung cấp cách để người dùng đăng nhập, làm mới phiên hay khôi phục quyền truy cập.

Chẩn đoán theo từng lớp

1. Ghi nhận thời điểm, endpoint, tài khoản kiểm thử và request gây lỗi.
2. Tái hiện sự cố bằng tài khoản thử nghiệm hoặc công cụ gọi API phù hợp.
3. Kiểm tra log ứng dụng, máy chủ và dịch vụ xác thực tại cùng thời điểm.
4. Xác nhận route hoặc tài nguyên đang được bảo vệ bởi đúng quy tắc.
5. Kiểm tra trạng thái tài khoản, phiên, thời hạn token và các thuộc tính xác thực tương ứng.
6. Xác định request bị từ chối tại API gateway, plugin, middleware xác thực hay ứng dụng.
7. Kiểm tra reverse proxy, CDN hoặc load balancer có chuyển tiếp header Authorization đến máy chủ gốc hay không.
8. Xác nhận phản hồi 401 có WWW-Authenticate phù hợp với cơ chế xác thực được hỗ trợ.
9. So sánh request thành công và thất bại, sau đó chỉ thay đổi cấu hình khi tìm được khác biệt liên quan.

Không nên ghi nguyên vẹn token, API key, cookie hoặc mật khẩu vào log. Khi cần đối chiếu, có thể dùng mã định danh đã làm mờ, thời điểm request, request ID hoặc thông tin không đủ để tái sử dụng bí mật.

Phân biệt quan sát với giả thuyết

Một dấu hiệu kỹ thuật chưa đủ để kết luận ngay nguyên nhân. Quản trị viên nên ghi rõ bằng chứng đã quan sát, giả thuyết cần kiểm tra và điều kiện để quyết định thay đổi cấu hình.

Trong ví dụ ứng dụng hồ sơ, ứng dụng gửi Bearer token nhưng log tại origin không ghi nhận header Authorization. Đây mới là quan sát; chưa thể kết luận proxy chắc chắn có lỗi. Quản trị viên cần kiểm tra request tại từng lớp. Nếu phát hiện header bị loại bỏ tại proxy, mới điều chỉnh cấu hình chuyển tiếp. Nếu origin vẫn nhận token và xác định token đã hết hạn, hướng xử lý phải chuyển sang cơ chế làm mới token.

Kiểm tra thiết kế phản hồi

Ngoài việc trả đúng mã trạng thái, hệ thống nên cung cấp hướng xử lý phù hợp cho client:

• Yêu cầu người dùng đăng nhập lại khi phiên không còn hợp lệ.
• Kích hoạt luồng làm mới token nếu cơ chế xác thực hỗ trợ.
• Chuyển người dùng đến trang đăng nhập thay vì để họ mắc kẹt tại trang lỗi.
• Dùng 401 và 403 nhất quán với trạng thái xác thực và quyết định truy cập.
• Không tiết lộ tài khoản có tồn tại hay không, chi tiết nội bộ của token hoặc cấu hình nhạy cảm.

Cập nhật plugin, quản lý API key, dùng xác thực hai lớp và áp dụng các biện pháp bảo mật khác có thể hữu ích cho vận hành tổng thể, nhưng không phải cách trực tiếp sửa mọi phản hồi 401. Không tắt xác thực, WAF, plugin bảo mật hoặc bước kiểm tra token trên môi trường thật chỉ để làm mã 401 biến mất; trước hết phải xác định phản hồi đó có đúng thiết kế và lớp nào thực sự gây ra sự cố.

Nếu đăng nhập lại, tạo phiên mới hoặc làm mới token giải quyết được lỗi, hãy tiếp tục sử dụng thông tin xác thực mới. Nếu 401 vẫn xuất hiện trên nhiều môi trường hoặc với nhiều tài khoản, hãy dừng các thao tác không liên quan, lưu bằng chứng không chứa dữ liệu bí mật và chuyển báo cáo cho bên vận hành website hoặc API.

Câu hỏi thường gặp

Lỗi 401 có ảnh hưởng đến SEO của website không?

Lỗi 401 không trực tiếp làm giảm thứ hạng SEO của bạn. Tuy nhiên, nếu lỗi này xuất hiện trên các trang nội dung quan trọng mà công cụ tìm kiếm cần thu thập dữ liệu (như trang bài viết hoặc trang sản phẩm), bot của Google sẽ không thể truy cập được nội dung đó. Nếu tình trạng này kéo dài, các trang bị lỗi có thể bị loại khỏi chỉ mục (index) hoặc không được cập nhật nội dung mới, từ đó gián tiếp ảnh hưởng đến lưu lượng truy cập và hiệu suất tìm kiếm.

Tại sao tôi đã đăng nhập rồi vẫn gặp lỗi 401?

Việc gặp lỗi 401 dù đã đăng nhập thường do phiên làm việc (session) của bạn đã hết hạn trên máy chủ nhưng trình duyệt vẫn còn lưu thông tin cũ, hoặc cookie phiên bị lỗi, xung đột. Ngoài ra, nếu bạn đang gọi API, mã token xác thực có thể đã hết hạn, bị thu hồi hoặc hệ thống không ghi nhận được thông tin xác thực từ header trong request hiện tại của bạn.

Có cần xóa toàn bộ lịch sử trình duyệt để sửa lỗi 401 không?

Bạn không cần phải xóa toàn bộ lịch sử duyệt web, mật khẩu đã lưu hay dữ liệu của tất cả các trang web khác. Lỗi 401 thường chỉ liên quan đến thông tin xác thực của chính website hoặc dịch vụ đó. Việc xóa cookie và dữ liệu lưu trữ (cache) cụ thể cho tên miền đang bị lỗi thường là đủ để làm mới phiên làm việc và giải quyết vấn đề.

Làm sao để biết trang web có đang sử dụng 401 thay cho 403 không?

Bạn có thể kiểm tra điều này bằng cách sử dụng công cụ dành cho nhà phát triển trên trình duyệt, mục Network. Nếu phản hồi trả về mã 401 nhưng phần thân (body) của phản hồi lại chứa thông báo cụ thể về quyền hạn (ví dụ: "Bạn không có quyền truy cập trang này" thay vì "Vui lòng đăng nhập"), thì hệ thống có thể đang sử dụng mã lỗi không chính xác theo tiêu chuẩn RFC. Tuy nhiên, điều này thuộc về cấu hình hệ thống và người dùng phổ thông không thể tự can thiệp.

Xem thêm:

• Lỗi 504 là gì? Nguyên nhân và cách khắc phục lỗi 504 hiệu quả
• Lỗi 429 là gì? Cách khắc phục lỗi Too Many Requests hiệu quả
• Lỗi 502 là gì? Nguyên nhân và cách khắc phục Bad Gateway nhanh

Kết luận

Tóm lại, lỗi 401 Unauthorized chủ yếu phản ánh việc hệ thống chưa thể xác thực danh tính của bạn do thiếu, sai hoặc hết hạn thông tin truy cập. Việc nắm vững quy trình chẩn đoán từ kiểm tra URL, làm mới phiên đăng nhập trên trình duyệt cho đến rà soát token/API key khi làm việc với API sẽ giúp bạn xử lý sự cố nhanh chóng và chính xác. Nếu lỗi vẫn tiếp diễn trên nhiều môi trường, hãy chủ động lưu lại bằng chứng để gửi cho quản trị viên hệ thống hỗ trợ kịp thời.