Auf einer Website nur für Mitglieder fordert ein angemeldetes gewöhnliches Mitglied eine Seite an, die nur Administratoren erlaubt ist. Der Server weiß, wer der Nutzer ist, erlaubt den Zugriff auf diese Seite aber nicht. Welcher Statuscode ist hier als Antwort am besten geeignet?

Antwort: B. 403 Forbidden

403 Forbidden zeigt an, dass der Server die Anfrage verstanden hat, den Zugriff aber nicht erlaubt. 401 Unauthorized ist entgegen seinem Namen der Code für fehlende oder ungültige Authentifizierungsdaten; mit dem Header WWW-Authenticate wird mitgeteilt, wie man sich authentifiziert. Hier ist bekannt, wer der Nutzer ist, und es fehlt die Berechtigung (Autorisierung), daher trifft 403 zu. Manche Systeme geben bewusst 404 zurück, damit nicht einmal bekannt wird, dass es eine Administrationsseite gibt; der Code, der die Situation zutreffend beschreibt, ist aber 403.