Sur un site réservé aux membres, un membre ordinaire connecté demande une page à laquelle seuls les administrateurs ont accès. Le serveur sait qui est l'utilisateur, mais n'autorise pas l'accès à cette page. Quel code d'état est le plus approprié pour la réponse ?

Réponse : B. 403 Forbidden

403 Forbidden indique que le serveur a compris la requête mais refuse d'en autoriser l'accès. Malgré son nom, 401 Unauthorized est le code qui signale des informations d'authentification absentes ou incorrectes, et l'en-tête WWW-Authenticate indique au client la méthode d'authentification. Ici, le serveur sait qui est l'utilisateur et ce qui manque, c'est le droit d'accès (l'autorisation) : 403 s'applique donc. Certaines conceptions renvoient délibérément 404 pour ne pas révéler l'existence d'une page d'administration, mais le code qui décrit la situation telle qu'elle est, c'est 403.