Qual a diferença entre 401 e 403?

401 quer dizer “não sei quem você é” — autentique-se e tente de novo. 403 quer dizer “sei quem você é, e não”. O 401 é mal nomeado: chama-se Unauthorized e significa não autenticado, e é por isso que vive sendo confundido.

Devo usar 400 ou 422?

400 é para uma requisição malformada — JSON quebrado, um cabeçalho faltando. 422 é para uma requisição que foi analisada sem problema e cujo conteúdo falha na validação, que é o que a maioria quer dizer quando recorre ao 400.

Qual a diferença entre 404 e 410?

404 diz que não há nada ali, sem dizer se um dia houve. 410 diz que havia e foi retirado de propósito, um aviso mais forte que o 404. Para uma página ou produto removido para sempre, 410; para um endereço digitado errado, 404.

Qual redirecionamento eu uso?

301 se o endereço mudou de vez e você quer que os buscadores movam o índice; 302 se é temporário. Se o método não pode virar de POST para GET, use 308 e 307 — é toda a diferença.

O que significam 502, 503 e 504?

Os três vêm do lado do servidor. 502: um proxy recebeu uma resposta sem sentido do servidor por trás dele, em geral porque a aplicação caiu. 503: fora do ar ou sobrecarregado por um tempo, e o Retry-After pode dizer quando tentar de novo. 504: o proxy esperou o servidor por trás e desistiu.

Uma piada de primeiro de abril de 1998 que está num RFC de verdade, continua implementada e vira e mexe é alvo de uma proposta séria de remoção. Significa que o servidor é um bule de chá.

Alguma coisa é enviada para um servidor?

Não. Roda no navegador, então o que você digitar fica no seu computador.

Códigos de status HTTP

O que o número quer dizer, e quando enviá-lo.

Os exemplos substituem temporariamente os dados e as configurações. Você pode restaurar seu trabalho anterior.

Entrada0 caracteres

códigos: 38

Resultado

1xx  informação — a requisição chegou e o trabalho continua
2xx  sucesso — deu certo
3xx  redirecionamento — procure em outro lugar
4xx  a requisição está errada — em geral o cliente consegue corrigir
5xx  o servidor falhou — o cliente só pode tentar de novo

100  Continue (Continuar)
     Carry on sending the body; the headers were acceptable.
101  Switching Protocols (Troca de protocolo)
     Agreed — usually the handshake into a WebSocket.
200  OK
     It worked, and the body is the answer.
201  Created (Criado)
     It worked and something new exists; Location says where.
202  Accepted (Aceito)
     Taken in, not done yet. Nothing promises it will succeed.
204  No Content (Sem conteúdo)
     It worked and there is deliberately nothing to send back.
206  Partial Content (Conteúdo parcial)
     Here is the range you asked for — how video seeking works.
301  Moved Permanently (Movido permanentemente)
     Use the new address from now on; search engines move their index.
302  Found (Encontrado, em outro lugar por enquanto)
     Temporarily elsewhere. Keep using this address.
303  See Other (Veja outro endereço)
     Done — now GET that other address. The answer to a form POST.
304  Not Modified (Não modificado)
     Your copy is current; nothing is sent. The point of caching.
307  Temporary Redirect (Redirecionamento temporário)
     Like 302 but the method must not change.
308  Permanent Redirect (Redirecionamento permanente)
     Like 301 but the method must not change.
400  Bad Request (Requisição inválida)
     The request itself is malformed. Not the same as invalid data.
401  Unauthorized (Não autenticado)
     Not authenticated. Misnamed: it means “who are you?”.
402  Payment Required (Pagamento necessário)
     Reserved for years, now used by some APIs for quota and billing.
403  Forbidden (Proibido)
     Authenticated and still not allowed. “I know who you are; no.”
404  Not Found (Não encontrado)
     Nothing here, and nothing said about whether there ever was.
405  Method Not Allowed (Método não permitido)
     The address exists; that verb does not work on it.
406  Not Acceptable (Não aceitável)
     Nothing can be produced that matches the Accept header.
408  Request Timeout (Tempo da requisição esgotado)
     The client took too long to send it.
409  Conflict (Conflito)
     It clashes with the current state — an edit against a stale version.
410  Gone (Removido)
     It was here and is deliberately gone. Stronger than 404.
413  Payload Too Large (Requisição grande demais)
     The body is bigger than the server will take.
415  Unsupported Media Type (Tipo de mídia não suportado)
     The Content-Type is not one this endpoint reads.
418  I'm a teapot (Sou um bule de chá)
     A 1998 April Fools joke, in the standard, still implemented for fun.
422  Unprocessable Content (Conteúdo não processável)
     Well formed, but the data fails validation. The one people want when they reach for 400.
425  Too Early (Cedo demais)
     Refusing a replayable request sent in TLS early data.
428  Precondition Required (Pré-condição necessária)
     Send an If-Match so you do not overwrite somebody blindly.
429  Too Many Requests (Requisições demais)
     Rate limited. Retry-After says how long to wait.
431  Request Header Fields Too Large (Cabeçalhos grandes demais)
     Usually one enormous cookie.
451  Unavailable For Legal Reasons (Indisponível por motivos legais)
     Blocked by law. The number is a Fahrenheit 451 joke.
500  Internal Server Error (Erro interno do servidor)
     Something threw. The catch-all, and a sign nothing more specific was chosen.
501  Not Implemented (Não implementado)
     The server does not support that method at all.
502  Bad Gateway (Gateway inválido)
     A proxy got nonsense from upstream. Usually the app behind it is down.
503  Service Unavailable (Serviço indisponível)
     Temporarily down or overloaded; Retry-After may say when.
504  Gateway Timeout (Tempo do gateway esgotado)
     A proxy waited for upstream and gave up.
507  Insufficient Storage (Armazenamento insuficiente)
     No room to hold what was sent.

Seus arquivos ficam no seu dispositivo

Esta ferramenta roda inteiramente no seu navegador. O que você cola é processado no seu dispositivo e nunca é enviado a um servidor, então é seguro usar com tokens, chaves e textos não publicados.

Exemplo

Os códigos de uma API de agendamento de consultas, do 201 ao 429

Uma clínica ganha um app para marcar consultas, e a equipe precisa decidir o código de cada resposta da API. Digitando 4xx, aparecem os 19 códigos de erro do cliente lado a lado; depois, um número para cada caso. A lista mostra o nome oficial com o nome em português ao lado e uma explicação curta em inglês.

Situação	Código	O que a lista explica
Consulta marcada; o endereço dela vai no Location	201	Deu certo e algo novo passou a existir.
Consulta cancelada, nada a devolver	204	Deu certo e, de propósito, não há nada a enviar.
JSON quebrado, faltando uma vírgula	400	A requisição em si está malformada.
CPF com dígito verificador errado	422	Bem formada, mas os dados não passam na validação.
Token de login expirado	401	Não autenticado: “quem é você?”.
Recepcionista tentando apagar a agenda de um médico	403	Autenticado e mesmo assim sem permissão.
Horário já ocupado por outro paciente	409	Conflita com o estado atual.
Um robô testando senhas sem parar	429	Limite de requisições; Retry-After diz quanto esperar.

A busca aceita português e inglês: “autenticação” ou “auth” traz 401 e 403, “esperar” ou “retry” traz 429 e 503 — justamente os pares que mais se confundem. “redirecionamento” traz os cinco códigos que mandam para outro endereço: 301, 302, 303, 307 e 308.

Como funciona

Deixe a caixa vazia para a lista inteira, agrupada por classe.
Digite um número para um código específico.
Digite 4xx para uma classe inteira.
Digite uma palavra em português ou em inglês, como “redirecionamento”, “autenticação” ou “retry”. Cada código traz o nome oficial em inglês, com o nome em português ao lado; a explicação curta está em inglês.

Perguntas frequentes

Qual a diferença entre 401 e 403?: 401 quer dizer “não sei quem você é” — autentique-se e tente de novo. 403 quer dizer “sei quem você é, e não”. O 401 é mal nomeado: chama-se Unauthorized e significa não autenticado, e é por isso que vive sendo confundido.
Devo usar 400 ou 422?: 400 é para uma requisição malformada — JSON quebrado, um cabeçalho faltando. 422 é para uma requisição que foi analisada sem problema e cujo conteúdo falha na validação, que é o que a maioria quer dizer quando recorre ao 400.
Qual a diferença entre 404 e 410?: 404 diz que não há nada ali, sem dizer se um dia houve. 410 diz que havia e foi retirado de propósito, um aviso mais forte que o 404. Para uma página ou produto removido para sempre, 410; para um endereço digitado errado, 404.
Qual redirecionamento eu uso?: 301 se o endereço mudou de vez e você quer que os buscadores movam o índice; 302 se é temporário. Se o método não pode virar de POST para GET, use 308 e 307 — é toda a diferença.
O que significam 502, 503 e 504?: Os três vêm do lado do servidor. 502: um proxy recebeu uma resposta sem sentido do servidor por trás dele, em geral porque a aplicação caiu. 503: fora do ar ou sobrecarregado por um tempo, e o Retry-After pode dizer quando tentar de novo. 504: o proxy esperou o servidor por trás e desistiu.
O que é o 418?: Uma piada de primeiro de abril de 1998 que está num RFC de verdade, continua implementada e vira e mexe é alvo de uma proposta séria de remoção. Significa que o servidor é um bule de chá.
Alguma coisa é enviada para um servidor?: Não. Roda no navegador, então o que você digitar fica no seu computador.

Ferramentas relacionadas

∿ Tipos MIME O que pôr no Content-Type e o que acontece quando está errado. ☐ Analisador de User-Agent Passando pelas mentiras de compatibilidade, até o que a coisa realmente é. ⛓ Analisador de query string Os parâmetros de uma URL, um por linha. ♭ Decodificador JWT Cole um JSON Web Token e leia o cabeçalho e os claims. O token não sai do seu navegador.