При проектуванні системи вивявив трохи неявну специфікацію http (на мій погляд поки).

Authentication vs Authorization:
Authentication - сервер шукає юзера, і підтверджує, що той, хто послав запит, саме той, за кого себе видає;
Authorisation - перевірка чи юзер, який послав запит має права доступу до URI.
-виконується при кожному запиті

В процесі автентифікації, якщо в юзера невірні кредли (username/пароль, apikey, ...) - сервер повертає 401 Unauthorized (https://tools.ietf.org/html/rfc7235#section-3.1)

А якщо в процесі авторизації недостатньо прав - то повертає 403 Forbidden (https://tools.ietf.org/html/rfc7231#section-6.5.3)

Authentication - 401 Unauthorized
Authorization - 403 Forbidden

Чому 401 носить назву Unauthorize, якщо він повертається через помилку в Authentication, до Authorization справа ще не дійшла навіть? Хіба не має бути 401 Unauthenticated?

Дякую