Sunucu & Altyapı Teknolojileri admin 18 Mayıs 2025 0 Yorumlar

HTTP 401 ve 403 Hataları: Sebepleri ve Çözüm Adımları

HTTP 401 ve 403 Hataları: Sebepleri ve Çözüm Adımları

Giriş

Web uygulamalarında HTTP 4xx hata kodları, istemcinin yaptığı istekte bir sorun olduğunu gösterir. İstemci tarafındaki kimlik doğrulama, yetkilendirme veya başlık yapılandırması hataları sıklıkla 401 (Unauthorized) ve 403 (Forbidden) kodlarıyla döner. Bu hataların ayrıntılarını, hangi durumlarda ortaya çıktıklarını, tarayıcı ve sunucu tarafında nasıl tespit edileceğini, adım adım çözüm yöntemlerini ve en iyi uygulamaları bu rehberde detaylı şekilde ele alacağız.

HTTP 401 Unauthorized Hatası

401 Nedir?

401 kodu, istemcinin kimliğini doğrulaması gerektiğini, geçersiz veya eksik kimlik bilgisi gönderdiğini belirtir. Bu durumda sunucu, WWW-Authenticate başlığıyla hangi kimlik doğrulama yöntemini (Basic, Bearer, Digest) yüklemesini beklediğini belirtir.

401 Hatasının Sebepleri

1. Eksik veya Yanlış Kimlik Bilgisi

Kullanıcı adı/parola veya token eksik, hatalı veya süresi dolmuş olabilir.

2. Yetkilendirme Başlığı Hatalı

HTTP isteğinde Authorization: Bearer <token> veya Basic <base64> başlığı doğru formatta olmayabilir.

3. Çerez Tabanlı Oturum Yönetimi Sorunları

Oturum çerezi (session cookie) gönderilmiyor, süresi dolmuş veya HttpOnly/Secure kısıtları nedeniyle tarayıcı geri göndermiyor.

4. CORS ve Ön Uç Kısıtlamaları

Cross-Origin Resource Sharing (CORS) yapılandırması, kimlik doğrulama başlıklarını veya çerezleri engelliyor olabilir.

5. Sunucu Konfigürasyonu

API uç noktasına erişim sadece HTTPS veya belirli kaynaklardan kabul ediliyorsa, HTTP isteği veya referer’sız isteğe 401 döner.

401 Hatasını Tespit Etme

A. Tarayıcı Geliştirici Konsolu

Network panelinde ilgili isteği seçip Response Headers ve Request Headers’ı inceleyin. WWW-Authenticate başlığını kontrol edin.

B. Sunucu Logları

Web sunucusu (Nginx/Apache) veya uygulama loglarında 401 hatası kaydına bakın. API sunucularında auth modüllerinin log seviyesini artırarak detay alın.

C. Oturum ve Çerez İnceleme

Çerezlerin gönderilip gönderilmediğini, Set-Cookie başlığını kontrol edin.

401 Hatası İçin Çözüm Adımları

1. Doğru Kimlik Bilgisi Gönderme

Basic Auth: Authorization: Basic base64(kullanıcı:parola)
Bearer Token: Authorization: Bearer eyJhbGci…
Geçerli, güncel bir token veya kullanıcı/parola kullanın.

2. Çerez Konfigürasyonunu Düzenleme

SameSite=None; Secure ayarlarıyla üçüncü taraf çerez kullanımını etkinleştirin.
HttpOnly ve Secure bayraklarını ihtiyaca göre düzenleyin.

3. CORS Ayarlarını Güncelleme

Sunucu tarafında Access-Control-Allow-Credentials: true ve Access-Control-Allow-Headers: Authorization, Content-Type ekleyin.

4. Oturum Süresi ve Yenileme Mekanizması

Token yenileme (refresh token) veya oturum yenileme endpoint’i oluşturun. İstemci, süresi biten token’ı otomatik yenilesin.

5. Sunucu Konfigürasyonunu Kontrol Etme

Nginx için:

location /api/ {

auth_basic “Protected”;

auth_basic_user_file /etc/nginx/.htpasswd;

}

Doğru dosya yolu ve kullanıcı listesinin güncel olduğuna emin olun.

HTTP 403 Forbidden Hatası

403 Nedir?

403 kodu, istemcinin kimliği doğrulansa bile isteği yapma yetkisi olmadığını gösterir. Kullanıcı oturum açmış veya geçerli token göndermiş olabilir; ancak kaynak erişimi kısıtlıdır.

403 Hatasının Sebepleri

1. Yetki Rol Kontrolü

Kullanıcının rolü (admin, user, guest) belirtilen endpoint’e erişim izni tanımıyor.

2. Dosya Sistemi veya ACL Kısıtlamaları

Web sunucusu dosya sistemi düzeyinde /var/www/html/private klasörüne okuma izni yok.

3. IP veya Bölge Tabanlı Engelleme

Güvenlik duvarı veya uygulama, belirli IP’lere veya ülkelere erişimi engelliyor.

4. API Anahtarı veya Scope Eksikliği

API key var ancak gerekli scope veya permission tanımlaması eksik.

5. HTTP Metodu Kısıtlaması

GET yerine POST, PUT yerine DELETE kullanıldığında izin verilmeyen yöntem uyarısı döner.

403 Hatasını Tespit Etme

A. Uygulama Logları

Rol ve izin kontrollerini yapan kod katmanında hata mesajlarını loglayın. Hangi rolün hangi kaynağa erişmeye çalıştığını raporlayın.

B. Web Sunucusu Logları

Nginx veya Apache hata loglarında permission denied veya directory index forbidden gibi girdiler arayın.

C. API Gateway ve WAF Kayıtları

API Gateway kuralları veya WAF (Web Application Firewall) bloklama girdilerini kontrol ederek IP veya pattern bazlı engellemeleri tespit edin.

403 Hatası İçin Çözüm Adımları

1. Rol ve İzin Yapılandırmasını Düzenleme

Uygulama kodunda RBAC (Role-Based Access Control) veya ABAC (Attribute-Based Access Control) kurallarını güncelleyin.
Veritabanında kullanıcı rollerine doğru kaynak izinlerini atayın.

2. Dosya Sistemi İzinlerini Güncelleme

chown www-data:www-data /var/www/html/private

chmod 750 /var/www/html/private

Bu sayede web sunucusu kullanıcısı okuma izni kazanır.

3. IP Engellemelerini Gözden Geçirme

Güvenlik duvarı veya .htaccess içinde deny from 1.2.3.4 gibi kısıtlamaları kaldırın veya güncelleyin.

4. API Scope ve Anahtar Ayarları

OAuth2 scope’larına ilgili izinleri ekleyin.
API key yönetim panelinde doğru yetkilendirme seviyesini seçin.

5. HTTP Metodu İzinlerini Düzenleme

Sunucu konfigürasyonunda yalnızca izin verilen yöntemleri kabul edin:

location /api/ {

limit_except GET POST {

deny all;

}

Ortak Çözüm Yöntemleri ve En İyi Uygulamalar

1. Merkezî Hata Mesajları

İstemciye “401: Kimlik doğrulama gerekli” veya “403: Yetkisiz erişim” dışında fazladan teknik detay vermekten kaçının. Hata sayfalarını kullanıcı dostu metinle özelleştirin.

2. Hata Loglama ve İzleme

Log seviyesini INFO veya WARN olarak ayarlayın.
Sentry, ELK Stack veya Graylog ile hata akışını merkezi toplayın.

3. Güvenli Standart Yanıt Başlıkları

Retry-After başlığı ile tekrar deneme süresi belirtebilirsiniz (429 için de geçerli).
401 isteklerde WWW-Authenticate ve 403’de Allow başlıklarını ekleyin.

4. API Belgelerinde Hata Kodu Dökümantasyonu

Swagger/OpenAPI tanımında her endpoint için 401 ve 403 hatalarını örnekleyin ve açıklayın.

5. Otomatik Testler

Postman veya pytest ile authentication ve authorization senaryolarını otomatik test edin. Token süresi dolmuş, rol eksik gibi durumları test paketinize ekleyin.

Gelişmiş Senaryolar

A. OAuth2 / OpenID Connect Entegrasyonu

401 için Access Token alınmama veya yanlış Client Credentials.
403 için Access Token doğru ancak ilgili API scope eksik.
Çözüm: Yetkilendirme sunucusundan doğru scope ile token alın, Refresh Token akışını otomatikleştirin.

B. JWT Tabanlı Kimlik Doğrulama

JWT imzası geçersiz veya süresi dolmuşsa 401.
Token içinde role veya permissions alanı eksikse 403.
Çözüm: JWT middleware katmanında token validasyonunu ve izin kontrolünü ayrıştırın. Log’da hangi adımda reddedildiğini raporlayın.

C. Çok Faktörlü Doğrulama (MFA)

İlk aşamada parola doğru, ikinci aşama tamamlanmamışsa 401.
MFA tamamlanmış ancak kullanıcı bu işlem için yetkisizse 403.
Çözüm: MFA akışını endpoint bazlı modüllerde yönetin; kullanıcı ekranlarına net hata mesajı gösterin.

Sonuç

HTTP 401 ve 403 hataları, temel olarak kimlik doğrulama ve yetkilendirme katmanlarındaki eksiklikleri yansıtır. 401, “lütfen kimliğinizi doğrulayın” derken 403, “doğrulandınız ancak bu kaynağa erişim izniniz yok” mesajını verir. Modern uygulamalarda JWT, OAuth2, RBAC/ABAC, CORS ve MFA gibi çok katmanlı güvenlik modelleri kullanıldığından, her iki hatayı da doğru yakalayıp log’lamak ve kullanıcıya anlaşılır geri bildirim sunmak kritik. Sunucu konfigürasyonunuz, uygulama kodunuz ve client entegrasyonunuzun uyumlu çalışması, hem güvenlik hem de kullanıcı deneyimi açısından hayati öneme sahiptir. Bu rehberdeki adımları izleyerek 401-403 hatalarını hızlıca çözüme kavuşturabilir, projenizdeki kimlik ve yetki yönetimini en iyi seviyeye taşıyabilirsiniz.