Чем отличается HTTP 401 от 403?

401 означает, что для доступа не хватает действительных аутентификационных данных. 403 означает отказ выполнить запрос; повтор с теми же данными доступа обычно не решит проблему.

При 401 сервер указывает подходящий challenge в WWW-Authenticate. Пример — отсутствующий или недействительный токен. При 403 причиной может быть недостаток прав или политика доступа. Нельзя сводить различие к формуле «403 всегда только для вошедшего пользователя»: отказ возможен и по другим правилам. API иногда намеренно возвращает 404, чтобы не раскрывать существование закрытого ресурса.

Источник: developer.mozilla.org, developer.mozilla.org.