В чём разница в семантике между ответами 401 Unauthorized и 403 Forbidden?

401 означает, что запросу не хватает действительных данных аутентификации; 403 — что сервер понял запрос, но отказывает в доступе. Повтор с теми же полномочиями обычно не устраняет 403.

Для 401 сервер передаёт подходящий WWW-Authenticate challenge. Типичный пример — отсутствующий или недействительный access token. Для 403 примером служит недостаточная роль уже известного пользователя. Это не абсолютная формула «401 не вошёл, 403 вошёл»: отказ может иметь другие причины. Чтобы не раскрывать существование ресурса, сервер иногда намеренно отвечает 404.