リクエストに有効な認証情報が含まれていない、または認証情報が無効な場合に返すのが適切なHTTPステータスコードはどれですか?

401 Unauthorizedは、認証が必要なリソースに対して認証情報がない、あるいは無効であるときに返されます。名称は Unauthorized ですが、実際には認証(Authentication)の失敗を意味します。これに対し403 Forbiddenは、認証済みであっても権限がなくアクセスが許可されない場合に使われます。400は構文などリクエスト自体の不備、404は対象リソースが見つからない場合を表し、認証失敗の意味では使いません。