Moin,

Welchen HTTP-Status sollte man benutzen, wenn die Ressource zwar vorhanden ist, aber ohne Authentifizierung nicht zur Verfügung steht.

404 Not Found -> ist flasch, weil es sie ja gibt
401 Unauthorized -> falsch, weil das Basic Auth ist und der Browser dann das Fenster aufklappt.
403 Forbidden -> erscheint mir noch am sinnvollsten. Aber was machen die Suchmaschinen dann mit einer solchen Antwort?

ich verstehe deine Gedanken nicht so ganz. Aus meiner Sicht ist 401 genau richtig, und das ist auch der übliche Fall. Das sagt dem Client deutlich, was Sache ist, und ja, der Browser reagiert darauf im Normalfall, indem er das Fenster zur Eingabe der Zugangsdaten anzeigt. Bricht der Nutzer diese Eingabe ab, wird der Inhalt angezeigt, der mit dem 401-Header gesendet wurde (sonst normalerweise nicht). Das ist dann in der Regel ein Ausdruck des Bedauerns, oder eventuell ein Ersatz-Inhalt für nicht authentifizierte Nutzer.

Und auch Suchmaschinen erkennen so: Ja, da gibt's Inhalt, aber nicht für jeden.

Ciao,
 Martin