403 Запрещено против 401 Несанкционированные ответы HTTP

401 : Я не знаю, кто Вы. Это ошибка аутентификации. 403 : Я знаю, кто Вы. Но у Вас нет разрешения получить доступ к этому ресурсу. Это - ошибка авторизации.

Это значения:

401 : Пользователь не (правильно) прошел проверку подлинности, ресурс/страница требуют аутентификации

403 : аутентифицируемый Пользователь, но его роль или полномочия не позволяет получать доступ к требуемому ресурсу, например, пользователь не является администратором, и требуемая страница для администраторов

Согласно RFC 2616 (HTTP / 1.1) 403 отправляется, когда:

Сервер понял запрос, но отказывается его выполнить. Авторизация не поможет и запрос НЕ ДОЛЖЕН повторяться. Если метод запроса не был HEAD и сервер желает обнародовать причину невыполнения запроса, он ДОЛЖЕН описать причину отказа в объекте. Если сервер не желает предоставлять эту информацию клиенту, вместо этого можно использовать код состояния 404 (Not Found)

Другими словами, если клиент МОЖЕТ получить доступ к ресурсу путем аутентификации, следует отправить 401 .

См. RFC2616:

401 Unauthorized:

Если запрос уже содержал полномочия авторизации, то ответ 401 указывает, что авторизация для этих полномочий была отклонена.

403 Forbidden:

Сервер понял запрос, но отказывается его выполнить.

Обновление

Из вашего примера следует, что пользователь не прошел аутентификацию. Я бы вернул 401.

Правка: RFC2616 устарел, смотрите RFC7231 и RFC7235.