Un proxy puede volver a enviar un 407 después de recibir credenciales
Use otro desafío 407 cuando las credenciales del proxy falten, estén incompletas o sean rechazadas, y reserve la denegación de acceso para otro resultado de política.
Recibir Proxy-Authorization no significa que un proxy haya aceptado la cuenta. Cuando las credenciales faltan, no son válidas o están incompletas, otro 407 Proxy Authentication Required puede ser la respuesta adecuada.
La respuesta debe contener un desafío Proxy-Authenticate. Un ejemplo con Basic es:
HTTP/1.1 407 Proxy Authentication Required
Proxy-Authenticate: Basic realm="Office proxy"
Content-Length: 0
Después, el cliente puede obtener otra credencial o continuar el intercambio del esquema elegido. Algunos mecanismos de autenticación necesitan varias rondas, así que un segundo 407 no demuestra por sí solo que la contraseña se escribiera mal.
La RFC 9110 también distingue una credencial válida pero insuficiente: el servidor debería usar 403 para una petición que se niega a cumplir con esa identidad. Una implementación de proxy debería tomar esa decisión de acceso a propósito en lugar de elegir un estado nuevo solo porque apareció una cabecera de autorización.
Del lado del cliente, los fallos idénticos repetidos necesitan un punto de parada. Conserve el estado de la respuesta y el desafío en los diagnósticos, y deje de reenviar a ciegas la misma credencial rechazada.