Un proxy peut renvoyer un 407 après avoir reçu des identifiants
Utilisez un nouveau défi 407 lorsque les identifiants proxy sont absents, incomplets ou rejetés, et réservez le refus d'accès à un autre résultat de politique.
Recevoir Proxy-Authorization ne signifie pas qu'un proxy a accepté le compte. Lorsque les identifiants sont absents, invalides ou incomplets, un autre 407 Proxy Authentication Required peut être la réponse appropriée.
La réponse doit contenir un défi Proxy-Authenticate. Un exemple avec Basic :
HTTP/1.1 407 Proxy Authentication Required
Proxy-Authenticate: Basic realm="Office proxy"
Content-Length: 0
Le client peut ensuite obtenir un autre identifiant ou poursuivre l'échange du schéma choisi. Certains mécanismes d'authentification demandent plusieurs tours, donc un second 407 ne prouve pas à lui seul que le mot de passe a été mal saisi.
La RFC 9110 distingue aussi un identifiant valide mais insuffisant : le serveur devrait utiliser 403 pour une requête qu'il refuse d'exécuter sous cette identité. Une implémentation de proxy devrait prendre cette décision d'accès délibérément plutôt que choisir un nouveau statut simplement parce qu'un en-tête d'autorisation est apparu.
Côté client, des échecs identiques répétés exigent un point d'arrêt. Conservez le statut de la réponse et le défi dans les diagnostics, et cessez de renvoyer aveuglément le même identifiant rejeté.