Un proxy può inviare di nuovo 407 dopo aver ricevuto le credenziali
Usare un'altra sfida 407 quando le credenziali del proxy mancano, sono incomplete o vengono rifiutate, e riservare il diniego di accesso a un esito di policy diverso.
Ricevere Proxy-Authorization non significa che un proxy abbia accettato l'account. Quando le credenziali mancano, non sono valide o sono incomplete, un altro 407 Proxy Authentication Required può essere la risposta adeguata.
La risposta deve contenere una sfida Proxy-Authenticate. Un esempio con Basic:
HTTP/1.1 407 Proxy Authentication Required
Proxy-Authenticate: Basic realm="Office proxy"
Content-Length: 0
Il client può quindi ottenere un'altra credenziale o proseguire lo scambio dello schema scelto. Alcuni meccanismi di autenticazione richiedono più passaggi, quindi un secondo 407 non è di per sé prova che la password sia stata digitata male.
La RFC 9110 distingue anche una credenziale valida ma insufficiente: il server dovrebbe usare 403 per una richiesta che rifiuta di soddisfare con quell'identità. Un'implementazione proxy dovrebbe prendere questa decisione di accesso deliberatamente invece di scegliere un nuovo stato solo perché è comparso un'intestazione di autorizzazione.
Lato client, fallimenti identici ripetuti richiedono un punto di arresto. Conservate lo stato della risposta e la sfida nella diagnostica e smettete di reinviare alla cieca la stessa credenziale rifiutata.