Um proxy pode enviar 407 novamente depois de receber credenciais
Use outro desafio 407 quando as credenciais do proxy faltarem, estiverem incompletas ou forem rejeitadas, e reserve a negação de acesso para um resultado de política diferente.
Receber Proxy-Authorization não significa que o proxy aceitou a conta. Quando as credenciais faltam, são inválidas ou estão incompletas, outro 407 Proxy Authentication Required pode ser a resposta adequada.
A resposta deve conter um desafio Proxy-Authenticate. Um exemplo com Basic:
HTTP/1.1 407 Proxy Authentication Required
Proxy-Authenticate: Basic realm="Office proxy"
Content-Length: 0
Depois, o cliente pode obter outra credencial ou continuar a troca do esquema escolhido. Alguns mecanismos de autenticação exigem várias rodadas, portanto um segundo 407 não prova por si só que a senha foi digitada errado.
A RFC 9110 também distingue uma credencial válida mas insuficiente: o servidor deveria usar 403 para um pedido que se recusa a atender sob essa identidade. Uma implementação de proxy deveria tomar essa decisão de acesso deliberadamente, em vez de escolher um novo estado só porque apareceu um cabeçalho de autorização.
Do lado do cliente, falhas idênticas repetidas precisam de um ponto de parada. Guarde o estado da resposta e o desafio no diagnóstico e pare de reenviar às cegas a mesma credencial rejeitada.