GabaritoD — O cliente não possui permissão para acessar o recurso solicitado.
Gabarito: letra D. O código de status HTTP 403 (Forbidden) é retornado pelo servidor quando o cliente não possui permissão para acessar o recurso solicitado — ou seja, o servidor entendeu a requisição, mas se recusa a atendê-la por questões de autorização. Essa é a definição consagrada no RFC 2616 (seção 10.4.4), que lista o 403 como "Forbidden".
O HTTP (Hypertext Transfer Protocol) é um protocolo de comunicação da camada de aplicação, baseado no modelo requisição-resposta entre cliente e servidor. Quando o cliente envia uma requisição, o servidor responde com uma linha de status que contém um código de três dígitos e uma frase de razão (reason phrase). Esses códigos são organizados em classes, identificadas pelo primeiro dígito: 1xx (informativo), 2xx (sucesso), 3xx (redirecionamento), 4xx (erro do cliente) e 5xx (erro do servidor). O 403 pertence à classe 4xx, indicando que o problema está na requisição do cliente — mas, diferentemente do 401, o 403 significa que o servidor reconhece o cliente, mas nega o acesso ao recurso por falta de permissão.
A distinção mais importante — e a pegadinha clássica desta questão — está entre os códigos 401 Unauthorized e 403 Forbidden. O 401 indica que o cliente não está autenticado (não provou quem é), e o servidor responde com o cabeçalho WWW-Authenticate para solicitar credenciais. Já o 403 indica que o cliente está autenticado, mas não tem autorização para acessar o recurso. Em outras palavras: autenticação é "quem você é"; autorização é "o que você pode fazer". O 403 também pode ser usado quando o servidor não quer revelar a existência do recurso, mas a interpretação padrão é a de falta de permissão.
Outros códigos da classe 4xx que aparecem nas alternativas: o 404 Not Found significa que o recurso não foi encontrado no servidor (alternativa A); o 408 Request Timeout indica que o servidor não recebeu a requisição completa dentro do tempo esperado (alternativa B); e o 200 OK é o código de sucesso, quando a requisição é processada corretamente (alternativa E).
A banca explora exatamente a confusão entre 401 e 403 — e entre 403 e 404. Guarde a fronteira: 403 = proibido (sem permissão); 401 = não autenticado; 404 = não encontrado. É nessa fronteira que as alternativas se dividem.
Descreve o código 404 Not Found, que ocorre quando o recurso solicitado não existe no servidor. O 403, ao contrário, é retornado quando o recurso existe, mas o cliente não tem permissão para acessá-lo. A banca troca "não encontrado" por "sem permissão" — são situações distintas.
Descreve o código 408 Request Timeout (ou 504 Gateway Timeout, se o problema for do servidor intermediário). O 403 não tem relação com tempo de espera; ele é uma resposta imediata de negação de acesso.
Descreve o código 401 Unauthorized, que indica que o cliente não forneceu credenciais válidas (não está autenticado). O 403 pressupõe que o cliente já está autenticado, mas não possui autorização para o recurso. Essa é a pegadinha central da questão: autenticação ≠ autorização.
É a definição literal do 403 Forbidden: o servidor entendeu a requisição, mas se recusa a atendê-la porque o cliente não tem permissão para acessar o recurso. O RFC 2616, seção 10.4.4, define: "O servidor entendeu a requisição, mas está se recusando a atendê-la. A autorização não ajudará, e a requisição NÃO deve ser repetida." (paráfrase).
Descreve o código 200 OK, que indica sucesso no processamento da requisição. O 403 é um erro da classe 4xx, portanto não representa sucesso.
A banca adora trocar 401 Unauthorized por 403 Forbidden — e vice-versa. A diferença é sutil, mas decisiva: 401 = "quem é você?" (autenticação); 403 = "você não pode entrar aqui" (autorização). Na prova, leia a alternativa com atenção: se ela menciona "não autenticado", é 401; se menciona "sem permissão", é 403. Com treino, você enxerga essa troca de longe 💪.
Gabarito: letra D
Link permanente: /questoes/qa632379