Bloqueada por requisição não autorizada (401): páginas atrás de login

Última atualização: 2026-10-30

Em resumo

Esse status significa que o servidor respondeu ao Googlebot com 401 Unauthorized, pedindo credenciais que ele não tem. Se a página é privada, isso está certo e ela fica fora do Google. Se deveria ser pública, remova a exigência de autorização ou, se precisar mantê-la, deixe passar as requisições do Googlebot verificado.

Rótulo exato no Search Console: Blocked due to unauthorized request (401)

O que significa

A ajuda de indexação de páginas do Google diz que a página foi bloqueada para o Googlebot por uma exigência de autorização (uma resposta 401). Se você quer que o Googlebot indexe a página, remova a exigência de autorização para ela ou permita que o Googlebot a acesse verificando a identidade dele. O Google sugere abrir a página em uma janela anônima para ver o que um visitante desconectado recebe.

O Google não usa o conteúdo de URLs que devolvem códigos 4xx e não as indexa, e páginas que estavam indexadas e passam a devolver 401 são removidas com o tempo. O Google também diz para não usar 401 ou 403 para limitar o rastreamento, porque esses códigos não têm efeito sobre a taxa de rastreamento.

É um problema?

Não para áreas privadas como páginas de conta, telas administrativas, intranets ou sites de staging atrás de autenticação HTTP; mantê-las fora do Google é o objetivo. Vira problema quando páginas públicas devolvem 401, por exemplo quando a proteção por senha do staging fica ligada depois do lançamento, ou quando uma seção inteira acaba atrás de login por engano.

Causas comuns

Páginas privadas linkadas publicamente

URLs de conta, administração ou área de membros que o Google descobriu por links. Esperado.

Proteção de staging deixada ligada

Autenticação básica HTTP ou senha da hospedagem ainda ativa depois que o site entrou no ar.

Regras de autenticação para a seção inteira

Uma regra de servidor ou CDN que exige login para um padrão de caminho que também cobre páginas públicas.

Páginas apoiadas em uma API autenticada

Páginas que devolvem 401 a requisições desconectadas em vez de mostrar uma versão pública.

Como corrigir

  1. Veja o que um visitante desconectado recebe. Abra a URL em uma janela anônima, como o Google sugere. Se você for solicitado a entrar, o Googlebot também é.
  2. Remova a autenticação das páginas públicas. Desligue a proteção por senha do site em produção, ou restrinja a regra de autenticação para cobrir apenas caminhos privados.
  3. Permita o Googlebot verificado só se for necessário. Se o conteúdo precisa ficar restrito para as pessoas mas visível para o Google, verifique o Googlebot por DNS reverso ou pelas faixas de IP publicadas pelo Google antes de deixá-lo entrar, e leia antes a política de spam do Google sobre cloaking e paywalls.
  4. Mantenha páginas privadas privadas. Para URLs que nunca devem estar no Google, um 401 está ótimo. Remova links para elas das páginas públicas e do sitemap, para que parem de aparecer.
  5. Teste, peça indexação e valide. Rode “Testar URL ativa” nas páginas que você liberou, peça indexação para as mais importantes e clique em Validar correção para o grupo.

Confira com o GSC Magic

gsc_inspect_urls_batch mostra o estado de busca da página que o Google registrou para cada URL, então seu assistente lista todas as URLs bloqueadas com 401 e separa caminhos privados de públicos por diretório. report_index_health sinaliza qualquer 401 dentro do seu sitemap, que deveria listar apenas páginas públicas.

gsc_inspect_urls_batchreport_index_healthgsc_inspect_url

Prompts para copiar

Inspecione estas URLs e liste todas bloqueadas por requisição não autorizada (401), agrupadas por diretório.

Faça uma checagem de saúde da indexação do meu sitemap e me diga se alguma URL listada devolve 401 ou 403 para o Google.

Acabamos de remover o login destas páginas. Inspecione-as e me diga quais o Google ainda informa como bloqueadas por 401.

Guias no blog

Blocked due to access forbidden (403)

Esse status significa que seu servidor devolveu 403 Forbidden ao Googlebot. O Google observa que o Googlebot nunca envia credenciais, então um 403 para ele costuma ser devolvido incorretamente. Se a página deve estar no Google, encontre a regra de firewall, CDN ou servidor que a bloqueia e permita o Googlebot verificado.

 Blocked due to other 4xx issue

Esse status significa que o Googlebot recebeu um erro 4xx de cliente que não é um dos códigos com linha própria, como 401, 403 ou 404. O Google não dá mais detalhes, então o primeiro passo é descobrir o código exato que seu servidor devolveu. Depois, corrija como o seu servidor trata a requisição para as páginas que deveriam ser públicas.

 Excluded by 'noindex' tag

Esse status significa que o Google rastreou a página, encontrou uma regra noindex em uma meta tag robots ou em um cabeçalho HTTP X-Robots-Tag e por isso não a indexou. Se você não quer a página no Google, está funcionando. Se quer, remova o noindex na origem, confirme com “Testar URL ativa” e peça indexação.

Perguntas frequentes

Um 401 é uma boa forma de manter páginas fora do Google?

Para conteúdo privado, sim. As orientações de remoção do Google listam a proteção por senha como uma forma de manter uma página fora dos resultados de busca de vez.

Posso dar um usuário e senha ao Googlebot?

Não. O Googlebot não faz login. A orientação do Google é remover a exigência de autorização ou permitir as requisições do Googlebot verificado.

Qual é a diferença entre 401 e 403 aqui?

Um 401 pede credenciais. O Google diz que um 403 significa que as credenciais foram fornecidas mas o acesso foi negado, e como o Googlebot nunca envia credenciais, um 403 para o Googlebot costuma ser devolvido incorretamente.

Fontes