Códigos de estado HTTP

Los códigos de estado HTTP son números de tres dígitos que un servidor envía en la respuesta para describir el resultado de tu solicitud. 200 significa que la solicitud tuvo éxito, 404 significa que la página no fue encontrada, y 500 significa que el servidor encontró un error. El primer dígito agrupa el código en una de cinco clases — 2xx siempre es éxito, 5xx siempre es un fallo del servidor — así que conocer la clase te dice de inmediato dónde empezar a depurar: del lado del cliente o del servidor.

El primer dígito define la clase: 1xx Informativo (la solicitud fue recibida y continúa, ej. 100 Continue), 2xx Éxito (funcionó, ej. 200 OK), 3xx Redirección (necesitas ir a otro lugar, ej. 301 Moved Permanently), 4xx Error del cliente (tu solicitud es incorrecta, ej. 404 Not Found), y 5xx Error del servidor (el servidor falló, ej. 500 Internal Server Error). Filtra por cualquier clase en la herramienta de arriba para ver solo ese grupo con explicaciones de cada código.

Los que encontrarás a diario son 200 OK, 201 Created, 204 No Content, redirecciones 301 y 302, 304 Not Modified, 400 Bad Request, 401 Unauthorized, 403 Forbidden, 404 Not Found, 429 Too Many Requests, 500 Internal Server Error, 502 Bad Gateway y 503 Service Unavailable. Activa 'Solo comunes' en la herramienta de arriba para filtrar la lista completa y ver únicamente este conjunto reducido, con causas y soluciones para cada uno.

200 OK es la respuesta de éxito estándar — para un GET devuelve el recurso en el cuerpo, para un POST devuelve el resultado de la acción. 201 Created significa que un POST o PUT tuvo éxito y creó un nuevo recurso; el servidor normalmente coloca la dirección de ese nuevo recurso en una cabecera Location, ej. Location: /usuarios/42. Si estás construyendo una API y creando un recurso, devuelve 201 con una cabecera Location — no 200 — para que los clientes sepan dónde encontrar el nuevo objeto.

404 significa que el servidor no encontró nada en esa URL — no existe, fue movida o el enlace está roto. Soluciona revisando la URL en busca de errores tipográficos y mayúsculas incorrectas, añadiendo una redirección 301 de la dirección antigua a la nueva, verificando las reglas de enrutamiento o reescritura de tu servidor, y sirviendo una página 404 personalizada útil. A diferencia del 410 Gone, el 404 no promete que el recurso haya desaparecido para siempre, por lo que los motores de búsqueda siguen rastreándolo. MDN Web Docs cubre bien la especificación, pero esta herramienta muestra las causas y soluciones comunes junto a cada código.

301 Moved Permanently indica que el recurso tiene un nuevo hogar de forma permanente, por lo que los motores de búsqueda transfieren las señales de posicionamiento a la nueva URL y actualizan su índice — úsalo cuando cambies una URL de forma permanente. 302 Found es temporal: la URL original sigue siendo canónica y conserva su posicionamiento, así que úsalo para movimientos de corta duración como pruebas A/B o páginas de mantenimiento. Para solicitudes que no sean GET, usa 308 (permanente) o 307 (temporal), ya que preservan el método HTTP en lugar de permitir que los navegadores conviertan un POST en un GET.

403 Forbidden significa que el servidor entendió tu solicitud pero se niega a autorizarla — y a diferencia del 401, enviar credenciales no ayudará. Las causas típicas son permisos o alcances insuficientes en la cuenta, permisos de archivo incorrectos en el servidor (ej. un archivo configurado como 600 en lugar de 644), un bloqueo de IP o una regla WAF, o un listado de directorio deshabilitado sin archivo índice. Revisa los roles de la cuenta, los permisos de archivo y cualquier lista de permitidos. Algunos servidores devuelven 403 en lugar de 404 deliberadamente para no revelar que un recurso existe.

Todos son fallos del servidor 5xx, pero significan cosas diferentes. 500 Internal Server Error es un genérico 'algo salió mal' — generalmente una excepción no controlada o un error en la aplicación. 502 Bad Gateway significa que un proxy recibió una respuesta inválida del servidor de aplicación ascendente (a menudo se cayó). 503 Service Unavailable significa que el servidor está temporalmente caído o sobrecargado — debería incluir una cabecera Retry-After. 504 Gateway Timeout significa que el servidor ascendente era alcanzable pero demasiado lento para responder a tiempo. Empieza con los registros del servidor para distinguirlos en la práctica.

429 significa que has alcanzado un límite de velocidad — demasiadas solicitudes en una ventana de tiempo determinada. El servidor debería incluir una cabecera Retry-After indicándote cuánto tiempo esperar. Soluciona respetando esa cabecera, añadiendo retroceso exponencial entre reintentos, almacenando respuestas en caché para reducir el volumen de solicitudes, o solicitando una cuota mayor. Es común en APIs públicas y en endpoints de inicio de sesión que protegen contra abusos. GitHub, Stripe y Twitter/X usan 429 para limitar la velocidad de la API.

Los errores 4xx son culpa del cliente — la solicitud en sí es incorrecta, por lo que reenviarla sin cambios no ayudará (400 Bad Request, 401 Unauthorized, 404 Not Found). Los errores 5xx son culpa del servidor — tu solicitud puede ser perfectamente válida, pero el servidor no pudo procesarla (500, 502, 503), así que la misma solicitud puede tener éxito una vez que el servidor se recupere. Corrige tu solicitud para 4xx, corrige el servidor para 5xx. Esta distinción importa para la lógica de reintentos: solo reintenta en 5xx con retroceso exponencial, nunca en 4xx.

Los clave son 200 OK (cada página indexable debe devolver este código), 301 Moved Permanently (transfiere el posicionamiento a una nueva URL durante migraciones), 302 Found (temporal — mantiene el posicionamiento en la URL original), 404 Not Found y 410 Gone (le dicen a los rastreadores que una página falta; el 410 se elimina del índice más rápido porque es permanente), y 503 Service Unavailable (el código seguro para el SEO durante mantenimiento planificado — le dice a Google que vuelva más tarde en lugar de desindexar la página).

401 Unauthorized en realidad significa 'no autenticado' — no has demostrado quién eres, así que enviar credenciales válidas (un token, clave de API o sesión de inicio de sesión) puede solucionarlo; el servidor debería responder con una cabecera WWW-Authenticate. 403 Forbidden significa que estás autenticado pero simplemente no tienes permiso para acceder a ese recurso — mejores credenciales no ayudarán, necesitas permisos diferentes. Regla práctica: 401 = ¿quién eres?, 403 = no puedes hacer eso.

Las cuatro son redirecciones, pero 307 y 308 garantizan que el método HTTP original y el cuerpo se preservan, mientras que 301 y 302 históricamente permiten a los clientes cambiar un POST a un GET en la solicitud redirigida. Por tanto, 301 (permanente) y 302 (temporal) son adecuadas para redirecciones de páginas simples, pero para un endpoint que recibe datos POST o PUT, usa 308 para movimientos permanentes y 307 para movimientos temporales para mantener el método intacto y evitar pérdida de datos.

Los códigos en el rango 520–530 son códigos no estándar que Cloudflare devuelve cuando algo falla entre Cloudflare y tu servidor de origen — no son parte de la especificación HTTP oficial, pero los verás constantemente detrás de Cloudflare. 520 significa que el origen envió una respuesta vacía o inesperada, 521 significa que el origen rechazó la conexión (está caído o bloqueando a Cloudflare), 522 significa que la conexión TCP expiró, 523 significa que el origen es inalcanzable, 524 significa que el origen conectó pero no respondió en 100 segundos, 525 y 526 son fallos de SSL y certificados, y 530 suele ser un error DNS en el origen acompañado de un código 1xxx. Busca cualquiera de estos números arriba para ver causas y soluciones.

MDN Web Docs es la referencia de especificaciones autorizada, pero no tiene barra de búsqueda en vivo, no tiene filtro por clase y no tiene vista de cheat sheet compacto — navegas una página por código. httpstatuses.com muestra los códigos en una cuadrícula pero omite causas y soluciones prácticas. restapitutorial.com cubre convenciones REST sin una búsqueda interactiva. HTTP.cat es un sitio de memes divertido (cada código se asocia a una foto de gato) pero no es práctico para depuración real. Esta herramienta combina una referencia buscable, filtro por clase, modo cheat sheet, causas y soluciones en español, los códigos Cloudflare 5xx que la mayoría omite — todo en una página que funciona sin conexión, sin anuncios y sin registro.

Completamente. Toda la lista se incluye como datos estáticos dentro de la página, por lo que cada búsqueda, filtro y consulta se ejecuta localmente en tu navegador — nada se sube, registra ni envía a un servidor. Eso también significa que carga al instante y sigue funcionando sin conexión una vez que la página está abierta. Sin registro, sin cuenta, sin límite de uso y sin muro de pago. Solo una referencia rápida y privada que funciona igual de bien en tu teléfono que en un escritorio.