Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de caméra

L'un des problèmes de caméra RTSP les plus courants semble simple à première vue: "le client se connecte, la caméra répond, mais le flux ne démarre jamais. Le journal répète « 401 non autorisé », le spectateur demande à nouveau un mot de passe ou l'application indique que l'URL RTSP est erronée même si le nom d'utilisateur et le mot de passe semblent corrects."

Il s'agit d'une boucle d'authentification RTSP. Cela se produit lorsque la caméra défie le client, que celui-ci envoie des informations d'identification et que la caméra les rejette ou demande à nouveau. La cause première peut être un mauvais mot de passe, mais elle peut également être une incompatibilité d'authentification Digest, une gestion des noms occasionnels obsolètes, des autorisations de compte, des caractères spéciaux dans l'URL, un chemin de flux incorrect ou une caméra qui nécessite une authentification sur « DESCRIBE », « SETUP » et « PLAY » séparément.

L'inspecteur RTSP est utile ici car les preuves importantes se trouvent dans l'échange de contrôle RTSP. Un lecteur multimédia cache souvent les détails du défi et des nouvelles tentatives derrière une seule erreur de connexion. Une vue de diagnostic du protocole peut montrer si l'échec s'est produit au niveau de « OPTIONS », « DESCRIBE », « SETUP » ou « PLAY », et si la caméra a renvoyé « WWW-Authenticate », « stale=true » ou un défi de domaine répété.

Que signifie une réponse RTSP 401 non autorisée

Dans RTSP, « 401 Unauthorized » signifie généralement « authentification requise » plutôt que « le serveur est inaccessible ». Une caméra peut répondre à une demande non authentifiée comme celle-ci :

RTSP/1.0 401 Unauthorized
CSeq: 2
WWW-Authenticate: Digest realm="IP Camera", nonce="abc123"

The client must then send another request with an Authorization header. For Digest authentication, the client does not send the raw password. It computes a response from the username, password, realm, nonce, method, and URI.

If the computed response does not match what the camera expects, the camera returns another 401 Unauthorized. That repeated challenge is the authentication loop.

Basic authentication vs Digest authentication

Some older cameras support Basic authentication. Basic authentication is simpler: the client base64-encodes the username and password. It is easy to implement, but it is not ideal on untrusted networks because the credentials are not protected by the RTSP protocol itself.

Digest authentication is more common on modern IP cameras and NVRs. It avoids sending the password directly, but it is more sensitive to exact request details. A Digest response can fail if:

• The username or password is wrong.
• The client uses the wrong URI in the Digest calculation.
• The camera's realm changed after a firmware update.
• The nonce expired and the client did not retry correctly.
• The camera expects MD5 but the client tries a different algorithm.
• The stream path in the URL is not the same path used in the Authorization calculation.

When users search for "RTSP Digest auth not working" or "RTSP 401 loop camera", they often assume the camera password is the only possible problem. In practice, the method, URI, nonce, and request order matter just as much.

Special characters in RTSP URL credentials

Credentials in an RTSP URL can break when the password contains characters such as @, :, /, ?, #, %, or &.

A URL like this is ambiguous:

rtsp://admin:pa@ss@192.168.1.50:554/stream1

The second @ may be interpreted as the separator between credentials and host. The client may send the wrong password or parse the host incorrectly. The fix is to URL-encode special characters:

rtsp://admin:pa%40ss@192.168.1.50:554/stream1

This is a very common cause of "RTSP works in one app but not another." One application may encode credentials automatically, while another expects the URL to already be valid.

Account permissions can block RTSP even when web login works

Logging into the camera web interface does not always prove that RTSP access is allowed. Many cameras have separate permissions for:

• Live view
• Remote streaming
• ONVIF access
• RTSP access
• Sub-stream access
• Main stream access
• Administrator settings

A user account may work in the browser but fail for RTSP DESCRIBE or PLAY. Some NVRs also require that the account has permission for the specific channel number.

If an NVR URL contains a channel path like /Streaming/Channels/101, the account may be valid but unauthorized for that channel. The result still looks like an authentication failure.

Wrong stream path can look like wrong credentials

Not every camera returns 404 Not Found for a bad RTSP path. Some devices return 401 Unauthorized first for every protected path, even if that path does not exist. After credentials are accepted, the camera may return 404, 454 Session Not Found, or another error.

That means a 401 does not prove the URL path is valid.

Common RTSP path patterns include:

• /stream1
• /stream2
• /live
• /h264
• /h265
• /cam/realmonitor?channel=1&subtype=0
• /Streaming/Channels/101
• /profile1/media.smp

If a camera keeps challenging credentials, test both the authentication result and the stream path. A protocol trace helps separate "credentials rejected" from "credentials accepted but path failed later."

Stale nonce and repeated Digest challenges

Digest authentication can include a stale=true flag. This means the username and password may be correct, but the nonce expired or is no longer accepted.

The camera may respond with:

WWW-Authenticate: Digest realm="IP Camera", nonce="new-value", stale=true

Un client correct doit réessayer avec le nouveau nom occasionnel. Si le client ne comprend pas la gestion des noms occasionnels obsolètes, le flux risque de ne jamais dépasser l'authentification.

Ce problème est particulièrement fréquent avec les caméras derrière des proxys, des couches de relais NVR ou des micrologiciels qui implémentent l'authentification Digest de manière vague. Cela peut également apparaître lorsqu'un client réutilise de manière trop agressive une ancienne session RTSP.

Authentification sur DESCRIBE, SETUP et PLAY

Certaines caméras ne contestent que la requête initiale « DESCRIBE ». D’autres remettent en question plusieurs méthodes. Un flux peut échouer comme ceci :

1. DESCRIBE réussit après l'authentification.
2. SETUP reçoit un autre 401 Unauthorized.
3. Le client ne renvoie pas les informations d'identification pour SETUP.
4. La lecture ne démarre jamais.

La même chose peut se produire lors de « PLAY ». Une caméra peut exiger des en-têtes « Autorisation » pour toutes les demandes protégées. Si le client authentifie uniquement la première demande, il peut afficher une erreur déroutante « Impossible de lire le flux » au lieu d'une erreur d'authentification.

RTSP Inspector rend cela plus facile à voir car il traite la séquence de la méthode RTSP comme une preuve de premier ordre. La question n’est pas seulement « la connexion a-t-elle fonctionné ? mais "quelle méthode a été contestée et le client a-t-il répondu correctement ?"

Liste de contrôle pour les boucles d'authentification RTSP 401

Utilisez cet ordre lors du débogage :

1. Confirmez le nom d'utilisateur et le mot de passe exacts avec un compte de caméra connu.
2. Caractères spéciaux d’encodage d’URL dans l’URL RTSP.
3. Testez si la caméra nécessite une authentification Digest ou Basic.
4. Inspectez l'en-tête « WWW-Authenticate » pour les indicateurs de domaine, de nonce, d'algorithme et d'obsolescence.
5. Vérifiez si le client envoie « Autorisation » sur « DESCRIBE », « SETUP » et « PLAY ».
6. Vérifiez que le compte dispose de l'autorisation RTSP et de canal, et pas seulement de l'autorisation de l'interface utilisateur Web.
7. Testez séparément les chemins du flux principal et du sous-flux.
8. Comparez l'URI utilisé dans la requête RTSP avec l'URI utilisé dans le calcul de la réponse Digest.
9. Vérifiez si le micrologiciel de la caméra a modifié le comportement d'authentification.
10. Évitez de diagnostiquer les codecs multimédias jusqu'à ce que l'authentification RTSP soit réellement terminée.

Ce que signifient généralement les recherches Google

Lorsqu'une personne recherche « Caméra IP non autorisée RTSP 401 », elle a généralement besoin de savoir si les informations d'identification sont erronées. Lorsqu'ils recherchent "boucle d'authentification RTSP Digest", ils ont généralement déjà essayé le mot de passe et ont besoin d'une preuve de protocole. Lorsqu'ils recherchent « la caméra RTSP demande un mot de passe à plusieurs reprises », ils doivent inspecter la séquence de défi et réessayer.

La réponse utile n’est pas simplement « réinitialiser le mot de passe ». La réponse utile est :

• La caméra a-t-elle contesté la demande ?
• Le client a-t-il répondu avec le schéma d'authentification attendu ?
• La caméra a-t-elle accepté la réponse ?
• Une méthode RTSP ultérieure a-t-elle encore échoué ?
• Le chemin du flux ou l'autorisation du compte a-t-il échoué après la connexion ?

C'est pourquoi un outil orienté protocole est préférable à un test réservé aux joueurs pour cette classe de problèmes.

Diagnostic final

Une boucle d'authentification RTSP est résolue en faisant correspondre les informations d'identification, le codage d'URL, le schéma d'authentification, l'URI de demande, l'autorisation de compte et le comportement d'autorisation au niveau de la méthode. Si la trace montre des réponses répétées « 401 non autorisées » avec des noms occasionnels changeants, inspectez la gestion de Digest. S'il affiche un succès d'authentification suivi d'erreurs de flux, passez aux diagnostics du chemin d'URL, du SDP, du transport, du RTP et du codec.

RTSP Inspector est conçu pour ce flux de travail axé sur les preuves : confirmez le chemin de contrôle RTSP avant de supposer que la caméra, le lecteur, le codec ou le réseau est en faute.