2026-06-02

Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de caméra

Un guide pratique sur les boucles non autorisées RTSP 401, l'authentification Digest, l'authentification de base, les réponses occasionnelles périmées, les mauvais utilisateurs de caméra et les problèmes d'informations d'identification d'URL.

L'un des problèmes de caméra RTSP les plus courants semble simple à première vue: "le client se connecte, la caméra répond, mais le flux ne démarre jamais. Le journal répète « 401 non autorisé », le spectateur demande à nouveau un mot de passe ou l'application indique que l'URL RTSP est erronée même si le nom d'utilisateur et le mot de passe semblent corrects."

Il s'agit d'une boucle d'authentification RTSP. Cela se produit lorsque la caméra défie le client, que celui-ci envoie des informations d'identification et que la caméra les rejette ou demande à nouveau. La cause première peut être un mauvais mot de passe, mais elle peut également être une incompatibilité d'authentification Digest, une gestion des noms occasionnels obsolètes, des autorisations de compte, des caractères spéciaux dans l'URL, un chemin de flux incorrect ou une caméra qui nécessite une authentification sur « DESCRIBE », « SETUP » et « PLAY » séparément.

L'inspecteur RTSP est utile ici car les preuves importantes se trouvent dans l'échange de contrôle RTSP. Un lecteur multimédia cache souvent les détails du défi et des nouvelles tentatives derrière une seule erreur de connexion. Une vue de diagnostic du protocole peut montrer si l'échec s'est produit au niveau de « OPTIONS », « DESCRIBE », « SETUP » ou « PLAY », et si la caméra a renvoyé « WWW-Authenticate », « stale=true » ou un défi de domaine répété.

Que signifie une réponse RTSP 401 non autorisée

Dans RTSP, « 401 Unauthorized » signifie généralement « authentification requise » plutôt que « le serveur est inaccessible ». Une caméra peut répondre à une demande non authentifiée comme celle-ci :

RTSP/1.0 401 Unauthorized
CSeq: 2
WWW-Authenticate: Digest realm="IP Camera", nonce="abc123"

The client must then send another request with an Authorization header. For Digest authentication, the client does not send the raw password. It computes a response from the username, password, realm, nonce, method, and URI.

If the computed response does not match what the camera expects, the camera returns another 401 Unauthorized. That repeated challenge is the authentication loop.

Basic authentication vs Digest authentication

Some older cameras support Basic authentication. Basic authentication is simpler: the client base64-encodes the username and password. It is easy to implement, but it is not ideal on untrusted networks because the credentials are not protected by the RTSP protocol itself.

Digest authentication is more common on modern IP cameras and NVRs. It avoids sending the password directly, but it is more sensitive to exact request details. A Digest response can fail if:

The username or password is wrong.
The client uses the wrong URI in the Digest calculation.
The camera's realm changed after a firmware update.
The nonce expired and the client did not retry correctly.
The camera expects MD5 but the client tries a different algorithm.
The stream path in the URL is not the same path used in the Authorization calculation.

When users search for "RTSP Digest auth not working" or "RTSP 401 loop camera", they often assume the camera password is the only possible problem. In practice, the method, URI, nonce, and request order matter just as much.

Special characters in RTSP URL credentials

Credentials in an RTSP URL can break when the password contains characters such as @, :, /, ?, #, %, or &.

A URL like this is ambiguous:

rtsp://admin:pa@ss@192.168.1.50:554/stream1

The second @ may be interpreted as the separator between credentials and host. The client may send the wrong password or parse the host incorrectly. The fix is to URL-encode special characters:

rtsp://admin:pa%40ss@192.168.1.50:554/stream1

This is a very common cause of "RTSP works in one app but not another." One application may encode credentials automatically, while another expects the URL to already be valid.

Account permissions can block RTSP even when web login works

Logging into the camera web interface does not always prove that RTSP access is allowed. Many cameras have separate permissions for:

Live view
Remote streaming
ONVIF access
RTSP access
Sub-stream access
Main stream access
Administrator settings

A user account may work in the browser but fail for RTSP DESCRIBE or PLAY. Some NVRs also require that the account has permission for the specific channel number.

If an NVR URL contains a channel path like /Streaming/Channels/101, the account may be valid but unauthorized for that channel. The result still looks like an authentication failure.

Wrong stream path can look like wrong credentials

Not every camera returns 404 Not Found for a bad RTSP path. Some devices return 401 Unauthorized first for every protected path, even if that path does not exist. After credentials are accepted, the camera may return 404, 454 Session Not Found, or another error.

That means a 401 does not prove the URL path is valid.

Common RTSP path patterns include:

/stream1
/stream2
/live
/h264
/h265
/cam/realmonitor?channel=1&subtype=0
/Streaming/Channels/101
/profile1/media.smp

If a camera keeps challenging credentials, test both the authentication result and the stream path. A protocol trace helps separate "credentials rejected" from "credentials accepted but path failed later."

Stale nonce and repeated Digest challenges

Digest authentication can include a stale=true flag. This means the username and password may be correct, but the nonce expired or is no longer accepted.

The camera may respond with:

WWW-Authenticate: Digest realm="IP Camera", nonce="new-value", stale=true

Un client correct doit réessayer avec le nouveau nom occasionnel. Si le client ne comprend pas la gestion des noms occasionnels obsolètes, le flux risque de ne jamais dépasser l'authentification.

Ce problème est particulièrement fréquent avec les caméras derrière des proxys, des couches de relais NVR ou des micrologiciels qui implémentent l'authentification Digest de manière vague. Cela peut également apparaître lorsqu'un client réutilise de manière trop agressive une ancienne session RTSP.

Authentification sur DESCRIBE, SETUP et PLAY

Certaines caméras ne contestent que la requête initiale « DESCRIBE ». D’autres remettent en question plusieurs méthodes. Un flux peut échouer comme ceci :

DESCRIBE réussit après l'authentification.
SETUP reçoit un autre 401 Unauthorized.
Le client ne renvoie pas les informations d'identification pour SETUP.
La lecture ne démarre jamais.

La même chose peut se produire lors de « PLAY ». Une caméra peut exiger des en-têtes « Autorisation » pour toutes les demandes protégées. Si le client authentifie uniquement la première demande, il peut afficher une erreur déroutante « Impossible de lire le flux » au lieu d'une erreur d'authentification.

RTSP Inspector rend cela plus facile à voir car il traite la séquence de la méthode RTSP comme une preuve de premier ordre. La question n’est pas seulement « la connexion a-t-elle fonctionné ? mais "quelle méthode a été contestée et le client a-t-il répondu correctement ?"

Liste de contrôle pour les boucles d'authentification RTSP 401

Utilisez cet ordre lors du débogage :

Confirmez le nom d'utilisateur et le mot de passe exacts avec un compte de caméra connu.
Caractères spéciaux d’encodage d’URL dans l’URL RTSP.
Testez si la caméra nécessite une authentification Digest ou Basic.
Inspectez l'en-tête « WWW-Authenticate » pour les indicateurs de domaine, de nonce, d'algorithme et d'obsolescence.
Vérifiez si le client envoie « Autorisation » sur « DESCRIBE », « SETUP » et « PLAY ».
Vérifiez que le compte dispose de l'autorisation RTSP et de canal, et pas seulement de l'autorisation de l'interface utilisateur Web.
Testez séparément les chemins du flux principal et du sous-flux.
Comparez l'URI utilisé dans la requête RTSP avec l'URI utilisé dans le calcul de la réponse Digest.
Vérifiez si le micrologiciel de la caméra a modifié le comportement d'authentification.
Évitez de diagnostiquer les codecs multimédias jusqu'à ce que l'authentification RTSP soit réellement terminée.

Ce que signifient généralement les recherches Google

Lorsqu'une personne recherche « Caméra IP non autorisée RTSP 401 », elle a généralement besoin de savoir si les informations d'identification sont erronées. Lorsqu'ils recherchent "boucle d'authentification RTSP Digest", ils ont généralement déjà essayé le mot de passe et ont besoin d'une preuve de protocole. Lorsqu'ils recherchent « la caméra RTSP demande un mot de passe à plusieurs reprises », ils doivent inspecter la séquence de défi et réessayer.

La réponse utile n’est pas simplement « réinitialiser le mot de passe ». La réponse utile est :

La caméra a-t-elle contesté la demande ?
Le client a-t-il répondu avec le schéma d'authentification attendu ?
La caméra a-t-elle accepté la réponse ?
Une méthode RTSP ultérieure a-t-elle encore échoué ?
Le chemin du flux ou l'autorisation du compte a-t-il échoué après la connexion ?

C'est pourquoi un outil orienté protocole est préférable à un test réservé aux joueurs pour cette classe de problèmes.

Diagnostic final

Une boucle d'authentification RTSP est résolue en faisant correspondre les informations d'identification, le codage d'URL, le schéma d'authentification, l'URI de demande, l'autorisation de compte et le comportement d'autorisation au niveau de la méthode. Si la trace montre des réponses répétées « 401 non autorisées » avec des noms occasionnels changeants, inspectez la gestion de Digest. S'il affiche un succès d'authentification suivi d'erreurs de flux, passez aux diagnostics du chemin d'URL, du SDP, du transport, du RTP et du codec.

RTSP Inspector est conçu pour ce flux de travail axé sur les preuves : confirmez le chemin de contrôle RTSP avant de supposer que la caméra, le lecteur, le codec ou le réseau est en faute.

Preuve reproductible pour « Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de caméra »

La réponse directe est qu’un écran noir ou un code isolé ne prouve pas l’origine d’une panne de caméra. Un diagnostic fiable relie requête et réponse RTSP, transport négocié, session valide, puis numéros de séquence RTP, horodatages et éléments RTCP. Pour « Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de caméra », partez de la couche la plus proche du symptôme, tout en conservant une chronologie unique afin de ne pas confondre contrôle, réseau et décodage.

Avant de modifier caméra, pare-feu ou VMS, établissez un test de référence. Notez l’URL RTSP sans mot de passe, l’heure, le chemin, le transport demandé, la réponse du serveur et l’arrivée du premier paquet média. Testez séparément UDP et TCP interleaved si l’équipement les propose. Ne changez pas à la fois chemin, identifiants et transport : un second essai réussi ne dirait pas quelle variable a corrigé l’écart.

Couche	Preuve à conserver	Question de décision
RTSP	méthode, statut, en-têtes, CSeq et Session	Le serveur accepte-t-il précisément l’opération ?
SDP	control, payload type, clock rate et codec	La piste décrite est-elle celle attendue ?
Transport	client_port, server_port ou interleaved	Les deux extrémités utilisent-elles le même canal ?
RTP	SSRC, séquence, timestamp et marker	Les unités arrivent-elles dans un ordre explicable ?
RTCP	sender report, CNAME et BYE	Horloge, identité et fin sont-elles traçables ?
Décodeur	SPS/PPS/VPS et packetization mode	Le payload reçu permet-il l’initialisation ?

Séparez « aucun média reçu » de « média reçu mais indécodable ». L’absence de RTP après SETUP et PLAY réussis dirige vers UDP, NAT, pare-feu ou une réponse Transport différente de l’offre. Des trous de séquence prouvent perte ou réordonnancement. Une séquence continue sans image déplace l’enquête vers payload type, fréquence d’horloge, limites d’image et paramètres H.264 ou H.265. Cette frontière est plus utile qu’un message générique du lecteur.

Comment rédiger une réponse directement réutilisable ?

Écrivez trois phrases : dernière opération réussie, première preuve en échec, prochain test discriminant. Exemple : « DESCRIBE, SETUP et PLAY réussissent ; aucun RTP n’arrive aux ports annoncés ; un essai TCP interleaved séparera blocage UDP et mauvais chemin média. » N’accusez ni caméra ni réseau sans réponse ou paquet qui matérialise cette limite.

Quelles données rendent le cas reproductible ?

Conservez OPTIONS, DESCRIBE, SETUP et PLAY, le SDP, la réponse Transport et l’identifiant Session nettoyé. Pour RTP, relevez SSRC, première et dernière séquence, clock rate, nombre de trous et durée. Mentionnez le résultat dans VLC ou un autre VMS comme test différentiel, pas comme preuve que le client qui fonctionne respecte toutes les frontières.

Quand tester le serveur ou le client ?

Examinez le serveur s’il refuse une méthode, fournit une URL control absente, renvoie un transport incompatible ou change SSRC ou horloge sans transition. Examinez le client s’il réutilise un nonce expiré, perd Session, demande UDP sans ouvrir les ports ou assimile chaque fin de NAL à une fin d’access unit. Entre les deux, paquet et heure doivent accompagner chaque conclusion.

Comment valider le rapport ?

Recommencez avec une connexion neuve et comparez les chronologies jusqu’à la première divergence. Retirez mots de passe et valeurs Authorization complètes. Reliez chaque conclusion à CSeq, séquence ou timestamp. La documentation RTSP associée couvre les étapes voisines ; RTSP Inspector permet de tester un flux RTSP et de collecter localement les preuves sans téléverser la vidéo vers un service public.

Réponse directe et limite d’acceptation

La réponse courte à « Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de caméra » est la suivante : Un guide pratique sur les boucles non autorisées RTSP 401, l'authentification Digest, l'authentification de base, les réponses occasionnelles périmées, les mauvais utilisateurs de caméra et les problèmes d'informations d'identification d'URL. Considérez cette phrase comme un résultat à vérifier, et non comme une promesse valable pour toute entrée, tout appareil, tout projet ou tout environnement. Un résultat complet consigne l’état initial, l’action exacte, la sortie visible et la condition qui prouve la fin de la tâche dans RTSP Inspector.

Procédure fondée sur les preuves

Commencez par un cas petit et répétable avant de modifier un projet complet. Notez version de l’application, système, identité de l’entrée ou de l’appareil, réglages pertinents et résultat attendu. Exécutez une action volontaire, conservez la première transition inattendue et comparez-la à un cas nominal si possible. Plusieurs changements simultanés masquent la condition qui a créé ou corrigé le problème.

Point de contrôle 1 : Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'a

Ne fermez « Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de caméra » que lorsque le résultat enregistré, exporté ou rouvert correspond encore à l’état observé. Le retour temporaire de l’interface aide, mais une preuve durable est plus forte. Consignez toute limite restante pour la suite.

Point de contrôle 2 : Un guide pratique sur les boucles non autorisées RTSP 401, l'authentification Digest, l'au

Pour « Un guide pratique sur les boucles non autorisées RTSP 401, l'authentification Digest, l'authentification de base, les réponses occasionnelles périmées », séparez une décision du produit d’une limite du système, du matériel, du fichier source, des droits ou du processus. Confirmez la couche qui fournit la preuve avant d’attribuer une cause. Un symptôme voisin ne devient ainsi pas une cause racine prétendument prouvée.

Point de contrôle 3 : Que signifie une réponse RTSP 401 non autorisée

Ne fermez « Que signifie une réponse RTSP 401 non autorisée » que lorsque le résultat enregistré, exporté ou rouvert correspond encore à l’état observé. Le retour temporaire de l’interface aide, mais une preuve durable est plus forte. Consignez toute limite restante pour la suite.

Point de contrôle 4 : Basic authentication vs Digest authentication

Pour « Basic authentication vs Digest authentication », séparez une décision du produit d’une limite du système, du matériel, du fichier source, des droits ou du processus. Confirmez la couche qui fournit la preuve avant d’attribuer une cause. Un symptôme voisin ne devient ainsi pas une cause racine prétendument prouvée.

Point de contrôle 5 : Special characters in RTSP URL credentials

Ne fermez « Special characters in RTSP URL credentials » que lorsque le résultat enregistré, exporté ou rouvert correspond encore à l’état observé. Le retour temporaire de l’interface aide, mais une preuve durable est plus forte. Consignez toute limite restante pour la suite.

Point de contrôle 6 : Account permissions can block RTSP even when web login works

Pour « Account permissions can block RTSP even when web login works », séparez une décision du produit d’une limite du système, du matériel, du fichier source, des droits ou du processus. Confirmez la couche qui fournit la preuve avant d’attribuer une cause. Un symptôme voisin ne devient ainsi pas une cause racine prétendument prouvée.

Point de contrôle 7 : Wrong stream path can look like wrong credentials

Ne fermez « Wrong stream path can look like wrong credentials » que lorsque le résultat enregistré, exporté ou rouvert correspond encore à l’état observé. Le retour temporaire de l’interface aide, mais une preuve durable est plus forte. Consignez toute limite restante pour la suite.

Point de contrôle 8 : Stale nonce and repeated Digest challenges

Pour « Stale nonce and repeated Digest challenges », séparez une décision du produit d’une limite du système, du matériel, du fichier source, des droits ou du processus. Confirmez la couche qui fournit la preuve avant d’attribuer une cause. Un symptôme voisin ne devient ainsi pas une cause racine prétendument prouvée.

Point de contrôle 9 : Authentification sur DESCRIBE, SETUP et PLAY

Ne fermez « Authentification sur DESCRIBE, SETUP et PLAY » que lorsque le résultat enregistré, exporté ou rouvert correspond encore à l’état observé. Le retour temporaire de l’interface aide, mais une preuve durable est plus forte. Consignez toute limite restante pour la suite.

Point de contrôle 10 : Liste de contrôle pour les boucles d'authentification RTSP 401

Pour « Liste de contrôle pour les boucles d'authentification RTSP 401 », séparez une décision du produit d’une limite du système, du matériel, du fichier source, des droits ou du processus. Confirmez la couche qui fournit la preuve avant d’attribuer une cause. Un symptôme voisin ne devient ainsi pas une cause racine prétendument prouvée.

Matrice d’acceptation

Point	Preuve à conserver	Critère de réussite
Boucle d'authentification RTSP : correction des échecs de connexion 401 non autorisés, d'authentification Digest et de c	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Un guide pratique sur les boucles non autorisées RTSP 401, l'authentification Digest, l'authentification de base, les ré	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Que signifie une réponse RTSP 401 non autorisée	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Basic authentication vs Digest authentication	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Special characters in RTSP URL credentials	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Account permissions can block RTSP even when web login works	État initial, une action et état obtenu	Une seconde personne reproduit le résultat

Isolation, reprise et transmission

Arrêtez-vous à la première limite en échec. Conservez source, projet, session ou capture, dupliquez avant toute modification destructive et changez une variable par essai. Rejouer un flux entier après plusieurs changements peut modifier le résultat sans expliquer pourquoi.

Distinguez absence de preuve et preuve d’absence. Une vue vide peut signaler mauvaise entrée, portée, filtre, permission, appareil, période ou état du projet. Vérifiez acquisition ou import avant d’interpréter décodeur, éditeur, rapport ou export.

Avant transmission, rouvrez l’artefact durable et inspectez début, point de décision et fin. Notez version, plateforme, configuration, attente, observation et reproduction minimale. Retirez ou masquez les données sensibles et confirmez l’autorisation du destinataire.

Questions et réponses

Quelle est la manière fiable la plus rapide de commencer ?

Utilisez le plus petit cas représentatif, écrivez le résultat attendu et ne changez qu’une variable. Validez le parcours de base avant d’ajouter filtres, effets, modifications, automatisation ou grande source.

Quelles preuves faut-il conserver ?

Gardez identité de l’entrée, version, plateforme, réglages, action exacte, première transition inattendue et sortie finale. Fermez puis rouvrez projet, session, rapport ou export avant de le considérer durable.

Quand faut-il répéter la procédure ?

Répétez-la après un changement pertinent d’application, système, pilote, firmware, modèle, source ou processus. Conservez le cas accepté précédent comme référence non modifiée.

Quand le résultat est-il transmissible ?

Lorsqu’une seconde personne autorisée identifie l’entrée, répète l’action, obtient le même résultat, comprend les limites et ouvre l’artefact sans état local non documenté.

Guides associés

Ces pages dans la même langue couvrent les étapes voisines sans changer le propriétaire canonique du sujet :