return 404 for invalid users