returns 401 if unauthorised