add WWW-Authenticate header