Quando uma senha expira, qual API restante deve retornar? Quero dizer: nome de usuário e senha estão corretos, mas expiraram.

Aqui eu achei aquilo

Os mecanismos para expirar ou revogar credenciais podem ser especificados como parte de uma definição de esquema de autenticação.

Existe uma especificação sobre qual é o código de status http correto e / ou correto para credenciais expiradas? O código de status http é bom para lidar com a expiração de credenciais?