Jajjemen, du har helt rätt, jag som klantat mig med headrarna...
Men 404 känns väl inte som ett sådär klockrent sätt att kommunicera misslyckad inloggning? Är inte ett XML-svar med ett "fel"-objekt, eller om man verkligen vill använda HTTP-koder, ett 403-fel, bättre?