Мое мнение. (с исправлениями Сергея Протько, спасибо ему)
Когда гость запрашивает ресурсы, требующие авторизации - возвращать 401.
Когда гость авторизуется с неправильными данными - 422.
Когда юзер запрашивает ресурсы, но нет нужных прав доступа - 403.
Когда нет нужного csrf/api токена при запросе - 422.
И давать пояснения. Тут уже на Ваш выбор. Главное, опишите все моменты в документации, если кто-то еще будет пользоваться.