Corrigindo: 405 Method Not Allowed em vez de 401 com JWT bearer no ASP.NET Core
Um endpoint protegido retornando 405 em vez de 401 quase sempre significa que o roteamento rejeitou o verbo HTTP antes da autenticação rodar, ou que um esquema de cookie roubou o desafio. Veja como identificar qual dos dois é.