Как возвращать правильные HTTP коды?

2xx для успеха: 200 OK, 201 Created, 204 No Content. 4xx для ошибок клиента: 400 Bad Request, 401 Unauthorized, 403 Forbidden, 404 Not Found. 5xx для серверных ошибок. Не надо всегда возвращать 200 с ошибкой в теле — это антипаттерн. Каждый код несёт семантику, и клиенты на них ориентируются.