И ещё: на IIS включена встроенная проверка подлинности Windows. Если включить анонимность — то всё нормально. А со встроенной проверкой постоянные 401 (хотя их видно только фидлером, в браузере всё нормально) и отсутствие кеширования.