Ошибка 403 Forbidden: причины и как исправить (Nginx, Apache, WordPress, Cloudflare)

Ошибка 403 Forbidden появляется, когда сервер понял запрос, но отказался выдавать контент. Страница существует, но доступ к ней закрыт.

Как 403 выглядит в браузере:

• 403 Forbidden

• Access is denied

• You don’t have permission to access

• 403 Forbidden – nginx

• HTTP Status 403

Суть одна: доступ запрещён.

Проверьте, какой код отдаёт сервер. Быстрый способ — открыть проверку заголовков на PR-CY, вставить URL и посмотреть статус ответа, редиректы и важные заголовки.

Почему появляется ошибка 403 Forbidden: причины 403 доступ запрещен

403 появляется, когда доступ ограничен правилами сайта, сервера или внешней защиты. Иногда это ожидаемо, например, для админки. Иногда это ошибка конфигурации, и 403 получают обычные посетители, поисковые роботы или ваш же фронтенд.

403, 401, 404, 429: чем отличаются

Самые частые причины 403:

• Авторизация и роли. Пользователь не вошёл в аккаунт или у него нет прав.

• Права на файлы и папки. Веб‑сервер не может читать файл или заходить в каталог.

• Правила доступа в Apache или Nginx. Неправильные директивы Require, allow/deny, ограничения по IP.

• WAF, антибот, CDN. Cloudflare, AWS WAF, ModSecurity и похожие системы блокируют запрос и отдают 403.

• Защита от хотлинка. Картинки или файлы запрещены для загрузки с чужих доменов.

• Геоблок и сетевые ограничения. Блок по стране, провайдеру, корпоративной сети.

• Ошибки после переезда. Смена DNS, подключение CDN, перенос на новый сервер и забытые allowlist правила.

Ошибка 403 со стороны пользователя: что делать в браузере

Пользователь не вошёл в аккаунт

Если страница доступна только авторизованным, выполните вход. Для владельца сайта это сигнал проверить, есть ли корректный редирект на страницу логина.

Неправильный URL или переход по старой ссылке

Иногда 403 появляется из‑за того, что пользователь попал на закрытый раздел по прямой ссылке. С точки зрения UX лучше вести на понятную страницу с объяснением и кнопками действий.

Если проблема в авторизации, посетитель должен попадать на форму входа.

Обычно это решается редиректом для гостя на страницу логина.

Кастомизированной страницей ошибки 404 уже никого не удивишь, но почему бы не пойти дальше и не видоизменить другие шаблонные страницы ошибок? Ошибка 403 не исключение.

При встрече с такой ошибкой пользователь должен понимать, с чем он столкнулся и в чем собственно проблема. Когда он видит типовые надписи 403. That’s an error или 403 Forbidden, это ему ни о чем не говорит. Но если вы измените внешний вид такой шаблонной страницы и расскажите пользователю, что у него проблемы с доступом, картина для него станет более понятной.

Дмитрий Борисов, специалист по цифровому продвижению в PromoPult

Если посетители часто приходят на закрытые URL с вашего же сайта, проверьте навигацию и внутренние ссылки. Для этого подойдёт инструмент Проверка битых ссылок.

Запрет по IP, VPN, корпоративная сеть

403 может появляться при входе через VPN или сеть с общим IP. Проверьте доступ без VPN и из другой сети: мобильный интернет, домашний провайдер, другая точка Wi‑Fi.

Сбой в cookies, сессии или кэше

Если 403 возникает после входа или при отправке формы, проблема часто связана с cookies и сессией. Попробуйте:

• Открыть сайт в режиме инкогнито. Так вы быстро исключите влияние расширений и старых cookies.

• Очистить данные сайта. В Chrome это можно сделать через значок замка рядом с адресом сайта → настройки сайта → удалить данные, либо через страницу chrome://settings/siteData.

• Сделать жёсткую перезагрузку. Ctrl + F5 обновляет страницу без кэша.

Антивирус, расширения, блокировщики

Часть защитных программ и расширений может блокировать доступ к конкретным сайтам и скриптам. Проверьте доступ в другом браузере и временно отключите блокировщики для этого домена.

Улучшите ваш сайт

Подключите свой сайт к нам, чтобы отслеживать позиции и выявлять ошибки с максимальным комфортом. Вы будете получать уведомления обо всех изменениях на вашем сайте в течение суток — еще до того, как проблема станет серьезной.

Подключить

Ошибка 403 на сайте: как исправить на сервере и в CMS

Если 403 видят посетители, сначала определите, где именно возникает блокировка: на приложении, на веб‑сервере или на уровне CDN и WAF. Самый быстрый ориентир — заголовки ответа и логи.

Права доступа к файлам и папкам

Для Linux‑хостинга базовая схема часто выглядит так: файлы 644, папки 755. Важно, чтобы веб‑сервер мог читать файл и иметь право заходить в каждый каталог по пути к нему.

chmod 644 имя_файла
chmod 755 имя_папки

cd /var/www/example.com
namei -l public_html/index.php
find public_html -type d -exec chmod 755 {} \;
find public_html -type f -exec chmod 644 {} \;
chmod 640 public_html/wp-config.php
chown -R deploy:www-data public_html

Нет индексного файла или доступ к каталогу запрещён

Если запрашивают каталог, а индексного файла нет и листинг запрещён, сервер отдаёт 403. В Nginx это часто видно по ошибке вида directory index of ... is forbidden.

Проверьте:

• Список индексных файлов. В Nginx директива index, в IIS список default documents.

• Путь до корня сайта. Ошибки root и alias в Nginx часто приводят к 403.

• Права на родительские каталоги. Даже если файл читается, отсутствие execute на папке даст 403.

Nginx: index, root, try_files и ограничения по IP

server {
    listen 443 ssl;
    server_name example.com;
    root /var/www/example.com/public;
    index index.php index.html;
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }
    location /admin/ {
        allow 203.0.113.10;
        allow 2001:db8:1234::/48;
        deny all;
        try_files $uri $uri/ =404;
    }
    location ~ /\. {
        deny all;
    }
}

sudo nginx -t
sudo systemctl reload nginx
sudo tail -n 100 /var/log/nginx/error.log

Apache 2.4 и .htaccess: конфликт директив доступа

В Apache 2.4 современная схема контроля доступа строится на Require. Если смешать старые директивы Order, Deny, Allow с новыми, легко получить неожиданный 403.

Проверьте, что правила доступа заданы последовательно и что сервер читает .htaccess в нужной директории.

<Directory "/var/www/example.com/public">
    Options FollowSymLinks
    AllowOverride All
    Require all granted
</Directory>

<RequireAny>
    Require ip 203.0.113.10
    Require ip 2001:db8:1234::/48
</RequireAny>

<Files "private-report.pdf">
    Require all denied
</Files>

WordPress и плагины безопасности

Для WordPress 403 вызывает:

• Плагин безопасности. Например, блокировка логина, wp-admin, REST API.

• Поврежденный .htaccess. Иногда помогает пересоздать правила постоянных ссылок.

• CDN и WAF. После подключения Cloudflare и аналогов часть запросов в админке может попасть под антибот или managed rules.

Для диагностики можно временно отключить плагины, переименовав папку wp-content/plugins, и проверить, исчез ли 403. Затем включать по одному.

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

WAF, ModSecurity и ложные срабатывания

WAF может блокировать запросы и возвращать 403 даже для обычных действий: отправка формы, публикация текста, загрузка файла. Это типичный эффект ложного срабатывания правил.

Что делать:

1. Посмотреть событие блокировки. Нужны время, URL, IP, user-agent, правило, которое сработало.

2. Проверить логи WAF. Для ModSecurity часто смотрят файл аудита, на хостинге — обращаются в поддержку.

3. Добавить исключение. Отключить конкретное правило для конкретного пути или параметра, а не отключать WAF целиком.

<LocationMatch "^/api/webhook$">
    SecRuleRemoveById 949110
</LocationMatch>

CDN и Cloudflare: 403 и ошибка 1020

На Cloudflare встречается блокировка 1020 Access denied. Это означает, что запрос попал под правило firewall. Для владельца сайта главный маркер — Ray ID в сообщении об ошибке, по нему ищут событие в логах безопасности.

(http.request.uri.path starts_with "/wp-admin/")
and not ip.src in {203.0.113.10 2001:db8:1234::/48}

(http.request.uri.path eq "/api/payment/webhook")
and (http.request.method eq "POST")
and ip.src in {203.0.113.40}

API, CORS и CSRF

403 может прилетать не на страницу, а на запросы фронтенда:

• CORS preflight. Браузер отправляет OPTIONS, а сервер отвечает 403. В результате запрос выглядит как ошибка доступа.

• CSRF‑защита. Фреймворк блокирует запрос без CSRF‑токена, с неправильным Origin или Referer.

• Отсутствие прав. Пользователь вошёл, но роль не позволяет действие, и приложение возвращает 403.

IIS: подкоды 403 помогают понять причину

Если сайт на IIS, можно посмотреть подписи вида 403.14 или 403.7. Например, 403.14 часто означает запрет листинга каталога при отсутствии default document, а 403.7 — требование клиентского сертификата.

Защита от хотлинка

Когда включена защита от хотлинка, картинки и файлы могут отдавать 403, если их пытаются загрузить с чужого домена. Это часто проявляется как поломка CSS, картинок в письмах или в карточках товара, если ресурсы подхватываются не с того домена.

403 от хостинга, CDN и провайдера: ограничения и блокировки

Блокировки по IP, стране, провайдеру

Часть сайтов ограничивает доступ по географии или по конкретным подсетям. Это встречается в CDN, в хостинговых панелях, в корпоративных сетях и при выполнении требований комплаенса.

curl -I https://example.com/private/
curl -I -A "Mozilla/5.0" https://example.com/private/
curl -I --resolve example.com:443:203.0.113.20 https://example.com/private/

Лимиты ресурсов и антибот

Если сайт получает много запросов или похож на бота, хостинг и защита могут ограничить доступ. По смыслу для лимитов корректнее 429, но некоторые системы продолжают отдавать 403 по умолчанию.

Неоплата, приостановка обслуживания, блокировки по правилам провайдера

403 может появиться при приостановке услуги или ограничении аккаунта. Быстрый способ — проверить панель хостинга и уведомления провайдера.

После переезда: DNS, новый IP, подключение CDN

После переноса сайта легко забыть про allowlist правила, ограничения по IP или настройку виртуального хоста. Если 403 появился сразу после смены DNS или подключения CDN, проверьте:

• Совпадает ли домен с настройками CDN. У некоторых CDN 403 появляется, если домен указывает на CDN, но не добавлен в конфигурацию.

• Не блокирует ли origin IP‑адреса CDN. Если origin режет подсети CDN, запросы будут падать.

• Сертификаты и SNI. Неправильная связка домена и сертификата иногда приводит к ошибочным ответам на edge.

Статика и объектные хранилища: S3 и CloudFront

Если сайт или файлы раздаются из объектного хранилища, 403 часто означает ошибку политики доступа или блокировку публичного доступа. В связке CloudFront + S3 частая причина — неправильно настроенный доступ origin, например отсутствие корректного OAC или политики бакета.

Полезно знать: начиная с 2024 года Amazon S3 добавляет больше контекста в сообщения 403 Access Denied для запросов в рамках одного аккаунта, что ускоряет поиск причины.

Новые причины ошибки 403 в 2026 году

• CDN и WAF стали агрессивнее. Антибот, JS‑проверки, CAPTCHA и managed rules чаще блокируют легитимные запросы и возвращают 403.

• Cloudflare 1020 встречается чаще. Для диагностики нужен Ray ID и поиск события в Security Events.

• Проверка поисковых роботов стала проще. Google публикует JSON‑диапазоны IP для своих краулеров и описывает проверку через reverse и forward DNS. Это помогает не блокировать Googlebot по ошибке.

• Больше 403 на API. Частые причины — CORS preflight на OPTIONS, CSRF‑проверки, ограничения ролей.

• Лимиты и квоты активнее стандартизируются. Для rate limit всё чаще используют 429 и заголовки вида Retry-After, но 403 всё ещё встречается в защитах по умолчанию.

Чек-лист диагностики 403 Forbidden: как найти источник

1. Зафиксируйте URL и сценарий. Где именно 403: главная, каталог, файл, API, админка, загрузка картинки.

2. Проверьте статус и редиректы. Удобно начать с проверки заголовков ответа.

3. Сравните гостя и авторизованного пользователя. Если 403 только у гостя, причина в доступах или редиректах.

4. Сравните разные сети и IP. Проверка без VPN быстро показывает блокировки по гео и подсетям.

5. Посмотрите заголовки ответа. Ищите признаки CDN и WAF, ID события, подсказки в теле ошибки.

6. Проверьте права и владельца файлов. Для Nginx важны права на весь путь до файла.

7. Проверьте правила доступа. Apache Require, Nginx deny/allow, правила в панели хостинга.

8. Откройте логи. Для сервера — access/error log, для WAF — события блокировок, для CDN — security events.

9. Для WordPress временно отключите плагины безопасности. И проверьте, исчез ли 403 на wp-admin и wp-login.

10. Для API проверьте OPTIONS и CSRF. Иногда 403 прилетает только на preflight или POST.

Как 403 влияет на SEO и индексацию: Google Search Console и Яндекс Вебмастер

Если важные страницы отдают 403 поисковым роботам, они выпадают из индекса. В Google Search Console это обычно видно как проблема индексации с причиной вида Blocked due to access forbidden (403). В Яндекс Вебмастере страницы также получают статус исключения, если робот не может получить контент.

Что проверить, если 403 связан с роботами:

• Не блокирует ли WAF запросы робота. Часто срабатывают антибот и rate limit.

• Не закрыли ли доступ по гео. У роботов разные точки обхода, ограничения по стране иногда блокируют часть трафика.

• Не перепутали ли 403 и закрытие через robots.txt. Robots.txt просит робота не заходить, а 403 запрещает доступ на уровне сервера.

• Проверьте, что запросы действительно от Google. Google описывает проверку через reverse DNS и сверку IP с опубликованными диапазонами.

Если вы видите 403 на страницах, которые должны индексироваться, фиксите причину и запрашивайте переобход в инструментах вебмастера. Чем быстрее робот увидит 200, тем быстрее восстановится видимость.