Область ошибки
Проверяем один URL или весь сайт, публичную и административную части, GET и POST, роли и адреса пользователей.
Forbidden
Диагностика и исправление ошибки 403 на сайте
Определяем, кто запрещает запрос: веб-сервер, права файлов, CMS, модуль безопасности, CDN или WAF. Исправляем правило точечно и сохраняем необходимую защиту.
Диагностика
Находим уровень,
который отказал в доступе
Стандарт HTTP описывает 403 как понятый, но отклонённый запрос. Повтор без изменения обычно даст тот же результат, поэтому очистка браузера не заменяет проверку правил на стороне владельца сайта.
Ответ и заголовки
Фиксируем фактический код, серверные заголовки, цепочку прокси и страницу, которая сформировала запрет.
Права и маршрутизация
Проверяем владельца и права файлов, индексный файл, правила каталогов, конфигурацию Nginx или Apache.
CMS и приложение
Проверяем роли, плагины безопасности, маршруты API, защиту форм и правила доступа к административным действиям.
CDN и WAF
Сопоставляем запрос с журналом блокировок, правилами страны, IP, частоты, сигнатур и ограничений ботов.
Контроль границ
После исправления убеждаемся, что нужная страница открылась, а закрытые файлы и административные маршруты не стали публичными.
Результат
Доступ восстановлен без снятия защиты
Точная причина
Известно правило или компонент, который формировал отказ.
Рабочий сценарий
Разрешённый пользователь снова выполняет нужное действие.
Сохранённые ограничения
Закрытые разделы и опасные запросы остаются недоступными.
Безопасное исправление
Не выдаём всем полный доступ
Замена прав на максимально открытые или полное отключение WAF может скрыть симптом ценой новой уязвимости. Меняем только подтверждённую причину.
Воспроизводим запрос
Фиксируем URL, роль, метод, IP и действие, которое приводит к запрету, не запрашивая лишние персональные данные.
Сверяем журналы
Ищем событие в логах веб-сервера, приложения, CDN или защитного сервиса по времени и идентификатору запроса.
Исправляем правило
Корректируем права, маршрут, исключение или роль в минимально необходимой области с возможностью отката.
Тестируем обе стороны
Проверяем разрешённый сценарий и контрольный запрещённый запрос, чтобы изменение не раскрыло закрытый ресурс.
Отличие от 500
Сервер работает, но отказывает
При 403 сервер обработал запрос достаточно, чтобы отказать. При 500 неожиданное условие помешало выполнить запрос. Различие определяет порядок диагностики, хотя обе ошибки иногда появляются после одного изменения конфигурации.
Для первого разбора пришлите
- точный URL и время появления 403;
- какое действие выполнялось;
- ошибка у всех или только у части пользователей;
- что менялось в хостинге, CMS или защите;
- используется ли CDN или WAF.
Не присылайте пароли и секретные ключи в форме. Необходимые доступы согласуем отдельно с минимальными правами.
Вопросы
Перед исправлением
Что означает 403 Forbidden?
Сервер понял запрос, но отказался его выполнять. Причиной могут быть права, настройки веб-сервера, логика CMS, WAF или ограничение конкретной роли.
403 и 401 — одно и то же?
Нет. 401 связан с необходимостью аутентификации, а 403 сообщает об отказе выполнять понятый запрос. Приложение может добавлять свои правила.
Нужно отключать защиту сайта?
Нет. Ищем ошибочное или слишком широкое правило и исправляем его точечно. Полное отключение защиты не является корректной приёмкой.
Как проверяется результат?
Тестируем разрешённые и запрещённые сценарии, разные роли и методы, журналы WAF и сервера, а также закрытые административные разделы.
Первый шаг
Покажите ошибку 403
Пришлите URL, время и действие, которое блокируется. Определим вероятный уровень запрета и предложим безопасный диагностический шаг.