403 Forbidden означает, что сервер получил запрос, но отказался отдавать страницу или файл. Ошибка может затрагивать весь WordPress, только админку или отдельные ресурсы.
В отличие от 404 нужный ресурс обычно существует. Поэтому сначала нужно искать правило или уровень защиты, который запретил доступ.
Как проявляется проблема
- 403 на главной или всех URL
- не открывается /wp-admin/
- 403 после установки security-плагина
- запрещена загрузка изображений или AJAX
- ошибка только у части посетителей
Основные причины
1. Повреждён .htaccess
Неверные RewriteRule, Deny или Require могут закрыть публичный URL после переноса или изменения настроек.
2. Права файлов
Слишком строгие права или неверный владелец мешают веб-серверу читать файлы WordPress.
3. Security-плагин
Защита может заблокировать IP, REST API или определённый шаблон запроса.
4. WAF или CDN
ModSecurity и firewall CDN способны вернуть 403 ещё до запуска WordPress.
5. Блокировка IP
Автоматическая защита иногда добавляет адрес администратора или посетителя в deny list.
Пошаговая диагностика
Шаг 1. Определить область
Проверьте главную, запись, админку и статический файл. Так видно, блокируется весь сайт или один маршрут.
Шаг 2. Проверить .htaccess
Сделайте копию и временно переименуйте файл. Если сайт открылся, причина в правилах Apache.
Шаг 3. Проверить права
Для типичного хостинга каталогам обычно достаточно 755, файлам 644. 777 не является нормальным решением.
Шаг 4. Посмотреть логи
error.log, ModSecurity и журнал CDN часто прямо показывают сработавшее правило.
Как исправить
Восстановить rewrite rules
Пересоздайте правила WordPress и верните только нужные защитные директивы.
Исправить права и владельца
Приведите файлы к стандартным правам хостинга вместо полного открытия доступа.
Сделать точечное исключение
Если WAF блокирует легитимный запрос, разрешите конкретный маршрут или правило, не отключая защиту целиком.
Что важно не делать
- Не меняйте сразу несколько настроек: после каждого действия проверяйте результат.
- Перед правками файлов и базы сделайте резервную копию.
- Не отключайте защиту, кеш или обновления навсегда только ради временного обхода ошибки.
- На интернет-магазине проверяйте решение не только под администратором, но и как обычный посетитель.
Когда нужна помощь разработчика
Если проблема повторяется, затрагивает продажи, заявки или индексацию, сохраните время ошибки и журналы сервера. Это позволяет найти первопричину вместо временного обхода.
Нужна диагностика? Можно обратиться за восстановлением WordPress.
Связанные статьи
Часто задаваемые вопросы
403 означает взлом?
Не обязательно. Но вредоносный .htaccess после взлома тоже может вызывать 403.
Почему 403 только в админке?
Чаще всего это IP-ограничение, security-плагин или отдельное правило для /wp-admin/.
Можно исправить без админки?
Да, через файловый менеджер, FTP и логи сервера.