Erro 403 Forbidden no site: causas e como resolver

O erro 403 (Forbidden) significa que o servidor recebeu o pedido e recusou o acesso. A causa pode estar na sua conexão, nas permissões dos arquivos, em regras do .htaccess ou em uma proteção do servidor. Siga a ordem abaixo.

1. O 403 aparece só para você?

Abra o site pelo 4G do celular. Se pelo 4G funciona, o IP da sua internet pode estar bloqueado. Consulte o IP em meuip.com.br e envie no ticket. Veja "Meu IP foi bloqueado: como pedir a liberação".

2. Permissões de arquivos e pastas

O padrão é 755 para pastas e 644 para arquivos. Um arquivo com permissão 600 só pode ser lido pelo dono e gera 403 para o visitante.

1. Abra o Gerenciador de Arquivos do painel.
2. Selecione o arquivo ou a pasta e use a opção Permissões.
3. Ajuste para 644 (arquivos) ou 755 (pastas).

Depois de restaurar backups ou enviar arquivos por programas de publicação, confira as permissões. Se forem muitos arquivos, peça no ticket: a equipe corrige as permissões da conta.

3. Regras no .htaccess

Regras de bloqueio, plugins de segurança e código malicioso no .htaccess causam 403. Faça uma cópia do arquivo e teste com o .htaccess padrão do WordPress:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Se o painel não deixa editar ou apagar o .htaccess (permissão negada), abra ticket.

4. Firewall de aplicação

Formulários, chamadas de API, webhooks, integrações de ERP e robôs de redes sociais podem ser barrados pelo ModSecurity ou pelo Imunify360 com 403. Envie no ticket a URL chamada, o horário e o IP de origem da integração. A equipe libera o IP ou ajusta a regra para o domínio. Veja também "Integração, API ou robô bloqueados pelo Imunify360".

Para desativar o ModSecurity em um domínio, procure a opção no seu painel: no cPanel, em Segurança > ModSecurity; no DirectAdmin, em Recursos avançados > Firewall de aplicação web; no Plesk, em Sites e Domínios > Web Application Firewall. Se a opção não aparecer no seu painel, a desativação é feita pela equipe: abra um ticket informando o domínio.

5. Domínio restrito por ataque

Se o domínio recebeu ataque, a equipe pode restringir o acesso a ele até a configuração do Cloudflare. Veja "Site desativado por estar sob ataque: como liberar com o Cloudflare".

6. Pasta sem página inicial

Sem index.php ou index.html na pasta, o servidor pode recusar o acesso ou listar os arquivos ("Index of /"). Envie a página inicial para a pasta certa. Para impedir a listagem de arquivos, adicione ao .htaccess:

Options -Indexes

Para permitir a listagem dos arquivos de uma pasta (o Plesk bloqueia a listagem por padrão), coloque no .htaccess dessa pasta:

Options +Indexes

Se não resolver

Abra um ticket com:

• a URL exata e uma captura de tela do erro;
• o IP da sua conexão e se o 403 ocorre também pelo 4G;
• se o erro é em um formulário ou integração, o IP de origem e o horário.

Não inclua senhas no ticket.