Erro 403 Forbidden: o que significa e como corrigir

O que é o erro 403 Forbidden?

O erro 403 Forbidden significa que o servidor entendeu sua solicitação e se recusa a atendê-la: a página existe, mas você não tem permissão para vê-la. Diferente do 404, o servidor sabe exatamente o que você pediu. Se a página mostra "nginx" ou "Apache" abaixo da mensagem, isso é só o software que o site usa: a recusa é uma configuração daquele site, não do seu navegador.

O padrão HTTP, a RFC 9110 §15.5.4, o define nestes termos: o servidor "entendeu a solicitação, mas se recusa a atendê-la" ("understood the request but refuses to fulfill it"). Se você enviou credenciais, o servidor as considera insuficientes, e o cliente não deveria "repetir automaticamente a solicitação com as mesmas credenciais" ("SHOULD NOT automatically repeat the request with the same credentials"). O servidor também pode responder 404 no lugar, para esconder que a página existe.

Em termos simples: a porta existe, mas você não pode passar por ela. Como visitante, você só consegue descartar problemas do seu lado; como dono do site, você pode mudar a regra.

Como o erro 403 aparece

As palavras na página 403, e o nome do servidor abaixo delas, mostram qual software recusou o acesso e, portanto, quem pode corrigir:

Seja qual for o texto, o significado é o mesmo: este servidor não vai entregar esta página. Uma extensão do navegador ou um cookie antigo raramente causa isso, mas seu endereço IP, sua rede ou sua VPN podem ser o motivo dela.

403 vs 401 vs 404: qual a diferença?

Esses três códigos de erro são frequentemente confundidos. Veja como eles diferem.

A distinção crucial: o erro 401 pede que você se autentique. O erro 403 informa que a autenticação não vai ajudar — o servidor já decidiu que você não pode acessar este recurso. O 404 significa que o recurso simplesmente não existe.

Se o próprio servidor rejeita a solicitação por estar malformada, por exemplo por cookies grandes demais ou uma URL quebrada, você recebe 400 Bad Request.

Causas comuns do erro 403 Forbidden

Entender por que um erro 403 ocorre ajuda você a corrigi-lo mais rápido. Aqui estão as causas mais comuns, separadas por visitantes e proprietários de sites.

• Permissões de arquivo incorretas — arquivos definidos como 600 ou pastas como 700 bloqueiam o acesso público
• Regras .htaccess mal configuradas — diretivas deny ou regras mod_rewrite bloqueando solicitações
• Arquivo index ausente — sem index.html ou index.php, e a listagem de diretório está desativada
• Bloqueio de IP — regras do servidor ou firewall bloqueando seu endereço IP ou país
• VPN, proxy ou IP de datacenter — muitos sites (streaming, ingressos, adultos, bancos) bloqueiam faixas de VPN e de hospedagem por política, e um IP de VPN compartilhado também pode estar em uma lista de bloqueio
• Proteção contra hotlink — o servidor bloqueia links diretos para imagens ou arquivos de outros domínios
• Conflitos de plugins do WordPress — plugins de segurança como Wordfence ou iThemes bloqueando solicitações
• Web Application Firewall (WAF) — Cloudflare, Sucuri ou ModSecurity sinalizando sua solicitação
• Regras de HTTPS ou de certificado de cliente — um servidor que exige HTTPS (IIS 403.4) ou certificado de cliente (IIS 403.7) recusa solicitações sem eles. Um certificado expirado mostra um aviso de privacidade no navegador, não um 403
• Limitação de taxa — muitas solicitações do seu IP em pouco tempo; a maioria dos servidores responde com 429 Too Many Requests, alguns firewalls com 403

Como corrigir o erro 403 como visitante

Se você está vendo um erro 403 em um site que não é seu, aqui estão os passos para tentar. Eles estão listados em ordem — comece pelo topo.

1. Verifique a URL

A correção mais simples é geralmente a correta. Certifique-se de que você está visitando a URL de uma página, não a URL de um diretório. Muitos servidores bloqueiam a navegação de diretórios por padrão.

Por exemplo, visitar https://example.com/images/ (uma pasta) retornará 403 na maioria dos servidores, enquanto https://example.com/images/logo.png (um arquivo específico) funciona normalmente. Verifique se há erros de digitação e certifique-se de que a URL aponta para uma página real.

2. Limpe o cache e os cookies do navegador

Seu navegador pode estar enviando cookies desatualizados ou tokens de autenticação em cache que o servidor está rejeitando. Limpá-los força uma solicitação nova.

Chrome:  Settings → Privacy → Clear browsing data → Cookies + Cached images
Firefox: Settings → Privacy → Clear Data → Cookies + Cache
Safari:  Settings → Privacy → Manage Website Data → Remove All
Edge:    Settings → Privacy → Clear browsing data → Cookies + Cache

Após limpar, feche e reabra seu navegador, depois tente a URL novamente.

3. Desative sua VPN ou proxy

VPNs, proxies e Tor enviam seu tráfego por IPs compartilhados em datacenters. Muitos sites bloqueiam essas faixas por completo (principalmente sites de streaming, ingressos, adultos e bancos), e um IP compartilhado que outra pessoa usou de forma abusiva pode estar em uma lista de bloqueio.

Desconecte a VPN e recarregue. Se a página abrir, o bloqueio é no IP da VPN: escolha outro servidor ou deixe a VPN desligada nesse site. Se você não usa VPN, confira seu IP com o Qual é meu IP e a reputação dele com o Verificar IP em blacklist.

4. Tente uma rede ou dispositivo diferente

Se o erro 403 persistir, mude para uma rede diferente (dados móveis em vez de Wi-Fi, ou vice-versa). Isso ajuda a determinar se seu endereço IP está sendo bloqueado.

Você também pode tentar um dispositivo ou navegador diferente. Se a página carrega em um navegador mas não em outro, o problema provavelmente está relacionado a dados em cache ou extensões do navegador, não a um bloqueio de IP.

Como corrigir o erro 403 como proprietário do site

Se visitantes estão relatando erros 403 no seu site — ou você mesmo está vendo — a correção está quase sempre na configuração do servidor. Siga estas verificações em ordem.

5. Corrija as permissões de arquivos e diretórios

Permissões de arquivo incorretas são a causa número um de erros 403 em servidores web. As permissões padrão para um servidor web são 755 para diretórios e 644 para arquivos.

Veja o que esses números significam: o primeiro dígito é a permissão do proprietário, o segundo é do grupo e o terceiro é de todos os outros. 7 = leitura + escrita + execução, 5 = leitura + execução, 4 = somente leitura.

# Fix directory permissions (755 = owner rwx, group rx, others rx)
find /var/www/html -type d -exec chmod 755 {} \;

# Fix file permissions (644 = owner rw, group r, others r)
find /var/www/html -type f -exec chmod 644 {} \;

# Verify ownership (should match your web server user)
ls -la /var/www/html/

# Change ownership to web server user if needed
chown -R www-data:www-data /var/www/html/

6. Revise as regras do .htaccess

Em servidores Apache, o arquivo .htaccess controla as regras de acesso. Uma única linha mal configurada pode bloquear todos os visitantes. Verifique diretivas Deny from all ou regras Require excessivamente restritivas.

A maneira mais rápida de testar: renomeie .htaccess para .htaccess.bak temporariamente. Se o erro 403 desaparecer, o problema está nesse arquivo.

# Temporarily rename .htaccess to test
mv /var/www/html/.htaccess /var/www/html/.htaccess.bak

# If 403 goes away, check the file for deny rules:
grep -i 'deny\|require\|allow' /var/www/html/.htaccess.bak

# Common problematic lines:
# Deny from all
# Require all denied
# Order deny,allow

Se o site funcionar sem o .htaccess, revise-o linha por linha. Procure diretivas Deny from all ou Require all denied que podem estar bloqueando tráfego legítimo. Substitua-as por regras específicas que bloqueiem apenas o que você pretende bloquear.

7. Adicione um arquivo index padrão

Quando um visitante solicita uma URL de diretório (como example.com/blog/) sem especificar um arquivo, o servidor procura um arquivo index padrão. Se nenhum existir e a listagem de diretório estiver desativada, você recebe um erro 403.

A solução: crie um arquivo index.html ou index.php em cada diretório acessível publicamente. Você também pode configurar o servidor para permitir listagem de diretório, mas isso geralmente é um risco de segurança.

# In .htaccess or Apache config — set default index files
DirectoryIndex index.html index.php index.htm

# If you want to allow directory listing (not recommended for production):
Options +Indexes

8. Desative plugins do WordPress

Plugins de segurança como Wordfence, iThemes Security, Sucuri e All In One WP Security podem acionar erros 403 ao bloquear solicitações que consideram suspeitas. Isso frequentemente acontece após uma atualização de plugin ou mudança de regra.

Para testar, renomeie a pasta de plugins via FTP ou SSH para desativar todos os plugins de uma vez.

# Disable all plugins by renaming the folder
mv /var/www/html/wp-content/plugins /var/www/html/wp-content/plugins.bak

# If 403 goes away, re-enable plugins one by one:
mv /var/www/html/wp-content/plugins.bak /var/www/html/wp-content/plugins
# Then deactivate/reactivate each plugin from WordPress admin

Se o erro 403 desaparecer, reative os plugins um por um para encontrar o culpado. Verifique os logs de firewall ou segurança do plugin para solicitações bloqueadas.

9. Verifique bloqueio de IP e regras de firewall

O firewall do seu servidor ou painel de hospedagem pode estar bloqueando endereços IP específicos, faixas ou países inteiros. Isso é comum com fail2ban, CSF (ConfigServer Security & Firewall) ou listas de bloqueio a nível de hospedagem.

Verifique suas regras de firewall e logs do servidor para ver se IPs legítimos estão sendo bloqueados.

# Check if an IP is blocked by iptables
iptables -L -n | grep "203.0.113.50"

# Check fail2ban jail status
fail2ban-client status

# Unban a specific IP
fail2ban-client set <jail-name> unbanip 203.0.113.50

# Check Apache deny rules in server config
grep -r 'Deny from\|Require not ip' /etc/apache2/

10. Verifique as regras de HTTPS e de certificado de cliente

Um 403 ligado ao TLS acontece em dois casos: o servidor exige HTTPS e a solicitação veio por HTTP simples (o IIS informa 403.4, "SSL required"), ou o servidor exige um certificado de cliente que o visitante não apresentou (IIS 403.7; regras do Apache baseadas em SSLVerifyClient). Um certificado expirado ou incorreto mostra o aviso de privacidade do navegador, nunca um 403.

Compare os dois esquemas para a mesma URL e verifique o próprio certificado com o Verificador de certificado SSL do DNS Robot:

# Same page over HTTP and HTTPS: a 403 on one only points at a scheme rule
curl -sI http://example.com/page | head -1
curl -sI https://example.com/page | head -1

11. Corrija o erro 403 / Error 1020 do Cloudflare

Atrás do Cloudflare, um 403 pode vir do próprio Cloudflare em vez do seu servidor, e a página dele indica qual recurso agiu. Uma regra de WAF personalizada ou gerenciada mostra "Sorry, you have been blocked"; outros recursos de segurança com ação Block e sem página personalizada mostram Error 1020: Access denied (documentação do Cloudflare, atualizada em outubro de 2026). Ambos trazem um Ray ID.

Peça ao visitante uma captura de tela com o Ray ID e procure por ele (ou pelo IP) no painel em Security → Analytics → Events: o evento mostra a regra exata. Ajuste essa regra em vez de reduzir a segurança em todo o site.

• Security → WAF — revise regras personalizadas, verifique se caminhos legítimos estão sendo bloqueados
• Security → Analytics → Events — encontre o Ray ID (os horários estão em UTC) e veja qual regra acionou o bloqueio
• Security → Bots — o Bot Fight Mode pode bloquear crawlers legítimos e clientes de API
• Security Level — se definido como 'I'm Under Attack', todos os visitantes veem uma página de desafio
• IP Access Rules — verifique se seu IP ou país está bloqueado acidentalmente

12. Corrija o Nginx 403 Forbidden

O Nginx retorna 403 por vários problemas específicos de configuração. O mais comum: o processo worker do Nginx não tem permissão de leitura nos arquivos, ou a diretiva autoindex está desativada para um diretório sem arquivo index.

# Check Nginx error log for the exact cause
tail -f /var/log/nginx/error.log

# Common Nginx 403 causes and fixes:

# 1. Permission denied — Nginx runs as 'nginx' or 'www-data' user
# Fix: ensure the user running Nginx can read the files
chown -R nginx:nginx /var/www/html/

# 2. No index file in directory — add to server block:
location / {
    index index.html index.php;
}

# 3. SELinux blocking access (CentOS/RHEL)
setsebool -P httpd_read_user_content 1
# Or set proper context:
chcon -R -t httpd_sys_content_t /var/www/html/

O SELinux é uma causa frequentemente negligenciada de erros 403 no Nginx em sistemas CentOS e RHEL. Mesmo que as permissões de arquivo estejam corretas, o SELinux pode bloquear o processo do Nginx de ler os arquivos. O comando chcon acima corrige isso.

Depurando erros 403 com cabeçalhos HTTP

Quando você não consegue identificar a causa, inspecione os cabeçalhos de resposta HTTP do servidor. Eles frequentemente contêm pistas sobre por que a solicitação foi bloqueada.

Use o Verificador de headers HTTP do DNS Robot ou o curl no terminal para ver a resposta completa.

# Check the status line and headers of a 403 page
curl -I https://example.com/restricted-page

# Headers that name the system in the path:
# server: cloudflare + cf-ray: 8f3a...-LAX   → Cloudflare
# server: AkamaiGHost                       → Akamai
# server: CloudFront + x-amz-cf-id          → Amazon CloudFront
# x-sucuri-id                               → Sucuri firewall
# x-iinfo                                   → Imperva
# server: nginx / Apache / LiteSpeed        → the site's own web server

Um cabeçalho de CDN ou firewall em um 403 significa que o bloqueio aconteceu antes de a solicitação chegar ao seu servidor, então procure no log de eventos desse serviço; o nome do seu próprio servidor web significa que a regra está na configuração do servidor, no .htaccess ou em um plugin.

O erro 403 afeta o SEO?

Sim, erros 403 podem prejudicar seu posicionamento se afetarem páginas rastreáveis. O Google não indexa URLs que retornam um código 4xx (exceto 429) e remove as que já estavam indexadas.

Alguns erros 403 em páginas intencionalmente restritas (painéis administrativos, arquivos privados) são normais e não afetam seu SEO. Mas páginas públicas que retornam 403 saem do índice do Google.

O relatório de indexação de páginas do Search Console lista esses casos como "Bloqueada devido a acesso proibido (403)". O Googlebot nunca envia credenciais, então um 403 em uma página pública significa que um firewall ou regra contra bots está bloqueando o acesso.

Como prevenir erros 403

Prevenção é mais fácil do que resolver problemas. Siga estas práticas para evitar erros 403 no seu site.

• Defina permissões corretas desde o início — 755 para diretórios, 644 para arquivos, nunca 777
• Sempre tenha um arquivo index — cada diretório público precisa de index.html ou index.php
• Teste mudanças no .htaccess — faça backup do arquivo antes de modificar, teste uma regra de cada vez
• Monitore suas regras de WAF — revise os logs do Cloudflare, Sucuri ou ModSecurity semanalmente
• Coloque seus próprios IPs na whitelist — garanta que os IPs do seu escritório, casa e servidor de deploy estejam na whitelist
• Use o Verificador de headers HTTP — verifique regularmente se suas páginas retornam 200, não 403
• Configure monitoramento — use monitoramento de uptime para receber alertas quando páginas começarem a retornar 403