403 Forbidden Hatası: Ne Anlama Gelir ve Nasıl Düzeltilir

403 Forbidden Hatası Nedir?

403 Forbidden hatası, sunucunun isteğinizi anladığı ve yerine getirmeyi reddettiği anlamına gelir: sayfa var, ancak onu görmenize izin yok. 404'ün aksine sunucu tam olarak ne istediğinizi bilir. Sayfada mesajın altında "nginx" veya "Apache" yazıyorsa bu yalnızca sitenin çalıştırdığı yazılımdır: ret, tarayıcınızın değil o sitenin ayarıdır.

HTTP standardı RFC 9110 §15.5.4 bunu şu sözlerle tanımlar: sunucu "understood the request but refuses to fulfill it" (isteği anladı ancak yerine getirmeyi reddediyor). Kimlik bilgisi gönderdiyseniz sunucu bunları yetersiz sayar ve istemci "SHOULD NOT automatically repeat the request with the same credentials" (isteği aynı kimlik bilgileriyle otomatik olarak tekrarlamamalıdır). Sunucu, sayfanın var olduğunu gizlemek için 404 ile de yanıt verebilir.

Basitçe: kapı var, ama içeri girmenize izin yok. Ziyaretçi olarak yalnızca kendi tarafınızı eleyebilirsiniz; site sahibi olarak kuralı değiştirebilirsiniz.

403 Hatası Nasıl Görünür

403 sayfasındaki sözcükler ve altındaki sunucu adı, sizi hangi yazılımın reddettiğini ve dolayısıyla bunu kimin düzeltebileceğini gösterir:

İfade ne olursa olsun anlam aynıdır: bu sunucu size bu sayfayı vermeyecek. Tarayıcı eklentisi veya eski bir çerez bunu nadiren tetikler, ancak IP adresiniz, ağınız veya VPN'iniz nedeni olabilir.

403 vs 401 vs 404: Aralarındaki Fark Nedir?

Bu üç hata kodu sıklıkla karıştırılmaktadır. Aralarındaki farklar aşağıda açıklanmıştır.

Kritik ayrımı şu şekildedir: 401 hatası kimlik doğrulama yapmanızı ister. 403 hatası, kimlik doğrulamanın yardımcı olmayacağını bildirir — sunucu bu kaynağa erişemeyeceğinize zaten karar vermiştir. 404 ise kaynağın hiçbir şekilde mevcut olmadığını ifade eder.

Sunucu, örneğin aşırı büyük çerezler veya bozuk bir URL yüzünden isteğin kendisini hatalı bulup reddederse bunun yerine 400 Bad Request alırsınız.

403 Forbidden Hatasının Yaygın Nedenleri

403 hatasının neden ortaya çıktığını anlamak, sorunu daha hızlı çözmenize yardımcı olur. Aşağıda ziyaretçi ve site sahibi olarak en yaygın nedenler listelenmi stir.

• Yanlış dosya izinleri — dosyalar 600 veya klasörler 700 olarak ayarlandığında genel erişim engellenir
• Yanlış yapılandırılmış .htaccess kuralları — deny direktifleri veya mod_rewrite kuralları istekleri engelliyor
• Eksik index dosyası — index.html veya index.php yok ve dizin listeleme devre dışı
• IP engelleme — sunucu veya güvenlik duvarı kuralları IP adresinizi veya ülkenizi engelliyor
• VPN, proxy veya veri merkezi IP'si — birçok site (yayın, bilet, yetişkin, bankacılık) VPN ve hosting IP aralıklarını politika olarak engeller; paylaşılan bir VPN IP'si ayrıca bir kara listede de olabilir
• Hotlink koruması — sunucu, diğer alanlardan resimlere veya dosyalara doğrudan bağlantı yapılmasını engelliyor
• WordPress eklenti çatışmaları — Wordfence veya iThemes gibi güvenlik eklentileri istekleri engelliyor
• Web Application Firewall (WAF) — Cloudflare, Sucuri veya ModSecurity isteğinizi işaretliyor
• HTTPS veya istemci sertifikası kuralları — HTTPS (IIS 403.4) veya istemci sertifikası (IIS 403.7) isteyen bir sunucu, bunlar olmadan gelen istekleri reddeder. Süresi dolmuş bir sertifika bunun yerine tarayıcıda bir gizlilik uyarısı gösterir, 403 değil
• İstek sınırlama (rate limiting) — IP'nizden kısa sürede çok fazla istek; çoğu sunucu buna 429 Too Many Requests ile, bazı güvenlik duvarları 403 ile yanıt verir

Ziyaretçi Olarak 403 Hatasını Nasıl Düzeltirsiniz

Size ait olmayan bir web sitesinde 403 hatası görüyorsanız, aşağıdaki adımları deneyin. Adımlar sırasıyla listelenmi stir — yukarıdan başlayın.

1. URL'yi Kontrol Edin

En basit düzeltme genellikle doğru olandır. Bir dizin URL'si değil, bir sayfa URL'si ziyaret ettiğinizden emin olun. Birçok sunucu varsayılan olarak dizin taramasını engeller.

Örneğin, https://example.com/images/ (bir klasör) adresini ziyaret etmek çoğu sunucuda 403 döndürürken, https://example.com/images/logo.png (belirli bir dosya) sorunsuz çalışır. Yazım hatalarını kontrol edin ve URL'nin gerçek bir sayfayı işaret ettiğinden emin olun.

2. Tarayıcı Önbelleğini ve Çerezleri Temizleyin

Tarayıcınız, sunucunun reddettiği eski çerezler veya önbelleğlenmiş kimlik doğrulama belirteçleri gönderiyor olabilir. Bunları temizlemek yeni bir istek gönderilmesini sağlar.

Chrome:  Settings → Privacy → Clear browsing data → Cookies + Cached images
Firefox: Settings → Privacy → Clear Data → Cookies + Cache
Safari:  Settings → Privacy → Manage Website Data → Remove All
Edge:    Settings → Privacy → Clear browsing data → Cookies + Cache

Temizledikten sonra tarayıcınızı kapatıp yeniden açın, ardından URL'yi tekrar deneyin.

3. VPN veya Proxy'nizi Devre Dışı Bırakın

VPN'ler, proxy'ler ve Tor trafiğinizi veri merkezlerindeki paylaşılan IP adreslerinden gönderir. Birçok site bu aralıkları tamamen engeller (özellikle yayın, bilet, yetişkin ve bankacılık siteleri) ve başkasının kötüye kullandığı paylaşılan bir IP bir kara listede olabilir.

VPN'i kapatıp sayfayı yeniden yükleyin. Sayfa açılırsa engel VPN'in IP'sindedir: başka bir sunucu seçin veya o site için VPN'i kapalı tutun. VPN kullanmıyorsanız kendi IP'nizi IP Adresim Nedir ile, itibarını da IP Kara Liste Kontrolü ile kontrol edin.

4. Farklı Bir Ağ veya Cihaz Deneyin

403 hatası devam ederse, farklı bir ağa geçin (Wi-Fi yerine mobil veri veya tam tersi). Bu, IP adresinizin engellenip engellenmediğini belirlemenize yardımcı olur.

Farklı bir cihaz veya tarayıcı da deneyebilirsiniz. Sayfa bir tarayıcıda yükleniyorken diğerinde yüklenmiyorsa, sorun muhtemelen önbellek verileri veya tarayıcı uzantılarıyla ilgilidir, IP engeli değil.

Site Sahibi Olarak 403 Hatasını Nasıl Düzeltirsiniz

Ziyaretçiler sitenizde 403 hataları bildiriyorsa veya kendiniz görüyorsanız, düzeltme neredeyse her zaman sunucu yapılandırmanızda yer almaktadır. Aşağıdaki kontrolleri sırasıyla yapınız.

5. Dosya ve Dizin İzinlerini Düzeltme

Yanlış dosya izinleri, web sunucularında 403 hatalarının bir numaralı nedenidir. Bir web sunucusu için standart izinler, dizinler için 755 ve dosyalar için 644'tür.

Bu sayıların anlamı: ilk basamak sahibin izni, ikincisi grubun, üçüncüsü ise diğer herkesindir. 7 = okuma + yazma + çalıştırma, 5 = okuma + çalıştırma, 4 = yalnızca okuma.

# Fix directory permissions (755 = owner rwx, group rx, others rx)
find /var/www/html -type d -exec chmod 755 {} \;

# Fix file permissions (644 = owner rw, group r, others r)
find /var/www/html -type f -exec chmod 644 {} \;

# Verify ownership (should match your web server user)
ls -la /var/www/html/

# Change ownership to web server user if needed
chown -R www-data:www-data /var/www/html/

6. .htaccess Kurallarını Gözden Geçirin

Apache sunucularında .htaccess dosyası erişim kurallarını kontrol eder. Yanlış yapılandırılmış tek bir satır tüm ziyaretçileri engelleyebilir. Deny from all direktiflerini veya aşırı kısıtlayıcı Require kurallarını kontrol edin.

En hızlı test yolu: .htaccess dosyasını geçici olarak .htaccess.bak olarak yeniden adlandırın. 403 hatası kaybolursa, sorun o dosyadadır.

# Temporarily rename .htaccess to test
mv /var/www/html/.htaccess /var/www/html/.htaccess.bak

# If 403 goes away, check the file for deny rules:
grep -i 'deny\|require\|allow' /var/www/html/.htaccess.bak

# Common problematic lines:
# Deny from all
# Require all denied
# Order deny,allow

Site .htaccess olmadan çalışıyorsa, dosyayı satır satır inceleyin. Meşru trafiği engelliyor olabilecek Deny from all veya Require all denied direktiflerini arayın. Bunları yalnızca engellemeyi amaçladı giniz şeyleri engelleyen spesifik kurallarla değiştirin.

7. Varsayılan İndex Dosyası Ekleyin

Bir ziyaretçi dosya belirtmeden bir dizin URL'si istediğinde (örneğin example.com/blog/), sunucu varsayılan bir index dosyası arar. Hiçbiri yoksa ve dizin listeleme devre dışı ise, 403 hatası alınır.

Çözüm: Halka açık her dizinde bir index.html veya index.php dosyası oluşturun. Sunucuyu dizin listelemeye izin verecek şekilde de yapılandırabilirsiniz, ancak bu genellikle bir güvenlik riskidir.

# In .htaccess or Apache config — set default index files
DirectoryIndex index.html index.php index.htm

# If you want to allow directory listing (not recommended for production):
Options +Indexes

8. WordPress Eklentilerini Devre Dışı Bırakın

Wordfence, iThemes Security, Sucuri ve All İn One WP Security gibi güvenlik eklentileri, şüphe li bulduğu istekleri engelleyerek 403 hatalarına neden olabilir. Bu durum genellikle bir eklenti güncellemesi veya kural değişikliğinden sonra yaşanır.

Test etmek için FTP veya SSH üzerinden eklentiler klasörünü yeniden adlandırarak tüm eklentileri bir seferde devre dışı bırakın.

# Disable all plugins by renaming the folder
mv /var/www/html/wp-content/plugins /var/www/html/wp-content/plugins.bak

# If 403 goes away, re-enable plugins one by one:
mv /var/www/html/wp-content/plugins.bak /var/www/html/wp-content/plugins
# Then deactivate/reactivate each plugin from WordPress admin

403 hatası kaybolursa, suçlunun hangisi olduğunu bulmak için eklentileri teker teker yeniden etkinleştirin. Eklentinin güvenlik duvarı veya güvenlik günlüklerinde engellenen istekleri kontrol edin.

9. IP Engelleme ve Güvenlik Duvarı Kurallarını Kontrol Edin

Sunucunuzun güvenlik duvarı veya barındırma kontrol paneli, belirli IP adreslerini, aralıkları veya tüm ülkeleri engelliyor olabilir. Bu durum fail2ban, CSF (ConfigServer Security & Firewall) veya barındırma düzeyindeki IP engelleme listeleriyle yaygındır.

Güvenlik duvarı kurallarınızı ve sunucu günlüklerinizi kontrol ederek meşru IP'lerin engellenip engellenmediğini görüntüleyin.

# Check if an IP is blocked by iptables
iptables -L -n | grep "203.0.113.50"

# Check fail2ban jail status
fail2ban-client status

# Unban a specific IP
fail2ban-client set <jail-name> unbanip 203.0.113.50

# Check Apache deny rules in server config
grep -r 'Deny from\|Require not ip' /etc/apache2/

10. HTTPS ve İstemci Sertifikası Kurallarını Kontrol Edin

TLS ile ilişkili bir 403 iki durumda ortaya çıkar: sunucu HTTPS istiyordur ve istek düz HTTP ile gelmiştir (IIS bunu 403.4, "SSL required" olarak bildirir) ya da sunucu, ziyaretçinin sunmadığı bir istemci sertifikası istiyordur (IIS 403.7; SSLVerifyClient tabanlı Apache kuralları). Süresi dolmuş veya yanlış bir sertifika bunun yerine tarayıcının gizlilik uyarısını gösterir, asla 403 göstermez.

Aynı URL için iki şemayı karşılaştırın ve sertifikanın kendisini DNS Robot'un SSL Sorgulama aracıyla kontrol edin:

# Same page over HTTP and HTTPS: a 403 on one only points at a scheme rule
curl -sI http://example.com/page | head -1
curl -sI https://example.com/page | head -1

11. Cloudflare 403 / Error 1020 Hatasını Düzeltme

Cloudflare arkasında 403, sunucunuzdan değil Cloudflare'den gelebilir ve sayfası hangi özelliğin tetiklendiğini söyler. Bir WAF özel veya yönetilen kuralı "Sorry, you have been blocked" gösterir; Block eylemi olan ve özel sayfası bulunmayan diğer güvenlik özellikleri Error 1020: Access denied gösterir (Cloudflare belgeleri, Ekim 2026'da güncellendi). İkisinde de bir Ray ID bulunur.

Ziyaretçiden Ray ID'li bir ekran görüntüsü isteyin, ardından panelde Security → Analytics → Events altında bunu (veya IP'sini) arayın: olay tam kuralı adlandırır. Güvenliği her yerde düşürmek yerine o kuralı ayarlayın.

• Security → WAF — özel kuralları gözden geçirin, meşru yolların engellenip engellenmediğini kontrol edin
• Security → Analytics → Events — Ray ID'yi bulun (zaman damgaları UTC'dir) ve engeli hangi kuralın tetiklediğini görün
• Security → Bots — Bot Fight Mode meşru tarayıcıları ve API istemcilerini engelleyebilir
• Security Level — 'I'm Under Attack' olarak ayarlandıysa, tüm ziyaretçiler bir doğrulama sayfası görür
• IP Access Rules — IP'nizin veya ülkenizin yanlışlıkla engellenip engellenmediğini kontrol edin

12. Nginx 403 Forbidden Hatasını Düzeltme

Nginx, birkaç özel yapılandırma sorunu nedeniyle 403 döndürür. En yaygın olanlar: Nginx çalışan süreci dosyalar üzerinde okuma iznine sahip değildir veya autoindex direktifi index dosyası olmayan bir dizin için kapalıdır.

# Check Nginx error log for the exact cause
tail -f /var/log/nginx/error.log

# Common Nginx 403 causes and fixes:

# 1. Permission denied — Nginx runs as 'nginx' or 'www-data' user
# Fix: ensure the user running Nginx can read the files
chown -R nginx:nginx /var/www/html/

# 2. No index file in directory — add to server block:
location / {
    index index.html index.php;
}

# 3. SELinux blocking access (CentOS/RHEL)
setsebool -P httpd_read_user_content 1
# Or set proper context:
chcon -R -t httpd_sys_content_t /var/www/html/

SELinux, CentOS ve RHEL sistemlerinde Nginx 403 hatalarının sıklıkla gözden kaçırılan bir nedenidir. Dosya izinleri doğru olsa bile, SELinux Nginx sürecinin dosyaları okumasını engelleyebilir. Yukarıdaki chcon komutu bu sorunu çözer.

HTTP Başlık Bilgileriyle 403 Hatalarını Ayıklama

Nedeni tam olarak belirleyemediğinizde, sunucunun HTTP yanıt başlıklarını inceleyin. Bunlar genellikle isteğin neden engellendiğine dair ipuçları içerir.

DNS Robot'un HTTP Başlık Kontrolü aracını veya terminalden curl komutunu kullanarak tam yanıtı görebilirsiniz.

# Check the status line and headers of a 403 page
curl -I https://example.com/restricted-page

# Headers that name the system in the path:
# server: cloudflare + cf-ray: 8f3a...-LAX   → Cloudflare
# server: AkamaiGHost                       → Akamai
# server: CloudFront + x-amz-cf-id          → Amazon CloudFront
# x-sucuri-id                               → Sucuri firewall
# x-iinfo                                   → Imperva
# server: nginx / Apache / LiteSpeed        → the site's own web server

Bir 403'teki CDN veya güvenlik duvarı başlığı, engellemenin isteğin sunucunuza ulaşmasından önce gerçekleştiği anlamına gelir; bu hizmetin olay günlüğüne bakın. Kendi web sunucunuzun adı ise kuralın sunucu yapılandırmanızda, .htaccess dosyasında veya bir eklentide olduğu anlamına gelir.

403 Hatası SEO'yu Etkiler mi?

Evet, 403 hataları taranabilir sayfaları etkiliyorsa arama sıralamanıza zarar verebilir. Google, 4xx kodu döndüren URL'leri (429 hariç) dizine eklemez ve daha önce dizine eklenmiş olanları kaldırır.

Kasıtlı olarak kısıtlanmış sayfalardaki (yönetim panelleri, özel dosyalar) birkaç 403 hatası normaldir ve SEO'nuzu etkilemez. Ancak 403 döndüren herkese açık sayfalar Google'ın dizininden düşer.

Search Console'un Sayfa dizine ekleme raporu bunları "Erişim izni verilmemesi (403) nedeniyle engellendi" olarak listeler. Googlebot hiçbir zaman kimlik bilgisi göndermez; bu nedenle herkese açık bir sayfadaki 403, bir güvenlik duvarı veya bot kuralının onu engellediği anlamına gelir.

403 Hatalarını Nasıl Önlersiniz

Önleme, sorun gidermeden daha kolaydır. Sitenizde 403 hatalarından kaçınmak için aşağıdaki uygulamaları takip edin.

• Baştan doğru izinleri ayarlayın — dizinler için 755, dosyalar için 644, asla 777 değil
• Her zaman bir index dosyası bulundurun — her halka açık dizinde index.html veya index.php olmalı
• .htaccess değişikliklerini test edin — değiştirmeden önce dosyayı yedekleyin, her seferinde bir kural test edin
• WAF kurallarınızı izleyin — Cloudflare, Sucuri veya ModSecurity günlüklerini haftalık olarak gözden geçirin
• Kendi IP'lerinizi beyaz listeye alın — ofis, ev ve dağıtım sunucusu IP'lerinizin beyaz listede olduğunu doğrulayın
• HTTP Başlık Kontrolü aracını kullanın — sayfalarınızın 403 değil 200 döndürdüğünü düzenli olarak kontrol edin
• İzleme kurun — sayfalar 403 döndürmeye başladığında uyarı almak için çalışma süresi izlemesi kullanın