Lỗi 403 Forbidden là gì? Ý nghĩa và cách khắc phục

Lỗi 403 Forbidden là gì?

Lỗi 403 Forbidden nghĩa là máy chủ đã hiểu yêu cầu của bạn nhưng từ chối thực hiện: trang có tồn tại, nhưng bạn không được phép xem. Khác với 404, máy chủ biết chính xác bạn yêu cầu gì. Nếu dưới thông báo có chữ "nginx" hoặc "Apache", đó chỉ là phần mềm website đang chạy: việc từ chối là cài đặt của website đó, không phải của trình duyệt bạn.

Chuẩn HTTP, RFC 9110 §15.5.4, định nghĩa bằng những lời này: máy chủ "đã hiểu yêu cầu nhưng từ chối thực hiện" ("understood the request but refuses to fulfill it"). Nếu bạn đã gửi thông tin đăng nhập, máy chủ coi là chưa đủ, và client không nên "tự động lặp lại yêu cầu với cùng thông tin đăng nhập" ("SHOULD NOT automatically repeat the request with the same credentials"). Máy chủ cũng có thể trả về 404 thay thế để giấu việc trang có tồn tại.

Nói đơn giản: cánh cửa có đó, nhưng bạn không được đi qua. Là người truy cập, bạn chỉ loại trừ được phía mình; là chủ website, bạn có thể đổi quy tắc.

Lỗi 403 trông như thế nào

Dòng chữ trên trang 403 và tên máy chủ bên dưới cho biết phần mềm nào đã từ chối bạn, tức là ai có thể sửa:

Dù câu chữ thế nào, ý nghĩa vẫn như nhau: máy chủ này sẽ không đưa trang này cho bạn. Tiện ích mở rộng trình duyệt hay cookie cũ hiếm khi gây ra việc này, nhưng địa chỉ IP, mạng hoặc VPN của bạn có thể là lý do.

403 vs 401 vs 404: khác nhau thế nào?

Ba mã lỗi này thường bị nhầm lẫn. Đây là điểm khác nhau.

Điểm khác biệt then chốt: lỗi 401 yêu cầu bạn xác thực. Lỗi 403 cho biết xác thực cũng không giúp được — máy chủ đã quyết định bạn không thể truy cập tài nguyên này. Lỗi 404 nghĩa là tài nguyên hoàn toàn không tồn tại.

Nếu chính máy chủ từ chối yêu cầu vì sai định dạng, ví dụ cookie quá lớn hoặc URL hỏng, bạn sẽ nhận 400 Bad Request.

Nguyên nhân phổ biến gây lỗi 403 Forbidden

Hiểu vì sao 403 xảy ra giúp bạn sửa nhanh hơn. Đây là các nguyên nhân phổ biến nhất, chia theo việc bạn là người truy cập hay chủ website.

• Quyền tập tin không đúng — tập tin đặt 600 hoặc thư mục đặt 700 sẽ chặn truy cập công khai
• Quy tắc .htaccess cấu hình sai — chỉ thị deny hoặc quy tắc mod_rewrite chặn yêu cầu
• Thiếu tập tin index — không có index.html hoặc index.php, và liệt kê thư mục bị tắt
• Chặn IP — quy tắc của máy chủ hoặc tường lửa chặn địa chỉ IP hoặc quốc gia của bạn
• VPN, proxy hoặc IP trung tâm dữ liệu — nhiều website (streaming, bán vé, nội dung người lớn, ngân hàng) chặn dải IP VPN và hosting theo chính sách, và IP VPN dùng chung cũng có thể nằm trong danh sách chặn
• Chống hotlink — máy chủ chặn liên kết trực tiếp tới hình ảnh hoặc tập tin từ tên miền khác
• Xung đột plugin WordPress — plugin bảo mật như Wordfence hoặc iThemes chặn yêu cầu
• Web Application Firewall (WAF) — Cloudflare, Sucuri hoặc ModSecurity đánh dấu yêu cầu của bạn
• Quy tắc HTTPS hoặc chứng chỉ máy khách — máy chủ bắt buộc HTTPS (IIS 403.4) hoặc chứng chỉ máy khách (IIS 403.7) sẽ từ chối yêu cầu thiếu chúng. Chứng chỉ hết hạn chỉ hiện cảnh báo quyền riêng tư trên trình duyệt, không phải 403
• Giới hạn tốc độ — quá nhiều yêu cầu từ IP của bạn trong thời gian ngắn; đa số máy chủ trả 429 Too Many Requests, một số tường lửa trả 403

Cách khắc phục 403 với tư cách người truy cập

Nếu bạn thấy lỗi 403 trên website không phải của mình, đây là các bước nên thử. Chúng được xếp theo thứ tự — hãy bắt đầu từ trên xuống.

1. Kiểm tra URL

Cách đơn giản nhất thường là đúng. Hãy chắc chắn bạn đang vào URL của một trang, không phải của một thư mục. Nhiều máy chủ mặc định chặn việc duyệt thư mục.

Ví dụ, vào https://example.com/images/ (một thư mục) sẽ trả về 403 trên hầu hết máy chủ, còn https://example.com/images/logo.png (một tập tin cụ thể) vẫn hoạt động bình thường. Kiểm tra lỗi chính tả và chắc chắn URL trỏ tới một trang thực sự.

2. Xóa bộ nhớ đệm và cookie của trình duyệt

Trình duyệt có thể đang gửi cookie cũ hoặc token xác thực lưu đệm mà máy chủ từ chối. Xóa chúng sẽ buộc gửi một yêu cầu mới.

Chrome:  Settings → Privacy → Clear browsing data → Cookies + Cached images
Firefox: Settings → Privacy → Clear Data → Cookies + Cache
Safari:  Settings → Privacy → Manage Website Data → Remove All
Edge:    Settings → Privacy → Clear browsing data → Cookies + Cache

Sau khi xóa, hãy đóng và mở lại trình duyệt rồi thử lại URL.

3. Tắt VPN hoặc proxy

VPN, proxy và Tor đưa lưu lượng của bạn đi qua các địa chỉ IP dùng chung trong trung tâm dữ liệu. Nhiều website chặn hẳn các dải này (đặc biệt là website streaming, bán vé, nội dung người lớn và ngân hàng), và một IP dùng chung bị người khác lạm dụng có thể nằm trong danh sách chặn.

Ngắt VPN rồi tải lại trang. Nếu trang mở được, việc chặn nằm ở IP của VPN: chọn máy chủ khác, hoặc tắt VPN với website đó. Nếu bạn không dùng VPN, hãy kiểm tra IP của mình bằng IP Của Tôi Là Gì và uy tín của nó bằng Kiểm tra IP blacklist.

4. Thử mạng hoặc thiết bị khác

Nếu 403 vẫn còn, hãy chuyển sang mạng khác (dữ liệu di động thay cho Wi-Fi hoặc ngược lại). Cách này giúp xác định IP của bạn có bị chặn không.

Bạn cũng có thể thử thiết bị hoặc trình duyệt khác. Nếu trang tải được ở trình duyệt này nhưng không ở trình duyệt kia, nhiều khả năng vấn đề nằm ở dữ liệu đệm hoặc tiện ích mở rộng, không phải chặn IP.

Cách khắc phục 403 với tư cách chủ website

Nếu người truy cập báo lỗi 403 trên website của bạn — hoặc chính bạn gặp lỗi — cách sửa gần như luôn nằm ở cấu hình máy chủ. Hãy làm lần lượt các kiểm tra sau.

5. Sửa quyền tập tin và thư mục

Quyền tập tin không đúng là nguyên nhân số một gây lỗi 403 trên máy chủ web. Quyền chuẩn cho máy chủ web là 755 cho thư mục và 644 cho tập tin.

Các con số này có nghĩa là: chữ số đầu là quyền của chủ sở hữu, thứ hai là của nhóm, thứ ba là của tất cả những người còn lại. 7 = đọc + ghi + thực thi, 5 = đọc + thực thi, 4 = chỉ đọc.

# Fix directory permissions (755 = owner rwx, group rx, others rx)
find /var/www/html -type d -exec chmod 755 {} \;

# Fix file permissions (644 = owner rw, group r, others r)
find /var/www/html -type f -exec chmod 644 {} \;

# Verify ownership (should match your web server user)
ls -la /var/www/html/

# Change ownership to web server user if needed
chown -R www-data:www-data /var/www/html/

6. Xem xét các quy tắc .htaccess

Trên máy chủ Apache, tập tin .htaccess điều khiển quy tắc truy cập. Chỉ một dòng cấu hình sai cũng có thể chặn mọi người truy cập. Hãy tìm chỉ thị Deny from all hoặc các quy tắc Require quá chặt.

Cách thử nhanh nhất: tạm đổi tên .htaccess thành .htaccess.bak. Nếu 403 biến mất, vấn đề nằm trong tập tin đó.

# Temporarily rename .htaccess to test
mv /var/www/html/.htaccess /var/www/html/.htaccess.bak

# If 403 goes away, check the file for deny rules:
grep -i 'deny\|require\|allow' /var/www/html/.htaccess.bak

# Common problematic lines:
# Deny from all
# Require all denied
# Order deny,allow

Nếu website chạy được khi không có .htaccess, hãy xem từng dòng. Tìm chỉ thị Deny from all hoặc Require all denied có thể đang chặn lưu lượng hợp lệ. Thay bằng các quy tắc cụ thể chỉ chặn đúng thứ bạn muốn chặn.

7. Thêm tập tin index mặc định

Khi người truy cập vào URL thư mục (như example.com/blog/) mà không chỉ rõ tập tin, máy chủ tìm tập tin index mặc định. Nếu không có và liệt kê thư mục bị tắt, bạn nhận lỗi 403.

Cách sửa: tạo tập tin index.html hoặc index.php trong mọi thư mục công khai. Bạn cũng có thể cấu hình cho phép liệt kê thư mục, nhưng nhìn chung đây là rủi ro bảo mật.

# In .htaccess or Apache config — set default index files
DirectoryIndex index.html index.php index.htm

# If you want to allow directory listing (not recommended for production):
Options +Indexes

8. Tắt các plugin WordPress

Các plugin bảo mật như Wordfence, iThemes Security, Sucuri và All In One WP Security có thể gây lỗi 403 khi chặn những yêu cầu chúng cho là đáng ngờ. Điều này thường xảy ra sau khi cập nhật plugin hoặc đổi quy tắc.

Để thử, hãy đổi tên thư mục plugins qua FTP hoặc SSH để tắt tất cả plugin cùng lúc.

# Disable all plugins by renaming the folder
mv /var/www/html/wp-content/plugins /var/www/html/wp-content/plugins.bak

# If 403 goes away, re-enable plugins one by one:
mv /var/www/html/wp-content/plugins.bak /var/www/html/wp-content/plugins
# Then deactivate/reactivate each plugin from WordPress admin

Nếu 403 biến mất, hãy bật lại từng plugin một để tìm thủ phạm. Kiểm tra nhật ký tường lửa hoặc bảo mật của plugin để xem các yêu cầu bị chặn.

9. Kiểm tra chặn IP và quy tắc tường lửa

Tường lửa của máy chủ hoặc bảng điều khiển hosting có thể đang chặn một số địa chỉ IP, dải IP hoặc cả quốc gia. Điều này thường gặp với fail2ban, CSF (ConfigServer Security & Firewall) hoặc danh sách chặn ở cấp hosting.

Kiểm tra quy tắc tường lửa và nhật ký máy chủ để xem IP hợp lệ có bị chặn không.

# Check if an IP is blocked by iptables
iptables -L -n | grep "203.0.113.50"

# Check fail2ban jail status
fail2ban-client status

# Unban a specific IP
fail2ban-client set <jail-name> unbanip 203.0.113.50

# Check Apache deny rules in server config
grep -r 'Deny from\|Require not ip' /etc/apache2/

10. Kiểm tra quy tắc HTTPS và chứng chỉ máy khách

403 liên quan đến TLS xảy ra trong hai trường hợp: máy chủ bắt buộc HTTPS nhưng yêu cầu đến qua HTTP thường (IIS báo là 403.4, "SSL required"), hoặc máy chủ yêu cầu chứng chỉ máy khách mà người truy cập không đưa ra (IIS 403.7; quy tắc Apache dựa trên SSLVerifyClient). Chứng chỉ hết hạn hoặc sai chỉ hiện cảnh báo quyền riêng tư của trình duyệt, không bao giờ là 403.

So sánh hai giao thức cho cùng một URL, và kiểm tra chính chứng chỉ bằng Kiểm tra SSL của DNS Robot:

# Same page over HTTP and HTTPS: a 403 on one only points at a scheme rule
curl -sI http://example.com/page | head -1
curl -sI https://example.com/page | head -1

11. Khắc phục Cloudflare 403 / Error 1020

Phía sau Cloudflare, 403 có thể đến từ chính Cloudflare thay vì máy chủ của bạn, và trang của nó cho biết tính năng nào đã kích hoạt. Quy tắc WAF tùy chỉnh hoặc được quản lý hiển thị "Sorry, you have been blocked"; các tính năng bảo mật khác có hành động Block và không có trang tùy chỉnh hiển thị Error 1020: Access denied (tài liệu Cloudflare, cập nhật tháng 10/2026). Cả hai đều có Ray ID.

Hãy xin người truy cập ảnh chụp màn hình có Ray ID, rồi tìm nó (hoặc IP của họ) trong bảng điều khiển ở Security → Analytics → Events: sự kiện nêu đúng quy tắc. Hãy chỉnh quy tắc đó thay vì hạ bảo mật toàn website.

• Security → WAF — xem lại quy tắc tùy chỉnh, kiểm tra xem đường dẫn hợp lệ có bị chặn không
• Security → Analytics → Events — tìm Ray ID (mốc thời gian theo UTC) và xem quy tắc nào đã chặn
• Security → Bots — Bot Fight Mode có thể chặn trình thu thập và client API hợp lệ
• Security Level — nếu đặt 'I'm Under Attack', mọi người truy cập đều thấy trang thử thách
• IP Access Rules — kiểm tra xem IP hoặc quốc gia của bạn có bị chặn nhầm không

12. Khắc phục Nginx 403 Forbidden

Nginx trả về 403 trong một số vấn đề cấu hình cụ thể. Phổ biến nhất: tiến trình worker của Nginx không có quyền đọc tập tin, hoặc chỉ thị autoindex bị tắt cho thư mục không có tập tin index.

# Check Nginx error log for the exact cause
tail -f /var/log/nginx/error.log

# Common Nginx 403 causes and fixes:

# 1. Permission denied — Nginx runs as 'nginx' or 'www-data' user
# Fix: ensure the user running Nginx can read the files
chown -R nginx:nginx /var/www/html/

# 2. No index file in directory — add to server block:
location / {
    index index.html index.php;
}

# 3. SELinux blocking access (CentOS/RHEL)
setsebool -P httpd_read_user_content 1
# Or set proper context:
chcon -R -t httpd_sys_content_t /var/www/html/

SELinux là nguyên nhân hay bị bỏ sót của lỗi Nginx 403 trên CentOS và RHEL. Dù quyền tập tin đúng, SELinux vẫn có thể chặn tiến trình Nginx đọc tập tin. Lệnh chcon ở trên giải quyết vấn đề này.

Gỡ lỗi 403 bằng các HTTP header

Khi không xác định được nguyên nhân, hãy xem các header phản hồi HTTP của máy chủ. Chúng thường chứa manh mối về lý do yêu cầu bị chặn.

Dùng công cụ Kiểm tra HTTP Header của DNS Robot hoặc curl trong terminal để xem toàn bộ phản hồi.

# Check the status line and headers of a 403 page
curl -I https://example.com/restricted-page

# Headers that name the system in the path:
# server: cloudflare + cf-ray: 8f3a...-LAX   → Cloudflare
# server: AkamaiGHost                       → Akamai
# server: CloudFront + x-amz-cf-id          → Amazon CloudFront
# x-sucuri-id                               → Sucuri firewall
# x-iinfo                                   → Imperva
# server: nginx / Apache / LiteSpeed        → the site's own web server

Header của CDN hoặc tường lửa trong 403 nghĩa là việc chặn xảy ra trước khi yêu cầu tới máy chủ của bạn, nên hãy xem nhật ký sự kiện của dịch vụ đó; nếu là tên máy chủ web của chính bạn thì quy tắc nằm trong cấu hình máy chủ, .htaccess hoặc một plugin.

Lỗi 403 có ảnh hưởng đến SEO không?

Có, lỗi 403 có thể làm giảm thứ hạng tìm kiếm nếu ảnh hưởng đến các trang có thể thu thập. Google không lập chỉ mục các URL trả về mã 4xx (trừ 429) và gỡ những URL đã được lập chỉ mục.

Vài lỗi 403 trên các trang cố ý hạn chế (trang quản trị, tập tin riêng tư) là bình thường và không ảnh hưởng SEO. Nhưng các trang công khai trả về 403 sẽ rơi khỏi chỉ mục của Google.

Báo cáo lập chỉ mục trang của Search Console liệt kê chúng là "Bị chặn do quyền truy cập bị cấm (403)". Googlebot không bao giờ gửi thông tin đăng nhập, nên 403 trên trang công khai nghĩa là tường lửa hoặc quy tắc chống bot đang chặn nó.

Cách ngăn ngừa lỗi 403

Phòng ngừa dễ hơn xử lý sự cố. Hãy làm theo các thực hành sau để tránh lỗi 403 trên website của bạn.

• Đặt quyền đúng ngay từ đầu — 755 cho thư mục, 644 cho tập tin, không bao giờ 777
• Luôn có tập tin index — mọi thư mục công khai cần index.html hoặc index.php
• Kiểm thử thay đổi .htaccess — sao lưu tập tin trước khi sửa, thử từng quy tắc một
• Giám sát quy tắc WAF — xem nhật ký Cloudflare, Sucuri hoặc ModSecurity hằng tuần
• Đưa IP của chính bạn vào danh sách cho phép — đảm bảo IP văn phòng, nhà và máy chủ triển khai nằm trong danh sách cho phép
• Dùng công cụ Kiểm tra HTTP Header — thường xuyên kiểm tra các trang trả về 200, không phải 403
• Thiết lập giám sát — dùng giám sát uptime để nhận cảnh báo khi các trang bắt đầu trả về 403