403 Forbidden indica che il server ha capito la richiesta ma si rifiuta di autorizzarla. Se sono state inviate delle credenziali, il server le considera insufficienti, e il client non dovrebbe limitarsi a ripetere la richiesta con le stesse credenziali. Il server può spiegarne il motivo nel corpo oppure tenerlo per sé.
Il 403 è anche ciò che restituiscono molti web application firewall, CDN e sistemi di protezione dai bot quando bloccano una richiesta a causa dell’indirizzo IP, del paese, dello user agent o del comportamento. I server che non vogliono rivelare l’esistenza di una risorsa vietata possono rispondere invece 404 Not Found.
Usa 401 quando effettuare il login risolverebbe il problema, e 451 quando l’accesso è bloccato per motivi legali.
Esempio di risposta
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO e verifica dei redirect
I motori di ricerca non indicizzano gli URL che restituiscono 403, e gli URL indicizzati che iniziano a restituirlo vengono rimossi come per qualsiasi altro 4xx. I 403 accidentali per i crawler sono frequenti e dipendono da regole del firewall, protezioni anti-bot o limiti di richieste che bloccano gli intervalli IP o lo user agent di Googlebot. Google sconsiglia di usare 401 o 403 per limitare la scansione: restituisci piuttosto 429 o 503 per un breve periodo.
Se una verifica redirect restituisce 403 mentre la pagina funziona nel tuo browser, probabilmente il sito blocca il traffico automatizzato o proveniente da data center; TrueURL contrassegna le risposte che sembrano una verifica anti-bot. Prova un altro profilo predefinito di User-Agent, come Googlebot, per vedere cosa ricevono i crawler, tenendo presente che molti siti riconoscono il vero Googlebot dal suo indirizzo IP.
Cause comuni e casi d’uso
- Un web application firewall o una protezione anti-bot, come una challenge di Cloudflare, blocca il client.
- I permessi del file system impediscono al server web di leggere il file.
- L’elenco delle directory è disattivato e la cartella non contiene un file indice (per esempio con
Options -Indexesin Apache). - L’accesso è limitato in base a indirizzo IP, paese o referrer, come nella protezione dall’hotlinking.