403 Forbidden betekent dat de server het verzoek begrijpt, maar weigert het te autoriseren. Zijn er inloggegevens meegestuurd, dan vindt de server die onvoldoende, en de client hoort het verzoek niet gewoon met dezelfde gegevens te herhalen. De server kan de reden in de body uitleggen, of die voor zich houden.
403 is ook wat veel web application firewalls, CDN’s en systemen voor botbescherming teruggeven als ze een verzoek blokkeren vanwege het IP-adres, het land, de user-agent of het gedrag. Servers die niet willen verraden dat een verboden resource bestaat, kunnen in plaats daarvan 404 Not Found antwoorden.
Gebruik 401 als inloggen zou helpen, en 451 als de toegang om juridische redenen is geblokkeerd.
Voorbeeldresponse
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO en redirects controleren
Zoekmachines indexeren geen URL’s die 403 teruggeven, en geïndexeerde URL’s die 403 gaan teruggeven, verdwijnen net als bij elke andere 4xx uit de index. Onbedoelde 403’s voor crawlers komen vaak voor. Ze worden veroorzaakt door firewallregels, botbescherming of rate limits die de IP-ranges of de user-agent van Googlebot blokkeren. Google raadt af om 401 of 403 te gebruiken om het crawlen te beperken; geef in plaats daarvan kortstondig 429 of 503 terug.
Geeft een redirectcontrole 403 terwijl de pagina in je browser werkt, dan blokkeert de site waarschijnlijk geautomatiseerd verkeer of verkeer uit datacenters; TrueURL markeert responses die op een botcontrole lijken. Probeer een andere voorinstelling voor de user-agent, zoals Googlebot, om te zien wat crawlers krijgen, en houd er rekening mee dat veel sites de echte Googlebot aan de hand van zijn IP-adres verifiëren.
Veelvoorkomende oorzaken en toepassingen
- Een web application firewall of botbescherming, zoals een Cloudflare-challenge, blokkeert de client.
- Bestandsrechten verhinderen dat de webserver het bestand kan lezen.
- Directorylisting is uitgeschakeld en de map heeft geen indexbestand (bijvoorbeeld
Options -Indexesin Apache). - De toegang is beperkt op IP-adres, land of referrer, zoals bij hotlinkbeveiliging.