403 Forbidden oznacza, że serwer zrozumiał żądanie, ale odmawia jego autoryzacji. Jeśli wysłano dane uwierzytelniające, serwer uznaje je za niewystarczające i klient nie powinien po prostu powtarzać żądania z tymi samymi danymi. Serwer może wyjaśnić przyczynę w treści odpowiedzi albo zachować ją dla siebie.
Kod 403 zwraca też wiele zapór aplikacji internetowych (WAF), sieci CDN i systemów ochrony przed botami, gdy blokują żądanie z powodu adresu IP, kraju, User-Agenta lub zachowania klienta. Serwery, które nie chcą ujawniać, że zabroniony zasób istnieje, mogą zamiast tego odpowiedzieć kodem 404 Not Found.
Gdy pomogłoby zalogowanie się, użyj kodu 401, a gdy dostęp jest zablokowany z przyczyn prawnych – kodu 451.
Przykładowa odpowiedź
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO i sprawdzanie przekierowań
Wyszukiwarki nie indeksują adresów URL zwracających 403, a zaindeksowane adresy, które zaczynają go zwracać, wypadają z indeksu jak przy każdym innym błędzie 4xx. Przypadkowe błędy 403 dla robotów zdarzają się często – powodują je reguły zapory, ochrona przed botami lub limity żądań, które blokują zakresy adresów IP albo User-Agenta Googlebota. Google odradza używanie kodów 401 i 403 do ograniczania częstotliwości indeksowania; zamiast tego na krótki czas zwracaj 429 lub 503.
Jeśli sprawdzanie przekierowań zwraca 403, a strona działa w Twojej przeglądarce, witryna prawdopodobnie blokuje ruch automatyczny lub ruch z centrów danych; TrueURL oznacza odpowiedzi, które wyglądają na weryfikację antybotową. Wypróbuj inne gotowe ustawienie User-Agenta, np. Googlebot, aby zobaczyć, co dostają roboty – pamiętaj jednak, że wiele witryn weryfikuje prawdziwego Googlebota po adresie IP.
Typowe przyczyny i zastosowania
- Zapora aplikacji internetowej lub ochrona przed botami, np. wyzwanie Cloudflare, blokuje klienta.
- Uprawnienia w systemie plików uniemożliwiają serwerowi WWW odczytanie pliku.
- Listowanie katalogów jest wyłączone, a folder nie zawiera pliku indeksu (np.
Options -Indexesw Apache). - Dostęp jest ograniczony według adresu IP, kraju lub strony odsyłającej (referrer), jak w przypadku ochrony przed hotlinkowaniem.