403 Forbidden significa que o servidor entendeu a requisição, mas se recusa a autorizá-la. Se foram enviadas credenciais, o servidor as considera insuficientes, e o cliente não deve simplesmente repetir a requisição com as mesmas credenciais. O servidor pode explicar o motivo no corpo ou guardá-lo para si.
O 403 também é o que muitos firewalls de aplicação web (WAF), CDNs e sistemas de proteção contra bots retornam quando bloqueiam uma requisição por causa do endereço IP, do país, do User-Agent ou do comportamento. Servidores que não querem revelar a existência de um recurso proibido podem responder 404 Not Found.
Use 401 quando fazer login resolveria, e 451 quando o acesso é bloqueado por motivos legais.
Exemplo de resposta
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO e verificação de redirecionamentos
Os mecanismos de busca não indexam URLs que retornam 403, e URLs indexadas que passam a retorná-lo são removidas como qualquer outro 4xx. É comum os rastreadores receberem 403 sem querer, por causa de regras de firewall, proteção contra bots ou limites de requisições que bloqueiam as faixas de IP ou o User-Agent do Googlebot. O Google desaconselha o uso de 401 ou 403 para limitar o rastreamento; em vez disso, retorne 429 ou 503 por pouco tempo.
Se uma verificação de redirecionamentos retornar 403 enquanto a página funciona no seu navegador, provavelmente o site está bloqueando tráfego automatizado ou vindo de data centers; o TrueURL marca as respostas que parecem uma verificação antibot. Experimente outra predefinição de User-Agent, como a do Googlebot, para ver o que os rastreadores recebem, lembrando que muitos sites verificam o Googlebot real pelo endereço IP.
Causas comuns e casos de uso
- Um firewall de aplicação web ou uma proteção contra bots, como um desafio da Cloudflare, bloqueia o cliente.
- As permissões do sistema de arquivos impedem o servidor web de ler o arquivo.
- A listagem de diretórios está desativada, e a pasta não tem arquivo de índice (por exemplo,
Options -Indexesno Apache). - O acesso é restrito por endereço IP, país ou referrer, como na proteção contra hotlink.