HTTP 403 hatası nedir?

HTTP 403 hatası, sunucunun isteği anladığı hâlde istenen sayfa, dosya veya işlemi gerçekleştirmeyi reddettiğini gösterir. Kısaca sunucuya ulaşılmıştır; ancak mevcut kullanıcı, IP adresi, oturum, dosya izni veya sunucu kuralı bu kaynağa erişmek için yeterli değildir. Bu nedenle aynı adresi yalnızca yenilemek çoğu durumda sorunu çözmez.

403 hatası, 401 hatasıyla karıştırılmamalıdır. 401 genellikle geçerli kimlik doğrulama bilgisi bulunmadığını gösterir. 403 ise sunucunun isteği anladığını fakat yerine getirmeyi reddettiğini belirtir; bu, kullanıcının mutlaka kimlik doğrulamasından geçtiği anlamına gelmez. Sağlanan kimlik bilgileri yetersiz olabilir veya IP/WAF gibi kimlikten bağımsız bir kural devreye girebilir. 404 kaynağın bulunamadığını, 500 ise sunucuda beklenmeyen bir uygulama veya yapılandırma hatası olduğunu belirtir.

403 hatası nasıl oluşur?​

Bir ziyaretçi https://example.com/admin/ adresini açtığında web sunucusu isteği değerlendirir. İstek doğru alan adına ulaşsa bile aşağıdaki kontrollerden biri başarısız olursa sunucu 403 Forbidden yanıtı verebilir:

• Dosya veya klasörün okunma izinleri web sunucusu kullanıcısına kapalıdır.
• Klasörde varsayılan giriş dosyası bulunmuyordur ve dizin listeleme kapatılmıştır.
• Apache, NGINX, güvenlik duvarı veya kontrol paneli belirli IP adreslerini, ülkeleri ya da istek türlerini engelliyordur.
• Uygulama, oturumdaki kullanıcının ilgili sayfaya erişim rolüne sahip olmadığını belirlemiştir.
• İstek, güvenlik eklentisi veya WAF tarafından şüpheli kabul edilmiştir.
• Yanlış alan adı, sanal sunucu veya erişim kuralı nedeniyle istek başka bir site yapılandırmasına düşüyordur.

Örneğin /private/ klasöründe yapılandırılmış giriş dosyalarının hiçbiri yoksa ve dizin listeleme kapalıysa sunucu, klasör içeriğini göstermemek için 403 döndürebilir. Bu durumda dosya izinlerini rastgele genişletmek yerine klasörde gerçekten açılması gereken giriş dosyasının bulunup bulunmadığı kontrol edilmelidir.

Site yöneticisi için uygulanabilir kontrol sırası​

1. Hatanın kapsamını belirleyin. Sadece tek bir URL mi, belirli bir klasör mü, yoksa sitenin tamamı mı 403 veriyor kontrol edin. Tarayıcı geliştirici araçlarındaki Network bölümünden yanıt kodunu ve istek adresini inceleyin.
2. Web sunucusunun hata günlüklerini kontrol edin. Apache veya NGINX günlüklerinde engellemenin dosya izni, erişim kuralı, IP filtresi ya da uygulama kaynaklı olup olmadığı genellikle görünür.
3. Dosya ve klasör sahipliğini doğrulayın. Web sunucusu dosyayı okuyamıyorsa izinleri düzeltin; ancak tüm dosyalara sınırsız yazma izni vermeyin. Özellikle 777 gibi herkesin yazabildiği izinler gereksiz erişim riski oluşturabilir. Unix sistemlerde dosyanın okunmasına ek olarak üst dizinlerden geçiş izni ve gerçek servis kullanıcısı da önemlidir.
4. Alan adı ve sanal sunucu yapılandırmasını kontrol edin. Doğru alan adının doğru belge kök dizinine yönlendiğinden ve ilgili klasör için açık bir erişim kuralı bulunduğundan emin olun.
5. Apache kullanıyorsanız .htaccess içindeki Require, IP kısıtlaması, dizin erişimi ve yeniden yazma kurallarını; NGINX kullanıyorsanız deny, allow, location ve kök dizin ayarlarını inceleyin.
6. Güvenlik eklentisi, WAF veya CDN kullanıyorsanız engellenen isteğin kayıtlarını inceleyin. Sorun yalnızca belirli IP adreslerinde görülüyorsa ilgili engel kuralını belirleyin. Hız sınırının standart kodu 429 olsa da bazı güvenlik ürünleri engellemeyi 403 ile bildirebilir.
7. Değişiklikten sonra yapılandırmayı doğrulayın, ilgili servisi güvenli biçimde yeniden yükleyin ve aynı URL'yi tekrar test edin. Sorun sürerse son değişikliği geri alıp günlükleri yeniden karşılaştırın.

Bu tablo kesin neden değil, kontrol sırası sağlar. Dosya izinlerini düzeltmek tek başına her 403 sorununu çözmez. Hata bir uygulama rolünden, WAF kuralından veya yanlış sanal sunucu eşleşmesinden kaynaklanıyorsa izinleri değiştirmek hem etkisiz kalabilir hem de gereksiz güvenlik riski doğurabilir.

Ziyaretçiyseniz ne yapabilirsiniz?​

Önce adresi ve oturum durumunu kontrol edin. Hesabınızla giriş yaptıktan sonra da 403 görüyorsanız hesabınızın bu sayfaya yetkisi olmayabilir. Gizli sekmede denemek, çerezleri temizlemek veya farklı bir ağdan test etmek yalnızca sorunun tarayıcı, IP ya da oturum kaynaklı olup olmadığını anlamaya yardımcı olur; sunucu tarafındaki erişim kuralını değiştirmez.

Site size aitse hosting hata kayıtlarını ve kontrol panelindeki güvenlik olaylarını inceleyin. Site size ait değilse sayfa sahibine URL, yaklaşık zaman ve görülen hata metniyle bildirim göndermek en doğru sonraki adımdır.

Sık yapılan hatalar​

403 görünce doğrudan dosya izinlerini 777 yapmak, güvenlik eklentisini tamamen kapatmak veya tüm IP engellerini kaldırmak doğru yaklaşım değildir. Önce hangi katmanın yanıtı ürettiği belirlenmelidir. Ayrıca 403 sayfasını özel bir hata sayfasıyla değiştirmek yalnızca görüntüyü değiştirir; erişim kuralının kendisini düzeltmez.

Sık sorulan sorular​

403 hatası SEO açısından sorun mudur?​

Bir URL ziyaretçilere veya arama motorlarına sürekli 403 döndürüyorsa içerik erişilemez hâle gelir. URL bilerek kısıtlanmış bir yönetim veya özel alan değilse, erişim kuralı ve günlükler incelenerek normal ziyaretçilere doğru yanıt verildiği doğrulanmalıdır.

403 hatası kendiliğinden düzelir mi?​

Geçici IP engeli, WAF limiti veya oturum kaynaklıysa düzelebilir; dosya izni, yanlış yapılandırma veya kalıcı erişim kuralı kaynaklıysa yönetici müdahalesi gerekir.

403 hatası ile 404 hatası arasındaki temel fark nedir?​

403 erişimin reddedildiğini; 404 ise sunucunun kaynağı bulamadığını veya varlığını açıklamadığını bildirir. 403 kodu tek başına dosyanın varlığına ilişkin kesin kanıt değildir. Bazı sistemler güvenlik amacıyla yetkisiz kaynaklar için 403 yerine 404 döndürebilir.