403 Forbiddenの原因と対処方法｜安全な確認順序
403 Forbiddenは、サーバーがリクエストを理解したものの、アクセスを許可しなかったときに返される状態です。ファイル削除や権限の一括変更を行う前に、影響範囲と直前の変更を確認してください。
最初に確認すること
- サイト全体か、特定ページ・ファイルだけか
- 自分の回線だけか、他の端末でも起きるか
- 管理画面やFTPには接続できるか
- 直前に変更した設定、プラグイン、WAF
- サーバー会社の障害・メンテナンス情報
主な原因
アクセス制限
IPアドレス制限、Basic認証、国外アクセス制限、管理画面保護などが意図した利用者まで拒否している場合があります。設定の目的を確認してから変更します。
ファイルやディレクトリの権限
所有者やパーミッションがサーバーの推奨値と異なる場合、読み取りが拒否されます。すべてを777などへ変更するのは危険です。契約サーバーの公式値へ合わせてください。
.htaccessの設定
アクセス制御、RewriteRule、旧バージョン向けの記法、記述ミスが原因になる場合があります。変更前のファイルを保存し、直前に追加した部分から確認します。
WAFやセキュリティ機能
特定の入力やURLを攻撃と判定して遮断することがあります。WAFログや検知時刻を確認し、機能全体を長期間停止せず、必要なルールや操作だけを切り分けます。
WordPressのプラグイン
セキュリティ系プラグイン、ログイン制限、キャッシュ、メンテナンス設定などが候補です。管理画面へ入れない場合は、バックアップを確保した上で公式手順や制作者の支援を利用してください。
安全な確認順序
- エラー発生時刻と対象URLを記録する
- 障害情報とサーバーのエラーログを確認する
- 管理画面のアクセス制限・WAFログを確認する
- 直前に変更した設定だけ元へ戻す
- .htaccessを退避して公式の最小構成と比較する
- ファイル所有者と権限を公式値と照合する
- 解決しなければ記録を添えてサポートへ相談する
やってはいけない対応
- 原因不明のまま全ファイルの権限を緩める
- .htaccessをバックアップせず削除する
- WAFやログイン保護を恒久的に停止する
- 複数の設定を同時に変更する
- エラー画面だけを見てサーバーを初期化する
サポートへ伝える情報
対象URL、発生日時、利用回線、再現条件、直前の変更、ログの該当部分を伝えます。管理者パスワード、秘密鍵、APIキーは送信しないでください。
参考：Apache HTTP Server Access Control、HTTP Semantics 403。権限や設定方法は契約サーバーの公式マニュアルを優先してください。