L’erreur 403 Forbidden signifie que le serveur a bien compris votre demande mais refuse d’y répondre : vous n’avez pas le droit d’accéder à cette page ou à ce fichier. Visiteur, vérifiez l’adresse, votre connexion et votre VPN. Propriétaire, contrôlez les permissions des fichiers, le fichier .htaccess, le pare-feu et la présence d’une page d’accueil.
Une 403 n’est pas une panne : c’est un refus. Le serveur fonctionne, mais une règle l’empêche de vous servir la page. Cette règle peut être légitime (zone réservée, pays bloqué, adresse IP jugée suspecte) ou accidentelle (permissions erronées après une migration, ligne fautive dans .htaccess, pare-feu trop strict).
Ne la confondez pas avec une page introuvable (404), ni avec une demande d’identifiants (401). Les étapes 1 à 4 concernent un site que vous visitez, les étapes 5 à 8 un site dont vous êtes propriétaire.
Contrôler l’adresse saisie
Si vous visitez un site. Relisez l’adresse : une faute, un dossier au lieu d’une page, une adresse tronquée qui pointe vers un répertoire sans page d’accueil produisent une 403. Remontez à la page d’accueil du site, puis rejoignez la page voulue par les menus plutôt qu’en collant un lien ancien.
Vérifier que vous avez le droit d’y accéder
Si vous visitez un site. Certaines pages sont réservées aux comptes connectés, aux abonnés ou à une organisation. Connectez-vous avec le bon compte, ou déconnectez-vous puis reconnectez-vous si vous en avez changé. Un lien partagé peut aussi avoir expiré ou être limité à des destinataires précis : demandez-en un nouveau à la personne qui vous l’a envoyé.
Désactiver le VPN ou le proxy
Si vous visitez un site. Beaucoup de sites bloquent des plages d’adresses IP associées à des VPN, des réseaux partagés ou certains pays. Désactivez votre VPN, ou changez de réseau (par exemple la connexion mobile), puis rechargez. Si le site s’ouvre, l’adresse que vous utilisiez était filtrée. Si vous n’avez pas de VPN et que le blocage persiste, contactez l’éditeur en lui indiquant votre adresse IP publique.
Vider le cache et les cookies, ou changer de navigateur
Si vous visitez un site. Un cookie obsolète ou un ancien refus mis en cache peut maintenir l’erreur. Testez en navigation privée ; si la page s’ouvre, effacez les cookies et le cache de ce seul site. Si la 403 apparaît sur tous vos appareils et tous vos réseaux, elle est décidée par le serveur : seul l’éditeur peut la lever.
Vérifier les permissions des fichiers et dossiers
Si c’est votre site. Après un transfert, une restauration ou un changement de propriétaire sur le serveur, les droits sont parfois faux. Par FTP ou le gestionnaire de fichiers, les valeurs usuelles sont 755 pour les dossiers et 644 pour les fichiers, wp-config.php pouvant être plus restreint. Un dossier ou un fichier en 000, ou dont le propriétaire est incorrect, renvoie une 403. Sur un accès SSH, WordPress documente les commandes find avec chmod pour les corriger en masse.
Neutraliser temporairement le fichier .htaccess
Si c’est votre site. Une directive Deny from all, une règle Require mal placée ou un blocage d’adresses IP copié depuis un tutoriel refusent l’accès à tout le monde. Renommez .htaccess en .htaccess_old (affichez les fichiers cachés) et rechargez. Si le site réapparaît, rétablissez le fichier ligne par ligne pour repérer celle qui pose problème. Sur WordPress, une version propre se régénère dans Réglages > Permaliens.
Examiner le pare-feu, ModSecurity, Cloudflare et les plugins de sécurité
Si c’est votre site. Un pare-feu d’application peut bloquer une requête légitime, par exemple l’enregistrement d’un formulaire ou d’un contenu contenant du code. Cherchez dans le journal de l’hébergeur ou de Cloudflare (rubrique des événements de sécurité) une règle déclenchée à l’heure de l’erreur. Vérifiez aussi que votre propre adresse IP n’est pas bloquée par un plugin de sécurité ou une limitation de tentatives de connexion. Si un plugin est en cause, désactivez-le par FTP en renommant son dossier dans wp-content/plugins.
S’assurer qu’une page d’accueil existe
Si c’est votre site. Lorsque la racine du site ne contient ni index.html ni index.php et que l’affichage de la liste des fichiers est désactivé, le serveur répond par une 403. Vérifiez que le fichier d’accueil est bien présent, au bon endroit (le dossier public indiqué par l’hébergeur, souvent public_html ou www), et que le domaine pointe vers ce dossier. Après une migration, un fichier d’accueil resté dans un sous-dossier est la cause la plus courante.
Questions fréquentes
Comment enlever l’erreur 403 ?
Cela dépend de votre position. Visiteur, vérifiez l’adresse, connectez-vous avec le bon compte, désactivez le VPN et testez un autre réseau : si l’erreur persiste, seul le site peut la lever. Propriétaire, corrigez les permissions (755 et 644), renommez .htaccess, examinez le pare-feu et contrôlez la présence d’une page d’accueil.
Quelle différence entre l’erreur 403 et l’erreur 401 ?
La 401 signifie que le serveur attend une authentification valable : identifiants absents ou incorrects, qu’il vous demande souvent dans une fenêtre. La 403 signifie que le serveur sait déjà qui vous êtes, ou n’a pas besoin de le savoir, et refuse quand même. Se reconnecter règle parfois la première, rarement la seconde.
L’erreur 403 apparaît seulement dans l’administration WordPress, pourquoi ?
Un plugin de sécurité, un pare-feu ou ModSecurity bloque souvent wp-admin ou wp-login.php quand la requête ressemble à une attaque ou que votre adresse IP a changé. Consultez le journal du pare-feu, autorisez votre adresse, puis désactivez temporairement les extensions de sécurité par FTP. Si les blocages sont inexpliqués, voyez aussi le guide sur un site piraté.
Une erreur 403 peut-elle faire baisser mon référencement ?
Oui, si elle touche des pages que les moteurs doivent explorer. Un robot qui reçoit une 403 ne peut pas lire la page, et elle peut disparaître des résultats. Vérifiez que le pare-feu ou Cloudflare ne bloque pas les robots légitimes, puis surveillez les erreurs d’exploration dans la Search Console.
Sources
- 403 Forbidden — MDN Web Docs
- Hardening WordPress (permissions des fichiers) — developer.wordpress.org