Tempo estimado: 3–8 min | Nível: Iniciante a Intermediário
O erro 403 Forbidden significa que o servidor nega o acesso ao recurso solicitado. Abaixo você encontra um checklist rápido e as correções mais comuns (Apache/cPanel e também notas para ASP/IIS).
1) Existe um arquivo inicial (index) na pasta certa? | 2) Permissões e proprietário estão corretos? | 3) .htaccess tem regra bloqueando? | 4) Há proteção por senha (.htpasswd)? | 5) Segurança/Firewall (ModSecurity, bloqueio por IP, Hotlink) não está barrando?
1) Verifique o arquivo inicial (index)
Na pasta raiz do seu site (ex.: public_html ou www), deve existir um arquivo “padrão” de inicialização. Exemplos:
- Linux/Apache (HTML/PHP/CGI):
index.html,index.php,index.cgi - ASP/IIS (HTDOCS):
index.asp,default.asp,default.aspx
Se não houver arquivo index e a listagem de diretórios estiver desativada (Options -Indexes), o servidor retorna 403. Crie/reenvie o index adequado.
2) Permissões e proprietário (ownership)
- Não use 777. Em hospedagens compartilhadas isso pode causar 403/500.
- Recomendado: pastas 755 e arquivos 644. Scripts CGI/Perl: 755.
- Envie os arquivos com o usuário correto do site para evitar problemas de owner/grupo.
3) Regras no .htaccess
O arquivo .htaccess pode bloquear sem querer:
- Bloqueio por IP/Host (ex.:
Deny from all,Require all denied). - Hotlink Protection mal configurado bloqueando o próprio domínio.
- Regras de reescrita (
mod_rewrite) redirecionando para rotas inexistentes/bloqueadas.
Teste rápido: renomeie .htaccess para .htaccess.bak e recarregue o site. Se funcionar, reintroduza as regras aos poucos até achar a linha problemática.
4) .htpasswd (proteção por senha)
Se a pasta raiz estiver protegida por senha, haverão arquivos .htaccess e .htpasswd. Se você não deseja proteção, remova a regra do .htaccess que exige autenticação (ou delete os dois arquivos) e teste novamente.
Atenção: se a proteção é intencional (área restrita), não remova — ajuste apenas o caminho do .htpasswd ou recrie a proteção via painel.
5) Segurança/Firewall (ModSecurity, bloqueios)
- ModSecurity pode bloquear padrões suspeitos e retornar 403. Informe a URL e data/hora ao suporte para revisão de regra.
- Bloqueio por IP/Geo no .htaccess ou no painel (WAF/CDN) também pode causar 403.
- Hotlink: confirme que seu domínio está incluído como permitido nas regras.
6) Ajuste do “Documento padrão” (DirectoryIndex)
Se o nome do seu arquivo inicial é diferente, declare-o no .htaccess:
DirectoryIndex index.php index.htmlColoque o arquivo desejado primeiro na lista.
7) Notas para ASP/IIS
- Confirme os “Documentos Padrão” (ex.:
default.asp,index.asp,default.aspx). - Permissões do diretório do site e de aplicações/handlers precisam permitir leitura/execução.
• Mantenha apenas um index principal por pasta pública.
• Evite permissões 777; use 755/644.
• Não copie
.htaccess de outro servidor sem revisar as diretivas.• Após migrações, limpe cache (CDN/servidor) e confirme se as rotas existem.
Modelo para abrir ticket
Assunto: Erro 403 — Forbidden
Domínio/URL: [https://meusite.com.br/]
Desde quando: [data/hora] | O que mudou antes: [upload, plugin, migração, regras no .htaccess]
Testes feitos: [index presente, renomeei .htaccess, ajuste de permissões 755/644, revisei Hotlink/Firewall]
Observações: [se houver bloqueio por IP/ModSecurity, cole o trecho de log]
Se ainda precisar de ajuda
Abra um chamado na Central do Cliente ou fale conosco. Nosso time verifica permissões, regras de segurança e logs para identificar o ponto exato do bloqueio.
Palavras-chave: erro 403, forbidden, you don’t have permission to access, .htaccess, .htpasswd, DirectoryIndex, index.php, index.html, permissões 755 644, hotlink protection, ModSecurity, Apache, IIS, hospedagem de sites
