HTTP 403 Forbidden

HTTP 403 の意味

HTTP 403 Forbidden は、サーバーがあなたの要求内容を把握したうえで拒否していることを意味します。401 とは異なり、（再度）認証しても解決しません — 拒否の理由は身元ではなく、権限やポリシーに関するものです。

理由は、サーバーのファイルシステムの権限から、地域・IP ブロック、そしてリクエストが悪意あるものだと判断した Web アプリケーションファイアウォールまで多岐にわたります。一部のサイトでは、リソースの存在有無を隠すために 404 の代わりに 403 を返すこともあります。

403 エラーのよくある原因

• 権限不足: アカウントに必要なロールがない、またはサーバー上のファイルに読み取り権限がありません（chmod / 所有者の設定）。
• IP アドレス、国、またはユーザーエージェントが、サーバー、CDN、または WAF ルールによってブロックされています。
• autoindex が無効なフォルダ（index.html が存在しない）でディレクトリ一覧が要求されました。
• ホットリンク対策が、外部の Referer を持つリクエストを拒否しています。
• Cloudflare や他の WAF のチャレンジに失敗しました — 自動化されたトラフィックはここで 403 になることがよくあります。

ユーザーとしての対処法

• 実際にアクセス権を持つアカウントでログインしているか確認してください。
• VPN やプロキシなしで試してください — 出口 IP がブロックされている可能性があります。
• 自分がそのコンテンツの所有者である場合は、再試行するのではなく、ファイル権限や .htaccess / WAF のルールを確認してください。

開発者としての対処法

• ファイルの所有権と権限を確認してください（一般的な Web サーバーでは、ファイルは 644、ディレクトリは 755 が典型的です）。
• 拒否ルールを見直してください: .htaccess、nginx の deny ディレクティブ、セキュリティプラグイン、WAF のマネージドルールです。
• インデックスドキュメントが存在すること、または意図どおりにディレクトリ一覧を明示的に有効・無効にしてください。
• API では、クライアントがポリシー拒否と認証失敗を区別できるよう、機械可読な理由を添えて 403 を返してください。

レスポンス例

HTTP/1.1 403 Forbidden
Content-Type: application/json

{"error":"forbidden","reason":"account lacks role: admin"}

よくある質問