403 Forbidden

Semnificația răspunsului

403 Forbidden face parte din categoria răspunsurilor HTTP de eroare asociate clientului. Conform semanticii HTTP definite de RFC 9110, codurile de stare descriu răspunsul serverului. În cazul unui răspuns 403, serverul a înțeles cererea, dar refuză procesarea acesteia.

Sursa normativă pentru semantica HTTP actuală este RFC 9110. Documentul definește elementele comune versiunilor majore HTTP. RFC 7231 este specificația anterioară pentru semantica HTTP și a fost înlocuită de RFC 9110.

Diferența față de 401

Spre deosebire de un răspuns 401, autentificarea sau reautentificarea nu schimbă, în sine, rezultatul unui răspuns 403. Cererea poate fi deja autentificată, dar clientul nu are drepturile necesare pentru resursa sau acțiunea solicitată. Repetarea aceleiași cereri fără modificări este de așteptat să producă același rezultat.

De exemplu, un utilizator autentificat poate avea acces la vizualizarea unei resurse, dar nu și la ștergerea acesteia. Aplicația poate răspunde cu 403 Forbidden când este solicitată acțiunea nepermisă.

Utilizarea intenționată a răspunsului

Serverul poate folosi 403 pentru a comunica refuzul accesului. Totuși, proprietarul serverului poate alege un răspuns 404 Not Found atunci când nu dorește să confirme existența resursei unui client fără privilegii suficiente.

Pe un site public, un răspuns 403 poate fi intenționat pentru zone administrative sau resurse private. Pentru paginile care ar trebui să fie accesibile public, același răspuns poate indica o regulă de acces, o permisiune sau o logică de aplicație configurată necorespunzător.

În SEO, un răspuns 403 necesită atenție atunci când apare pe un URL care ar trebui să fie public. Clientul sau crawlerul care efectuează cererea primește refuzul serverului și nu obține prin acea cerere conținutul resursei.

Nu orice răspuns 403 este o problemă SEO. Zonele administrative, conturile utilizatorilor și resursele private pot refuza accesul în mod intenționat. Analiza trebuie să facă diferența între URL-urile publice și cele care necesită permisiuni.

Același principiu tehnic se aplică oricărui sistem care încearcă să preia direct un URL: dacă primește 403 Forbidden, cererea respectivă nu îi oferă acces la conținutul paginii. Acest fapt nu permite concluzii despre alte surse sau mecanisme pe care sistemul le-ar putea utiliza.

Pentru SEO și pentru practicile din industrie numite GEO, obiectivul prudent este ca resursele destinate publicului să nu fie blocate accidental. GEO este un termen de industrie, nu o funcție Google.

Un magazin online românesc are o categorie publică la adresa https://www.exemplu.ro/cafea. O regulă de acces configurată greșit refuză însă cererea:

GET /cafea HTTP/1.1
Host: www.exemplu.ro

Serverul răspunde:

HTTP/1.1 403 Forbidden
Content-Type: application/json

{
  "error": "InsufficientPermissions"
}

Răspunsul poate fi corect pentru o zonă privată, dar este nepotrivit dacă pagina categoriei trebuie să fie disponibilă publicului și clienților care încearcă să o preia.

1. Solicită URL-ul și afișează anteturile răspunsului:

curl -i https://www.exemplu.ro/cafea

2. Verifică dacă răspunsul conține linia HTTP/... 403 Forbidden.
3. Repetă verificarea fără autentificare și, dacă resursa este privată, cu acreditările sau permisiunile corespunzătoare.
4. Consultă jurnalele serverului pentru a identifica cererea refuzată și regula sau componenta care a generat răspunsul.
5. Verifică logica aplicației, permisiunile resursei și regulile de acces aplicate URL-ului.
6. Pentru mai multe URL-uri, folosește un crawler precum Screaming Frog doar ca instrument practic de inventariere a codurilor HTTP. Raportul uneltei nu definește modul în care funcționează Google.

• Stabilește dacă URL-ul trebuie să fie public sau protejat.
• Păstrează răspunsul 403 pentru resursele și acțiunile la care accesul trebuie refuzat.
• Elimină regulile de acces aplicate accidental paginilor publice.
• Corectează permisiunile sau logica aplicației atunci când un client autorizat primește un refuz nejustificat.
• Retestează cererea după modificare și confirmă codul de stare primit.
• Monitorizează jurnalele serverului pentru răspunsuri Forbidden apărute pe URL-uri publice importante.