403 Forbidden significa que el servidor entendió la solicitud, pero se niega a autorizarla. Si se enviaron credenciales, el servidor las considera insuficientes, y el cliente no debería limitarse a repetir la solicitud con las mismas credenciales. El servidor puede explicar el motivo en el cuerpo o guardárselo.
El 403 es también lo que devuelven muchos firewalls de aplicaciones web, CDN y sistemas de protección contra bots cuando bloquean una solicitud por su dirección IP, su país, su User-Agent o su comportamiento. Los servidores que no quieren revelar que existe un recurso prohibido pueden responder 404 Not Found en su lugar.
Usa 401 cuando iniciar sesión serviría de algo, y 451 cuando el acceso está bloqueado por motivos legales.
Ejemplo de respuesta
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO y verificación de redirecciones
Los motores de búsqueda no indexan las URL que devuelven 403, y las URL indexadas que empiezan a devolverlo se eliminan del índice como con cualquier otro 4xx. Los 403 accidentales para los rastreadores son frecuentes y se deben a reglas del firewall, a la protección contra bots o a límites de solicitudes que bloquean los rangos de IP o el User-Agent de Googlebot. Google desaconseja usar 401 o 403 para limitar el rastreo; en su lugar, devuelve 429 o 503 durante un tiempo breve.
Si una verificación de redirecciones devuelve 403 mientras la página funciona en tu navegador, probablemente el sitio bloquea el tráfico automatizado o procedente de centros de datos; TrueURL marca las respuestas que parecen una verificación antibots. Prueba otro User-Agent predefinido, como Googlebot, para ver lo que reciben los rastreadores, teniendo en cuenta que muchos sitios verifican el Googlebot real por su dirección IP.
Causas frecuentes y casos de uso
- Un firewall de aplicaciones web o una protección contra bots, como un desafío de Cloudflare, bloquea al cliente.
- Los permisos del sistema de archivos impiden que el servidor web lea el archivo.
- El listado de directorios está desactivado y la carpeta no tiene un archivo índice (por ejemplo,
Options -Indexesen Apache). - El acceso está restringido por dirección IP, país o sitio de origen (referrer), como en la protección contra hotlinking.