403 Forbidden signifie que le serveur a compris la requête mais refuse de l’autoriser. Si des identifiants ont été envoyés, le serveur les juge insuffisants, et le client ne doit pas simplement répéter la requête avec les mêmes identifiants. Le serveur peut expliquer la raison dans le corps de la réponse, ou la garder pour lui.
C’est aussi le code que renvoient de nombreux pare-feux applicatifs (WAF), CDN et systèmes de protection anti-bot lorsqu’ils bloquent une requête en raison de son adresse IP, de son pays, de son User-Agent ou de son comportement. Les serveurs qui ne veulent pas révéler l’existence d’une ressource interdite peuvent répondre 404 Not Found à la place.
Utilisez 401 lorsqu’une connexion permettrait l’accès, et 451 lorsque l’accès est bloqué pour des raisons juridiques.
Exemple de réponse
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO et vérification des redirections
Les moteurs de recherche n’indexent pas les URL qui renvoient 403, et les URL indexées qui se mettent à le renvoyer sont retirées comme pour toute autre erreur 4xx. Les 403 accidentels pour les robots d’exploration sont fréquents : ils proviennent de règles de pare-feu, d’une protection anti-bot ou de limitations de débit qui bloquent les plages d’adresses IP ou le User-Agent de Googlebot. Google déconseille d’utiliser 401 ou 403 pour limiter l’exploration ; renvoyez plutôt 429 ou 503 pendant une courte période.
Si une vérification des redirections renvoie 403 alors que la page fonctionne dans votre navigateur, le site bloque probablement le trafic automatisé ou issu de centres de données ; TrueURL signale les réponses qui ressemblent à une vérification anti-bot. Essayez un autre préréglage de User-Agent, comme Googlebot, pour voir ce que reçoivent les robots d’exploration, en gardant à l’esprit que de nombreux sites vérifient le vrai Googlebot grâce à son adresse IP.
Causes fréquentes et cas d’usage
- Un pare-feu applicatif ou une protection anti-bot, comme un défi Cloudflare, bloque le client.
- Les permissions du système de fichiers empêchent le serveur web de lire le fichier.
- Le listage des répertoires est désactivé et le dossier n’a pas de fichier d’index (par exemple
Options -Indexesdans Apache). - L’accès est restreint par adresse IP, par pays ou par référent, comme avec une protection contre le hotlinking.