403 Forbidden は、サーバーがリクエストを理解したものの、その許可を拒否していることを示します。認証情報が送られていた場合、サーバーはそれを不十分と判断しているので、クライアントは同じ認証情報でリクエストを繰り返すだけではいけません。サーバーは理由をボディで説明することもあれば、明かさないこともあります。
403 は、多くの WAF（ウェブアプリケーションファイアウォール）、CDN、ボット対策システムが、IP アドレス、国、ユーザーエージェント、挙動を理由にリクエストをブロックするときに返すコードでもあります。禁止されたリソースの存在自体を明かしたくないサーバーは、代わりに 404 Not Found を返すことがあります。
レスポンス例
HTTP/1.1 403 Forbidden
Date: Fri, 06 Nov 2026 10:15:32 GMT
Server: Apache
Content-Type: text/html; charset=iso-8859-1
Content-Length: 198
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>SEO とリダイレクトチェック
検索エンジンは 403 を返す URL をインデックスせず、インデックス済みの URL が 403 を返すようになると、ほかの 4xx と同様にインデックスから削除します。ファイアウォールのルール、ボット対策、レート制限が Googlebot の IP アドレス範囲やユーザーエージェントをブロックしてしまい、クローラーに意図せず 403 が返されるケースはよくあります。Google は、クロールを制限する目的で 401 や 403 を使わないよう推奨しています。代わりに、短期間だけ 429 または 503 を返してください。
ブラウザーではページが表示されるのにリダイレクトチェックで 403 が返る場合、そのサイトはおそらく自動化されたアクセスやデータセンターからのアクセスをブロックしています。TrueURL は、ボット対策のチャレンジページと思われるレスポンスに印を付けます。Googlebot など別の User-Agent のプリセットを試すと、クローラーに何が返されるかを確認できます。ただし、多くのサイトは本物の Googlebot かどうかを IP アドレスで確認している点に注意してください。
よくある原因と主な用途
- Cloudflare のチャレンジなど、WAF やボット対策がクライアントをブロックしている場合。
- ファイルシステムのパーミッションのせいで、ウェブサーバーがファイルを読み取れない場合。
- ディレクトリの一覧表示が無効になっており、フォルダーにインデックスファイルがない場合（Apache の
Options -Indexesなど）。 - 画像の直リンク防止のように、IP アドレス、国、リファラーによってアクセスが制限されている場合。