Błąd 403 Forbidden oznacza, że serwer zrozumiał żądanie, ale odmówił dostępu. Na hostingu jdm.pl to najczęściej nie awaria, tylko celowe zadziałanie ochrony. Któraś warstwa zabezpieczeń uznała żądanie za niepożądane i je zablokowała. Poniżej pokażemy, jak ustalić, która ochrona odpowiada za blokadę, i jak ją poprawić.
Skąd bierze się 403 na naszym hostingu
Najczęstsze źródła to zabezpieczenia, które sam włączasz w zakładce Bezpieczeństwo:
- Firewall 7G/8G: reguła zapory uznała żądanie za atak i je odcięła. Zdarza się przy nietypowych adresach, parametrach albo zapytaniach z wtyczek.
- JDM Shield: blokada kraju, JS Challenge albo ochrona logowania (wp-login / wp-admin) odrzuciła dostęp, na przykład spoza dozwolonego obszaru.
- Basic Auth: strona lub sam panel wp-admin są chronione dodatkowym oknem logowania. Brak hasła albo błędne dane dają 403.
- Blokady hardeningu (Ochrona WordPress): wyłączone ścieżki takie jak XMLRPC, WP-JSON (REST API), load-scripts.php czy wykonywanie plików w /uploads. Potrafią blokować konkretne funkcje wtyczek lub aplikacji.
Krok 1: ustal, kto i skąd dostaje 403
Zanim coś zmienisz, sprawdź zakres problemu.
- Czy 403 widzisz tylko Ty, czy wszyscy odwiedzający?
- Czy dotyczy całej strony, czy tylko wp-admin albo jednego adresu?
- Czy pojawia się z jednego kraju lub jednej sieci?
Odpowiedzi zawężają przyczynę. 403 tylko na wp-login sugeruje JDM Shield lub Basic Auth. 403 dla odwiedzających z jednego kraju to blokada krajów. 403 na dziwnym adresie z parametrami to zwykle Firewall.
Krok 2: sprawdź Access log
- Zaloguj się do panel.jdm.pl → Hosting → przy stronie kliknij Szczegóły → zakładka Logi.
- Wybierz typ Access log i kliknij Odśwież. Znajdź wpisy z kodem 403 z czasu blokady. Zobaczysz, jaki adres i z jakiego IP został odrzucony.
Krok 3: przetestuj Firewall
Jeśli podejrzewasz zaporę, przełącz ją testowo z 8G na 7G. Reguły 7G są łagodniejsze, więc pomoże to potwierdzić, czy to Firewall generuje 403.
- Wejdź w zakładkę Bezpieczeństwo, karta Firewall.
- Zmień ustawienie z 8G Firewall (zalecane) na 7G Firewall i zapisz.
- Sprawdź, czy błąd zniknął. Jeśli tak, przyczyną była reguła zapory.
Zmiana na 7G to test diagnostyczny, a nie docelowe rozwiązanie. Jeśli 7G pomogło, wróć potem do 8G, gdy tylko ustalisz, co dokładnie było blokowane. Zapora chroni stronę przed realnymi atakami.
Krok 4: sprawdź JDM Shield i Basic Auth
- W zakładce Bezpieczeństwo otwórz kartę JDM Shield. Sprawdź, czy ochrona wp-login / wp-admin nie jest ustawiona zbyt restrykcyjnie (na przykład Pełna blokada albo Dostęp tylko z UE) i czy blokada krajów nie obejmuje Twojej lokalizacji.
- Sprawdź kartę Basic Auth. Jeśli jest włączona, upewnij się, że wpisujesz właściwy login i hasło. Więcej o obu ochronach znajdziesz we wpisie JDM Shield: ochrona logowania i blokada botów.
Najczęstsze problemy
403 dostaje tylko część odwiedzających. Sprawdź w JDM Shield blokadę krajów i JS Challenge. Jeśli blokujesz konkretny obszar, właśnie stamtąd zobaczą 403.
403 na wp-admin, choć znam hasło. To zwykle ochrona logowania w JDM Shield albo osobne okno Basic Auth. Sprawdź obie karty w zakładce Bezpieczeństwo.
Wtyczka lub aplikacja zgłasza 403 przy łączeniu z API. Sprawdź w karcie Ochrona WordPress, czy nie jest włączona blokada WP-JSON (REST API) lub XMLRPC. Wyłącz tę, której potrzebuje Twoje narzędzie, i zapisz ochronę.