403 Forbidden — Ý nghĩa và cách khắc phục

403 Forbidden khác 401 Unauthorized ở đâu

Hai mã này bị hoán đổi thường xuyên, kể cả bởi lập trình viên, và phân biệt được chúng thực sự hữu ích khi bạn đang sửa lỗi.

401 nghĩa là "tôi không biết bạn là ai — hãy chứng minh". Đăng nhập có thể giải quyết. 403 nghĩa là "tôi biết chính xác bạn là ai, và câu trả lời vẫn là không". Đăng nhập sẽ không giúp gì, vì danh tính chưa bao giờ là vấn đề.

Nguyên nhân thường gặp, phổ biến nhất trước

• Sai quyền file hoặc thư mục. File web thường cần 644 và thư mục cần 755. File đặt 600 thì web server không đọc được và sinh 403 ngay lập tức.
• Không có file index trong thư mục, trong khi liệt kê thư mục đã tắt. Máy chủ không có gì để hiển thị và không được phép liệt kê file, nên từ chối. Đây là nguyên nhân số một của tình huống "thư mục của tôi báo 403".
• Một quy tắc trong .htaccess hoặc cấu hình máy chủ. Một dòng "Deny from all", một quy tắc chống hotlink, hoặc danh sách IP cho phép mà bạn không còn nằm trong đó.
• Plugin bảo mật hoặc WAF chặn bạn. Plugin tường lửa của WordPress, ModSecurity và các quy tắc Cloudflare đều trả về 403 khi một yêu cầu vi phạm quy tắc — thường là báo động giả với một yêu cầu hoàn toàn bình thường.
• IP của bạn đã bị chặn. Hoặc cố ý, hoặc tự động bởi trình chặn brute-force sau các lần đăng nhập thất bại.
• File thuộc sai người dùng. Hay gặp sau khi tải lên qua SSH bằng quyền root hoặc phục hồi từ bản sao lưu — file vẫn ở đó và trông ổn nhưng web server không đọc được.
• Chặn theo vùng địa lý hoặc chặn bot. Một số trang trả 403 cho cả quốc gia, cho dải IP của trung tâm dữ liệu, hoặc cho bất cứ thứ gì trông tự động. Người dùng VPN gặp chuyện này liên tục.

Kiểm tra theo thứ tự này

Bắt đầu bằng việc xác định lỗi chỉ xảy ra với bạn hay với tất cả mọi người, vì riêng dữ kiện đó đã loại được nửa danh sách trên.

• Mở trang trong cửa sổ ẩn danh, rồi mở bằng dữ liệu di động với Wi-Fi tắt. Nếu dữ liệu di động vào được, IP của bạn đang bị chặn và quyền file không phải vấn đề.
• Nhờ người ở nước khác mở giúp, hoặc dùng công cụ kiểm tra trực tuyến. Bạn nhận 403 còn họ nhận 200 nghĩa là đang bị chặn theo vùng hoặc theo IP.
• Nếu lỗi với tất cả mọi người, kiểm tra quyền trước: 644 cho file, 755 cho thư mục. Trên shared hosting, File Manager hiển thị và đổi được; qua SSH dùng "chmod 644" và "chmod 755".
• Xác nhận thư mục có file index — index.html hoặc index.php. Nếu bạn thực sự muốn khách xem danh sách file, phải bật liệt kê thư mục một cách rõ ràng.
• Đổi tên .htaccess thành .htaccess.bak rồi tải lại. Nếu 403 biến mất, một quy tắc trong file đó là thủ phạm và bạn có thể lần ra từ đấy. Nhớ khôi phục file sau khi đã biết.
• Tắt từng plugin bảo mật một. Plugin tường lửa và "gia cố" là nguồn báo động giả 403 rất thường gặp, đặc biệt với URL quản trị và endpoint REST API.
• Đọc error log của máy chủ. Apache và ModSecurity đều ghi lại quy tắc nào đã kích hoạt, biến việc đoán mò thành một dòng văn bản rõ ràng.
• Kiểm tra chủ sở hữu file. Trên máy chủ Linux thông thường web server chạy dưới www-data, nginx hoặc một user riêng của tài khoản; file thuộc root sẽ không đọc được dù quyền trông có vẻ đúng.

Khi 403 là hoàn toàn đúng

Không phải 403 nào cũng là lỗi. Rất nhiều trong số đó là máy chủ đang bảo vệ thứ gì đó đúng như thiết kế, và "sửa" chúng mới là sai lầm thật sự.

File cấu hình, thư mục sao lưu, thư mục .git, file môi trường và thư mục upload không được phép chạy code đều bị chặn một cách thường quy và chính xác. Nếu bạn thấy 403 trên /.env hay /.git/config, đó là tin tốt — nếu những file ấy đọc được mới là sự cố bảo mật thực sự.

Giới hạn tốc độ và chặn bot cũng hiện ra dưới dạng 403. Nếu công cụ thu thập dữ liệu, hệ thống giám sát hay API client của bạn nhận 403 trong khi trình duyệt vẫn vào bình thường, máy chủ đang nói rằng nó không muốn lưu lượng tự động ở tốc độ đó. Cách xử lý là giảm tốc hoặc xin quyền truy cập, không phải ngụy trang yêu cầu.

Trước khi đổi bất cứ thứ gì, hãy tự hỏi tài nguyên này có nên công khai không. Nếu câu trả lời là không, 403 đang làm đúng việc của nó và điều nên làm là để yên.