403 Forbidden Hatası: Erişim Engellendi Ne Demek, Neden Olur, Nasıl Çözülür?

Ziyaretçi Olarak 403 Hatası Görülürse Ne Yapılmalı?

Ziyaretçi tarafında yapılabilecekler sınırlıdır; 403 sunucunun kararıdır ve kalıcı çözümü yalnızca site sahibi uygulayabilir. Yine de engelin kişiye özel olup olmadığı birkaç basit kontrolle anlaşılır.

İlk kontrol adresin kendisidir: bir klasör adresinin sonuna dosya adı eklenmemişse ya da adres yanlış kopyalandıysa sunucu o klasöre erişimi reddedebilir. Ardından sayfa gizli pencerede açılır; eski bir oturum çerezi giriş gerektiren sayfalarda karışıklık çıkarabilir. VPN, proxy veya kurumsal ağ kullanılıyorsa bunlar kapatılıp mobil veriyle denenir. Paylaşılan IP adreslerinden biri daha önce kötüye kullanıldıysa güvenlik katmanı o adresten gelen herkesi engelliyor olabilir.

Sorun sürerse site sahibine tam adres, saat ve ekran görüntüsü iletilir; hata sayfasında bir referans numarası varsa o da eklenir.

Site Sahibi İçin Teşhis: 403’ün Kaynağı Nasıl Bulunur?

403 forbidden hatası teşhisi, engelin kimi, hangi adresi ve hangi katmanı etkilediği sırayla daraltılarak yapılır. Bakım sürecimizde bir 403 bildirimi geldiğinde şu sıra izlenir:

1. Kapsam: Tüm site mi, yalnızca wp-admin mi, tek bir dosya ya da klasör mü, yoksa yalnızca görseller mi etkileniyor?
2. Kimin etkilendiği: Herkes mi, belirli bir ülke veya ağ mı, yalnızca giriş yapmış kullanıcılar mı, yoksa yalnızca botlar mı? Farklı ağdan ve gizli pencereden deneme yapılır.
3. Zamanlama: Hata hangi gün başladı; o gün eklenti güncellemesi, site taşıma, SSL veya CDN değişikliği, yeni bir güvenlik ayarı yapıldı mı?
4. Hata sayfasının görünümü: Sunucu, CDN ya da WordPress sayfası mı? Bu, aranacak katmanı belirler.
5. Sunucu günlükleri: Erişim günlüğünde 403 dönen satırlar, hata günlüğünde ise varsa ModSecurity kural kimliği aranır.
6. Güvenlik ve CDN kayıtları: Güvenlik eklentisinin engellenen istekler listesi ve CDN’in olay kayıtları kontrol edilir.
7. CDN’i atlayarak deneme: CDN geçici olarak duraklatılır; hata kalkarsa kaynak CDN kuralıdır, kalkmazsa sunucu tarafına bakılır.

403 yalnızca giriş ekranında çıkıyorsa WordPress admin paneline giriş yapılamıyor rehberindeki adımlar da birlikte uygulanır.

WordPress 403 Forbidden Hatası Nasıl Çözülür?

WordPress 403 forbidden sorunu çoğunlukla dört yerden çözülür: dosya izinleri, .htaccess kuralları, güvenlik eklentisi ayarları ve dizin yapısı. Her müdahaleden önce dosyaların ve veritabanının yedeği alınır; değişiklikler tek tek yapılır ki hangisinin sonuç verdiği bilinsin.

Dosya ve klasör izinlerini düzeltmek

WordPress’in dosya izinleri belgesi klasörler için 755 veya 750, dosyalar için 644 veya 640 değerini önerir. Aynı belgeye göre wp-config.php, sunucudaki diğer kullanıcıların okumasını önlemek için 440 veya 400 olmalıdır. Belge ayrıca dosyaların genellikle sitenin FTP hesabına ait olması gerektiğini anlatır; taşımadan sonra sahiplik farklı bir kullanıcıya geçtiyse izin değerleri doğru görünse bile 403 sürebilir. Değişiklik sonrası sitenin ve yükleme işlemlerinin çalıştığı ayrıca kontrol edilir.

.htaccess dosyasını yenilemek

Kök dizindeki .htaccess dosyası yedeklenir ve adı geçici olarak değiştirilir (örneğin .htaccess-eski). Site açılıyorsa sorun bu dosyadadır; ardından Ayarlar › Kalıcı bağlantılar ekranında “Değişiklikleri kaydet” düğmesine basılır. WordPress’in kalıcı bağlantılar belgesine göre dosya yazılabilirse WordPress kuralları kendisi yazar; yazılamıyorsa ekranda dosyaya elle eklenmesi gereken kuralları gösterir. Eski dosyadaki yönlendirme ve güvenlik satırları tek tek incelenir, gerekenler geri eklenir.

Nginx kullanan sunucularda .htaccess okunmaz; erişim kuralları sunucu yapılandırmasındadır.

Güvenlik eklentisini ve WAF kuralını kontrol etmek

Güvenlik katmanı kaynaklı engellerde amaç korumayı kapatmak değil, yanlış alarm veren kuralı bulmaktır. Kontrol sırası şöyledir:

• Panele girilebiliyorsa eklentinin engellenen istekler kaydına bakılır, site yöneticisinin kendi IP’si gerekiyorsa izin listesine alınır.
• Panele girilemiyorsa wp-content/plugins altındaki güvenlik eklentisinin klasör adı geçici olarak değiştirilir; site açılırsa ayarlar tek tek gözden geçirilir ve klasör adı geri verilir.
• ModSecurity kaynaklı engelde hata günlüğündeki kural kimliği tespit edilir ve yalnızca o kural için istisna tanımlanır.
• CDN tarafında son eklenen bot, ülke ve hız sınırı kuralları geçici olarak kapatılıp tek tek denenir.

Index dosyasını ve yükleme klasörünü kontrol etmek

Kök dizinde index.php bulunmadığında ya da site dosyaları ana klasör yerine bir alt klasöre yüklendiğinde ana sayfa 403 verebilir. Yeni kurulum ve taşıma sonrasında dosyaların doğru dizinde olduğu kontrol edilir.

Güvenlik Duvarı Googlebot’u 403 ile Engellerse SEO’ya Ne Olur?

Googlebot 403 aldığı sayfanın içeriğini kullanmaz; sayfa daha önce dizindeyse dizinden çıkarılabilir. Bu etki, engel yalnızca botlara uygulandığında da geçerlidir ve site sahibi tarayıcıdan bakınca her şeyi normal gördüğü için sorun haftalarca fark edilmeyebilir.

Google’ın HTTP durum kodları ve ağ hataları belgesi, 4xx kodu dönen URL’lerin içeriğinin kullanılmadığını ve daha önce dizine eklenmiş URL’nin dizinden kaldırıldığını belirtir. Aynı belge, tarama hızını sınırlamak için 401 ve 403 kullanılmamasını ister; 429 dışındaki 4xx kodlarının tarama hızına bir etkisi yoktur. Botları 403 ile yavaşlatmaya çalışmak hem işe yaramaz hem de sayfaları dizinden düşürme riski taşır.

Google’ın sayfa dizine ekleme raporu belgesi 403 için ayrı bir satır tanımlar. Belgede, 403’ün kimlik bilgisi sunulup erişim verilmediği anlamına geldiği, Googlebot’un ise hiçbir zaman kimlik bilgisi göndermediği ve sunucunun bu hatayı yanlış döndürdüğü açıklanır. Googlebot’un 403 aldığı tipik senaryolar şunlardır:

• Ülke engeli: Google’ın yerel uyarlamalı sayfalar belgesi, Googlebot’un varsayılan IP adreslerinin ABD merkezli göründüğünü yazar; yalnızca Türkiye’ye açık bir site Googlebot’u da dışarıda bırakabilir.
• Agresif bot koruması: Tarayıcı olmayan her istemciyi engelleyen CDN veya eklenti ayarı arama motoru botlarını da kapsar.
• Kullanıcı aracısına göre engelleme: Kötü botları durdurmak için yazılan kural, adında benzer ifade geçen meşru botları da yakalayabilir.
• Hız sınırı kuralı: Yoğun tarama sırasında devreye giren limit 403 dönüyorsa arama motoru bunu erişim reddi olarak okur.

Aynı mantık yapay zekâ arama araçlarının botları için de geçerlidir: güvenlik katmanı bu botları 403 ile durdurursa sitenin içeriğine erişemezler. Sitenin aramada hiç görünmemesinin diğer nedenleri site Google’da çıkmıyor yazısında ayrıca anlatılır.

Search Console ile 403 Engeli Nasıl Kontrol Edilir?

Search Console’da üç yer 403 engelini gösterir: URL Denetimi aracının canlı testi, sayfa dizine ekleme raporu ve Tarama İstatistikleri raporu.

Google’ın URL Denetimi belgesine göre canlı test URL’yi gerçek zamanlı getirip inceler ve Google’ın sayfayı sunucudan alıp alamadığını gösterir. Sayfa tarayıcıda açıldığı halde canlı testte getirilemiyorsa engel büyük olasılıkla bot tarafına özeldir. Kontrol şu sırayla yapılır:

1. Sorunlu adres URL Denetimi’ne girilir ve canlı test çalıştırılır; sayfa getirme durumu ile yanıt bilgisi not edilir.
2. Sayfa dizine ekleme raporunda 403 kaynaklı satır açılır ve etkilenen örnek URL’lere bakılır.
3. Ayarlar altındaki Tarama İstatistikleri raporunda yanıt türlerine göre dağılım incelenir; 4xx oranında ani bir artış, engelin başladığı tarihi gösterir.
4. Düzeltmeden sonra canlı test tekrarlanır, sonuç başarılıysa önemli sayfalar için dizine ekleme isteği gönderilir.

Tarama İstatistikleri belgesi bu raporun yalnızca kök düzeydeki mülklerde, yani alan adı mülkünde ya da kök URL önekli mülkte açıldığını belirtir.

Gerçek Googlebot ve Yapay Zekâ Botları Nasıl Doğrulanır?

Kullanıcı aracısı (user-agent) satırı kolayca taklit edildiği için bir isteğin gerçekten Googlebot’tan geldiği IP adresi üzerinden doğrulanır. Google’ın Googlebot doğrulama belgesi iki yol tanımlar: ters DNS ile elle doğrulama ve Google’ın yayımladığı IP aralıklarıyla otomatik eşleştirme.

Elle doğrulamada belgede anlatılan sıra genel hatlarıyla şöyledir: günlükteki IP adresi için ters DNS sorgusu yapılır ve dönen alan adının googlebot.com, google.com veya googleusercontent.com ile bittiği kontrol edilir. Ardından bu alan adı için ileri DNS sorgusu yapılır; sonuç günlükteki IP adresiyle aynıysa istek Google’a aittir. Tutmuyorsa istek Googlebot taklidi yapan başka bir istemcidir.

Otomatik yolda Google, tarayıcılarının IP aralıklarını CIDR biçiminde JSON dosyaları olarak yayımlar; Googlebot gibi yaygın tarayıcılar ayrı, özel tarayıcılar ve kullanıcı tetiklemeli araçlar ayrı dosyalarda yer alır. Güvenlik duvarındaki izin kuralı bu listelere ya da güvenlik hizmetinin doğrulanmış bot özelliğine dayanmalı, yalnızca bot adına değil. Yapay zekâ tarafında da benzer bir düzen vardır; OpenAI’nin bot belgesi GPTBot, OAI-SearchBot ve ChatGPT-User gibi tarayıcılarının IP adreslerini JSON dosyaları olarak yayımlar. CDN tarafındaki bot ayarlarının genel mantığı Cloudflare nedir yazısında anlatılır.

403 Hatasında Sık Yapılan Hatalar ve Doğru Yöntem

En sık hata, 403 forbidden hatasını kaldırmak için güvenliği toptan kapatmaktır; doğru yöntem engeli üreten tek kuralı bulup yalnızca onu düzeltmektir. Yaygın hızlı çözümlerle bizim izlediğimiz yöntemin farkı şöyledir:

403 hatası tanınmayan .htaccess satırları, sunucuda bilinmeyen dosyalar ya da yeni yönetici hesaplarıyla birlikte görülüyorsa sorun yapılandırma değil, güvenlik ihlali olabilir. Bu durumda izinlerle uğraşmadan önce site taranır; alınabilecek önlemler WordPress güvenliği rehberinde anlatılır.

403 Forbidden Hatası İçin Ne Zaman Uzmana Başvurulmalı?

403 forbidden hatası izin, .htaccess ve eklenti kontrolleriyle yarım saat içinde kalkmıyorsa ya da Search Console’da 403 kaynaklı engeller görünüyorsa uzman desteği zaman kazandırır. Sunucu günlüklerine erişilemiyorsa, engel yalnızca belirli ülkelerden ya da botlardan geliyorsa, e-ticaret sitesinde ödeme veya sepet adımı 403 veriyorsa müdahalenin sistemli yürütülmesi gerekir.

Tek seferlik arızalarda WordPress problem çözme hizmetiyle engelin kaynağı bulunur ve giderilir. Çalışma düzenimizde önce yedek alınır, sonra katman katman teşhis yapılır; kural kapatmak yerine kural bazında istisna tanımlanır ve yapılan her değişiklik not edilir. Güvenlik, güncelleme ve bot erişimi kontrollerinin düzenli yapılması isteniyorsa WordPress bakım hizmeti sitenin büyüklüğüne ve kapsamına göre aylık 500–2.000 TL arasındadır.

Bakım düzeninde Search Console uyarıları ve güvenlik kayıtları dönemsel olarak incelendiği için, Googlebot’u engelleyen bir kural sayfalar dizinden düşmeden fark edilebilir.