Türkei (Türkisch)
Germany (German)
Worldwide (English)
WordPress SchichtKernel, Theme- und Plugin-Verhalten.
Halkali Merkez Viertel Fatih Str. Ozgur Apt. No. 46, Kucukcekmece, Istanbul, 34303, TR
403 Forbidden bedeutet, dass die Anfrage den Server erreicht hat, aber durch die Zugriffsrichtlinie verweigert wurde. In WordPress sollten Dateiberechtigungen, .htaccess-Verweigerungsregeln, ModSecurity, Sicherheits-Plugins, CDN-WAF, Nonce und IP-Blocker getrennt überprüft werden.
403 Forbidden
You don't have permission to access this resource
ModSecurity: Access denied with code 403
rest_cookie_invalid_nonce403 zeigt an, dass die Quelle möglicherweise existiert, aber der Zugriff für den aktuellen Benutzer, die IP oder den Anfragetyp verweigert wird. Daher sollte es anstelle von Inhalten wie 404 eine Ebene geben, die den Zugriff verweigert.
Wenn nur wp-admin oder admin-ajax.php betroffen ist, stehen Sicherheits-Plugin, ModSecurity-Regel, IP-Allowlist und Nonce-Prüfung an erster Stelle.
Wenn der gesamte Server eine 403 zurückgibt, überprüfen Sie die Berechtigungen für den Document Root, die Dateieigenalleerschaft, die Ausführungsrechte für den übergeordneten Verzeichnisses und die Deny/Require-Regeln in der .htaccess-Datei.
Cloudflare WAF oder Bot-Schutz kann eine 403 vor Erreichen der Ursprung generieren. Die Antwort-Header und Ray-ID helfen, zwischen CDN- und Ursprungsfehlern zu unterscheiden.
Ungültige oder abgelaufene Nonces in WordPress REST API-Anfragen können einen 403-Statuscode erzeugen. Anstatt die Nonce-Überprüfung zu deaktivieren, sollte der Cache und der Sitzungsfluss korrigiert werden.
Das Erstellen von 777-Rechten für alle Dateien und Ordner ist ein Sicherheitsrisiko und löst die Probleme mit der Besitzrechte nicht. Die WordPress-Rechte sollten mit dem Server-Benutzer und dem PHP-Ausführungsmodell abgestimmt werden.
Suchen Sie nach dem Ausdruck, den Sie in der E-Mail, im Browser oder im SSH-Protokoll sehen. Jede Karte enthält eine Bedeutung, eine wahrscheinliche Ursache und eine sichere erste Maßnahme.
Bedeutung: Der Server hat die Zugriffsanfrage abgelehnt.
Mögliche Ursache: Berechtigung, WAF, Ablehnungsregel oder Sicherheits-Plugin.
Bedeutung: Apache/Nginx oder Dateisystem erlaubt keinen Zugriff.
Mögliche Ursache: Falsche Besitzrechte, Directory-Regel oder Verweigerung.
Bedeutung: Die WAF-Regel hat die Anfrage als Angriff gekennzeichnet.
Mögliche Ursache: Der Forminhalt ähnelt SQL oder ist ein falsch positives Ergebnis.
Bedeutung: Der Nonce-Wert der REST-Anfrage ist ungültig.
Mögliche Ursache: Cache, Sitzung oder falscher Header.
Bedeutung: Der Verwaltungspfad wurde speziell blockiert.
Mögliche Ursache: Wordfence, IP-Regel, Basic Auth oder ModSecurity.
Bedeutung: AJAX-Anfrage wurde von WAF oder Nonce abgelehnt.
Mögliche Ursache: Plugin-Anfrage, Sicherheitsregel oder Cache.
Bedeutung: Die Apache-Konfiguration hat den Client abgelehnt.
Mögliche Ursache: Regel für Zulassen, Ablehnen, Erlauben.
Bedeutung: Die Cloudflare-Feuerwandregel hat die Anfrage blockiert.
Mögliche Ursache: WAF/Firewall-Regel oder Bot-Score.
Es wurden keine Datensätze gefunden, die diesem Ausdruck entsprechen.
Befehle sind für den Root-Zugriff vorgesehen. Sammeln Sie zunächst nur den Status und die Protokolle. Ändern Sie die dauerhafte Einstellung nicht, ohne den Grund dafür zu erkennen.
curl -sSIk https://example.com/wp-admin/Zeigt Header an, die darauf hindeuten, dass 403 von Cloudflare, Nginx oder Apache stammt.
find . -maxdepth 2 -printf '%m %u:%g %p\n' | head -n 80Zeigt ungewöhnliche Berechtigungen und Eigenalleerschaften im Wurzelverzeichnis an
grep -RniE 'deny from|require all denied|<files|<directory' .htaccess wp-content 2>/dev/nullFindet blockierende Zugriffsregeln.
grep -Ri 'ModSecurity' /usr/local/apache/logs/error_log /var/log/apache2/error.log 2>/dev/null | tail -n 50Zeigt die Rule ID und den blockierten Anforderung.
wp user list --fields=ID,user_login,rolesBestätigt, dass die WordPress-Benutzer- und Rollen-Hierarchie funktioniert.
wp plugin list --status=active | grep -Ei 'wordfence|security|firewall|limit'Listet Sicherheits- oder Zugriff-Plugins auf.
Die Grundursache des WordPress-Fehlers ist dieselbe, aber Protokollpfade, PHP-Einstellungsbildschirme und Dienstverwaltung variieren je nach verwendeter Hosting-Infrastruktur.
cPanel steuert ModSecurity, IP-Blocker, Hotlink-Schutz und Dateimanager.
grep -i 'ModSecurity' /usr/local/apache/logs/error_log | tailWeb-Application-Firewall, Fail2Ban und Domain-Logs werden in Plesk hervorgehoben.
plesk bin ip_ban --bannedAuf einem panellosen Server werden die vhost-Zugriffsregeln, der WAF und die Dateigeprotektion direkt geprüft.
grep -RniE 'deny all|Require all denied' /etc/nginx /etc/apache2 2>/dev/nullBestimmen Sie die Schicht, die die 403-Antwort produziert; dann verfeinern Sie die IP-, WAF-, Dateiberechtigungs- und WordPress-Nonce/Plugin-Prüfungen.
Testen Sie, ob alle Sites, wp-admin, REST-API oder nur bestimmte Formulare betroffen sind.
curl -sSIk https://example.com/wp-admin/Trennen Sie die CDN-, Webserver- oder WordPress-Schicht
Falsch positive Anfrage und Regeln-Id ohne vollständige Schließung der Regel aufzeichnen.
Vergleichen Sie WordPress-Verzeichnisse mit sicheren Eigentums- und Berechtigungsangaben.
find . -maxdepth 2 -type d -printf '%m %u:%g %p\n' | headNur das im Log markierte Plugin vorübergehend deaktivieren.
wp plugin list --status=activeNonce, AJAX und echte Benutzeroperationen testen.
curl -sSIk https://example.com/wp-json/Firewall, Fail2Ban, Wordfence oder CDN-IP-Blockierungsprüfung.
curl -sSIk https://example.com/ModSecurity-Falschpositive, Nonce und Anforderungskörperinhalt werden untersucht.
Die Admin-IP-Regel, das Sicherheits-Plugin und der Basic-Auth-Check werden überprüft.
Der Security Events-Eintrag wird mit der Ray-ID gefunden und die passende Regel wird untersucht.
MIME, WAF-Body-Limit, Upload-Verzeichnis und Nonce werden überprüft.
404 bedeutet, dass die Ressource nicht gefunden wurde, während 403 bedeutet, dass der Zugriff verweigert wird, auch wenn die Ressource existiert.
Die allgemeine Regel ist, dass Dateien 644 und Verzeichnisse 755 sind; jedoch muss die Eigenalleerschaft und der Servermodell berücksichtigt werden.
Nein. Die Regel-ID des falsch positiven Ergebnisses sollte gefunden und, wenn möglich, eine kontrollierte Ausnahme nur für den relevanten Domain oder Anfrage angewendet werden.
Ja; IP, Rate-Limit, Landblock oder Firewall-Regel kann die Anfrage blockieren.
Gibt an, dass die Cloudflare-Feuerwandregel die Anfrage blockiert hat; das Ereignis kann mit der Ray-ID gefunden werden.
Die Seite, der Cache oder der alte Session-Nonce ist abgelaufen.
Origin-Logs, Sicherheits-Add-on-Logs, WAF-Regel-ID und IP-Blocker werden gemeinsam überprüft.
Durch die gemeinsame Analyse von cPanel, WHM, CloudLinux, LiteSpeed, MariaDB, Exim und Sicherheitsebenen beheben wir die Grundursache des Fehlers, anstatt nur den Dienst zu entfernen.