WordPressで403 Forbiddenが出たときの切り分け方

403 Forbiddenはログイン画面か公開URLかで原因を分ける

WordPressで403 Forbiddenが出たら、最初に確認するのは「どのURLで403になるか」です。wp-adminだけなのか、特定記事だけなのか、サイト全体なのかで、疑う設定は大きく変わります。

403はサーバーがアクセスを拒否している状態です。パスワード間違いとは違い、WAF、.htaccess、ファイル権限、IP制限、セキュリティプラグインなどが関係します。

wp-adminだけ403か確認する
公開記事だけ403か確認する
スマホ回線と自宅回線で見え方を比べる
直前にWAF、.htaccess、セキュリティプラグインを触ったか見る

WordPressのファイル編集は即時反映される

WordPress公式のファイル編集解説では、オンラインでファイルを編集すると変更が即時反映されることが説明されています。.htaccessやテーマファイルを本番で直接触る時は、復旧用の控えが必要です。

403の原因が.htaccessなら、1文字の書き間違いでも表示へ影響します。編集前の内容を戻せる形で保存し、変更箇所を小さくします。

ミカ

セキュリティプラグインを入れた直後でした。

佐藤さん

それならログイン制限やIP制限が関係しているかもしれない。

ミカ

自分だけ締め出されることもあるんですか？

佐藤さん

あるよ。
別回線で見えるか確認すると分かりやすい。

403が出る場所別の原因候補

403は表示場所で原因候補が絞れます。全体を一気に直そうとせず、入口を分けます。

403が出る場所	よくある原因	確認する操作
wp-adminだけ	ログインURL変更、IP制限、セキュリティプラグイン	別回線、プラグイン一時停止
特定記事だけ	パーマリンク、.htaccess、権限	パーマリンク再保存、該当URL確認
画像だけ	uploads権限、直リンク制限	画像URL直接表示
サイト全体	WAF、.htaccess、サーバー制限	WAFログ、直前変更の取り消し

403を戻す順番

403では原因を触る範囲を一つずつ狭めます。複数設定を同時に戻すと、何が効いたか分からなくなります。

403になるURLを3つに分けて控える
別ブラウザ、別回線で同じ症状か見る
直前に変更したWAFやログイン制限を戻す
プラグインが疑わしければ該当プラグインだけ停止する
.htaccessはバックアップを取ってから最小変更で戻す

ミカ

.htaccessを消せば直るって見ました。

佐藤さん

消す前に必ず控えよう。
パーマリンクやリダイレクトも入っていることがある。

ミカ

勢いで空にするところでした。

佐藤さん

戻せる形にしてから一部だけ触るのが安全だよ。

アクセス拒否をログイン失敗と混同しない

403は認証エラーではなくアクセス拒否です。パスワード変更だけを繰り返しても解決しないことがあります。

管理者パスワードだけ変更し続ける
WAFログを見ずにプラグインを全停止する
.htaccessを空にして戻し方を失う
自分のIPだけ拒否されている可能性を見ない

よくある質問

403と500エラーは同じですか？

違います。403はアクセス拒否、500はサーバー内部の処理エラーです。確認する場所も変わります。

セキュリティプラグインを止めれば直りますか？

原因がプラグインなら直ることがありますが、WAFや.htaccess、権限が原因の場合は別対応が必要です。

スマホ回線で確認する意味は何ですか？

自分の固定回線やIPだけが拒否されている場合を切り分けられるためです。