Erreur 403 Forbidden : accès refusé, trouver la cause et réparer.« Forbidden », « You don't have permission », « Sorry, you have been blocked » : la marche à suivre.

1. Testez depuis un téléphone en 4G, Wi-Fi coupé : si le site s'ouvre, c'est votre adresse qui est bloquée.
2. Regardez qui affiche la page : le serveur, Cloudflare (avec un Ray ID) ou une extension de sécurité.
3. Bloqué par une extension de sécurité ? Débloquez votre adresse depuis la 4G, ou renommez son dossier par FTP.
4. Lisez le journal des erreurs de l'hébergeur : il dit si c'est une règle, un droit ou une page d'accueil manquante.
5. Renommez .htaccess, puis régénérez-le en réenregistrant les permaliens (Réglages, puis Permaliens).
6. Remettez des droits normaux : 755 pour les dossiers, 644 pour les fichiers, jamais 777.
7. Refusé en enregistrant une page ? Demandez à l'hébergeur quelle règle ModSecurity a bloqué, ou autorisez l'action dans le pare-feu de Wordfence si la page de refus est la sienne ; derrière Cloudflare, lisez ses événements de sécurité.

Dans ce guide

• Les messages de l'erreur 403, et qui les affiche
• Les causes, de la plus fréquente à la plus rare
• La marche à suivre, dans l'ordre
• Ce que nous ferions à votre place
• Questions fréquentes

Une même erreur 403 peut venir de quatre endroits : le serveur de l'hébergeur, son pare-feu, Cloudflare si votre site passe par lui, ou une extension de sécurité de WordPress. Avant de chercher, regardez la page affichée :

Une 403 sans la marque de Cloudflare vient du serveur, même si votre site passe par Cloudflare. Dans l'administration de WordPress, enfin, une page qui dit que vous n'avez pas l'autorisation d'accéder à cette page porte aussi le code 403, mais c'est WordPress qui refuse votre compte, pas le serveur : vérifiez votre rôle depuis un autre compte administrateur et désactivez la dernière extension ajoutée. Après une migration, c'est souvent un préfixe de tables changé à moitié : les droits des comptes, rangés dans la base, ne sont plus lus.

1. Une extension de sécurité a bloqué votre adresse. Plusieurs mots de passe ratés, un mot de passe enregistré qui n'est plus le bon, des pages demandées trop vite, une connexion par VPN ou depuis un pays exclu : l'extension refuse alors votre adresse IP, et seulement elle. Le site marche pour tout le monde, sauf pour vous.
2. Le pare-feu de l'hébergeur, souvent ModSecurity, prend une demande légitime pour une attaque : un article qui contient du code ou un lien suspect, une image envoyée, un constructeur de pages qui enregistre beaucoup de données d'un coup. Il refuse cette demande précise, et le reste du site fonctionne. Le pare-feu d'une extension de sécurité, comme Wordfence, peut faire la même erreur : sa page de refus porte alors son nom.
3. Une règle de sécurité de Cloudflare, si votre site passe par lui : une règle personnalisée, les règles gérées du pare-feu, un pays ou une adresse bloqués, un contrôle du navigateur. La page de refus porte alors la marque de Cloudflare.
4. Une règle du fichier .htaccess qui interdit l'accès : Require all denied, Deny from all, ou une adresse IP bloquée, écrite à la main ou par une extension de sécurité ou de cache. Elle peut se trouver à la racine du site ou dans un sous-dossier, comme wp-content/uploads.
5. Des droits de fichiers ou de dossiers trop stricts : un dossier que le serveur ne peut plus traverser, ou un fichier qu'il ne peut plus lire, après un envoi par FTP, une restauration ou une migration. Le plus souvent, des images, des feuilles de style ou une partie du site seulement sont refusées.
6. Un dossier sans page d'accueil : le fichier index.php manque à la racine après une migration ratée, ou le domaine est rattaché à un dossier vide chez l'hébergeur. Le serveur refuse alors d'afficher la liste des fichiers, et c'est le bon réglage.
7. La protection contre le vol d'images (hotlinking), chez l'hébergeur ou chez Cloudflare : elle refuse les images demandées depuis une autre adresse que la vôtre, y compris votre nouvelle adresse après un changement de domaine.
8. Un propriétaire de fichiers incorrect, après une migration ou une restauration faite avec un compte d'administration du serveur : les fichiers sont bien là, mais le serveur n'a plus le droit de les lire.
9. Plus rarement, une intrusion : un .htaccess rempli de règles que personne n'a écrites. C'est une intrusion repérée, pas un réglage : suivez notre guide du site WordPress piraté.

1. Notez l'adresse, puis testez depuis un téléphone en 4G

Notez l'adresse exacte de la page refusée et l'heure, et faites une capture de la page d'erreur. Puis ouvrez la même adresse sur un téléphone en 4G, Wi-Fi coupé ; coupez aussi un éventuel VPN sur l'ordinateur. Si le site s'ouvre en 4G, il fonctionne : c'est votre adresse IP, celle de votre box ou de votre VPN, qui est bloquée, et l'étape 2 vous concerne d'abord. S'il est refusé partout, c'est le site lui-même : passez à l'étape 3. Si seule une partie est refusée (l'administration, un dossier, les images), notez laquelle : cela désigne une règle précise. Comparez enfin la page au tableau des messages, plus haut : elle dit souvent qui refuse.

2. Si vous seul êtes bloqué, faites lever le blocage

Le plus simple : depuis le téléphone en 4G, dont l'adresse n'est pas bloquée, connectez-vous à l'administration, ouvrez les réglages de l'extension de sécurité (Wordfence, Solid Security, All-In-One Security…), retirez l'adresse de votre box de sa liste des adresses bloquées, et corrigez le réglage qui vous a bloqué. Pour connaître cette adresse, tapez « mon adresse IP » dans un moteur de recherche depuis l'ordinateur bloqué. Certaines extensions, comme Wordfence, proposent aussi sur la page de blocage d'envoyer un lien de déblocage à l'adresse e-mail d'un administrateur.

Sans aucun accès, ouvrez le site par FTP ou avec le gestionnaire de fichiers de l'hébergeur, allez dans wp-content/plugins et renommez le dossier de l'extension, par exemple wordfence en wordfence.off : WordPress la désactive, et vous retrouvez l'accès. Ne redonnez pas aussitôt son nom au dossier : l'aide de Wordfence prévient que le blocage peut alors reprendre. S'il s'agit d'un blocage temporaire, après des mots de passe ratés, laissez-lui le temps d'expirer. Redonnez ensuite au dossier son nom, réactivez l'extension dans la page Extensions si elle y apparaît désactivée, retirez votre adresse de sa liste des adresses bloquées et corrigez le réglage qui vous a bloqué ; si la page de blocage s'affiche encore, videz le cache de votre extension de cache. Si le blocage reprend malgré tout, renommez de nouveau le dossier pour retrouver l'accès, et faites-vous aider sans tarder : une extension de sécurité désactivée ne protège plus rien. Si c'est le pare-feu de l'hébergeur ou Cloudflare qui bloque votre adresse, voyez les étapes 7 et 8.

3. Lisez le journal des erreurs du serveur

Sous cPanel, ouvrez Métriques, puis Erreurs : la ligne la plus récente est en haut. Sous Plesk, ouvrez Journaux ; ailleurs, cherchez la rubrique des journaux de l'hébergement. Rechargez la page refusée juste avant, pour trouver la ligne à l'heure de votre essai. Le fichier error_log que vous verrez peut-être à la racine du site est celui de PHP : une 403 refusée par le serveur n'y laisse en général aucune trace. Sur un serveur Apache, les lignes à reconnaître :

• client denied by server configuration : une règle Require ou Deny l'interdit, le plus souvent dans un .htaccess (étape 4).
• search permissions are missing, ou Permission denied : des droits de dossier ou de fichier (étape 5).
• Cannot serve directory, suivi de No matching DirectoryIndex : pas de page d'accueil dans le dossier (étape 6).
• ModSecurity: Access denied with code 403, avec un numéro de règle noté [id "…"] : le pare-feu de l'hébergeur (étape 7).

Sur nginx, les lignes équivalentes contiennent is forbidden, access forbidden by rule (une règle deny de la configuration) ou Permission denied. Rien dans le journal à l'heure de votre essai ? La demande a été refusée ailleurs : avant le serveur, par Cloudflare (étape 8), ou après lui, par WordPress, le plus souvent une extension de sécurité (étape 2).

4. Mettez le fichier .htaccess de côté

Avant de toucher aux fichiers, faites une copie : sauvegardez l'état actuel depuis l'espace de l'hébergeur, ou téléchargez par FTP le fichier .htaccess de la racine, ceux des sous-dossiers que vous allez modifier, et wp-config.php. Puis, à la racine du site, là où se trouvent wp-config.php et les dossiers wp-admin, wp-content et wp-includes, renommez .htaccess en .htaccess.off. C'est un fichier caché : dans FileZilla, menu Serveur, puis « Forcer l'affichage des fichiers cachés » ; dans le gestionnaire de fichiers de cPanel, Paramètres, puis « Afficher les fichiers cachés ». Si la page refusée revient, le coupable est dans ce fichier (les autres pages peuvent répondre 404 un moment : c'est normal). Dans l'administration, ouvrez Réglages, puis Permaliens, et cliquez sur « Enregistrer les modifications » sans rien changer : WordPress récrit son propre bloc, que vous trouverez aussi dans notre guide de l'erreur 500 WordPress.

Reprenez ensuite, une à une, les règles utiles de l'ancien fichier, en rechargeant le site après chacune. Les lignes qui refusent l'accès ressemblent à Require all denied, Deny from all, ou Deny from suivi d'une adresse IP ; les anciennes directives Order, Deny et Allow fonctionnent encore, mais Apache les déconseille et annonce leur retrait, au profit de Require. Regardez aussi les .htaccess des sous-dossiers, dans wp-content, wp-content/uploads ou wp-includes : les extensions de sécurité en déposent. Une règle qui empêche d'exécuter des fichiers PHP dans wp-content/uploads est une bonne protection, gardez-la ; une règle qui y interdit tout bloque vos images. Sur Joomla, le fichier d'origine est livré à la racine sous le nom htaccess.txt.

Si le fichier contient des règles que personne n'a écrites, des redirections vers des sites inconnus ou de longues lignes illisibles, ne vous contentez pas de le nettoyer : c'est une intrusion repérée, suivez notre guide du site WordPress piraté.

5. Remettez des droits normaux, jamais 777

Dans FileZilla, faites un clic droit sur un fichier ou un dossier, puis « Droits d'accès au fichier » ; dans le gestionnaire de fichiers de cPanel, un clic droit, puis « Modifier les autorisations ». Les valeurs recommandées par WordPress : 755 pour les dossiers, 644 pour les fichiers, et plus strict pour wp-config.php, 440 ou 400, pour que les autres comptes du serveur ne puissent pas le lire (certains hébergeurs demandent 640). Pour tout un dossier, FileZilla propose d'étendre le changement aux sous-dossiers, aux dossiers seulement ou aux fichiers seulement : faites deux passages, 755 pour les dossiers, puis 644 pour les fichiers ; remettez ensuite wp-config.php à 440 ou 400 (640 si votre hébergeur le demande), car le second passage l'a ramené à 644.

Ne mettez jamais 777, même pour débloquer : n'importe quel programme du serveur pourrait alors modifier vos fichiers, et certains serveurs refusent d'exécuter un fichier PHP ainsi ouvert, ce qui donne une erreur 500. Ne changez pas non plus les droits du dossier public_html lui-même sans l'avis de l'hébergeur : certains le règlent volontairement autrement.

6. Vérifiez qu'il y a bien une page d'accueil

Si le journal parle de DirectoryIndex, ou si la 403 touche l'accueil d'un site neuf ou fraîchement déménagé, le serveur ne trouve pas de page d'accueil dans le dossier, index.php pour WordPress. Vérifiez par FTP qu'index.php est bien à la racine du site, à côté de wp-config.php ; s'il manque, reprenez-le dans l'archive de la même version de WordPress, sur fr.wordpress.org. Vérifiez aussi, dans la page des domaines de l'espace de l'hébergeur, que le domaine est rattaché au bon dossier : après un ajout de domaine ou une migration, il pointe parfois vers un dossier vide. N'autorisez pas la liste des fichiers (Options +Indexes) pour faire disparaître l'erreur : n'importe qui verrait le contenu de vos dossiers.

7. Une 403 en enregistrant : le pare-feu de l'hébergeur

Si la 403 n'arrive qu'en enregistrant une page, en envoyant une image, dans un constructeur de pages ou sur un formulaire, le journal des erreurs montre en général la ligne de ModSecurity, avec le numéro de la règle. Si la page de refus est celle de Wordfence, qui parle d'une opération jugée dangereuse dans votre demande, l'hébergeur n'y est pour rien : autorisez cette action précise dans les réglages du pare-feu de Wordfence, plutôt que de le couper. Sinon, envoyez à l'hébergeur l'adresse de la page, l'heure exacte, votre adresse IP et ce numéro, et demandez-lui d'exclure cette règle pour cette page seulement, plutôt que de couper toute la protection. Sous cPanel, la page Sécurité, puis ModSecurity, permet de couper ModSecurity pour un domaine : faites-le seulement le temps de vérifier que c'est bien lui, puis remettez-le aussitôt ; cPanel lui-même recommande de ne le couper que pour un dépannage. Sous Plesk, le pare-feu des applications web, ModSecurity, joue le même rôle. Le pare-feu de l'hébergeur peut aussi bloquer votre adresse entière après des mots de passe ratés, par FTP ou sur la messagerie : son support la débloque.

8. Derrière Cloudflare : les événements de sécurité

Si la page de refus porte la marque de Cloudflare, ouvrez votre domaine dans le tableau de bord de Cloudflare, puis Security, Analytics et l'onglet Events. Cherchez le Ray ID ou votre adresse IP ; si la page d'erreur indique une heure, elle est en temps universel (UTC) : ajoutez une heure en hiver, deux en été, pour retrouver l'heure française. L'événement dit quelle fonction a bloqué : une règle personnalisée, les règles gérées, un pays ou une adresse bloqués, le contrôle du navigateur. Corrigez cette règle, en excluant la page ou l'adresse en cause, plutôt que de couper toute la protection. Des images refusées quand elles s'affichent depuis un autre de vos sites ou une ancienne adresse ? Regardez la protection contre le vol d'images, Hotlink Protection, dans Security, puis Settings.

Une 403 sans la marque de Cloudflare, sur toutes les pages et pour tout le monde, peut aussi venir d'un pare-feu du serveur qui bloque les adresses de Cloudflare : demandez à l'hébergeur d'autoriser les plages d'adresses que Cloudflare publie sur cloudflare.com/ips.

9. Toujours refusé ? L'hébergeur, avec des faits

Donnez-lui l'adresse de la page, l'heure, votre adresse IP et ce que vous avez déjà essayé. Après une migration ou une restauration faite avec un compte d'administration du serveur, les fichiers peuvent appartenir au mauvais propriétaire : seul l'hébergeur peut le corriger. Une fois l'accès revenu, remettez en service ce que vous avez coupé (extension, ModSecurity, règles utiles), supprimez .htaccess.off s'il ne sert plus, et vérifiez les pages qui comptent : accueil, formulaire de contact, panier et paiement si vous vendez en ligne.

• Erreur 500 WordPress. « Internal Server Error » : le fichier .htaccess, une extension, la version de PHP ou la mémoire.
• Erreur 404, page introuvable. Toutes les pages sauf l'accueil (permaliens, .htaccess), ou une page déplacée sans redirection.
• Erreur 520, 521 ou 522 de Cloudflare. Le serveur qui héberge le site refuse la connexion, tarde trop ou répond de façon inattendue.
• ERR_TOO_MANY_REDIRECTS, redirections en boucle. Le site renvoie le navigateur en boucle : mode SSL de Cloudflare, http et https, avec ou sans www.

Toutes les erreurs, classées par message : Erreurs de site, trouver la cause et réparer. Des signes d'intrusion (redirections, pages inconnues, fichiers que vous n'avez pas mis) : suivez plutôt notre guide site WordPress piraté, que faire dans la première heure.

Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 30 octobre 2026. Manipulations vérifiées le 30 octobre 2026 ; elles valent pour WordPress 6 et 7 et PHP 8.1 à 8.5, sur les serveurs Apache, LiteSpeed et nginx des hébergeurs.

• MDN, code 403 Forbidden (le serveur comprend la demande mais refuse de la traiter ; s'authentifier de nouveau n'y change rien).
• WordPress, les droits des fichiers (755 ou 750 pour les dossiers, 644 ou 640 pour les fichiers, 440 ou 400 pour wp-config.php, jamais 777).
• Apache, le contrôle d'accès (Require ; Order, Deny et Allow déconseillés) et mod_dir (page d'accueil d'un dossier et option Indexes).
• Cloudflare, erreur 403 (avec ou sans la marque de Cloudflare) et erreur 1020 (événements de sécurité, Ray ID, heure UTC).
• Google Search Central, erreurs HTTP et réseau (adresses en 4xx non indexées, ou retirées de l'index).
• cPanel, ModSecurity (coupure par domaine, pour un dépannage seulement) ; Wordfence, débloquer un accès (lien par e-mail, dossier renommé, à ne pas renommer aussitôt, cache à vider).
• Support de Wordfence, sur le forum de WordPress : le code 503 de ses blocages et la 403 de son pare-feu (demande jugée dangereuse, action à autoriser) ; Hostinger, LiteSpeed Web Server (à la place d'Apache, avec le fichier .htaccess).

Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.