Error 403 en tu sitio web: por qué aparece y cómo quitarlo

Un cliente de tu ferretería en Querétaro te manda una captura por WhatsApp: abrió tu página y solo ve un texto blanco que dice 403 Forbidden. Ayer funcionaba. Hoy no deja pasar a nadie, o a casi nadie.

Ese error tiene arreglo, y casi siempre la causa es más sencilla de lo que parece. Aquí te explico qué significa, cómo saber a quién le afecta y qué puedes revisar tú antes de escribirle a soporte.

Qué te está diciendo el error 403

El 403 significa que el servidor sí está encendido, sí recibió la visita y decidió no mostrar la página. No es que el sitio esté caído. Es que algo le dice al servidor "a esta persona, o a esta carpeta, no la dejes pasar".

Puede aparecer con otros textos: Access denied, Acceso prohibido o "No tienes permiso para acceder a este recurso". Es el mismo problema.

Es distinto del error 500, donde el servidor intenta mostrar la página y algo se rompe en el camino. Con el 403 no hay nada roto en tu sitio: hay una puerta cerrada.

Primero averigua a quién le sale

Esta pregunta te ahorra horas. Haz estas pruebas desde tu celular:

• Apaga el wifi y entra con datos móviles. Si con datos sí abre, el bloqueo es para la red de tu oficina. Lo más probable es que el servidor haya bloqueado tu IP, y eso lo explicamos en la nota sobre IP bloqueada en tu hosting.
• Pídele a alguien de otra ciudad que entre. Si a nadie le abre, el problema está en el sitio o en el servidor.
• Prueba varias páginas. ¿Falla todo el sitio, solo una sección, o solo cuando entras a administrar? Cada caso apunta a una causa distinta.

Las causas más comunes

Los permisos de archivos cambiaron

Cada archivo y carpeta de tu sitio tiene permisos que indican quién puede leerlo. Si alguien subió archivos por FTP, hizo una migración o instaló algo que movió esos permisos, el servidor puede dejar de mostrar la página.

Lo habitual en la mayoría de los hostings es 755 para carpetas y 644 para archivos. Si ves números muy distintos, ahí puede estar el problema.

Una regla en el archivo .htaccess

En muchos sitios existe un archivo llamado .htaccess que le da instrucciones al servidor. Los plugins de seguridad y de caché suelen escribir reglas ahí. Una regla mal puesta puede bloquear todo el sitio o solo una carpeta.

No hay página de inicio en la carpeta

Pasa mucho cuando se sube un sitio nuevo. El servidor busca un archivo de inicio (por ejemplo index.php o index.html). Si no lo encuentra, por seguridad no muestra la lista de archivos y responde con un 403.

Ejemplo típico: el diseñador subió todo dentro de public_html/sitio-nuevo/ en lugar de public_html/. Los archivos están ahí, pero en la carpeta equivocada.

El firewall del servidor bloqueó una acción

Los servidores tienen reglas que frenan peticiones que parecen ataques. A veces se equivocan. Un despacho contable en Guadalajara puede ver el 403 solo al guardar un artículo que trae cierto texto o código, mientras el resto del sitio funciona normal.

La pista es esa: el error aparece al hacer algo concreto, no al abrir el sitio.

Un plugin de seguridad demasiado estricto

Si tu sitio es WordPress, los plugins de seguridad pueden bloquear países, rangos de IP o a quien falle la contraseña varias veces. Un hotel en Oaxaca que bloqueó visitas del extranjero "para evitar ataques" también dejó fuera a los turistas que querían reservar.

Qué puedes revisar tú

Si el error le sale a todos, sigue estos pasos en orden:

1. Anota los datos. La dirección exacta que falla, la hora y qué estabas haciendo. Soporte te lo va a pedir.
2. Piensa qué cambió. ¿Se instaló un plugin? ¿Alguien subió archivos? ¿Se cambió de hosting? El 403 casi nunca aparece solo.
3. Revisa la carpeta principal. Desde el administrador de archivos de tu panel de control de hosting, confirma que en public_html exista el archivo de inicio y que los permisos se vean normales.
4. Prueba sin el .htaccess. Antes de tocar nada, ten un respaldo reciente de tu sitio. Luego renombra el archivo a .htaccess-viejo y recarga la página. Si abre, la regla culpable estaba ahí.
5. Si es WordPress, regenera el .htaccess. Entra a Ajustes, luego Enlaces permanentes, y da clic en Guardar sin cambiar nada. WordPress crea un archivo limpio.
6. Revisa el plugin de seguridad. Busca en su configuración si hay países o IPs bloqueadas que no deberían estarlo.

Cuándo dejárselo a soporte

Hay casos donde no conviene seguir moviendo cosas tú solo:

• El error es del firewall del servidor. Los registros que dicen qué regla se activó solo los ve tu proveedor.
• El 403 apareció en todo el sitio sin que nadie cambiara nada.
• Al revisar archivos ves nombres raros que no reconoces o carpetas nuevas. Eso puede ser señal de un ataque. En ese caso lee qué hacer si hackearon tu WordPress antes de tocar más.

Cuando escribas a soporte, manda la dirección que falla, la hora, una captura y tu IP pública (búscala en Google como "cuál es mi IP"). Con eso pueden encontrar el bloqueo exacto en minutos y no en días.

Lo que no conviene hacer

En foros vas a leer "ponle permisos 777 y listo". No lo hagas. Ese permiso deja que cualquier proceso escriba en tus archivos y abre la puerta a malware. Puede quitar el 403 hoy y causarte un problema mucho peor la próxima semana.

Tampoco desactives por completo el plugin de seguridad o el firewall para "ver si así jala". Si funciona, ya sabes dónde está la causa, pero tu sitio queda expuesto mientras tanto. Lo correcto es ajustar la regla que bloqueó, no quitar toda la protección.

Si tu sitio vive en koode.mx, nuestro equipo de soporte en español puede revisar los registros del servidor y decirte qué regla causó el bloqueo. Y si estás buscando dónde mover tu página, revisa los planes de hosting con soporte en México.