403 Forbidden на shared-хостинге: как вернуть доступ к сайту без опасных прав 777

Коротко: что сделать сразу

• Сделайте копию текущего сайта и отдельно скачайте .htaccess перед любыми правками.
• В панели хостинга найдите корень домена и проверьте, есть ли там index.php или index.html.
• Проверьте права: для папок обычно применяются 755, для файлов 644, но ориентируйтесь на требования вашего хостера.
• Временно переименуйте .htaccess в .htaccess.bak и проверьте сайт; если 403 исчезла, причина в правилах файла.
• Посмотрите журнал ошибок и блокировок в панели: ModSecurity/WAF часто прямо показывает причину запрета.

Сначала определите масштаб ошибки 403

Если 403 появляется на всём сайте, проверяйте корень домена, индексный файл, права и общие правила .htaccess. Если запрещена одна папка, сравните её права и локальный .htaccess с соседними. Если ошибка только у одной страницы, смотрите CMS, плагин безопасности или правило маршрутизации.

Названия пунктов в cPanel, ISPmanager и собственных панелях отличаются. Ищите по смыслу разделы «Домены», «Файловый менеджер», «Журнал ошибок», «Безопасность», ModSecurity или WAF.

Проверьте корневую папку домена

Откройте настройки домена и найдите поле вроде «Корневая директория», Document Root или «Папка сайта». На одном хостинге это может быть public_html, на другом www/домен, domains/домен/public_html или произвольная папка.

Затем в файловом менеджере убедитесь, что именно там лежат index.php или index.html. Частая ситуация после переноса: файлы оказались внутри лишней вложенной папки, например public_html/site/public_html. Сервер открывает внешний каталог, не видит индекс и при запрещённом листинге отдаёт 403.

Права файлов: что проверять вместо 777

В файловом менеджере у папок и файлов обычно есть действие «Права», Permissions или CHMOD. Для типичного PHP-сайта часто используются 755 для каталогов и 644 для файлов. Но некоторые хостинги применяют собственную схему владельцев, поэтому если панель предлагает «Восстановить права» или «Исправить владельца», безопаснее использовать штатную функцию.

Права 777 дают запись всем и не должны быть универсальным советом. Если сайт начинает работать только с 777, это не «исправление», а признак неверного владельца, конфигурации PHP или требований конкретного приложения.

.htaccess: быстро проверить, виноваты ли правила

Перед правкой скачайте .htaccess на компьютер. Затем переименуйте его, например в .htaccess.bak, и обновите страницу. Если 403 исчезла, сервер принимает запросы, а запрет создаёт одно из правил.

Ищите директивы ограничения доступа, запреты по IP, старые конструкции Order/Deny/Allow, правила защиты административной панели и блоки, добавленные плагином безопасности. Не удаляйте весь файл окончательно: у CMS в нём могут находиться правила ЧПУ.

Журнал ошибок: что искать в первую очередь

Откройте раздел журналов и обновите проблемную страницу один раз. Затем найдите запись с тем же временем. Формулировки вроде client denied by server configuration, permission denied, directory index forbidden или отметка о срабатывании ModSecurity намного полезнее, чем сам код 403.

Если журнал огромный, не пытайтесь читать его целиком. Сначала отфильтруйте по времени, домену и пути запроса. Перед отправкой лога в поддержку уберите из него пароли, токены, cookie и другие секреты.

ModSecurity, WAF и защита хостинга

Если 403 появляется только при отправке формы, сохранении записи или открытии URL с определёнными параметрами, проверьте журнал WAF/ModSecurity. Защитный фильтр может принять нормальный запрос за атаку. В панели часто видны ID правила, время и URL.

Не отключайте всю защиту сайта надолго. Правильнее передать хостеру ID срабатывания и попросить исключение только для ложноположительного правила или конкретного приложения.

Может ли 403 быть из-за DNS

Сам код 403 обычно отдаёт уже работающий веб-сервер, но после переноса домен может указывать не на тот хостинг. Сверьте A/AAAA-запись домена с адресом нового аккаунта. Перед изменением DNS сохраните текущие записи — особенно MX, SPF, DKIM и DMARC, чтобы не сломать почту.

После изменения DNS обновление у разных провайдеров может занимать до 24–48 часов из-за кэша. Поэтому часть посетителей временно может попадать на старый сервер и видеть другую версию сайта или другую ошибку.

Как понять, что проблема решена

Главная страница и внутренние URL открываются без 403, административная панель работает, статические файлы CSS/JS загружаются, а права не были завышены до 777. Если вы временно отключали .htaccess или защитное правило, восстановите нужные правила и проверяйте после каждого изменения.

Когда лучше остановиться и не экспериментировать

Остановитесь, если 403 появилась после взлома, массовой смены прав, вмешательства плагина безопасности или переноса между серверами с разными владельцами файлов. Перед правкой .htaccess, config.php, базы данных и DNS обязательно делайте копию.

Не отключайте проверку SSL, не ставьте 777 «на весь сайт» и не храните пароли FTP/MySQL в открытом текстовом файле в public_html. Если причина не видна в журналах, безопаснее дать специалисту доступ через временную учётную запись и после работы сменить пароль.

Вывод

На shared-хостинге 403 чаще всего находится через четыре точки: корень домена, индексный файл, права и .htaccess. Затем смотрят WAF и DNS. Настройку прав, перенос сайта и разбор журналов можно поручить CompMaster, если не хочется экспериментировать на рабочем сайте.