שגיאה 403 Forbidden באתר: איך יודעים מי חוסם ואיך מתקנים

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: שגיאה 403 Forbidden אומרת שהשרת הבין את הבקשה ומסרב לה. כדי לתקן צריך קודם לדעת מי חסם: Cloudflare, Nginx, Apache או תוסף בוורדפרס. ב-7.11.2026 בדקנו כ-20 בקשות לאתר שלנו וקיבלנו ארבעה סוגי 403 שונים. הכותרת cf-cache-status ודף השגיאה מגלים מי ענה.

⏱ זמן אבחון: 5–15 דקות · רמת קושי: בינוני · נבדק לאחרונה מול האתר שלנו: 07.11.2026

מה זה שגיאה 403 Forbidden?

403 Forbidden הוא קוד תשובה של HTTP שאומר "הבנתי, ואני לא מרשה". לפי MDN, בניגוד ל-401, התחברות או סיסמה אחרת לא ישנו את התוצאה. ההגדרה הרשמית נמצאת בתקן HTTP Semantics (RFC 9110).

בפועל, 403 באתר וורדפרס מגיע כמעט תמיד מאחד מארבעה מקומות: שכבת CDN ואבטחה כמו Cloudflare, שרת האינטרנט (Nginx), Apache עם .htaccess והרשאות קבצים, או תוסף אבטחה בתוך וורדפרס. לכל אחד יש טביעת אצבע אחרת.

קוד	מה הוא אומר	מה עושים
401	צריך להזדהות	מתחברים עם פרטים נכונים
403	מזוהה או לא, אסור לכם	מוצאים את השכבה שחסמה ומשנים את הכלל
404	אין כזה עמוד	ראו המדריך לשגיאת 404

איך יודעים מי חסם אתכם?

הדרך הכי מהירה היא לקרוא את כותרות התשובה. זו השיטה שאנחנו משתמשים בה, והיא לוקחת דקה. הכלל שעבד אצלנו, באתר שמאחורי Cloudflare: אין cf-cache-status = Cloudflare חסם. יש cf-cache-status (למשל BYPASS) = הבקשה הגיעה לשרת, והשרת חסם.

curl -s -o /dev/null -D - "https://example.co.il/path?t=1" | grep -iE "^(HTTP|cf-cache-status|cf-mitigated|server)"
curl -s "https://example.co.il/path?t=1" | grep -ioE "<title>[^<]*|nginx|Apache[^<]*"

הפרמטר ?t= בסוף עוקף את הקאש, כדי שתקבלו את התשובה האמיתית של השרת ולא עותק שמור. לפי התיעוד של Cloudflare, BYPASS אומר שהבקשה נשלחה לשרת המקור, ו-NONE מופיע כשהתשובה נוצרה בלי קאש, למשל בחסימת WAF. אצלנו, בחסימות של Cloudflare, הכותרת לא הופיעה בכלל.

מה רואים	מי חסם	דוגמה אמיתית מהאתר שלנו
cf-mitigated: challenge, כותרת "Just a moment…"	Cloudflare, בדיקת Challenge	wp-login.php
"Attention Required! | Cloudflare", "you have been blocked"	Cloudflare, כלל WAF או חסימת בוט	xmlrpc.php, .env, Bytespider
cf-cache-status: BYPASS, דף 403 עם nginx	Nginx בשרת	.htaccess, ועד 7.11.2026 גם ClaudeBot
דף 403 עם "Apache … Server at"	Apache בשרת	/wp-content/uploads/
דף 403 בעיצוב של האתר או של תוסף	וורדפרס או תוסף אבטחה	לא ראינו אצלנו

הכותרת cf-mitigated מתועדת במדריך של Cloudflare לזיהוי Challenge, והערך היחיד שלה הוא challenge. אם אין לכם Cloudflare בכלל, דלגו ישר לבדיקת דף השגיאה.

למה Cloudflare מחזיר 403?

Cloudflare מחזיר 403 כשכלל אבטחה החליט לחסום או לבדוק את הבקשה. אצלנו ראינו שני מצבים: Challenge בעמוד ההתחברות, וחסימה מלאה לקבצים רגישים ולבוט Bytespider. הבקשות האלה לא הגיעו לשרת בכלל.

• Challenge (בדיקה): דפדפן אמיתי עובר אותה לבד תוך שניות. סקריפט, כלי ניטור או אפליקציה מקבלים 403. אם כלי ניטור נכשל, הוסיפו לו חריגה בכלל.
• חסימת WAF: בודקים בלוח של Cloudflare את אירועי האבטחה, מוצאים את הכלל שתפס את הבקשה, ומשנים אותו או מוסיפים חריגה.
• חסימת בוטים: אם בוט לגיטימי נחסם, בדקו את הגדרות הבוטים ב-Cloudflare לפני שמחפשים בשרת.

אם אתם מחברים את Cloudflare לאתר בקלאודוויז, ראו את מדריך ההגדרה של Cloudflare.

למה השרת (Nginx) מחזיר 403?

כש-cf-cache-status מופיע ודף השגיאה חתום ב-nginx, החסימה בשרת עצמו, לפני וורדפרס. Nginx הוא השכבה הראשונה בשרת קלאודוויז, והסבר מלא עליו יש בעמוד מה זה Nginx.

אצלנו Nginx חסם שני דברים. הראשון הוא קבצים שאסור לחשוף, כמו .htaccess, וזה מצוין. השני היה בוטים של AI: עד 6.11.2026 ClaudeBot, CCBot ו-Amazonbot קיבלו 403 עם BYPASS בבקשה שהגיעה לשרת, ו-GPTBot ו-PerplexityBot קיבלו 200. את החסימה הזו אי אפשר היה לשנות מהפאנל, אז פתחנו טיקט, וב-7.11.2026 התמיכה של קלאודוויז הסירה אותה. הסיפור המלא ותבנית הטיקט: איך הסרנו את חסימת בוטי ה-AI בקלאודוויז.

גילוי נוסף מאותה בדיקה, לפני ההסרה: כשהדף כבר היה בקאש של Cloudflare, גם ClaudeBot קיבל 200. אותו בוט יכול לקבל 200 בעמוד אחד ו-403 בעמוד אחר. לכן בודקים תמיד עם פרמטר שעוקף קאש.

סיבות נוספות ל-403 ברמת השרת בקלאודוויז:

• Bot Protection שמופעל על האפליקציה. ראו המדריך ל-Bot Protection.
• חומת האש של Imunify360: לפי המאמר של קלאודוויז על ניהול אבטחה, היא חוסמת חיבורים חשודים ומסננת בקשות עם WAF. בודקים בלשונית Security של השרת.
• חוק ב-Web Rules שמוגבל לפי מדינה או כתובת. בודקים ב-Web Rules של האפליקציה.

איך מתקנים 403 של Apache: הרשאות קבצים ו-.htaccess?

דף 403 שחתום "Apache … Server at" מגיע מהשכבה שמריצה את וורדפרס. שלוש הסיבות הנפוצות הן תיקייה בלי קובץ index, הרשאות קבצים שגויות, וחוק deny ב-.htaccess.

תיקייה בלי index: אצלנו /wp-content/uploads/ מחזיר 403, וזה תקין. השרת פשוט לא מציג רשימת קבצים. אם התמונות עצמן נטענות, אין מה לתקן.

הרשאות קבצים: אחרי העברת קבצים ידנית, ההרשאות או הבעלות משתבשות ו-Apache לא מצליח לקרוא אותם. בקלאודוויז מאפסים מהפאנל:

1. בפאנל הניהול בחרו את השרת ואת האפליקציה.
2. בתפריט הצד לחצו Application Settings.
3. בסעיף Reset File/Folders Permission בחרו משתמש (מומלץ משתמש האפליקציה, לא Master).
4. לחצו Reset. לפי המאמר של קלאודוויז, תיקיות חוזרות ל-775 וקבצים ל-664, רק בתוך public_html.

שימו לב לפער: התיעוד של וורדפרס ממליץ בשרתים משותפים על 755 לתיקיות ו-644 לקבצים, וגם מחמיר עוד את wp-config.php. ברירת המחדל של קלאודוויז פתוחה מעט יותר לקבוצה, כי משתמש האפליקציה ומשתמש ה-Master חולקים קבוצה.

.htaccess: שורה כמו Require all denied, או חסימת IP שנשארה מתוסף אבטחה, תחזיר 403. שנו את שם הקובץ זמנית, רעננו, ואם השגיאה נעלמה, חפשו את השורה הבעייתית. קלאודוויז מתעדת דוגמאות במאמר על .htaccess.

מה עושים כש-403 מגיע מוורדפרס עצמו?

אם דף השגיאה בעיצוב של האתר, או מופיע בו שם של תוסף, החסימה בוורדפרס. הסיבות הנפוצות: תוסף אבטחה שחסם את ה-IP שלכם אחרי כמה ניסיונות התחברות, או חסימת REST API שמשבשת את העורך.

1. התחברו מרשת אחרת (למשל מהנייד) כדי לבדוק אם רק ה-IP שלכם חסום.
2. השביתו זמנית את תוסף האבטחה דרך SFTP או WP-CLI, ובדקו שוב.
3. בדקו את יומני השגיאות של האפליקציה בפאנל. ראו איך קוראים לוגים בקלאודוויז.

טעויות נפוצות באבחון 403

בדיקה בלי לעקוף קאש: עותק שמור ב-Cloudflare יכול להחזיר 200 גם כשהשרת חוסם. הוסיפו פרמטר אקראי לכתובת.

תיקון הרשאות כשהבעיה ב-Cloudflare: אם אין cf-cache-status, שום שינוי בשרת לא יעזור. מתחילים מאירועי האבטחה ב-Cloudflare.

פתיחה גורפת של הכול: 403 ל-.htaccess, ל-wp-config.php ול-xmlrpc.php הוא הגנה טובה. מתקנים רק את מה שנחסם בטעות.

שאלות נפוצות

מדריכים קשורים

• מה זה Nginx ואיך הוא עובד בקלאודוויז
• בוטים של AI קיבלו 403 בקלאודוויז: איך זה נפתר
• Bot Protection בקלאודוויז
• Web Rules: חוקים, הפניות וכותרות
• שגיאת 404: איך מוצאים ומתקנים
• לפני שבוחרים: הביקורת שלנו על קלאודוויז · הגירה חינם לקלאודוויז

מקורות

• 403 Forbidden – MDN Web Docs
• RFC 9110: HTTP Semantics – IETF
• Cloudflare cache responses (cf-cache-status) – Cloudflare Docs
• Detect a challenge page response (cf-mitigated) – Cloudflare Docs
• Changing File Permissions – WordPress Developer Resources
• How Can I Reset File and Folder Permissions – Cloudways KB
• What Can I Do With an .htaccess File? – Cloudways KB
• A Brief Guide to Server Security Management – Cloudways KB (Imunify360)

המדידה: כ-20 בקשות curl ממחשב בישראל לאתר cw-servers.co.il, 7.11.2026 בסביבות 01:40 UTC, עם User-Agent של דפדפן ושל בוטים. התוצאות של כללי Cloudflare הן ההגדרות של האתר שלנו, ובאתר שלכם הן יהיו אחרות.

מקור רשמי: How Can I Reset File and Folder Permissions (Cloudways Knowledge Base). העמוד נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים