Yine sunucu odasında kriz sinyalleri çalıyor… Karşımızda, WordPress yöneticilerinin en çok canını sıkan, sanki siten seni tanımıyormuş gibi kapıyı yüzüne kapatan o meşhur siber duvar var: 403 Forbidden (Erişim Engellendi) Hatası.

Tarayıcıya adresini yazarsın veya WordPress admin paneline girmeye çalışırsın ama site seni içeri almaz, adeta bir güvenlik görevlisi gibi “Buraya girmeye yetkin yok!” der. Merak etme, sunucu seni kalıcı olarak dışlamadı; sadece arka planda bir dosya izni, güvenlik eklentisi veya bozulan bir .htaccess kuralı trafiği kilitledi. O kapıyı kıracağız ve siteni dakikalar içinde yayına döndüreceğiz.

WordPress “403 Forbidden” Hatası Kesin Çözüm Yöntemleri

WordPress sitene girmeye çalışırken karşına çıkan gri ekrandaki o tek satırlık katı mesaj: 403 Forbidden – You don’t have permission to access this resource. (Bu kaynağa erişim izniniz yok). Sitenin orada sapasağlam durduğunu bilirsin ama sunucu sana adeta yabancı bir casusmuşsun gibi davranır.

403 Forbidden hatası, sunucunun isteğini aldığını ama bunu çalıştırmayı kesin olarak reddettiğini söyleyen bir HTTP durum kodudur. WordPress ekosisteminde bu durum genellikle siber güvenlik eklentilerinin aşırı agresif davranmasından, sunucudaki hatalı dosya ve klasör izinlerinden ya da çorbaya dönmüş bir .htaccess dosyasından kaynaklanır.

Sakin oluyoruz. Veritabanın güvende, dosyaların silinmedi. Şimdi eline FTP anahtarlarını al, adımları sırasıyla takip et; o kilitli kapıları tek tek açıyoruz.

1. Adım: Sunucunun Trafik Polisini Resetleyin (.htaccess Sıfırlama)

403 hatalarının en popüler suçlusu, sunucunun kök dizininde gizlenen .htaccess dosyasıdır. Yüklediğin bir eklenti veya yaptığın bir kalıcı bağlantı (permalink) ayarı, bu dosyanın içine hatalı bir Deny from all veya engelleme kodu yazmış olabilir.

1. FTP (FileZilla) veya hosting panelinin dosya yöneticisi ile sunucuna bağlan.
2. public_html (veya sitenin kurulu olduğu ana klasör) içine gir.
3. .htaccess dosyasını bul, bilgisayarına yedekle ve ardından sunucudan tamamen sil.
4. Sitene girip sayfayı yenile.

Eğer hata çözüldüyse, suçluyu bulduk! Şimdi WordPress paneline gir, Ayarlar > Kalıcı Bağlantılar menüsüne gel ve hiçbir şeyi değiştirmeden sadece “Değişiklikleri Kaydet” butonuna bas. WordPress arka planda senin için tertemiz, hatasız bir .htaccess dosyasını otomatik olarak yeniden oluşturacaktır.

2. Adım: Dosya ve Klasör İzinlerini (Permissions) Standarta Döndürün

Linux sunucularda her dosyanın ve klasörün bir erişim kodu (izni) vardır. Eğer bir güncelleme esnasında veya hosting firmasının sunucu değişikliğinde bu izinler kaydıysa, sunucu dosyaları okumayı reddeder ve 403 hatası basar. WordPress’in çalışması için bu izinlerin milimetrik olarak doğru olması gerekir.

FTP programında (Örn: FileZilla) public_html klasörüne sağ tıkla ve Dosya İzinleri (File Permissions) seçeneğini aç:

• Klasörler İçin: Sayısal değer alanına 755 yaz. Alttaki “Alt dizine de uygula” seçeneğini işaretle ve “Sadece dizinlere uygulansın” kutucuğunu seçip tamam de.
• Dosyalar İçin: Aynı işlemi tekrar yap, bu sefer sayısal değere 644 yaz. “Alt dizine de uygula” dedikten sonra “Sadece dosyalara uygulansın” seçeneğini işaretle ve onaylama butonuna bas.

Bu hamle sunucudaki tüm hiyerarşiyi WordPress’in fabrika ayarlarına döndürür ve izin kaynaklı erişim engellerini anında parçalar.

3. Adım: Güvenlik Eklentilerini (WAF) Arka Kapıdan Susturun

Wordfence, Sucuri veya iThemes Security gibi eklentiler siteni siber saldırılardan korumak için harika araçlardır. Ancak bazen senin yaptığın masum bir templateler arası geçişi veya kod ekleme işlemini bir “siber saldırı” (XSS/SQL Injection) olarak algılayıp kendi IP adresini engelleyebilirler. Admin paneline de giremediğin için bu eklentileri FTP’den susturacağız.

1. FTP’de wp-content/plugins/ dizinine git.
2. Kullandığın güvenlik eklentisinin klasörünü bul (Örn: wordfence).
3. Klasörün adını sağ tıklayıp wordfence_iptal olarak değiştir.
4. Bu hamle WordPress’in eklentiyi anlık olarak devre dışı bırakmasını sağlar. Siten geri geldiyse, eklenti ayarlarına girip “Öğrenme Modu” (Learning Mode) ayarını açmalı veya IP engelleme kurallarını esnetmelisin.

4. Adım: Sunucu Seviyesindeki Mod_Security Kalkanını Kontrol Edin

Eğer yukarıdaki adımların hiçbiri işe yaramadıysa, engel WordPress’in içinden değil doğrudan hosting firmanın sunucu güvenlik duvarından (Mod_Security) geliyordur. Mod_Security, sunucuya gelen HTTP isteklerini tarayan donanımsal/yazılımsal bir Web Uygulaması Güvenlik Duvarıdır (WAF).

• Çözüm: cPanel’e giriş yap. Güvenlik (Security) sekmesi altındaki ModSecurity ikonuna tıkla. Sitenin yanındaki anahtarı geçici olarak OFF (Kapalı) konumuna getir.
• Siteni kontrol et; eğer 403 hatası gittiyse hosting firmana bir destek talebi (ticket) açarak: “Sitemde Mod_Security kuralları çakışıyor, loglardan hangi kuralın tetiklendiğini bulup whitelist’e ekler misiniz?” demelisin. İşin bittiğinde ModSecurity’yi panelden tekrar açmayı unutma, siteyi tamamen savunmasız bırakma.

5. Adım: Hatalı Hotlink Korumasını Kapatın

Hotlink koruması, başka sitelerin senin sunucundaki görsellerin linkini doğrudan kopyalayarak kendi sitelerinde göstermesini (ve senin bant genişliğini sömürmesini) engelleyen bir sistemdir. Ancak cPanel’den veya Cloudflare üzerinden Hotlink korumasını yanlış yapılandırırsan, tarayıcılar sitenin kendi görsellerini bile yüklemesini reddeder ve görsellerin olduğu yerde 403 Forbidden kırık ikonları belirir.

• Çözüm: cPanel veya Cloudflare paneline gir, Hotlink Protection ayarını bul ve geçici olarak devre dışı bırakıp görsellerin ve sayfaların yüklenme durumunu test et.

💡 Teknik İpucu (Expert Box)

Bunu biliyor muydunuz? 403 hatası bazen sadece wp-admin (Yönetim Paneli) klasörüne girmeye çalışırken tetiklenir. Bunun gizli sebebi, wp-admin klasörünün içinde ikinci bir gizli .htaccess dosyasının bulunmasıdır. Bazı güvenlik eklentileri, panele sadece belirli IP adreslerinin girmesine izin veren Allow from 192.168.1.1 gibi katı kuralları bu iç dosyaya yazar. Evindeki internetin IP adresi modemi açıp kapattığında değiştiği için (Dinamik IP), sunucu seni tanımaz ve kapıyı yüzüne kapatır. wp-admin/ altındaki o iç .htaccess dosyasını silerek bu sorunu saniyeler içinde çözebilirsin!

Sonuç: Kilitler Açıldı, Kontrol Sende

WordPress’in “403 Forbidden” hatası, dışarıdan bakıldığında sitenin hacklendiğini veya çöktüğünü düşündüren korkutucu bir duvar gibi görünse de, HTTP protokolünün kurallarını bildiğinde çözmesi oldukça basittir. .htaccess dosyasını tazelemek, dosya izinlerini 755/644 standardına çekmek ve güvenlik duvarlarını denetlemek bu siber kilidi %100 oranında kıracaktır.

Senin sitendeki bu yetki krizini hangi adım ortadan kaldırdı? Wordfence çakışması mı yoksa hatalı dosya izinleri mi? Yorumlara yaz, takıldığın bir sunucu mimarisi varsa hata loglarını birlikte inceleyelim!