El error 403 WordPress significa que el servidor entendió la petición, pero no permite acceder al recurso. Puede afectar a toda la web, al administrador, a una imagen o solo a ciertos usuarios. El objetivo no es desactivar la protección, sino identificar qué regla está bloqueando una petición legítima.
Qué revisar primero
Anota URL, hora, usuario, red y acción. Comprueba si el bloqueo afecta a todos o solo a una IP. Después revisa registros del servidor, permisos, reglas, plugins de seguridad y la capa CDN.
Causas frecuentes
Permisos o propiedad incorrectos
Tras una migración o extracción, archivos y carpetas pueden quedar con propietario o permisos equivocados. No uses permisos abiertos como solución permanente: restaura los valores adecuados para el servidor.
Reglas en .htaccess o servidor
Redirecciones, protección de archivos o reglas añadidas por plugins pueden solaparse. Guarda una copia antes de editar y compara con una configuración mínima válida.
Firewall o plugin de seguridad
Un WAF puede bloquear intentos repetidos, parámetros, países o patrones que parecen ataques. Localiza el evento exacto y crea una excepción estrecha solo si la petición es segura.
CDN y protección del hosting
La petición puede ser rechazada antes de llegar a WordPress. Revisa registros de CDN, reputación de IP, enlaces directos y protección anti-hotlink.
Cómo diagnosticar sin probar al azar
- Confirmar alcance y reproducibilidad.
- Consultar logs en la hora exacta.
- Comparar usuario autenticado y visitante.
- Revisar cambios recientes de seguridad o servidor.
- Probar una modificación por vez con reversión.
- Validar que el acceso correcto funciona y el acceso indebido sigue bloqueado.
Si solo falla al guardar una página, subir un archivo o enviar un formulario, revisa el tamaño y contenido de esa petición. Desactivar todas las defensas puede ocultar la causa y dejar el sitio vulnerable.
Qué no conviene hacer
- Asignar permisos 777 a todo el sitio.
- Desactivar la seguridad y olvidarla.
- Borrar reglas sin conservar una copia.
- Crear exclusiones globales para resolver una URL.
- Bloquear países sin valorar clientes, buscadores y servicios legítimos.
Si el fallo apareció tras otra avería, revisa también la guía del error 500 en WordPress. Un diagnóstico de reparación web debe dejar documentada la regla responsable.
Preguntas frecuentes
¿Es un ataque?
No necesariamente. A menudo es una regla legítima mal aplicada, aunque los registros pueden revelar intentos maliciosos.
¿Borrar la caché lo soluciona?
Solo si una capa está sirviendo una respuesta bloqueada antigua. No corrige permisos ni reglas activas.
¿Necesitas recuperar el acceso?
Indica la URL, el momento y quién recibe el 403 desde contacto.
Diagnóstico web
¿Tu web necesita una revisión profesional?
Cuéntanos qué está fallando o qué quieres mejorar. Revisaremos el caso y te explicaremos con claridad qué conviene hacer.
Pedir diagnóstico