WordPress 403 Hatası Nasıl Çözülür? Dosya İzinleri ve Güvenlik Katmanlarını İnceleme

WordPress 403 hatası, sunucunun isteği anladığı ancak ilgili sayfa, dosya veya API kaynağına erişime izin vermediği anlamına gelir. Yönetim panelinde, sitenin belirli sayfalarında ya da REST isteklerinde görülebilen bu sorun; çoğu zaman yanlış dosya izinleri, güvenlik eklentisi, web sunucusu kuralı veya CDN güvenlik filtresiyle ilişkilidir.

Çözüm için rastgele izinleri gevşetmek yerine hatanın yalnızca belirli bir URL’de mi, belirli bir kullanıcıda mı yoksa tüm sitede mi oluştuğunu ayırın. Değişiklik yapmadan önce dosya ve veritabanı yedeği alın; özellikle canlı sitede 777 gibi aşırı izinler kullanmayın.

WordPress 403 hatası hangi durumlarda görülür?

Hata, giriş yaptıktan sonra yönetim panelinde, tek bir içerikte, görsel veya CSS dosyasında ya da eklentilerin REST API çağrılarında ortaya çıkabilir. Aynı URL’yi farklı tarayıcıda veya gizli sekmede denemek, sorunun oturum ve çerez kaynaklı olup olmadığını anlamaya yardımcı olur.

• Yalnızca yönetici paneli: Güvenlik eklentisi, IP kuralı veya yanlış oturum filtresi öne çıkar.
• Tek bir dosya ya da klasör: Dosya sahipliği, izinler veya sunucu erişim kuralı incelenmelidir.
• Tüm site: Web sunucusu, CDN, WAF veya alan adı yönlendirmesi kontrol edilmelidir.
• REST istekleri: Güvenlik eklentisi, sunucu kuralı ya da yetkilendirme yapılandırması etkili olabilir.

Dosya izinleri ve sahipliği nasıl kontrol edilir?

cPanel Dosya Yöneticisi, Plesk veya SSH üzerinden WordPress dizinini inceleyin. Genel bir başlangıç noktası olarak klasörlerde 755, dosyalarda 644 izinleri kullanılır; ancak doğru değer hosting sağlayıcısının kullanıcı ve web sunucusu yapılandırmasına göre değişebilir. wp-config.php gibi hassas dosyalarda daha sınırlı izinler tercih edilebilir.

İzinler doğru görünmesine rağmen hata sürüyorsa dosyaların sahibi ile PHP-FPM veya web sunucusunun kullandığı kullanıcı farklı olabilir. Bu durumda hosting desteğinden sahiplik ve erişim kayıtlarını doğrulamasını isteyin. Sorunu çözmek için tüm dizine toplu ve kontrolsüz izin vermek güvenli değildir.

Güvenlik eklentilerini ve .htaccess kurallarını inceleyin

WordPress 403 hatası, yakın zamanda etkinleştirilen bir güvenlik eklentisinin IP, ülke, bot veya yönetici paneli kuralından da kaynaklanabilir. Yönetim paneline giremiyorsanız eklentiyi FTP ya da Dosya Yöneticisi üzerinden geçici olarak yeniden adlandırarak devre dışı bırakabilirsiniz. Ardından hata kayıtlarını inceleyip eklentiyi güncel ayarlarla yeniden yapılandırın.

Apache kullanan sunucularda kök dizindeki .htaccess dosyasını yedekleyin ve son eklenen kuralları kontrol edin. WordPress’in kalıcı bağlantı ayarlarını kaydetmek temel kuralları yeniden oluşturabilir; ancak özel yönlendirme, erişim engeli veya güvenlik satırlarını silmeden önce ne yaptıklarını doğrulayın.

Güvenlik eklentisi güncellemesinden sonra siteniz bozulduysa, WordPress eklenti güncellemesi sonrası güvenli geri dönüş adımlarını uygulayarak değişikliği kontrollü biçimde geri alabilirsiniz.

Sunucu, CDN ve WAF katmanlarını ayırt edin

Sunucu hata günlüğü, 403 yanıtının hangi katmandan geldiğini anlamanın en güvenilir yollarından biridir. Yanıt gövdesi Cloudflare veya başka bir CDN markasını gösteriyorsa DNS, WAF ve güvenlik kuralları incelenmelidir. Doğrudan origin IP’ye yapılan testlerde sonuç değişiyorsa sorun CDN katmanında olabilir; origin sunucuda da aynı yanıt alınıyorsa hosting yapılandırmasına odaklanın.

ModSecurity, Nginx erişim kuralları, Apache yapılandırması ve Plesk ya da cPanel güvenlik ayarları belirli istekleri engelleyebilir. Özellikle REST API, XML-RPC veya yönetici AJAX çağrılarında güvenlik kuralını tamamen kapatmak yerine ilgili isteği günlük kaydıyla doğrulayıp istisnayı dar kapsamda tanımlayın.

REST API için kontrol listesi

1. /wp-json/ adresinin yalnızca tek bir kullanıcıda mı yoksa herkeste mi engellendiğini test edin.
2. Güvenlik eklentisinin REST API engelleme veya oturum doğrulama ayarlarını inceleyin.
3. Sunucu ve WAF günlüklerinde engellenen istek yolunu, IP’yi ve kural kimliğini arayın.
4. Önbellek ve CDN kurallarının API yanıtlarını yanlışlıkla engellemediğinden emin olun.
5. Yetki kontrolünü kaldırmayın; sorun çözülürken kimlik doğrulama ve kullanıcı izinleri korunmalıdır.

WordPress’in REST API yapısı ve izin kontrolleri için WordPress’in resmi REST API kimlik doğrulama belgelerine başvurabilirsiniz. Bir endpoint’i erişilebilir yapmak, o endpoint’in tüm kullanıcılar için yetkili hale getirilmesi anlamına gelmez.

Hata devam ederse ne yapılmalı?

Önce sorunun başladığı zamanı belirleyin: eklenti güncellemesi, hosting taşıması, DNS değişikliği veya güvenlik kuralı değişikliği önemli ipuçları verir. Daha sonra aynı URL’yi farklı ağdan deneyin, sunucu günlüklerini inceleyin ve hosting sağlayıcısından ModSecurity ya da WAF engelini kontrol etmesini isteyin.

Yaptığınız her değişikliği not ederek tek tek geri alın. Böylece hangi katmanın soruna neden olduğu anlaşılır ve kalıcı çözüm üretilebilir. Hatanın yanında 5xx yanıtları da görülüyorsa, erişim engelinden farklı olarak sunucu çalışma durumunu ayrıca incelemek gerekir.

WordPress 403 hatası hakkında sık sorulanlar