Erreur 403 WordPress · Diagnostic
« 403 Forbidden », « Accès interdit », « You don't have permission to access this resource » : votre site ou votre administration refuse l'entrée. Dans la majorité des cas, ce n'est pas un piratage mais une protection qui s'est refermée sur vous : pare-feu de l'hébergeur, extension de sécurité, permissions de fichiers, règle .htaccess. Parfois, c'est au contraire le signe qu'un intrus a verrouillé la porte derrière lui. On fait la différence en quelques minutes, on rétablit l'accès, et on referme ce qui doit l'être.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic. Si c'est une intrusion, re-nettoyage inclus pendant 30 jours.
Activateur France NumInitiative gouvernementaleIntervention le jour même
06 38 42 04 85Du lundi au vendredi, 9 h à 18 h. En dehors de ces horaires, laissez un message : on rappelle en priorité le matin suivant.
Réponse sous 1 h ouvrée. On vous dit en quelques questions ce qu'on voit et comment on procède.
Ils nous font confiance
Ce problème vous concerne-t-il ?
Une erreur 403 dit seulement que le serveur refuse de servir la ressource. La cause se lit dans les détails : où, quand, pour qui. Voici ce qu'on regarde en premier pour classer l'incident.
Signature classique d'une protection : pare-feu de l'hébergeur, extension de sécurité qui a bloqué votre IP après plusieurs essais, ou règle .htaccess de restriction d'accès. Rarement un piratage.
Le serveur refuse tout : permissions du dossier racine changées, fichier index absent, suspension par l'hébergeur (quota, impayé, abus signalé) ou .htaccess réécrit. À vérifier côté hébergement en premier.
Votre adresse IP est bloquée. Cause fréquente : trop de tentatives de connexion, un plugin de sécurité, ou un pare-feu géographique. Ce n'est pas le site qui est cassé, c'est vous qui êtes sur liste noire.
Installation d'une extension de sécurité, changement d'hébergeur, migration, mise à jour de permissions par FTP, ajout d'un CDN : si le 403 suit une action, la cause est cette action dans 9 cas sur 10.
Des lignes RewriteRule vers des domaines inconnus, des blocs qui refusent l'accès à wp-admin sauf pour une IP étrangère, ou un .htaccess dans wp-content/uploads qui autorise l'exécution de PHP : là, on est en présence d'un piratage.
Le 403 est alors la conséquence : l'intrus a verrouillé l'administration après avoir pris la main. On traite comme une intrusion, pas comme une panne.
« Activité suspecte », « script malveillant détecté », « consommation anormale de ressources » : l'hébergeur a coupé l'accès pour protéger le serveur. Le mail précise souvent le fichier en cause.
Page « Access Denied » signée Cloudflare, Sucuri, Imunify, ModSecurity : c'est une couche au-dessus de WordPress qui bloque. On lit ses journaux pour connaître la règle déclenchée.
Pourquoi ça arrive
Six familles de causes couvrent la quasi-totalité des cas que nous rencontrons. Trois sont des protections mal réglées, une est une erreur de manipulation, deux sont des conséquences d'une intrusion.
Pare-feu
ModSecurity, Imunify360, Cloudflare, Sucuri : ces pare-feux applicatifs bloquent une requête qui ressemble à une attaque. Une sauvegarde d'article contenant du code, un plugin qui envoie une requête inhabituelle ou un formulaire mal encodé suffisent à déclencher un 403 légitime mais gênant.
Permissions
WordPress attend 755 sur les dossiers et 644 sur les fichiers. Un dossier passé en 000 ou un wp-admin avec un propriétaire différent de l'utilisateur web renvoie 403. Cause fréquente après une migration, une restauration ou un transfert FTP mal réglé.
Configuration
Une directive Deny from all, une règle Require ip laissée après un changement d'adresse, ou un .htaccess généré par une extension de sécurité qui n'a pas été retiré lors de sa désinstallation. Le fichier est petit, mais une ligne suffit.
Sécurité
Wordfence, iThemes, All In One WP Security : après quelques tentatives de connexion ratées, votre adresse IP est bloquée pour une durée donnée. Selon Patchstack, plus de 90 % des vulnérabilités WordPress recensées en 2025 concernaient des extensions : ces outils sont utiles, mais ils se retournent parfois contre leur propriétaire.
Hébergement
Facture impayée, quota de ressources dépassé, signalement d'abus, script détecté par l'antivirus du serveur : l'hébergeur remplace le site par un 403 ou une page de suspension. Le message n'est pas toujours explicite, mais l'espace client contient l'explication.
Intrusion
Un attaquant qui a pris la main modifie parfois .htaccess pour interdire wp-admin à tout le monde sauf à lui, ou change les permissions pour empêcher la réparation. Le 403 est alors un symptôme parmi d'autres : comptes inconnus, fichiers récents dans uploads, redirections. C'est le cas qu'on traite comme une urgence.
Dans l'immédiat
Un 403 se répare presque toujours sans rien casser, à condition de ne pas commencer par la mauvaise action. Voici ce qui aide, et ce qui aggrave.
Comment on intervient
Un 403 simple se règle en moins d'une heure. Un 403 lié à une intrusion suit le protocole complet de nettoyage. Dans les deux cas, la première étape est la même : comprendre.
Vous nous décrivez le symptôme, on teste le site depuis plusieurs réseaux et on lit les en-têtes de réponse. On sait déjà si le blocage vient de WordPress, du serveur, du pare-feu ou du CDN.
Vous validez : le périmètre et les accès à fournir
Avec un accès à l'hébergement (panneau, FTP ou SSH), on lit le journal d'erreurs, le journal du pare-feu, .htaccess et les permissions. La cause est identifiée et documentée.
On corrige la règle, la permission ou le blocage en cause. Si une extension de sécurité vous a bloqué, on la reconfigure au lieu de la retirer. Le site et l'administration répondent à nouveau.
Vous validez : l'accès rétabli depuis votre poste
Même quand la cause est bénigne, on passe le site au scan : fichiers modifiés récemment, comptes administrateurs, tâches planifiées, .htaccess dans uploads. Si quelque chose est trouvé, on bascule sur le nettoyage complet.
Vous recevez une explication écrite : la cause, ce qui a été changé, et comment éviter que ça se reproduise (liste blanche d'IP, réglage du pare-feu, sauvegarde du .htaccess).
Vous décidez : la suite, avec ou sans maintenance
Diagnostic gratuit sous 24 h ouvrées. Le devis est établi après le diagnostic, sur un périmètre écrit : ce qui est inclus, ce qui ne l'est pas, et le délai.
Ce que ça comprend
Inclus
Non inclus
Scénario type
Un gérant de TPE installe une extension de sécurité conseillée par un article, active « bloquer après 3 tentatives », se trompe deux fois de mot de passe le lendemain depuis son bureau, puis une troisième fois depuis son téléphone connecté au même wifi. wp-admin répond 403 pour toute l'entreprise pendant 24 heures.
Ce scénario est une synthèse de ce qu'on rencontre le plus souvent sur ce type d'incident : aucun site client n'est décrit ici. Quand le 403 est l'œuvre d'un intrus, le déroulé est celui de la page principale : nettoyage complet, durcissement, surveillance 30 jours.
Et après
Un site nettoyé sans suivi se refait pirater. Trois façons de ne pas y revenir.
Maintenance
Le nettoyage referme la porte utilisée. La maintenance empêche qu'une autre s'ouvre : mises à jour hebdomadaires, sauvegardes testées, scan quotidien.
Hébergement
Beaucoup d'infections viennent d'un mutualisé mal isolé ou d'un serveur obsolète. On migre le site nettoyé vers un hébergement sain, sans coupure.
Refonte
Thème abandonné, extensions mortes, PHP obsolète : on nettoie une fois, puis on refond sur une base propre plutôt que de nettoyer tous les six mois.
FAQ
Non, et c'est même rarement le cas. Le 403 signifie que le serveur refuse de servir une page : la cause est le plus souvent un pare-feu, une extension de sécurité, des permissions de fichiers ou une règle dans .htaccess. Le piratage est une des causes possibles, reconnaissable à d'autres signes : comptes inconnus, fichiers récents que vous n'avez pas ajoutés, règles .htaccess que vous n'avez pas écrites. C'est précisément ce qu'on vérifie dans le diagnostic.
Pour un blocage de pare-feu, une permission ou une règle .htaccess, comptez moins d'une heure après réception des accès. Si le diagnostic révèle une intrusion, on passe sur le protocole de nettoyage complet, sous 24 à 48 heures.
Le diagnostic est gratuit et rendu sous 24 heures ouvrées. Le devis est établi ensuite, sur un périmètre écrit : une correction simple ne coûte pas le prix d'un nettoyage complet, et vous le savez avant de dire oui.
Un accès à l'hébergement est indispensable : panneau d'administration de l'hébergeur et accès FTP ou SSH, parce que l'erreur 403 empêche souvent d'entrer dans WordPress. Un accès administrateur WordPress est utile s'il fonctionne encore. Une sauvegarde récente, si elle existe, accélère le travail mais n'est pas obligatoire.
Si la cause est une mauvaise manipulation récente, une restauration peut suffire. Si la cause est un blocage de pare-feu ou d'hébergeur, la restauration ne changera rien. Et si c'est une intrusion, une sauvegarde récente est souvent déjà infectée. On diagnostique avant de restaurer.
C'est fréquent. On lit les en-têtes de réponse et les journaux des deux côtés pour trancher, et on parle directement à l'hébergeur si nécessaire, avec les éléments techniques qui prouvent d'où vient le blocage.
Oui, si la cause n'est pas traitée : un pare-feu mal réglé rebloquera la même requête, une extension de sécurité rebloquera la même IP. C'est pour ça que le compte rendu inclut les réglages à conserver, et que la maintenance mensuelle les surveille.
Le diagnostic d'un 403 est le même quelle que soit la technologie, puisque le blocage vient du serveur. Pour la réparation, on intervient sur WordPress en priorité ; pour un autre CMS, on vous le dit dès le diagnostic.
Problèmes voisins
Problème voisin
« Ce site peut avoir été piraté » ou écran rouge
Problème voisin
Erreur critique, écran blanc, site inaccessible
Problème voisin
Mot de passe refusé, administrateur inconnu
Problème voisin
« Erreur lors de l'établissement d'une connexion »
Page principale
Symptômes, méthode, garanties et les 13 problèmes courants.
Décrivez ce que vous voyez, depuis où, et depuis quand. On vous dit sous 1 h ouvrée si c'est une protection à régler ou une intrusion à traiter.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic, re-nettoyage inclus 30 jours.
Ils nous font confiance
Le blog EVICO
70 % des sites compromis contiennent une porte dérobée. Webshell, compte fantôme, mot de passe d’application, cron de…
Avertissement « Ce site peut avoir été piraté » ou page rouge Safe Browsing : la procédure exacte de réexamen Google, les délais…
Redirections vers des sites de paris ou de faux antivirus : le redirect hack expliqué de l’intérieur. Les 6 cachettes exactes du…
La méthode de nettoyage que nous appliquons sur chaque site piraté : logs, checksums, base de données, cron, réexamen Google. 7…
Remplissez le formulaire pour télécharger immédiatement votre rapport d’audit SEO personnalisé (17 pages, PDF).
Téléchargement immédiat · Sans engagement · Données RGPD
Pour découvrir ce que le digital peut réellement apporter à votre entreprise, réservez votre audit gratuit. On analyse votre marché, vos concurrents et vos opportunités — et vous repartez avec un cahier des charges complet, sans engagement.
