Il 403 significa: il server ti ha capito benissimo, e la risposta è no. Le cause in ordine di frequenza:
- permessi dei file sbagliati sul server (l'utente del web server non può leggerli) o assenza dell'index con directory listing disabilitato
- il WAF ti ha bloccato: una regola ha classificato la richiesta come attacco – capita ai falsi positivi, si diagnostica nei log del WAF e si risolve con un'eccezione mirata, non spegnendo tutto
- blocco per IP o geografia: sei in una blocklist, dietro una VPN sgradita, o il ban automatico ti ha scambiato per uno scanner
- regole applicative: hotlinking negato, user-agent filtrati, bot AI esclusi
Lato amministratore, il log dice sempre quale regola ha sparato. Lato visitatore: se un sito ti dà 403 ingiustamente da una VPN, è il prezzo della cattiva reputazione dell'IP condiviso – succede anche alle email.