403は、WAFを切る前に「拒否された場所」を特定する。
WordPressで403 Forbiddenが表示される場合、サーバーやWAF、セキュリティ機能がアクセスを拒否している可能性があります。原因が幅広いため、WAF全体をOFFにするのではなく、どのURL・操作で拒否されたかを先に確認します。
- 403が出るURLと操作を特定する
- 別ブラウザ・ログアウト状態でも再現するか確認
- ホスティングのWAF・アクセス制限ログを見る
- 直前に変更したセキュリティ設定やプラグインを確認する
- ファイル権限やREST APIを確認する
1．どこで403が出るかを記録する
サイト全体、管理画面、ログイン、投稿保存、フォーム送信、特定の/wp-json/エンドポイントなど、403が出る場所によって原因候補が変わります。エラーが出た時刻とURLを控えてください。
2．WAFのブロックログを確認する
共有サーバーではWAFがSQLインジェクション、WebDAV、異常なリクエストなどとして正規のWordPress操作を誤検知することがあります。ログに該当時刻のブロックがある場合は、ホスティング会社の案内に沿って対象ルールを確認します。
3．WAF全体を無効にしない
原因確認のため一時的な切り分けを行う場合でも、恒久的にWAF全体をOFFへするのは避けます。可能なら該当URLやルールだけを対象に調整し、変更後に再度保護状態を確認してください。
4．プラグインとセキュリティ設定を確認する
ログイン制限、IP制限、REST API制限、キャッシュ、セキュリティプラグインの変更後から発生した場合は、直前の変更が原因候補です。複数を同時に無効化せず、1つずつ確認します。
5．ファイル権限は推測で変更しない
ファイルやディレクトリの権限が不適切な場合も403の原因になりますが、権限値をむやみに緩めるとセキュリティリスクが上がります。ホスティング側の推奨値を確認してください。
6．REST APIだけ403になる場合
投稿保存やブロックエディター、プラグイン連携では/wp-json/以下のREST APIが使われます。特定エンドポイントだけ403なら、WAFやREST API制限のログを確認します。
JSONレスポンスエラーの確認、WordPressのセキュリティ対策も関連します。
403以外の症状も含めて切り分ける場合は、WordPressトラブル解決ロードマップから症状を選んでください。設定変更の前に、WordPressのバックアップと復元の基本で戻せる状態を確認し、更新直後の不具合ならWordPress更新前後の確認手順もあわせて確認してください。
403エラーの切り分け早見表
| 403が出る場面 | 確認する場所 |
|---|---|
| 管理画面の保存・更新だけ失敗 | WAFログ、REST API、セキュリティ設定 |
| ログイン画面だけ403 | IP制限、ログイン保護、WAF |
| 特定URLだけ403 | そのURLに対するWAF検知・アクセス制御 |
| サイト全体が403 | サーバー側アクセス制限、権限、設定変更 |
ConoHa WINGで確認するとき
ConoHa WINGを利用している場合は、403が出た時刻と操作を控えたうえでWAF設定・ログを確認します。WAF全体を長時間OFFにするより、該当リクエストだけを特定する方が安全です。ConoHa WING公式：WAF設定
やってはいけない対処
- 403が出たという理由だけでWAFを恒久的にOFFへする
- ファイル権限を必要以上に緩くする
- 複数のセキュリティ設定を同時に変更する
1つずつ変更し、変更前後で同じ操作を再現できるか確認するのが基本です。
サポートへ相談する目安
403が特定の操作だけで起き、WAFログに同時刻の記録がある場合は原因を絞りやすい状態です。サイト全体が403になる、管理画面にも入れない、権限変更が必要、WAFログを見ても原因が分からない場合は、URL・発生時刻・操作内容をまとめてホスティング会社へ相談してください。
よくある質問
403と404は同じですか？
異なります。404は主にページが見つからない状態、403はサーバー側がアクセスを拒否している状態です。
WAFの除外は危険ですか？
範囲によります。サイト全体を除外するより、ログで確認した必要最小限のルートだけを対象にする方が安全です。
