Errores WordPress · Solución
Error 403 Forbidden en WordPress: causas y solución paso a paso
El error 403 Forbidden significa “acceso denegado”: el servidor entiende tu petición, pero no te deja entrar. En WordPress suele pasar por permisos, reglas en .htaccess, un plugin de seguridad o un bloqueo del hosting. La buena noticia: casi siempre se arregla siguiendo un orden.
✅ Importante
Antes de cambiar cosas al azar: identifica dónde aparece el 403 (solo en wp-admin, en toda la web, en una página concreta o al subir imágenes). Eso acorta el diagnóstico muchísimo.
Qué es el error 403 Forbidden (y por qué pasa en WordPress)
Un 403 Forbidden aparece cuando el servidor bloquea el acceso a un recurso. En WordPress suele estar relacionado con:
- Permisos/propietarios incorrectos en archivos o carpetas (muy típico tras migrar).
- Reglas en .htaccess (mal configuradas o duplicadas).
- Plugins de seguridad o firewall que bloquean tu IP o URLs (login, xmlrpc, admin).
- Bloqueos del hosting (WAF, ModSecurity, límites, reglas anti-bots).
- CDN/Cloudflare configurado de forma agresiva.
Si el 403 te apareció justo después de cambiar de hosting, mira también: errores tras migrar WordPress.
Antes de arreglarlo: localiza el tipo de 403 (en 30 segundos)
Caso A) 403 en toda la web
Suele ser .htaccess, permisos, bloqueo del hosting o reglas del firewall/CDN.
Caso B) 403 solo en wp-admin / login
Suele ser plugin de seguridad, bloqueo IP, ModSecurity o reglas anti-bots.
Caso C) 403 en una página concreta
A veces es una regla específica (WAF), un conflicto de caché o permisos en una ruta concreta.
Caso D) 403 al subir imágenes
Muy típico por permisos de /uploads, reglas del servidor o seguridad.
Tip rápido: si puedes, prueba tu web desde incógnito y también desde datos móviles (otra IP). Si funciona en una y en otra no, es probable que sea bloqueo por IP.
Cómo solucionar el error 403 Forbidden en WordPress (paso a paso)
Paso 1) Vacía caché y desactiva la CDN si la usas
Antes de tocar archivos: elimina la opción “falsa alarma”. A veces el 403 lo provoca una regla de caché/CDN.
- Vacía la caché del plugin (si usas) y la caché del servidor/hosting.
- Si usas CDN/Cloudflare, pausa la CDN temporalmente (5 minutos) para probar.
- Revisa si el 403 desaparece solo en wp-admin o también en front.
Paso 2) Renombra el plugin de seguridad (si no puedes entrar)
Si el 403 ocurre en wp-admin y no puedes acceder, lo más rápido es desactivar el plugin conflictivo.
- Entra por el panel del hosting (File Manager) o FTP.
- Ve a /wp-content/plugins/.
- Renombra el plugin sospechoso (ej: wordfence → wordfence-off).
Si con eso vuelve a funcionar, ya sabes la causa: configuración del firewall o bloqueo por IP.
Paso 3) Regenera el .htaccess (muy común)
Un .htaccess corrupto o con reglas duplicadas puede provocar 403.
- En la raíz de WordPress, renombra .htaccess a .htaccess-old.
- Prueba si la web vuelve.
- Si puedes entrar al admin: Ajustes → Enlaces permanentes → Guardar (regenera .htaccess).
Si tu hosting usa Nginx, no siempre hay .htaccess, pero renombrarlo sigue siendo una prueba útil si existe.
Paso 4) Revisa permisos típicos (sin tocar cosas raras)
Los permisos incorrectos pueden bloquear acceso a carpetas o archivos. Los valores más habituales son:
- Carpetas: 755
- Archivos: 644
- wp-config.php: 640 o 644 (según hosting)
Si el 403 apareció tras migración, esto es sospechoso nº1. Si no lo tienes claro, pide al soporte del hosting que revise propietario/permisos.
Paso 5) Desactiva todos los plugins (para aislar el culpable)
Si no sabes qué plugin es, aísla el problema:
- Renombra la carpeta /wp-content/plugins/ a /plugins-off/.
- Prueba la web. Si vuelve, es un plugin.
- Restaura el nombre y desactiva uno a uno hasta encontrar el culpable.
Paso 6) Si es el hosting (ModSecurity/WAF), pide desbloqueo
Muchos 403 vienen de reglas de seguridad del servidor. Si nada de lo anterior lo arregla, lo más probable es:
- Bloqueo de IP (tu IP o la de tu red).
- Regla WAF/ModSecurity que bloquea wp-admin, xmlrpc o una URL concreta.
- Restricción por país o por “bot protection”.
Si tu proyecto ya tiene tráfico y quieres rendimiento/seguridad a nivel PRO, aquí encaja un hosting como Kinsta.
Diagnóstico rápido (sin complicarte)
Si quieres comprobar señales básicas antes y después de los cambios, puedes analizar tu web online para ver si responde correctamente y detectar problemas típicos de SEO on-page.
Preguntas frecuentes sobre el error 403
¿Un 403 es lo mismo que un 401 o un 404?
No. 403 es “te entiendo pero no te dejo”. 401 suele ser autenticación. 404 es “no existe”.
¿Puede ser por Cloudflare o CDN?
Sí. Reglas de seguridad, WAF o protección anti-bots pueden bloquear wp-admin o ciertas URLs. Por eso el paso 1 es pausar la CDN y probar.
¿Cuál es la causa más común?
En WordPress, casi siempre es plugin de seguridad, .htaccess o permisos (especialmente tras migraciones).
¿Te apareció el 403 después de un cambio?
Si el error 403 apareció tras actualizar, migrar o instalar un plugin, vuelve atrás en orden: desactiva el plugin sospechoso, revisa .htaccess y luego permisos. Es la forma más rápida de recuperar la web.