Kod 403 oznacza, że żądanie zostało zrozumiane, ale dostęp nie został udzielony. Odpowiedź może pochodzić z Cloudflare albo bezpośrednio z hostingu. Skuteczna diagnoza zaczyna się od ustalenia, która warstwa podjęła decyzję i która konkretna reguła została dopasowana.
W tym poradniku
Ustal, czy 403 zwraca Cloudflare, czy origin
Sprawdź wygląd strony błędu, nagłówki odpowiedzi i obecność identyfikatora Cloudflare Ray ID. Błąd z oznaczeniami Cloudflare często pochodzi z WAF lub innego mechanizmu ochrony na brzegu sieci. Niebrandowana odpowiedź może zostać wygenerowana przez Apache, Nginx, regułę .htaccess, ModSecurity, aplikację albo blokadę IP na hostingu.
Nie zakładaj automatycznie, że winny jest WAF. Porównaj czas zdarzenia z logiem serwera. Jeśli żądanie w ogóle nie dotarło do originu, decyzja zapadła wcześniej. Jeśli widzisz je w logu z odpowiedzią 403, trzeba zbadać warstwę serwera lub aplikacji.
Wykorzystaj Ray ID i panel Security Events
Ray ID identyfikuje żądanie obsłużone przez sieć Cloudflare. Zapisz go razem z dokładnym czasem, adresem strony, metodą żądania i publicznym adresem IP klienta. W Security Events filtruj zdarzenia po tych danych i sprawdź usługę, regułę oraz wykonane działanie.
Przy formularzu przeanalizuj osobno wyświetlenie strony i żądanie wysyłające dane. Pierwsze może kończyć się kodem 200, podczas gdy drugie, zwykle POST, zostaje zablokowane. W narzędziach przeglądarki sprawdź właściwy endpoint oraz kod jego odpowiedzi.
Najczęstsze źródła niezamierzonej blokady
- własna reguła blokująca całe kraje, sieci lub dostawców Internetu,
- reguła zarządzana reagująca na treść formularza lub API,
- zbyt niski limit żądań dla logowania, webhooka albo zadania automatycznego,
- Browser Integrity Check lub mechanizm ochrony przed botami,
- blokada zakresów IP Cloudflare albo błędne prawa plików na originie,
- niedopasowanie hosta i SNI w żądaniu do serwera.
Blokowanie całych krajów jest proste, ale może zatrzymać klienta korzystającego z VPN, zagranicznego operatora płatności, webhook, monitor dostępności albo mechanizm odnawiania certyfikatu. Przed włączeniem reguły spisz wszystkie automatyczne integracje.
Jak utworzyć bezpieczny wyjątek?
Wyjątek powinien być jak najwęższy. Zamiast wyłączać cały WAF, ogranicz go do konkretnej reguły, hosta, ścieżki, metody lub wiarygodnej cechy integracji. Sam adres IP może się zmienić albo być współdzielony, dlatego sprawdź dokumentację systemu, który ma uzyskać dostęp.
- Odtwórz problem i znajdź odpowiadające mu zdarzenie.
- Potwierdź, że żądanie jest prawidłowe oraz oczekiwane.
- Ogranicz wyjątek do minimalnego zakresu i jednej potrzebnej funkcji.
- Przetestuj ponownie poprawny ruch oraz próbę, którą ochrona nadal powinna blokować.
- Opisz regułę, ustaw monitoring i okresowo sprawdzaj, czy wyjątek jest nadal potrzebny.
Jeżeli blokada jest związana z nową konfiguracją, pomocna będzie również checklista z poradnika bezpiecznej konfiguracji Cloudflare.
Potrzebujesz pomocy?