support@baebeca.de

02261-81616-0

24/7-Vertragshotline: 02261-81616-99

Logo Baebeca Solutions GmbH
Zum Hauptinhalt springen
Wie können wir dir helfen?
< Alle Themen
Drucken

Fehler 403: Access denied by server policy

Aktualisiert

Zeigt der Browser 403 Forbidden - Access denied by server policy, hat unser Webserver den Aufruf gesperrt, bevor er deine Website erreicht. Auf allen Webhosting-Servern sperren wir damit Adressen, die nie öffentlich erreichbar sein sollen oder häufig für Angriffe genutzt werden.

Was gesperrt ist

  • Versteckte Dateien und Verzeichnisse wie /.env, /.git/config oder /.htpasswd: enthalten Zugangsdaten, Quellcode oder Konfiguration. /.well-known/ bleibt erreichbar (Let’s Encrypt, security.txt, App-Links).
  • WordPress XML-RPC (/xmlrpc.php, auch in Unterordnern): Passwort-Raten mit vielen Versuchen pro Aufruf, Pingback-Missbrauch.
  • PHP im WordPress-Upload-Ordner (/wp-content/uploads/…/datei.php): hochgeladene Dateien dürfen nie als Programm laufen.
  • Backups, Datenbank-Dumps und Editor-Reste wie wp-config.php.bak, dump.sql oder index.php~: enthalten oft Zugangsdaten oder ganze Datenbanken. Gesperrt sind die Endungen .sql, .bak, .old, .orig, .save, .swp, .swo, .dist und ~ am Ende.
  • Abhängigkeits- und Build-Dateien wie composer.json, composer.lock, package.json, yarn.lock und auth.json: verraten Versionen und Pakete, auth.json enthält Zugangsdaten.

Downloads wie .zip oder .gz sind nicht gesperrt.

Erkennen

Unsere Sperre setzt den Header X-Blocked-By: common_block. Du prüfst ihn im Browser in den Entwicklertools (F12, Netzwerk) oder auf der Kommandozeile:

curl -sI https://www.domain.tld/xmlrpc.php

Ein 403 ohne diesen Header kommt von anderer Stelle: der Web Application Firewall (siehe unten), einer .htaccess, den Sicherheitsmaßnahmen des WordPress Toolkit oder einem WordPress-Plugin.

Ausnahmen

Einzelne Regeln lassen sich nicht abschalten, nur die Sperren als Ganzes. Legst du eine gesperrte Datei bewusst ab, benenne sie besser um oder lege sie außerhalb von httpdocs ab; Backups gehören nie in den öffentlichen Webspace.

Braucht deine Website XML-RPC, etwa für Jetpack oder eine App, entferne unter Websites & Domains :: Domain :: Hosting & DNS :: Apache & nginx im Feld Zusätzliche nginx-Direktiven diese Zeile:

include /etc/nginx/snippets/common_block.conf;

Damit entfallen alle Sperren dieser Seite für deine Domain. Möchtest du das nicht selbst ändern, schreib uns an support@baebeca.de.

Web Application Firewall

Zusätzlich prüft die Web Application Firewall von Plesk (ModSecurity) Anfragen auf typische Angriffe wie SQL-Injection oder Cross-Site-Scripting und weist sie mit 403 ab. Sie ist bei jeder Domain eingeschaltet. In Plesk bei deiner Domain unter Web Application Firewall stellst du sie auf „Nur erkennen“, schaltest einzelne Regeln anhand ihrer ID ab oder schaltest sie aus. Welche Regel gegriffen hat, steht im Fehlerprotokoll der Domain.

Zu viele Anfragen in kurzer Zeit beantwortet der Server mit 429: Fehler 429: Anfragebegrenzung anpassen.

Inhaltsverzeichnis