403 Yasaklandı

TL;DR — 403 Forbidden, sunucunun isteği anladığı ancak isteği yapanın yetkisi olmadığı için isteği reddettiği anlamına gelir. 404 (“burada hiçbir şey yok”) ve 401 (“önce giriş yap”) kodlarından farklıdır. SEO açısından Googlebot bir sayfada sürekli 403 görürse sayfa dizine eklenmez; zaten dizindeyse zamanla çıkar. Bulunmasını istediğiniz bir sayfada 403 varsa çözülmesi gereken bir sorundur.

403 gerçekte ne anlama gelir

Site sahibi olmadığınız bir sitede az önce 403 ile karşılaşan bir ziyaretçiyseniz: sorun tarayıcınızdaki bir şey değil, sunucu tarafındaki bir kuraldır. Farklı bir ağ veya cihaz deneyin, sitenin engellediği bir VPN kullanmadığınızdan emin olun ve çerezleri temizleyin — ancak sorun sürerse düzeltme site sahibinin tarafındadır; bu makalenin geri kalanı onlar içindir.

Siz veya bir arama motoru botu bir sayfa istediğinde sunucu bir durum kodu döndürür. 200, “işte sayfa” demektir. 403 Forbidden ise “ne istediğinizi anladım ama size vermeyi reddediyorum” anlamına gelir. Bu ret kimlik bilgileriyle ilgili olmak zorunda değildir; sunucu başka nedenlerle de reddedebilir ve yasaklanmış bir kaynağın varlığını gizlemek istiyorsa 404 döndürmesine bile izin verilir. Evidence for this claim A 403 response means the server understood the request but refuses to fulfill it, and authenticating does not necessarily make a difference. Scope: RFC 9110 defines the protocol semantics; it does not identify the application, firewall, or policy responsible for a specific response. Confidence: high · Verified: 2026-07-14 IETF: RFC 9110 §15.5.4 — 403 Forbidden “I understood what you asked for, and I’m refusing to give it to you.” (Türkçe çeviri) Bu alıntı, ilgili protokol sınırını kısa ve açık biçimde belirtiyor.

4xx kodlarını ayırt etmenin en kolay yolu:

• 404 Not Found — “Burada hiçbir şey yok.” Sayfa mevcut değil.
• 403 Forbidden — “Burada bir şey var ama ona erişemezsiniz.” Etkin bir engel.
• 401 Unauthorized — “Önce giriş yapmanız / kimliğinizi doğrulamanız gerekiyor.” (403 daha güçlüdür: giriş yapmak bile yardımcı olmaz.) “There’s something here, but you can’t have it.” (Türkçe çeviri) Bu kaynak ifadesi, operasyonel kontrolün hangi sinyalle yapılacağını vurguluyor. “You need to log in / authenticate first.” (Türkçe çeviri) Bu ifade, makaledeki karar ağacının dayandığı resmi açıklamayı taşıyor.

Dolayısıyla 403, sunucunun bozuk olduğu anlamına gelmez. Sunucu kendisine söyleneni tam olarak yapıyordur — soru, ona doğru şeyin söylenip söylenmediğidir.

Bu neden SEO açısından önemli

Googlebot’un bir sayfayı dizine ekleyebilmesi için onu getirebilmesi gerekir. Sayfanızı istediğinde 403 alırsa Google bu yanıttaki hiçbir içeriği okuyamaz; içerik aşamasına gelmeden istek reddedilir. Google 403 döndüren sayfayı dizine eklemez; daha önce dizine eklenen sayfa da 403 döndürmeyi sürdürürse zamanla sonuçlardan çıkar. Sonuç noindex eklemeye benzer: sayfa Google’dan kaybolur. Ancak mekanizma farklıdır. noindex etiketinin çalışması için sayfanın getirilip okunması gerekir; 403 ise Google’ın baştan hiçbir şeyi okumasına izin vermez. Evidence for this claim Google does not index 4xx URLs and removes already-indexed 4xx URLs over time. Scope: Google's crawler documentation supports the indexing outcome for persistent 403 responses, not the article's analogy to noindex. Confidence: high · Verified: 2026-07-14 Google: How HTTP status codes affect Google's crawlers

403’ü anlamaya değer kılan ayrıntı şudur: Googlebot oturum açmaz. Parola veya kimlik bilgisi göndermez. Bu nedenle çoğu zaman “kimlik bilgileriniz kabul edilmedi” anlamına gelen 403, Googlebot için özellikle bu anlama gelemez. Bu, yanıtın otomatik olarak hata olduğu anlamına da gelmez; hazırlık sitesi, yönetim alanı veya hiç taranmasını istemediğiniz kapalı içerik kasıtlı olarak engellenmiş olabilir. Ancak herkese açık olmasını istediğiniz sayfadaki 403 araştırılmalıdır: güvenlik kuralı, güvenlik duvarı veya eklenti Googlebot’u şüpheli görmüş olabilir. Google’ın rehberi de aynı kapsamı kullanır: sayfanın dizine eklenmesini istiyorsanız Googlebot’a kimlik doğrulaması gerektirmeden izin verin.

Genellikle buna ne sebep olur

Hangi nedenin en yaygın olduğuna dair sağlam verim yok — bunu sıralı bir liste değil, bir kontrol listesi olarak değerlendirin:

1. Botu engelleyen CDN veya güvenlik duvarı (WAF) — Cloudflare’in Bot Fight Mode’u sık rastlanan bir suçludur; Googlebot’u kötü botlarla birlikte yakalayabilir.
2. Belirli IP adreslerini veya user-agent’ları engelleyen sunucu ya da hosting kuralı.
3. Yanlış yapılandırılmış robots.txt veya .htaccess dosyası.
4. WordPress’te Wordfence gibi fazla agresif bir güvenlik eklentisi.
5. Giriş duvarı — kimlik doğrulamasının arkasındaki her şey bir botu tasarım gereği 403 ile karşılar; bu çoğu zaman hatadan çok kasıtlıdır.
6. Sunucudaki dosya izinleri hataları.

Hızlı düzeltme yolu

1. Google Search Console’da Page Indexing raporunu açın ve “Blocked due to access forbidden (403).” durumunu arayın.
2. URL’yi URL Inspection aracında çalıştırın ve Googlebot’un şu anda ne aldığını görmek için Test Live URL seçeneğini kullanın.
3. Cloudflare veya başka CDN/güvenlik duvarı kullanıyorsanız güvenlik günlüklerinde Googlebot engelini arayın ve doğrulanmış arama botlarına izin verin.
4. Kuralı düzelttikten sonra Search Console’da Validate Fix kullanın.

Yapılmaması gereken bir şey de şu: Googlebot’u yavaşlatmak için asla 403 kullanmayın. İşe yaramaz ve sayfalarınızın dizinden çıkarılmasına yol açabilir. Bir bot sunucunuzu zorluyorsa bunun için 429 ve 503 kullanılır.

Daha ayrıntılı sürümü — Cloudflare/WAF teşhisi, robots.txt-403 tuzağı ve botlara doğru şekilde izin verme — için Advanced sekmesine geçin.

Kısa özet — 403, sunucunun isteği anladığını ancak erişim gerekçesiyle reddettiğini belirtir; 404’ten (kaynak yok) ve 401’den (kimlik doğrulama çağrısı) farklıdır. Dizine ekleme sonucu noindex ile benzerdir: Google 403 URL’sini dizine eklemez ve daha önce dizindeki URL’yi çıkarır. Ancak sunucu/CDN/WAF engelinin mekanizması meta etiketten tamamen farklıdır. Googlebot kimlik bilgisi göndermediği için, herkese açık olması gereken sayfada Googlebot’a verilen 403 çoğunlukla yanlış yapılandırmadır. Olası nedenler CDN/WAF bot filtreleme (Cloudflare Bot Fight Mode dâhil), sunucu IP/UA engelleri, güvenlik eklentileri veya .htaccess/izinlerdir. 403 tarama hızını etkilemez; hız sınırlamak için kullanmayın, bunun kodları 429/503’tür. Ters durum da önemlidir: sayfadaki 403 sert engelken robots.txt dosyasındaki 403 izin verici şekilde ele alınır.

Önce 403, 401 ve 404 arasındaki zihinsel modeli kurun

Bu üç kod sürekli birbirine karıştırılır ve ayrım, teşhisin tamamını yönlendirir. Temel tanım HTTP spesifikasyonunun kendisinden, RFC 9110 §15.5.4’ten gelir: sunucu isteği anlamış ve yerine getirmeyi reddetmiştir. Aynı bölümdeki birkaç ayrıntı, çoğu kişinin düşündüğünden daha önemlidir:

• Ret kimlik bilgileriyle ilgili olmak zorunda değildir. RFC 9110, kimlik doğrulamayla ilgisiz nedenlerle 403’e izin verir. Bu kod, isteği yapanın “bilindiğini” veya kimlik bilgilerinin kullanıldığını evrensel olarak kanıtlamaz. Her 403’ü kimlik doğrulama öyküsü saymayın.
• 403 kaynağın varlığını açıklamak zorunda değildir. Spesifikasyon, yasak kaynağın var olup olmadığını gizlemek isteyen kaynak sunucunun bunun yerine 404 döndürmesine açıkça izin verir. Tersi de doğrudur: 404 her zaman “burada hiçbir şey yoktu” anlamına gelmez; bazen “burada bilmenizi istemediğim bir şey var” demektir.
• 401 ile 403 yalnızca “daha zayıf ve daha güçlü” değildir. 401 özellikle kimlik doğrulama çağrısıdır; spesifikasyon, istemciye nasıl doğrulama yapacağını bildiren WWW-Authenticate başlığını gerektirir. 403’te böyle bir zorunluluk yoktur. Aynı veya farklı bilgilerle yeniden doğrulamanın sonucu değiştireceğini vaat etmeyen daha geniş rettir. MDN bunu şöyle açıklar: “similar to 401, except that … authenticating or re-authenticating makes no difference. The request failure is tied to application logic, such as insufficient permissions.” (çeviri) “401’e benzer, ancak kimlik doğrulama veya yeniden doğrulama fark yaratmaz. İstek hatası, yetersiz izinler gibi uygulama mantığına bağlıdır.” Evidence for this claim A 403 response means the server understood the request but refuses to fulfill it, and authenticating does not necessarily make a difference. Scope: RFC 9110 defines the protocol semantics; it does not identify the application, firewall, or policy responsible for a specific response. Confidence: high · Verified: 2026-07-14 IETF: RFC 9110 §15.5.4 — 403 Forbidden
• 404 Not Found için sıradan durum “burada hiçbir şey yok”tur; ancak yukarıdaki gizleme istisnasını unutmayın.

Bu fark, Googlebot’a verilen 403’ün alışılmış bir durum gibi geçiştirilmek yerine ikinci kez incelenmesinin nedenidir. Yalnızca üyelere açık bir sayfada bota verilen 401 tartışmalı biçimde çalışıyordur — alan giriş gerektirir. Herkese açık olması gereken bir sayfada bota verilen 403 ise bir kuralın istekte bulunanı istenmeyen olarak belirlediğini gösterir; yine de aşağıda anlatıldığı gibi buna hata demeden önce sayfanın gerçekten herkese açık olması gerekip gerekmediğini doğrulayın.

Google 403’ü nasıl ele alır (sonuç noindex’e benzer; mekanizma benzemez)

Google 403’ü diğer 4xx kodlarıyla aynı gruba koyar. Search Central belgeleri şöyle der: “Google doesn’t index URLs that return a 4xx status code, and URLs that are already indexed and return a 4xx status code are removed from the index.” (çeviri) “Google, 4xx döndüren URL’leri dizine eklemez; daha önce dizinde olup 4xx döndüren URL’leri dizinden çıkarır.” Ayrıca “All 4xx errors, except 429, are treated the same: Google crawlers inform the next processing system that the content doesn’t exist.” (çeviri) “429 dışındaki tüm 4xx hataları aynı ele alınır; Google tarayıcıları sonraki işleme sistemine içeriğin mevcut olmadığını bildirir.” Google, bilinen URL 4xx döndürmeyi sürdürdükçe kendi tarama sıklığının kademeli azaldığını da belirtir. Bu URL başına etkidir; sitenin genel tarama hızından ayrıdır. Evidence for this claim Google does not index 4xx URLs and removes already-indexed 4xx URLs over time. Scope: Google's crawler documentation supports the indexing outcome for persistent 403 responses, not the article's analogy to noindex. Confidence: high · Verified: 2026-07-14 Google: How HTTP status codes affect Google's crawlers

Sonuç noindex ile benzerdir: sayfa dizine girmez, zaten dizindeyse zamanla çıkar. Ancak mekanizma yalnızca görünüşte değil, gerçekten farklıdır. noindex etiketinin etkili olması için sayfanın HTML’sinin getirilip ayrıştırılması gerekir; 403 ise Google’ın herhangi bir içeriği okumasını engeller ve işlenecek sayfa bırakmaz. Farklı iki yol aynı arama sonuçlarında görünmeme sonucunda birleşir. HTTP Status Codes rehberimde bu nedenle 403’ü “the client is known but doesn’t have access rights” (çeviri) “istemci bilinir ancak erişim hakkı yoktur” diye özetler ve 4xx kodlarının sayfaları dizinden çıkardığını belirtirim. Buradaki “bilinir” Google raporundaki kısa ifadedir; her 403’ün kimlik bilgisi gönderen istek içerdiği iddiası değildir.

Googlebot’a verilen 403 neden incelenmeye değer (her zaman hata değildir)

Bu bölüm Google’ın Page Indexing yardım belgesine dayanır: “HTTP 403 means that the user agent provided credentials, but was not granted access. However, Googlebot never provides credentials, so your server is returning this error incorrectly. The page will not be indexed.” (çeviri) “HTTP 403, kullanıcı aracısının kimlik bilgisi gönderdiğini ancak erişim verilmediğini belirtir. Googlebot hiçbir zaman kimlik bilgisi sağlamadığından sunucunuz bu hatayı yanlış döndürüyor. Sayfa dizine eklenmez.” Bunu bağlamında okuyun: Search Console’un dizine eklemek istediğinizi varsaydığı sayfaya ilişkin rapor rehberidir; Googlebot’a verilen her 403’ün hata olduğu yönünde evrensel iddia değildir. Googlebot kimlik doğrulaması yapmaz; dolayısıyla yalnızca “bilgileriniz yeterli değil” biçimindeki 403 ona uymaz. Ancak birçok 403 kimlik bilgileriyle ilgisizdir ve sunucu Googlebot’a ya da başka birine kaynağı vermemeye meşru olarak karar verebilir.

Düzeltme aramadan önce şunu sorun: Bu sayfanın gerçekten herkese açık ve dizinde olmasını istiyor musunuz? Hazırlık ortamı, yönetim alanı, ücretli duvar veya başka kapalı içerikse Googlebot’a verilen 403 doğrudur; düzeltilecek bir şey yoktur. Sayfanın herkese açık olması gerekiyorsa büyük olasılıkla yanlış istekte tetiklenen kural vardır: tarayıcıyı engellenecek bot sayan WAF, Google IP aralıklarını da kapsayan engel veya güvenlik eklentisinin katı varsayılanı. Ancak her nedenin gerçek sıklığına ilişkin güvenilir verim yoktur; aşağıdaki listeyi tanı değil, kontrol adayları olarak kullanın. Google’ın herkese açık olması gereken sayfa için rehberi: oturum açmamış kullanıcıları kabul edin veya kimliğini doğruladıktan sonra Googlebot’a kimlik doğrulamasız açıkça izin verin.

403’ün tarama hızına etkisi yoktur — yavaşlatmak için kullanmayın

Bazıları zorlanan sunucudan Googlebot’u uzaklaştırmak için 403 veya 404 kullanır. Kullanmayın. Google açıkça şöyle der: “Don’t use 401 and 403 status codes for limiting the crawl rate. The 4xx status codes, except 429, have no effect on crawl rate.” (çeviri) “Tarama hızını sınırlamak için 401 ve 403 kullanmayın. 429 dışındaki 4xx kodları tarama hızını etkilemez.” Kapsamı doğru tutun: Google, bilinen tekil URL 4xx döndürmeyi sürdürdükçe kendi tarama sıklığının kademeli azaldığını ayrıca söyler. Bu, bir URL’ye ilginin azalmasıdır; site genelinde tarama hızı sınırlaması değildir. İhtiyacınız buysa 403 bunu sağlamaz.

Gary Illyes bu konuda Don’t 404 my yum başlıklı tam bir yazı yayımladı: “All 4xx HTTP status codes (again, except 429) will cause your content to be removed from Google Search.” (çeviri) “429 dışındaki tüm 4xx HTTP durum kodları içeriğinizin Google Search’ten kaldırılmasına neden olur.” Doğru acil durum aracı, kısa süreyle (günler değil saatler) döndürülen 500, 503 veya 429’dur. Bu da sınırsız değildir: Google, günlerce süren 5xx yanıtlarının sayfaları dizinden çıkarma riski taşıdığını belirtir. Yalnızca kod değil, kapsam ve süre önemlidir. Barry Schwartz’ın önceki olay aktarımındaki ifade durumu özetler: siteler “lost load[s] of their pages from our index because they were serving them with a 403 status code instead of a 503” (çeviri) “503 yerine 403 sundukları için dizinimizden çok sayıda sayfa kaybetti.” 503 geçici sayılır; 403 dizinden çıkarılmaya yol açar.

robots.txt tuzağı: robots.txt üzerindeki 403 izin vericidir, kısıtlayıcı değildir

Rakip yazıların çoğunun kaçırdığı ve sezgiyi tersine çeviren ayrım şudur: sayfadaki 403 sert engeldir. Ancak robots.txt dosyasının kendisindeki 403 tam ters biçimde ele alınır. Google’ın robots.txt spesifikasyonu şöyle der: “Google’s crawlers treat all 4xx errors, except 429, as if a valid robots.txt file didn’t exist. This means that Google assumes that there are no crawl restrictions.” (çeviri) “Google tarayıcıları 429 dışındaki tüm 4xx hatalarını geçerli robots.txt dosyası yokmuş gibi ele alır. Google tarama kısıtlaması olmadığını varsayar.” Evidence for this claim A 403 on `/robots.txt` is handled differently from a 403 on a page: Google treats a non-429 4xx robots response as if no valid robots file exists and assumes no restrictions from that file. Scope: robots.txt fetch only Confidence: high · Verified: 2026-07-16 How Google interprets the robots.txt specification

Güvenlik duvarınız robots.txt için 403 döndürmeye başlarsa Google hiç kuralınız olmadığı sonucuna varır ve engellemek istediğiniz yollar dâhil serbestçe tarar. Illyes’in renkli anlatımıyla, “kirli çamaşırlarınızı” engelleyen kuralınız varsa Googlebot artık onu da bilir. “robots.txt 403 döndürdü” durumunu (Google kuralları yok sayar) “sayfalarım 403 döndürdü” durumuyla (URL’ler dizinden çıkarılır) karıştırmayın. Etkileri ters yönlüdür; yanlış tanı yanlış şeyi düzeltmenize neden olur.

Bing 403’ü nasıl ele alır

Açık konuşmak gerekirse Bing’in özellikle 403 hakkındaki kamuya açık belgeleri Google’ınkinden daha sınırlı; bu yüzden bölümü şişirmek yerine kapsamı dar tutacağım. Bingbot, Googlebot’un reddedildiği aynı mekanizmalarla reddedilir — robots.txt kuralları, sunucu düzeyinde IP/user-agent engelleri ve WAF/güvenlik duvarı kuralları. Bing Webmaster Tools tarama hatalarını tarama-hatası uyarıları altında gösterir. Pratik sonuç iki arama motorunda da aynıdır: doğrulanmış tarayıcıya güvenlik katmanınızdan geçiş izni verin ve bota user-agent dizesine güvenerek değil, yayınlanmış IP aralıkları ve ters DNS ile doğrulama yapın. Bing’i, “Googlebot’u düzeltmek” ile “tüm botları düzeltmenin” otomatik olarak aynı olmadığını hatırlatan bir sinyal olarak görün; WAF değişikliğinden sonra iki motorun araçlarını da kontrol edin.

Yaygın nedenler (sıralı değil — siteler genelindeki yaygınlık verim yok)

CDN/WAF bot koruması — mevcut SEO içeriğinde en az ele alınan neden. 2026’da kontrole buradan başlardım; ancak aşağıdaki diğer nedenlere kıyasla gerçek sorumlu olma sıklığını söyleyecek verim yoktur. Cloudflare Bot Fight Mode, Super Bot Fight Mode, WAF Managed Rules ve özel güvenlik duvarı kuralları Googlebot ile Bingbot’u yan etki olarak 403 ile engelleyebilir. Ayırt edici işaret, engelin edge katmanında olmasıdır: kaynak sunucu ve CMS tamamen temiz görünürken GSC 403 raporlamayı sürdürür. Tarayıcının çağrıya tabi tutulduğunu veya engellendiğini görmek için CDN panelindeki Security Events bölümünü inceleyin.

2. Sunucu / hosting düzeyinde IP veya user-agent engelleri. Bazı hostlar user-agent ile engeller veya varsayılan olarak hız sınırı koyar; kötüye kullanılan trafiği engellemek için tasarlanan IP aralığı engelleri tarayıcı aralıklarını da yakalayabilir.

3. robots.txt / .htaccess yanlış yapılandırması. Başıboş bir Deny from veya bozuk bir yeniden yazma kuralı bütün bir dizini yasaklayabilir. (Yukarıdaki robots.txt tuzağını da unutmayın.)

4. Güvenlik eklentileri. Wordfence, iThemes Security ve benzeri araçlar meşru tarayıcıları yakalayabilen agresif bot engelleme varsayılanlarıyla gelir.

Bu uygulama notu, durum kodu erişim reddi için okurun ilgili durumu güvenle doğrulamasına yardımcı olur.

Bu karar çerçevesi, durum kodu erişim reddi için okurun ilgili durumu güvenle doğrulamasına yardımcı olur. 755 750 644 640 wp-config.php 400 440 .htaccess

7. Kötü amaçlı yazılım / ele geçirilmiş site kötü erişim kuralları ekliyor olabilir; 8. Coğrafi engelleme de bir tarayıcının IP aralığını yanlışlıkla kapsayabilir.

403’ü teşhis etmek — hangi katmanın verdiğini ayırın

Çoğu rehber doğrudan “eklentilerinizi kapatın” der. Asıl beceri, isteği hangi katmanın reddettiğini bulmaktır — yalın bir 403 durum kodu bunu tek başına söylemez. Suçluyu adlandırmadan önce CDN, WAF, uygulama, hosting, izinler, coğrafya veya önbelleği gösteren yanıt başlıklarına, günlük kayıtlarına ya da güvenlik olayı girdisine ihtiyacınız vardır. Kanıt olmadan “muhtemelen WAF” sonucuna atlamayın. Düzeltme katmana göre şöyle değişir: “it’s probably the WAF” (Türkçe çeviri) Alıntı, koşullu yanıtın veya hata durumunun doğru yorumunu koruyor.

1. Etkilenen URL’leri görmek için GSC Page Indexing → “Blocked due to access forbidden (403)”, ardından mevcut canlı yanıtı görmek için URL Inspection → Test Live URL kullanın.
2. Sunucunun gerçekten döndürdüğü durumu doğrulamak için user-agent’ları değiştirerek curl ile yeniden üretin:

   # Genel bir istemci olarak
   curl -I https://example.com/page/
   # Googlebot UA'sını taklit ederek (UA tabanlı kuralları test eder)
   curl -I -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://example.com/page/

   Normal tarayıcı UA’sı 200, Googlebot UA’sı 403 alıyorsa bir user-agent kuralı buldunuz.
3. robots.txt’nin kendi durumunu kontrol edin (o da 403 mü döndürüyor? Yukarıdaki farklı soruna bakın).
4. Tarayıcının sorgulanıp engellendiği CDN/WAF Security Events kayıtlarını inceleyin.
5. UA dizesine değil, ters + ileri DNS kullanarak tarayıcının gerçekten Googlebot olduğunu doğrulayın (UA kolayca taklit edilir).
6. Aşamalar hâlinde devre dışı bırakarak ayırın — 403 temizlenene kadar tek seferde bir WAF kuralını veya eklentiyi test edin.

Botlara doğru şekilde izin verme

Googlebot’un user-agent dizesine izin vermek cazip bir düzeltmedir. Orada durmayın — UA dizeleri kolayca taklit edilir; yalnızca UA ile izin vermek, kendisini Googlebot diye tanıtan her scraper’ı içeri alan bir güvenlik açığıdır. Doğru şekilde doğrulayın:

• Botları ters DNS + ileri DNS ile veya Google/Bing’in yayınlanmış IP aralıklarına göre doğrulayın.
• Çoğu CDN/WAF bu doğrulamayı sizin için yapan bir “verified bots” kategorisi sunar — ham UA izin kuralı yerine bunu tercih edin.
• Güvenliği genel olarak kapatmak yerine belirli kuralı (WAF yönetilen kuralı, tek bir güvenlik duvarı kuralı veya eklenti ayarı) düzeltin.
• Ardından GSC Page Indexing raporunda Validate Fix çalıştırın; acilse URL Inspection üzerinden yeniden dizine ekleme isteğinde bulunun.

Bir 403 aslında ne zaman sorun değildir — bunları “düzeltmeyin”

Her 403 hata değildir. Dizinlenmesini hiç istemediğiniz staging siteleri, yönetim alanları, özel üye bölümleri ve ödeme duvarı/kısıtlı içerik için 403 doğru ve kasıtlıdır. Ahrefs veya Screaming Frog denetiminde bunlardaki 403 sorun değildir; düzeltme yalnızca herkese açık ve dizine eklenebilir olması gereken bir sayfa yanlışlıkla engellendiğinde gerekir. Bir denetimin bildirdiği her 403’ü düşünmeden “çözmeyin”; önce sayfanın gerçekten dizinde olmasını isteyip istemediğinizi doğrulayın.

Bu karar çerçevesi, 403 erişim reddi için protokol ayrımını gerçek bir kullanım kararıyla ilişkilendirir., 4xx, 5xx, 401, 404 Kaynak

AI özeti

Advanced sürümün kısa özeti:

• 403 = “anlaşıldı, ancak reddedildi.” RFC 9110’a göre ret kimlik bilgileriyle ilgili olmak zorunda değildir. Sunucu yasak kaynağın varlığını gizlemek için 404 bile döndürebilir. Bu, genellikle kaynağın bulunmadığı 404’ten ve WWW-Authenticate gerektiren kimlik doğrulama çağrısı 401’den farklıdır; yeniden kimlik doğrulaması 403’ü güvenilir biçimde çözmez.
• Dizine ekleme sonucu noindex ile benzerdir, mekanizma farklıdır. noindex getirilip okunmalıdır; 403 Google’ın herhangi bir içeriği okumasını engeller. İki farklı yol da sayfanın Search’te görünmemesiyle sonuçlanır.
• Googlebot’a verilen 403 araştırılmalıdır, otomatik olarak hata değildir. Önce sayfanın herkese açık olması gerekip gerekmediğini kontrol edin. Gerekiyorsa olası neden yanlış tetiklenen WAF, IP engeli veya güvenlik eklentisi kuralıdır. En yaygın neden için güvenilir veri yoktur; sıralama değil kontrol listesi kullanın.
• 403 site genelindeki tarama hızını etkilemez. Bilinen URL istemci hatası döndürdükçe kendi tarama sıklığı azalır; bu bütün siteyi yavaşlatmak değildir. Googlebot’u sınırlamak için 401/403 kullanmayın; kısa süreli 429/503/500 kullanın ve fazla uzun sürerse dizinden çıkarma riski olduğunu unutmayın.
• robots.txt tuzağı (ters etki): sayfadaki 403 sert engeldir; robots.txt dosyasındaki 403 izin verici ele alınır ve Google tarama kuralı olmadığını varsayar.
• Varsayımla değil kanıtla tanı koyun. Tek başına 403 kaynağını göstermez. Belirli katmanı suçlamadan önce yanıt başlıkları, günlükler veya CDN güvenlik olaylarıyla doğrulayın: GSC Page Indexing + Test Live URL → Googlebot UA ile/olmadan curl → CDN Security Events → botu UA yerine DNS/IP ile doğrulama → katmanları sırayla devre dışı bırakma.
• Düzeltme: ham UA dizesi yerine doğrulanmış botları DNS/IP veya CDN’nin “verified bots” kategorisiyle izin listesine alın; ardından GSC’de Validate Fix kullanın.
• Bazı 403’ler doğrudur: hazırlık, yönetim, yalnızca üye ve ücretli duvar içeriğini “düzeltmeyin”. Hata varsaymadan önce amacı doğrulayın.

Resmî belgeler

403 ve 4xx ailesinin nasıl ele alındığına dair birincil kaynak belgeleri.

Protokol

• RFC 9110 §15.5.4: 403 Forbidden — temel HTTP spesifikasyonu: ret kimlik bilgileriyle ilgili olmak zorunda değildir ve origin, yasaklanmış bir kaynağı gizlemek için 404 gönderebilir.

Google

• HTTP durum kodlarının Google tarayıcılarına etkisi — 429 dışındaki 4xx URL’lerinin dizinden çıkarıldığını ve tarama hızını etkilemediğini belirten temel kaynak.
• Sayfa dizine ekleme raporu — Search Console Yardım — “Erişim yasak olduğu için engellendi (403)” durumu ve Googlebot’un kimlik bilgisi vermediği açıklaması.
• Hız sınırlamak için 403 veya 404 kullanmayın — Gary Illyes’in Şubat 2023 tarihli, 4xx kodlarının neden yanlış tarama sınırlama aracı olduğunu anlatan yazısı.
• Google’ın tarama hızını azaltma — doğru yaklaşım: 403/404 yerine kısa süre 500/503/429 döndürmek.
• Google robots.txt spesifikasyonunu nasıl yorumlar — robots.txt üzerindeki 4xx kodunun kısıtlama yokmuş gibi ele alınması ayrıntısı.
• Googlebot’u doğrulama — doğru izin listesi için ters DNS ve yayımlanmış IP aralıkları.

Bing / Microsoft

• List of crawl error alerts — Bing Webmaster Tools — Bing’in tarama hatası kategorileri.

CDN/WAF

• Fake bot detection blocking legitimate requests — Cloudflare’in yönetilen sahte bot kurallarının yanlış pozitif engeller üretebildiğini açıklayan kendi belgesi; WAF kuralının veren katman olduğunu varsaymak yerine doğrulamak için kullanın.

Genel web referansı

• MDN — 403 Forbidden — yetkili temel tanım ve 401-403 ayrımı.

Kaynaktan alıntılar

Kayıt altına alınmış ifadeler. Her bağlantı, kaynak sayfadaki alıntılanan bölüme atlayan bir deep link’tir.

Google — 4xx / 403 nasıl ele alınır

• “Google doesn’t use the content from URLs that return 4xx status codes… Google doesn’t index URLs that return a 4xx status code, and URLs that are already indexed and return a 4xx status code are removed from the index.” (Türkçe çeviri) “Google, 4xx döndüren URL’lerin içeriğini kullanmaz ve bu URL’leri dizine eklemez; daha önce dizine eklenenler dizinden çıkarılır.” — Google Search Central docs. Jump to quote
• “All 4xx errors, except 429, are treated the same: Google crawlers inform the next processing system that the content doesn’t exist.” (Türkçe çeviri) “429 dışındaki tüm 4xx hataları aynı ele alınır; Google tarayıcıları sonraki işleme sistemine içeriğin mevcut olmadığını bildirir.” Jump to quote
• “Don’t use 401 and 403 status codes for limiting the crawl rate. The 4xx status codes, except 429, have no effect on crawl rate.” (Türkçe çeviri) “Tarama hızını sınırlamak için 401 ve 403 kullanmayın. 429 dışındaki 4xx kodları tarama hızını etkilemez.” Jump to quote

Google — “Googlebot kimlik doğrulamaz” noktası

• “HTTP 403 means that the user agent provided credentials, but was not granted access. However, Googlebot never provides credentials, so your server is returning this error incorrectly. The page will not be indexed.” (Türkçe çeviri) “HTTP 403, kullanıcı aracısının kimlik bilgileri sunduğu ancak erişim izni alamadığı anlamına gelir. Googlebot kimlik bilgisi sunmaz; bu nedenle sunucunuz bu hatayı yanlış döndürüyor ve sayfa dizine eklenmeyecek.” — Search Console Help, “Blocked due to access forbidden (403).” Jump to quote

Gary Illyes, Google — 4xx ile hız sınırlamayın

• “All 4xx HTTP status codes (again, except 429) will cause your content to be removed from Google Search. What’s worse, if you also serve your robots.txt file with a 4xx HTTP status code, it will be treated as if it didn’t exist.” (Türkçe çeviri) “429 dışındaki tüm 4xx durum kodları içeriğinizin Google Search’ten kaldırılmasına yol açar. robots.txt dosyanız da 4xx döndürürse yokmuş gibi ele alınır.” — Google Search Central Blog, Feb 2023. Jump to quote
• “Return a 500, 503, or 429 HTTP status code to Googlebot when it’s crawling too fast.” (Türkçe çeviri) “Googlebot çok hızlı taradığında 500, 503 veya 429 HTTP durum kodu döndürün.” Jump to quote

Google — robots.txt-403 tersine dönüşü

• “Google’s crawlers treat all 4xx errors, except 429, as if a valid robots.txt file didn’t exist. This means that Google assumes that there are no crawl restrictions.” (Türkçe çeviri) “Google tarayıcıları 429 dışındaki tüm 4xx hatalarını geçerli bir robots.txt dosyası yokmuş gibi ele alır; yani tarama kısıtlaması olmadığını varsayar.” — Google’ın robots.txt spesifikasyonunu nasıl yorumladığı belgesi. Jump to quote

MDN — genel tanım ve 401-403 ayrımı

• “The HTTP 403 Forbidden client error response status code indicates that the server understood the request but refused to process it. This status is similar to 401, except that for 403 Forbidden responses, authenticating or re-authenticating makes no difference.” (Türkçe çeviri) “HTTP 403 Forbidden, sunucunun isteği anladığını ancak işlemeyi reddettiğini belirtir. 401’e benzer; fakat 403 yanıtlarında kimlik doğrulamak veya yeniden doğrulamak sonucu değiştirmez.” — MDN Web Docs. Jump to quote

Barry Schwartz, Search Engine Roundtable — 403-vs-503 severity Bu, birinci taraf Google sayfası değil, Google açıklamasını aktaran bir haberdir. Kaynak URL’nin otomatik getiricilere 403 döndürdüğünü de unutmayın; kesin kabul etmeden önce tarayıcıda doğrulayın.

• Google’ın uyarısı aktarılıyor: Siteler “lost load[s] of their pages from our index because they were serving them with a 403 status code instead of a 503.” (Türkçe çeviri) “Sayfalarını 503 yerine 403 durum koduyla sundukları için dizinimizden çok sayıda sayfa kaybetti.” Read the coverage

403 teşhis — karar ağacı

Googlebot’un gerçekten aldığı yanıttan başlayın, sonra katmana göre daraltın.

S1. 403, dizine eklenmesini istediğiniz bir sayfada mı?

• Hayır (staging, yönetim, yalnızca üyeler, ödeme duvarı) → muhtemelen doğrudur. Olduğu gibi bırakın. Burada durun.
• Evet → devam edin.

S2. 403 döndüren şey sayfa mı, yoksa robots.txt mi?

• robots.txt 403 döndürüyor → farklı bir sorun: Google artık tüm tarama kurallarınızı yok sayar (robots.txt yokmuş gibi davranır). robots.txt dosyasını 200 döndürecek şekilde düzeltin; sayfanızdaki 403 ayrı bir sorun olabilir.
• Sayfa 403 döndürüyor → devam edin.

S3. curl bunu yeniden üretiyor mu — ve user-agent’a bağlı mı?

curl -I https://example.com/page/
curl -I -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://example.com/page/

• Tarayıcı UA = 200, Googlebot UA = 403 → botu bir user-agent kuralı engelliyor (WAF, sunucu yapılandırması veya eklenti). S4’e geçin.
• Her ikisi = 403 → daha geniş bir engel (IP aralığı, dizin izinleri, .htaccess Deny). Sunucu yapılandırmasını ve dosya izinlerini kontrol edin.
• Her ikisi = 200 ama GSC hâlâ 403 gösteriyor → engel muhtemelen IP veya doğrulanmış bot durumuna göre çalışan edge/CDN tarafındadır. S4’e geçin ve CDN Security Events kayıtlarını kontrol edin.

S4. CDN/WAF (Cloudflare vb.) arkasında mısınız?

• Evet → tarayıcının sorgulanıp engellendiği Security Events kayıtlarını kontrol edin. Bot Fight Mode / Super Bot Fight Mode, WAF Managed Rules veya özel güvenlik duvarı kuralından şüphelenin. Ham UA izni değil, doğrulanmış arama botlarına izin verin.
• Hayır → önce sunucu düzeyindeki IP/UA engellerini, sonra güvenlik eklentilerini (Wordfence vb.), ardından .htaccess ve dosya izinlerini kontrol edin.

S5. Kuralı düzelttiniz mi?

• Yalnızca UA dizesine değil, doğrulanmış bot / DNS / IP aralığına göre izin verin → GSC Page Indexing içinde Validate Fix çalıştırın → acilse URL Inspection üzerinden yeniden dizine ekleme isteyin.

Anti-patternler — sürekli gördüğüm 403 hataları

Googlebot’u yavaşlatmak için 403 (veya 404) kullanmak. Efsaneye göre 403 döndürmek taramayı hızlandırmaz. Etkilemez — 4xx (429 hariç) tarama hızında hiçbir değişiklik yapmaz ve bunun yerine 403 verdiğiniz sayfaları dizinden çıkarır. Taramayı yavaşlatmanız gerekiyorsa kısa bir süre (saatler ile bir-iki gün arasında) 429, 503 veya 500 döndürün ya da Search Console’un tarama hızı raporlamasını kullanın. Geçici olarak bile olsa 403 tarama kontrol aracı değildir.

Denetimde 403’ü 404 ile tamamen aynı görmek. İkisi de sonunda URL’yi dizinden çıkarır; bu yüzden aynı sepete koymak caziptir. Ancak 404 genellikle “yok” demektir; 403 ise “erişim etkin olarak reddedildi” anlamına gelir — bazen düzeltilebilir bir yanlış yapılandırma, bazen kasıtlı bir engeldir. İkisini birleştirmek her iki durumda da asıl sorunu gizler. Yalnızca sonucu değil, nedeni ve amacı teşhis edin. “access was actively refused” (Türkçe çeviri) İfade, kodun anlamını SEO ve sunucu davranışıyla karıştırmamak için bir çıpa sağlıyor.

Engeli kazanmak için Googlebot’un şüpheli bir şey yaptığını varsaymak. Googlebot kimlik bilgisi göndermez; bu nedenle “hatalı kimlik bilgileri” olarak çerçevelenen 403 ona gerçekten uymaz. Yine de her engel hata değildir — önce sayfanın kamuya açık olması gerektiğini doğrulayın. Öyleyse engeli Googlebot’un tetiklediği şeklinde rasyonalize etmeyin; kuralı (WAF, IP engeli, eklenti) bulun.

Yalnızca user-agent dizesiyle izin vermek. UA dizeleri kolayca taklit edilir; bu nedenle allow if UA contains "Googlebot" kuralı, Google gibi davranan her scraper’ı güvenlikten geçirir. Ters + ileri DNS veya yayınlanmış IP aralıkları ile doğrulayın ya da CDN’inizin verified-bots kategorisini kullanın.

robots.txt üzerindeki 403 ile sayfalarınız üzerindeki 403’ü karıştırmak. Etkileri zıttır. Sayfadaki 403, sayfayı dizinden çıkaran kesin bir engeldir. robots.txt üzerindeki 403, Google’ın tarama kuralınız olmadığını varsaymasına neden olur; bu yüzden engellemek istediğiniz yolları tarayabilir. Düzeltmeden önce hangisini gördüğünüzü teşhis edin.

Kasıtlı 403’leri “düzeltmek”. Hazırlık siteleri, yönetim alanları, yalnızca üyelere açık ve ücretli duvarlı içerikler tarayıcılara bilerek 403 döndürür. Denetimdeki her 403’ü düşünmeden çözmek, hiç dizine eklenmesini istemediğiniz şeyleri açığa çıkarabilir. Önce sayfanın herkese açık olması gerektiğini doğrulayın.

Amaç, kapsam ve yanıtı veren katman çerçevesi

Bir 403 denetimi şu üç soruyu sırayla yanıtladığımda hızlanır:

1. Amaç: Bu kaynak kamuya açık olmalı mı? Bilinçli bir özel alan engelini olduğu gibi bırakın. Dizinlenebilir bir sayfadaki 403’ü olay kabul edin.
2. Kapsam: Hata tek bir URL’yi, dizini, user-agent’ı, coğrafyayı veya her isteği mi etkiliyor? Sınır, sorumlu kuralı eklentileri rastgele değiştirmenizden daha hızlı belirler.
3. Yanıtı veren katman: CDN/WAF olayını, origin erişim günlüğünü, uygulama günlüğünü ve yanıt başlıklarını karşılaştırın. 403’ü gerçekten üreten ilk katmanı değiştirin; üretebilecek her katmanı değiştirmeyin.

Düzeltmeden sonra anonim erişimi ve doğrulanmış tarayıcı erişimini bağımsız biçimde doğrulayın. İddia edilen Googlebot user-agent’ı bir UA kuralını yeniden üretmek için yararlıdır, ancak tarayıcı kimliğinin kanıtı değildir.

İstem: 403’ü katmana göre ayır

Diagnose this HTTP 403 using only the evidence I paste. Classify the likely issuing
layer as CDN/WAF, web server, application/security plugin, filesystem permissions,
or intentional access control. Compare generic and claimed-bot responses, identify
which observation supports each conclusion, and give the smallest safe change plus
an anonymous curl test and Search Console validation. Do not recommend disabling all
security or trusting a user-agent string as identity.

[PASTE SANITIZED HEADERS, CURL OUTPUT, SECURITY EVENT, AND LOG LINES]

İstem: bir WAF istisnasını incele

Review this WAF rule intended to stop 403s for legitimate search crawlers. Check its
scope, whether crawler identity is verified, what non-crawler traffic it could admit,
and whether robots.txt behaves differently from page URLs. Return a least-privilege
rewrite, test cases, and rollback conditions. Do not invent provider syntax.

[PASTE RULE AND PROVIDER]

403 yanıtlarını teşhis etmek için araçlar

• Bulk HTTP Status Code Checker: giriş oturumunuzu taşımadan engelin tekil mi olduğunu veya bir URL kalıbını mı etkilediğini bulun.
• HTTP Header Checker: yanıtı veren katmanı belirlemeye yardımcı olan CDN parmak izlerini, istek kimliklerini ve güvenlik başlıklarını inceleyin.
• Googlebot Verifier: bir tarayıcıya izin vermeden önce IP kanıtını doğrulayın; yalnızca user-agent’ı kanıt saymayın.
• Search Console Page Indexing ve URL Inspection: bildirilen etkilenen kümeyi görün, mevcut yanıtı canlı test edin ve düzeltmeden sonra doğrulayın.
• CDN/WAF güvenlik olayları ve origin günlükleri: edge katmanı bir engel kaydediyor, origin ise hiç istek kaydetmiyorsa düzeltme edge katmanındadır.

Kendinizi test edin: 403 Forbidden

403’ün ne anlama geldiği ve nasıl ele alınacağı hakkında beş kısa soru. Her biri için bir yanıt seçin, sonra kontrol edin.

Zaman ayırmaya değer kaynaklar

İlgili yazılarım

• HTTP durum kodları ve SEO etkileri — 403’ün kodlar arasındaki yerini ve 4xx kodlarının sayfaları dizinden çıkarma mekanizmasını içeren 4xx/5xx özeti.
• Yeni başlayanlar için teknik SEO rehberi — 403 gibi tarama ve dizin erişimi sorunlarının geniş çerçevedeki yeri.
• Robots.txt ve SEO: Bilmeniz gereken her şey — robots.txt-403 ayrıntısı ve tarama kontrollerinin gerçek işleyişi.

Konuşmalarım

• How Search Works (SlideShare) — tarama → oluşturma → dizine ekleme → sunma akışım; 403 ilk kapıdaki başarısızlıktır. Kalıcı uyarı: “This is my understanding of systems… not going to be 100% complete or accurate.” (çeviri) “Bu, sistemlere ilişkin anlayışımdır; yüzde 100 eksiksiz veya doğru olmayacaktır.”

Sektörden kaynaklar

• Hız sınırlamak için 403 veya 404 kullanmayın (Google Search Central Blog) — Gary Illyes, 4xx kodlarının neden yanlış tarama sınırlama aracı olduğunu açıklıyor.
• Google’ın tarama hızını azaltma (Google Search Central) — karşılaştırma için doğru 500/503/429 yaklaşımı.
• Google Warns About Misuse Of 403 Status Codes (Search Engine Roundtable) — 403 ile 503 arasındaki önem anekdotu; sayfa botlara 403 verdiği için tarayıcıda doğrulayın.
• Google: Googlebot hızını sınırlamak için 403/404 hata yanıtlarını kullanmayın (Search Engine Journal) — 2023 rehberinin aktarımı.
• Google Search Console’da erişim yasağı (403) engelini düzeltme (SEOTesting) — her 403’ün düzeltilip düzeltilmemesi dâhil sağlam neden ve çözüm yapısı.
• Erişim yasağı (403) hatasını düzeltme (Rank Math) — somut WordPress chmod değerleri ve Health Check akışı.
• HTTP durum kodları: Web sitem neden taranmıyor? (Screaming Frog) — tarayıcı tarafı tanı: UA değiştirme, JS oluşturma ve IP/UA izin listesi.

Değişiklik günlüğü