403 Forbidden ("запрещено (не уполномочен)")

https://httpcat.ru/403

Это прямая ссылка на изображение со статусом. Вы можете скопировать и использовать её где угодно.

Описание

Код состояния 403 Forbidden означает, что сервер понял запрос, но отказывается его выполнять, потому что у клиента нет необходимых прав доступа к ресурсу.

Основные характеристики:

Сервер **знает, кто пользователь**, но **запрещает доступ** к запрашиваемому ресурсу
Аутентификация может быть выполнена, но прав доступа недостаточно
Причина отказа не всегда уточняется из соображений безопасности

Типичное использование:

GET /admin HTTP/1.1
Authorization: Bearer abc123

HTTP/1.1 403 Forbidden
Content-Type: application/json

{
    "error": "Access denied",
    "message": "You do not have permission to access this resource."
}

Особенности заголовков:

Content-Type — при наличии тела с описанием причины отказа
WWW-Authenticate обычно отсутствует (в отличие от 401)

Когда использовать:

Если пользователь аутентифицирован, но не имеет доступа к ресурсу
Если ресурс доступен только определённым ролям, группам или IP-адресам
Когда сервер умышленно запрещает доступ, независимо от авторизации

Дополнительно:

403 означает: «Я знаю, кто ты, но всё равно не пущу»
Не следует использовать вместо 401 Unauthorized, если клиент вообще не прошёл аутентификацию
Полезен при разграничении прав доступа, запрете действий, отключённых функциях

Документация: https://developer.mozilla.org/en-US/docs/Web/HTTP/Status/403