Ini adalah penyebab paling umum error 403 di website online store WordPress. Setiap file dan folder di server memiliki kode izin akses (permission). Jika nilainya salah, server akan menolak akses dan menampilkan error 403.

Perbaiki permission via SSH menggunakan perintah berikut:

# Perbaiki permission SEMUA folder (755)
find /home/username/public_html -type d -exec chmod 755 {} \;

# Perbaiki permission SEMUA file (644)
find /home/username/public_html -type f -exec chmod 644 {} \;

# Amankan wp-config.php secara khusus
chmod 440 /home/username/public_html/wp-config.php

File .htaccess yang corrupt atau berisi aturan yang salah bisa langsung menyebabkan error 403. Cara paling aman adalah mengganti namanya (backup) lalu membiarkan WordPress membuat yang baru secara otomatis.

Setelah rename, pergi ke Dashboard WordPress → Settings → Permalinks dan klik tombol “Save Changes” tanpa mengubah apapun. WordPress akan otomatis membuat file .htaccess baru yang bersih.

Jika Anda ingin membuat .htaccess secara manual, berikut isi standar WordPress:

# BEGIN WordPress
# Jangan edit bagian ini secara manual
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Plugin keamanan seperti Wordfence, iThemes Security, All In One WP Security, atau plugin SEO tertentu kadang memiliki aturan firewall yang terlalu agresif dan memblokir akses yang seharusnya diizinkan — terutama di halaman checkout atau akun pelanggan website online store Anda.

Tema yang berisi kode PHP yang bermasalah atau tema yang tidak kompatibel dengan versi WordPress terbaru juga bisa menjadi pemicu error 403. Cara termudah untuk menguji ini adalah dengan mengaktifkan tema default WordPress (Twenty Twenty-Four atau Twenty Twenty-Three).

Pergi ke Appearance → Themes dan aktifkan tema default. Jika error 403 hilang, masalahnya ada di tema aktif Anda — hubungi developer tema atau cari versi yang diperbarui.

ModSecurity (mod_security) adalah modul keamanan di Apache yang bertindak seperti firewall aplikasi web. Terkadang aturannya terlalu ketat dan memblokir request yang seharusnya sah dari pengunjung website online store Anda.

# Nonaktifkan mod_security untuk seluruh website
<IfModule mod_security.c>
  SecFilterEngine Off
  SecFilterScanPOST Off
</IfModule>

# Atau nonaktifkan untuk URL tertentu saja (lebih aman)
# Misal: hanya untuk halaman checkout WooCommerce
<LocationMatch "/checkout">
  SecRuleEngine Off
</LocationMatch>

Jika website online store Anda menggunakan Cloudflare atau CDN sejenis, firewall Cloudflare mungkin memblokir pengunjung berdasarkan reputasi IP, negara asal, atau pola request yang dianggap mencurigakan.

Langkah troubleshooting Cloudflare: Masuk ke dashboard Cloudflare → pilih domain Anda → klik “Security” → “Events” untuk melihat apakah ada IP yang diblokir. Coba juga set Security Level ke “Low” atau “Essentially Off” sementara untuk pengujian.

Selain permission (chmod), file juga harus dimiliki oleh user yang tepat (chown). Ketika file dimiliki oleh user yang salah, server menolak akses meskipun permission sudah benar. Ini sering terjadi setelah migrasi hosting.

# Lihat siapa pemilik file saat ini
ls -la /home/username/public_html/

# Ubah kepemilikan semua file ke user Apache/cPanel
# (Ganti "username" dengan nama user cPanel Anda)
chown -R username:username /home/username/public_html/

# Untuk server dengan Apache user "www-data" (Ubuntu/Debian)
chown -R www-data:www-data /var/www/html/

Jika sebuah folder tidak memiliki file index (index.php atau index.html), dan directory listing dinonaktifkan di server, maka server akan mengembalikan error 403 ketika ada yang mencoba mengakses folder tersebut secara langsung.

# Tambahkan baris ini di .htaccess untuk keamanan:
# Nonaktifkan directory listing (tampilkan 403, bukan daftar file)
Options -Indexes

# Atau arahkan ke halaman 404 custom jika tidak ada index
DirectoryIndex index.php index.html /index.php

Terkadang error 403 yang Anda lihat sebenarnya sudah diperbaiki di server, namun browser atau plugin cache masih menyimpan versi error-nya. Ini sering terjadi setelah ada perubahan konfigurasi di hosting.

• ✓
  Clear cache browser — tekan Ctrl+Shift+Delete (Windows) atau Cmd+Shift+Delete (Mac)
• ✓
  Gunakan mode Incognito/Private — buka tab baru mode incognito untuk test tanpa cache
• ✓
  Purge cache Cloudflare — Caching → Configuration → Purge Cache → Purge Everything
• ✓
  Hapus cache plugin — di WP Rocket, LiteSpeed Cache, atau W3 Total Cache → Empty/Purge All Cache
• ✓
  Test dari perangkat lain — coba buka dari smartphone dengan jaringan mobile, bukan WiFi

Beberapa konfigurasi PHP yang salah, seperti open_basedir restriction atau pengaturan keamanan PHP yang terlalu ketat, bisa menyebabkan skrip WordPress tidak bisa mengakses file tertentu dan menghasilkan error 403.

; Periksa apakah open_basedir terlalu membatasi
; Ini mungkin memblokir WordPress mengakses file-nya sendiri
open_basedir = /home/username/public_html/:/tmp/

; Pastikan allow_url_fopen aktif untuk WordPress update
allow_url_fopen = On

; Nilai memory limit yang cukup untuk WooCommerce
memory_limit = 256M
max_execution_time = 300

Mode debug WordPress akan menampilkan pesan error PHP yang lebih detail, sehingga Anda bisa mengetahui persis di mana letak masalahnya. Jangan gunakan ini di website production — aktifkan hanya sementara untuk diagnosa.

/* Aktifkan mode debug untuk troubleshooting */
define( 'WP_DEBUG',         true );
define( 'WP_DEBUG_LOG',     true );   // Simpan error ke /wp-content/debug.log
define( 'WP_DEBUG_DISPLAY', false );  // JANGAN tampilkan di layar (production)
define( 'SCRIPT_DEBUG',     true );

/* Setelah selesai debug, kembalikan ke: */
// define( 'WP_DEBUG', false );

Setelah aktifkan debug, coba reproduce error 403, lalu periksa file wp-content/debug.log untuk melihat pesan error yang tercatat.

Error log Apache atau Nginx menyimpan catatan detail tentang setiap error yang terjadi, termasuk alasan spesifik mengapa akses ditolak. Ini adalah cara paling akurat untuk mengetahui akar masalah error 403 di website online store Anda.

# Lihat error log Apache secara real-time
tail -f /var/log/apache2/error.log

# Filter hanya baris yang mengandung "403"
grep "403" /var/log/apache2/access.log | tail -50

# Di cPanel: Error Logs tersedia di menu Metrics → Errors
# Lokasi umum di shared hosting:
# /home/username/logs/
# /home/username/public_html/error_log

File .htpasswd digunakan untuk proteksi password di level HTTP. Jika file ini dikonfigurasi salah atau rusak, siapa pun yang mencoba mengakses area yang dilindungi akan mendapat error 403 — termasuk pengunjung sah website online store Anda.

# Cari apakah ada konfigurasi seperti ini di .htaccess
# yang mungkin menyebabkan 403:
AuthType Basic
AuthName "Restricted Area"
AuthUserFile /home/username/.htpasswd   ← Pastikan path ini benar!
Require valid-user

# Jika path .htpasswd salah → 403 error
# Solusi: perbaiki path atau hapus blok ini jika tidak diperlukan

Jika file core WordPress seperti wp-login.php, wp-settings.php, atau file di folder wp-includes/ corrupt atau termodifikasi (misalnya oleh malware), reinstall WordPress core bisa mengembalikan semuanya ke kondisi normal tanpa menghapus konten atau plugin.

# Cara 1: Gunakan WP-CLI (direkomendasikan)
wp core download --skip-content --force

# Cara 2: Via Dashboard WordPress
# Dashboard → Updates → Re-install version X.X.X

# Cara 3: Manual via FTP
# Download WordPress.zip dari wordpress.org
# Upload dan overwrite HANYA folder:
#   /wp-admin/ dan /wp-includes/
# JANGAN overwrite /wp-content/ dan wp-config.php

Jika 14 solusi di atas belum berhasil, kemungkinan masalah ada di konfigurasi server level yang tidak bisa Anda akses sendiri. Tim hosting memiliki akses ke log server yang lebih detail, konfigurasi firewall server, dan bisa melakukan diagnosa dari sisi server secara langsung.

Informasi yang perlu disiapkan sebelum menghubungi hosting:

• ✓
  URL spesifik yang mengalami error 403
• ✓
  Waktu pertama kali error muncul (tanggal dan jam)
• ✓
  Perubahan apa yang dilakukan sebelum error muncul (update plugin, perubahan kode, dll)
• ✓
  Screenshot pesan error lengkap (termasuk URL di address bar)
• ✗
  Jangan berikan password cPanel atau FTP melalui email atau chat — minta untuk akses diagnostik via ticket resmi