Cómo solucionar el error 403 Forbidden en WordPress

¿Qué es el error 403 Forbidden y por qué aparece en WordPress?

El error 403 Forbidden es uno de los mensajes de error HTTP más frustrantes que puedes encontrar en tu sitio WordPress. Básicamente, te está diciendo que tu servidor web (Apache o Nginx) ha entendido tu petición, pero se niega a procesarla. No es un problema de contraseña ni de DNS: es un problema de permisos.

Cuando ves un error 403 en WordPress, puede manifestarse de varias formas: una pantalla en blanco con el texto "403 Forbidden", un mensaje que dice "You don't have permission to access this resource", o incluso un error que aparece solo en el panel de administración (wp-admin) pero no en el resto del sitio.

Este error es muy común en entornos de hosting compartido, especialmente cuando usamos paneles de control como Plesk o cPanel. Las causas más frecuentes son:

Permisos de archivos incorrectos (normalmente en la carpeta wp-content o en el archivo .htaccess).
Un archivo .htaccess corrupto o con directivas incompatibles.
Conflictos con plugins de seguridad o caché.
Configuración incorrecta de PHP (por ejemplo, ejecutar PHP como módulo de Apache en lugar de PHP-FPM).
Reglas de mod_security demasiado estrictas.
Problemas con el archivo index.php o con la estructura de directorios.

Lo bueno es que, en la mayoría de los casos, puedes arreglar el error 403 wordpress siguiendo una serie de pasos lógicos y sin necesidad de ser un experto en servidores. Vamos a verlos todos, tanto para Plesk como para cPanel.

Paso 1: Identifica el alcance del error 403

Antes de tocar nada, necesitas saber si el error afecta a todo el sitio o solo a algunas partes. Esto te dará pistas sobre la causa.

Comprueba estas situaciones:

¿El error aparece en la portada, en el wp-admin o en ambas?
¿Aparece solo al acceder a ciertas páginas o archivos (por ejemplo, imágenes o archivos de descarga)?
¿El error es intermitente o constante?
¿Has cambiado algo recientemente (plugin, tema, configuración de seguridad, archivo .htaccess)?

[TIP] Si el error solo aparece en el panel de administración (wp-admin), el problema suele estar en los permisos de la carpeta wp-admin o en un plugin de seguridad. Si afecta a todo el sitio, es más probable que sea un problema de .htaccess o de permisos globales.

Paso 2: Resetea el archivo .htaccess (solución rápida para cPanel y Plesk)

El archivo .htaccess es el primer sospechoso cuando aparece un error 403 en WordPress. Es un archivo oculto que controla las reglas de reescritura, el acceso a directorios y otras configuraciones. Si está corrupto o tiene directivas incompatibles, puede bloquear todo el sitio.

Cómo resetear .htaccess desde cPanel:

Accede a tu cPanel (normalmente en tudominio.com/cpanel).
Ve a Administrador de archivos (File Manager).
Activa la opción Mostrar archivos ocultos (en la esquina superior derecha).
Navega hasta la carpeta public_html (o la raíz de tu WordPress).
Busca el archivo .htaccess. Si existe, haz clic derecho y selecciona Cambiar permisos. Anota los permisos actuales (normalmente 644). Luego renómbralo a .htaccess.bak (esto lo desactiva temporalmente).
Accede a tu sitio web. Si el error 403 desaparece, el problema era el .htaccess.

Ahora necesitas regenerar un .htaccess limpio. Ve a Ajustes > Enlaces permanentes en tu wp-admin y haz clic en Guardar cambios sin modificar nada. WordPress creará un nuevo .htaccess automáticamente.

Cómo resetear .htaccess desde Plesk:

Accede a Plesk (normalmente en tudominio.com:8443).
Ve a Sitios web y dominios.
Haz clic en Administrador de archivos (icono de carpeta).
Navega hasta la carpeta httpdocs (equivalente a public_html en Plesk).
Busca .htaccess y renómbralo a .htaccess.bak.
Comprueba tu sitio. Si funciona, regenera el .htaccess desde wp-admin como se explicó arriba.

[WARNING] Si renombrar el .htaccess arregla el error pero no puedes acceder al wp-admin para regenerarlo, puedes crear un .htaccess manualmente con un editor de texto. Copia este contenido:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Paso 3: Revisa y corrige los permisos de archivos y carpetas

La causa número uno del error 403 wordpress son los permisos incorrectos. En WordPress, los archivos deben tener permiso 644 y las carpetas 755. Si algo tiene 777 o 600, el servidor puede bloquear la lectura.

Permisos correctos en WordPress:

Archivos (como index.php, wp-config.php, etc.): 644 (lectura y escritura para el propietario, solo lectura para grupos y otros).
Carpetas (como wp-content, wp-admin, wp-includes): 755 (lectura, escritura y ejecución para el propietario, lectura y ejecución para grupos y otros).
Carpeta wp-content/uploads: puede necesitar 755 o 775 dependiendo de tu hosting, pero nunca 777 en producción.

Corregir permisos desde cPanel:

Entra en Administrador de archivos.
Selecciona todos los archivos y carpetas dentro de public_html (Ctrl+A o Cmd+A).
Haz clic en Permisos en la barra superior.
Marca la casilla Cambiar permisos de archivos y subdirectorios.
Para archivos, pon 0644. Para carpetas, pon 0755.
Haz clic en Cambiar.

Corregir permisos desde Plesk:

Ve a Sitios web y dominios > Administrador de archivos.
Selecciona todos los elementos de httpdocs.
Haz clic en Permisos (icono de candado).
Poner archivos a 0644 y carpetas a 0755.
Aplica los cambios.

[TIP] Si tienes acceso SSH, puedes usar estos comandos desde la raíz de WordPress:
find . -type f -exec chmod 644 {} \;
find . -type d -exec chmod 755 {} \;
Esto corrige todos los permisos de una sola vez.

Paso 4: Verifica la configuración de PHP (Plesk y cPanel)

A veces, el error 403 no es por permisos sino por cómo se ejecuta PHP en tu servidor. Si PHP se ejecuta como módulo de Apache (mod_php), puede haber conflictos con ciertas directivas del .htaccess. Si se ejecuta como PHP-FPM o CGI, los permisos del usuario pueden ser diferentes.

En cPanel:

Ve a Seleccionar versión de PHP (o MultiPHP Manager).
Comprueba que la versión de PHP es compatible con tu WordPress (PHP 7.4 o superior es recomendable).
Asegúrate de que el modo de ejecución sea PHP-FPM o LSAPI en lugar de mod_php. Esto suele resolver conflictos de permisos.
Guarda los cambios y prueba tu sitio.

En Plesk:

Ve a Sitios web y dominios > tu dominio.
Haz clic en Configuración de PHP.
Cambia el modo de ejecución a PHP-FPM (a veces llamado "FPM application served by nginx").
En la pestaña Configuración de rendimiento, baja el memory_limit y max_execution_time a valores estándar si los habías modificado.
Guarda y comprueba.

[INFO] Si no tienes experiencia con estos ajustes, no los cambies a lo loco. Primero prueba los pasos anteriores (permisos y .htaccess), que son los más comunes y seguros.

Paso 5: Desactiva temporalmente plugins y tema

Un plugin de seguridad o caché mal configurado puede provocar un error 403 en WordPress. Para descartarlo, desactiva todos los plugins y cambia a un tema por defecto (como Twenty Twenty-Four).

Cómo desactivar plugins sin acceso al wp-admin:

Si el error 403 te bloquea el acceso al panel, usa un cliente FTP o el Administrador de archivos del panel:

Ve a la carpeta wp-content.
Renombra la carpeta plugins a plugins_old.
Accede a tu sitio. Si funciona, el problema era un plugin.
Crea una nueva carpeta plugins vacía y ve añadiendo los plugins uno a uno (renombrando plugins_old a plugins y moviendo carpetas) hasta encontrar el culpable.

Para el tema:

Ve a wp-content/themes.
Renombra la carpeta de tu tema activo (por ejemplo, mi-tema a mi-tema_old).
WordPress usará automáticamente un tema por defecto.
Si el error desaparece, el problema está en el tema.

[WARNING] Haz siempre una copia de seguridad antes de renombrar carpetas. Si algo sale mal, puedes revertir los cambios fácilmente.

Paso 6: Revisa mod_security y reglas de firewall

mod_security es un módulo de Apache que actúa como firewall de aplicaciones web. A veces bloquea peticiones legítimas y provoca un error 403. Tanto Plesk como cPanel permiten desactivarlo o ajustar sus reglas.

En cPanel:

Ve a Administrador de WAF (o Mod Security).
Busca la opción de Desactivar para tu dominio.
Si no tienes acceso a esta opción, contacta con tu proveedor de hosting.

En Plesk:

Ve a Sitios web y dominios > tu dominio.
Haz clic en Protección web (o Web Application Firewall).
Cambia el modo de Aprendizaje o Desactivado temporalmente.
Comprueba tu sitio.

[TIP] Si el error desaparece al desactivar mod_security, el problema es una regla específica. En lugar de dejarlo desactivado, contacta con tu hosting para que ajusten la regla o la eliminen.

Paso 7: Comprueba los logs del servidor

Si los pasos anteriores no funcionan, necesitas ver los logs de error del servidor. Te dirán exactamente qué archivo o carpeta está bloqueando el acceso.

Logs en cPanel:

Ve a Métricas > Errores (o Error Log).
Busca entradas con "403" o "denied".
Anota la ruta exacta del archivo o directorio mencionado.

Logs en Plesk:

Ve a Sitios web y dominios > tu dominio.
Haz clic en Registros (Logs).
Descarga el log de errores de Apache o Nginx.
Busca líneas con "403" o "Permission denied".

Con la ruta exacta, puedes revisar los permisos específicos de ese archivo o carpeta y corregirlos.

Paso 8: Caso especial: HestiaCP (ahora Syspanel)

Si tu hosting usa HestiaCP, que ahora se llama Syspanel, el proceso es similar pero con algunas diferencias. El puerto de acceso al panel es el 2106 (por ejemplo, https://tudominio.com:2106).

Pasos para Syspanel:

Accede a Syspanel usando el puerto 2106.
Ve a Web > tu dominio.
Haz clic en Gestor de archivos.
Revisa los permisos de public_html (los mismos 644 para archivos y 755 para carpetas).
Si tienes Nginx como proxy inverso, verifica que el archivo .htaccess no tenga directivas incompatibles (Syspanel usa Nginx + Apache, así que algunas reglas pueden no ser válidas).
Puedes desactivar temporalmente el firewall de Syspanel (Configuración > Firewall) para probar.

[INFO] Syspanel usa una estructura ligeramente diferente en los logs, pero la lógica de solución es la misma: revisa permisos, .htaccess y mod_security.

Preguntas frecuentes (FAQ) sobre el error 403 en WordPress

¿Por qué mi WordPress da error 403 solo en algunas páginas?

Suele ser por un plugin de caché que genera archivos estáticos con permisos incorrectos, o por reglas de .htaccess específicas para esas URLs. Limpia la caché y revisa los permisos de la carpeta wp-content/cache.

¿El error 403 puede ser un ataque de hackers?

Es posible, pero poco común. Si sospechas de un ataque, revisa los archivos recientemente modificados en tu servidor y busca código malicioso en tu tema y plugins. Cambia todas tus contraseñas y considera instalar un plugin de seguridad.

¿Qué hago si no tengo acceso FTP ni al panel de control?

Contacta con tu proveedor de hosting. Ellos pueden resetear los permisos o el .htaccess desde su lado. Es gratis y suele resolverse en minutos.

¿Debo cambiar los permisos a 777 para arreglar el error 403?

Nunca. Los permisos 777 son un riesgo de seguridad grave y, de hecho, muchos servidores los bloquean automáticamente. Usa 644 para archivos y 755 para carpetas.

¿El error 403 afecta al SEO de mi sitio?

Sí, si el error persiste durante horas o días, los bots de Google pueden interpretar que tu sitio no está disponible y afectar tu posicionamiento. Resuélvelo lo antes posible y, si estuvo caído mucho tiempo, puedes solicitar una reconsideración en Google Search Console.

Resumen rápido: checklist para arreglar el error 403

Identifica el alcance (todo el sitio o solo wp-admin).
Renombra el .htaccess y prueba.
Corrige permisos (644 archivos, 755 carpetas).
Cambia el modo de PHP a PHP-FPM si es posible.
Desactiva plugins y tema sospechosos.
Desactiva mod_security temporalmente.
Revisa los logs del servidor para pistas exactas.
Contacta con tu hosting si nada funciona.

Este checklist cubre el 95% de los casos de error 403 wordpress en Plesk y cPanel. La clave es ir paso a paso, sin desesperarse, y siempre hacer copias de seguridad antes de modificar archivos.

[TIP] Después de arreglar el error, te recomiendo instalar un plugin de seguridad como Wordfence o Sucuri para prevenir futuros bloqueos, y configurar una copia de seguridad automática diaria. Así, si algo vuelve a fallar, puedes restaurar rápidamente.

Espero que esta guía te haya sido útil. Si tienes alguna duda, déjala en los comentarios y estaré encantado de ayudarte. ¡Buena suerte con tu WordPress!