HTTP 403 Forbidden 並非單一錯誤，IIS 將其細分為 17 種子狀態碼 (403.1 ~ 403.17)，精確指出存取被拒的具體原因。本文逐一解析每個子代碼含義、觸發情境與修正方向，助網管秒級定位權限問題。
| 子代碼 | 錯誤標題 | 觸發原因 | 修正方向 |
|---|---|---|---|
| 403.1 | 執行存取被拒 | 嘗試執行 CGI/ISAPI 程式，但目錄未設「執行」權限 | IIS 管理員 → 目錄「主目錄」→「執行權限」改為「僅指令碼」或「指令碼及執行檔」 |
| 403.2 | 讀取存取被拒 | 無預設文件且未啟用目錄瀏覽，或目錄權限僅「執行/指令碼」無「讀取」 | 啟用目錄瀏覽、設定預設文件、或給予「讀取」權限 |
| 403.3 | 寫入存取被拒 | 上傳/修改檔案但目錄無「寫入」權限 | 目錄內容 → 安全性 → 給 IUSR/IIS_IUSRS 寫入權限 |
| 403.4 | 需要 SSL | 網站要求 HTTPS，用戶用 HTTP 存取 | 用戶改用 https://；或 IIS 取消「要求安全通道」 |
| 403.5 | 需要 128 位元加密瀏覽器 | 用戶瀏覽器不支援 128-bit SSL | 升級瀏覽器；或 IIS 降低加密需求 |
| 403.6 | IP 位址被拒絕 | 用戶 IP 在 IIS「IP 位址與網域名稱限制」拒絕清單中 | 移除拒絕規則、或調整防火牆/負載平衡器白名單 |
| 403.7 | 需要用戶端憑證 | 資源要求 SSL 用戶端憑證驗證 | 用戶安裝有效客戶憑證；或 IIS 取消「要求用戶端憑證」 |
| 403.8 | 網站存取被拒 | 用戶 DNS 名稱在拒絕清單中（與 403.6 針對 IP 不同） | 移除 DNS 拒絕規則 |
| 403.9 | 連線使用者過多 | 網站連線數超過「連線限制」設定值 | 調高連線限制、優化應用程式、擴充伺服器 |
| 403.10 | 組態無效 | 執行權限設定衝突（如同時設定指令碼與執行） | 修正目錄執行權限設定為單一模式 |
| 403.11 | 密碼變更 | 透過 WebDAV/IIS 修改密碼失敗 | 檢查密碼原則、使用者帳號控制、SSL 狀態 |
| 403.12 | 對應器拒絕存取 | 客戶端憑證對應帳號無權限存取該站台 | 檢查 Active Directory 對應規則、帳號權限 |
| 403.13 | 用戶端憑證已撤銷/無法驗證 | 憑證在 CRL/OCSP 中被撤銷、或 CA 離線無法驗證 | 更新/重發憑證、確保 CA 可達、檢查時鐘同步 |
| 403.14 | 目錄列表被拒絕 | 無預設文件且未啟用目錄瀏覽（同 403.2 但更明確） | 啟用目錄瀏覽或新增預設文件 |
| 403.15 | 用戶端存取授權超限 | 超過 IIS 授權連線數（Client Access License） | 購買額外 CAL、優化連線釋放、換用非 IIS 平台 |
| 403.16 | 用戶端憑證不受信/無效 | 憑證鏈不受信、格式錯誤、過期、用途不符 | 補裝根憑證、檢查 EKU、換發有效憑證 |
| 403.17 | 用戶端憑證已過期/尚未生效 | 憑證有效期外 | 換發新憑證、同步伺服器/用戶端時間 |
X-Powered-By: ASP.NET 等資訊。%SystemDrive%\inetpub\logs\LogFiles\W3SVC#) 搜尋 403 → 查看 sc-substatus 欄位即為子代碼。