IIS 伺服器回傳 HTTP 403 時，子狀態碼 (403.1 ~ 403.17) 能精確指出拒絕原因。本文整理完整對照表與對應排查方向，助網管快速定位問題。
| 子狀態碼 | 意義 | 常見原因與排查方向 |
|---|---|---|
| 403.1 | 執行存取被拒 | 目錄未啟用「執行」權限 (Scripts/Executables)，CGI/ISAPI/ASP.NET 程式無法執行。→ IIS 管理員 → 目錄屬性 → 執行權限選「僅指令碼」或「指令碼及執行檔」。 |
| 403.2 | 讀取存取被拒 | 無預設文件 (Default Document) 且未啟用目錄瀏覽，或目錄權限僅標記「執行/指令碼」無「讀取」。→ 設定預設文件、啟用目錄瀏覽、或授予讀取權限。 |
| 403.3 | 寫入存取被拒 | 上傳/修改檔案但目錄無「寫入」權限。→ 授予 IIS_IUSRS / IUSR 寫入 NTFS 權限，或啟用 WebDAV 寫入。 |
| 403.4 | 需要 SSL | 網站要求 HTTPS，用戶用 HTTP 存取。→ 強制重導 HTTPS、或用戶改用 https://。 |
| 403.5 | 需要 128 位元加密瀏覽器 | 伺服器要求 128-bit SSL，舊版瀏覽器 (IE6 早期) 不支援。→ 升級瀏覽器、或伺服器降低加密需求 (不建議)。 |
| 403.6 | IP 位址被拒絕 | IP 限制清單中包含用戶 IP。→ IIS → IP 位址與網域限制 → 移除拒絕規則或新增允許規則。 |
| 403.7 | 需要用戶端憑證 | 資源要求 SSL 用戶端憑證驗證。→ 用戶需安裝有效客戶憑證，或調整伺服器憑證對應規則。 |
| 403.8 | DNS 名稱被拒絕 | 主機標頭/網域名稱限制清單拒絕。→ 檢查 IIS 網域名稱限制設定。 |
| 403.9 | 連線用戶過多 | 伺服器連線數達上限 (IIS 連線限制/頻寬節流)。→ 調整網站限制、擴充伺服器資源、啟用輸出快取。 |
| 403.10 | 設定無效 | CGI/ISAPI 應用程式對應錯誤、處理常式映射衝突。→ 檢查處理常式對應、應用程式集區管線模式 (Classic/Integrated)。 |
| 403.11 | 密碼變更導致無權限 | 應用程式集區身分識別密碼變更未同步、或使用者密碼過期。→ 更新應用程式集區身分識別認證、重設使用者密碼。 |
| 403.12 | 對應器拒絕存取 | 客戶端憑證對應帳號無權限存取站點。→ 檢查 Active Directory 對應規則、帳號權限。 |
| 403.13 | 用戶端憑證被撤銷/無法驗證 | 憑證已吊銷 (CRL/OCSP) 或信任鏈斷裂。→ 更新憑證、檢查信任根憑證機構、同步時間。 |
| 403.14 | 目錄列表被拒絕 | 舊版別名，實際同 403.2 (無預設文件且禁用目錄瀏覽)。 |
| 403.15 | 用戶端存取授權超限 | 超過伺服器授權的同時連線用戶數 (如 Web 版 CAL 限制)。→ 採購足夠 CAL、或調整授權模式。 |
| 403.16 | 用戶端憑證不可信/無效 | 憑證簽發者不受信任、格式錯誤、用途不符 (非 Client Authentication)。→ 重新簽發/匯入正確憑證。 |
| 403.17 | 用戶端憑證過期/尚未生效 | 憑證有效期外。→ 更新憑證、同步伺服器/用戶端時間。 |
%SystemDrive%\inetpub\logs\LogFiles\W3SVC#) 中的 sc-substatus 欄位。curl -I -v https://example.com/protected/
觀察回應標頭與錯誤頁面內容，輔助判斷。
掌握 403.x 子碼含義，能將排查時間從小時級壓縮至分鐘級。