Glosario Error 403
El error 403 (Forbidden, «prohibido») es un código de estado HTTP con el que el servidor dice que ha entendido la petición y se niega a atenderla. A diferencia del error 401, no pide que el cliente se identifique: el acceso está denegado. Google lo trata como cualquier otro 4xx: no indexa la URL, retira la que ya estaba en el índice y no lo acepta como forma de frenar el rastreo.
Error 403 (Forbidden): el servidor entiende la petición y la rechaza. Qué significa, por qué aparece y qué hace Google con una URL que devuelve 403.
El 403 pertenece a la clase 4xx, los errores del cliente, y lo define hoy la RFC 9110 de junio de 2022, la norma que recoge la semántica de HTTP. Según esa norma, el servidor puede explicar en la respuesta por qué rechaza la petición, y el motivo no tiene por qué estar relacionado con credenciales. Si el servidor no quiere revelar que el recurso existe, la RFC le permite responder con un 404 en lugar de un 403.
Un servidor devuelve un 403 cuando una regla le impide entregar la página a quien la pide. Desde el lado del operador de la web, algunas reglas que pueden producirlo son estas:
Para Google, el 403 es un error 4xx más. Su documentación sobre códigos de estado (actualizada el 4 de febrero de 2026) dice que todos los 4xx, salvo el 429, se tratan igual: Google no usa el contenido de esas URL, no las indexa y retira del índice las que ya estaban. La frecuencia de rastreo de esas URL baja poco a poco.
La misma documentación advierte de que el 401 y el 403 no sirven para frenar a Googlebot: los 4xx, salvo el 429, no influyen en la velocidad de rastreo. Gary Illyes lo repitió el 17 de febrero de 2023 en el blog de Google Search Central, con la recomendación de usar 500, 503 o 429 si hace falta reducir el rastreo.
Un caso aparte es el archivo robots.txt. Si responde con un 403, Google lo trata como si no existiera un robots.txt válido y entiende que no hay restricciones de rastreo.
Un 403 puede ser intencionado o accidental.
Es correcto en zonas que no deben ser públicas, como un panel de administración, en carpetas cuyo contenido no se quiere listar y frente a bots concretos que el operador ha decidido rechazar. Quien no quiere que los rastreadores de IA lean su web puede rechazarlos en el servidor con un 403, siempre que la regla no alcance a Googlebot. Otra opción es cobrarles por el acceso, lo que se conoce como pay per crawl.
Es accidental cuando la regla alcanza a quien no debía. El caso más delicado para el SEO es Googlebot: un cortafuegos o una protección contra bots lo trata como un bot cualquiera, o un bloqueo por país lo deja fuera. Google explica en su documentación sobre páginas adaptadas a la ubicación que las direcciones IP por defecto de Googlebot parecen estar en Estados Unidos, aunque también rastrea desde IP de otros países. Una web que solo admite visitas desde España puede, por eso, cerrar la puerta a su propio rastreo.
Una tienda activa en su CDN un bloqueo de todos los países salvo España para frenar ataques. Los usuarios españoles no notan nada, pero Googlebot llega con una IP de Estados Unidos y recibe un 403. Las fichas de producto dejan de indexarse y las que ya estaban en el índice se van retirando.
Un blog devuelve un 403 en /wp-admin/ a cualquier visitante sin sesión. Es lo esperado: esa carpeta no debe aparecer en Google, y el 403 no afecta al resto del sitio.
Search Console muestra los 403 en el informe de indexación de páginas, con una categoría propia que en la interfaz en inglés se llama «Blocked due to access forbidden (403)». La herramienta de inspección de URLs permite probar en directo qué recibe Googlebot en una URL concreta.
Fuera de Search Console, los registros del servidor y del CDN dicen a quién se devolvió un 403. Para saber si fue al Googlebot real y no a alguien que se hace pasar por él, Google indica hacer una búsqueda DNS inversa de la IP, comprobar que el nombre termina en googlebot.com, google.com o googleusercontent.com, y confirmar con una búsqueda DNS directa que ese nombre apunta a la misma IP. También publica la lista de sus rangos de IP.
Un 403 bien usado protege lo que no debe ser público y le dice al cliente con claridad que no tiene acceso, sin redirigirlo a otra página. Para el SEO, el inconveniente es que Google no distingue entre un 403 intencionado y uno accidental: en los dos casos la URL desaparece del índice. Tampoco sirve como freno de rastreo, porque no cambia la velocidad a la que Google rastrea el sitio.
| Código | Qué dice el servidor | Qué hace Google |
|---|---|---|
| 401 Unauthorized | Hace falta identificarse para acceder | No indexa la URL y retira la indexada |
| 403 Forbidden | La petición se entiende y se rechaza | No indexa la URL y retira la indexada |
| 404 Not Found | No hay nada en esa dirección | No indexa la URL y retira la indexada |
| 410 Gone | El recurso ya no existe | No indexa la URL y retira la indexada |
Fuente: RFC 9110 (junio de 2022); Google, «How HTTP status codes affect Google's crawlers», actualizado el 4 de febrero de 2026 (consultados el 11.11.2026).
La comparación completa entre 401 y 403 está en la entrada del error 401.
Las fuentes no definen el 403 del mismo modo: la ayuda de Search Console dice que un 403 significa que el cliente envió credenciales y no obtuvo acceso, por lo que un 403 a Googlebot, que nunca envía credenciales, sería un error del servidor; la RFC 9110 dice en cambio que una petición puede estar prohibida por motivos que no tienen que ver con las credenciales.
Google tampoco dice cuánto tarda en retirar del índice una URL que devuelve 403. Su documentación habla de que la URL se retira y de que el rastreo baja «gradualmente», sin un plazo.
Esta entrada se redactó en noviembre de 2026 con ayuda de IA. Los datos proceden de la RFC 9110, de la documentación de Google sobre códigos de estado, robots.txt y verificación de Googlebot, de la ayuda de Search Console y de MDN. Se revisó antes de publicarse y no contiene datos de clientes.
Una auditoría técnica revisa esto y el resto en un solo paso.
Solicitar auditoríaSí, si lo recibe Googlebot. Google no indexa las URL que devuelven 403 y retira del índice las que ya estaban. Si el 403 solo afecta a zonas privadas, no hay nada que perder.
El código no dice nada sobre la duración: dura mientras exista la regla que lo produce. Mientras Google reciba un 403, la URL queda fuera del índice y se rastrea cada vez menos. Cuando la regla desaparece, se puede pedir de nuevo la indexación en Search Console.
Sí, un 403 es una forma correcta de rechazar a un bot concreto. Lo importante es que la regla no alcance a Googlebot, porque entonces la web también sale de la búsqueda de Google.
El servidor ha decidido no darte acceso, y esa decisión la toma quien gestiona la web. Si el bloqueo puede deberse a tu red, por ejemplo una VPN o una IP de otro país, prueba sin ella. Si no, solo el responsable de la web puede resolverlo.
El 401 pide al cliente que se identifique y el servidor tiene que indicar cómo hacerlo. El 403 rechaza la petición aunque el cliente se identifique, o sin que la identificación tenga que ver. Para Google, los dos dejan la URL fuera del índice.