エックスサーバーでREST APIが403になる時の確認
自分のPCやツールからWordPressに投稿しようとして、403で弾かれる。エックスサーバーを使っている場合、まず確認すべきはサーバー側のセキュリティ設定です。
エックスサーバーには、国外からの REST API の接続を制限する設定があり、初期状態で有効になっています。
（確認日：2026年9月25日・エックスサーバー公式マニュアルに基づく）
401と403は原因が違う
| コード | 意味 | 主な原因 |
|---|---|---|
| 401 | 認証できない | ユーザー名・アプリケーションパスワードの誤り |
| 403 | アクセスが拒否された | サーバーやプラグインのセキュリティ設定・権限不足 |
401なら認証情報を見直します（WordPressに外部から投稿する方法）。403は、認証情報が正しくても起きます。パスワードを作り直しても直りません。
エックスサーバーで確認する設定
サーバーパネルにログインし、対象ドメインの「WordPressセキュリティ設定」を開きます。
国外アクセス制限設定
| 項目 | 初期状態 |
|---|---|
| ダッシュボード アクセス制限 | ON |
| REST API アクセス制限 | ON |
| XML-RPC API アクセス制限 | （公式で確認できず） |
| wlwmanifest.xml アクセス制限 | ON |
「REST API アクセス制限」がONだと、国外のIPアドレスからの REST API への接続が制限されます。WordPressの記事投稿は REST API を使うため、ここに該当すると投稿できません。
どんな時に「国外」扱いになるか
- VPNを使っている — 接続先が国外のサーバーだと、国外からのアクセスになる
- 海外のクラウドやサーバーで処理を動かしている
- 海外から作業している
日本の自宅のPCから普通に接続している場合は、通常この制限にはかかりません。VPNを入れていないかを最初に確認してください。気づきにくい原因です。
WAF（Webアプリケーションファイアウォール）
サーバーパネルにはWAF設定もあります。送る本文の中身が攻撃に似た形だと判断されると、拒否されることがあります。
記事の本文には、HTMLやコードの例、SQLのような文字列が含まれることがあります。特定の記事だけ403になる場合は、本文の内容がWAFに引っかかっている可能性があります。
🔴 設定を切るときの注意
原因を切り分けるために一時的に設定をOFFにするのは有効ですが、OFFのまま放置しないでください。これらはサイトを守るための設定です。
- 原因が「VPN」なら、VPNを切って投稿する方が安全です
- WAFは該当する項目だけを調整し、作業後は元に戻します
- 国外から常に投稿する必要がある場合に限り、REST API アクセス制限の見直しを検討します
サーバー以外の原因
サーバー設定を確認しても直らない場合は、次を疑います。
- セキュリティ系のプラグインが REST API を止めていないか
- 投稿するユーザーの権限が足りているか（購読者では投稿できない）
- Authorization ヘッダーがサーバーで削られていないか
切り分けの全体像はWordPress自動投稿でよくあるエラーと切り分け方にまとめています。
WordPressの管理画面の「サイトヘルス」にREST APIの警告が出ている場合の見分け方は、サイトヘルスのREST APIエラー｜3種類の表示の違いにまとめています。
自動投稿ツールを使っている場合
当サイトが開発・販売している Amazon Auto Posts も、自分のPCから WordPress の REST API を通して投稿する仕組みです。REST API の制限や WAF が有効な場合、通信できないことがあります。導入前の確認項目はAmazon Auto Posts 導入前に確認することにまとめました。
まとめ
- 403は認証情報が正しくても起きる。パスワードを作り直しても直らない
- エックスサーバーは「WordPressセキュリティ設定」→「REST API アクセス制限」が初期状態でON
- VPNや海外のサーバーからの接続は「国外」扱いになる
- 特定の記事だけ403ならWAFを疑う
- 🔴 設定をOFFのまま放置しない
本記事は2026年9月25日時点のエックスサーバー公式マニュアルに基づきます。画面や設定名は変更される可能性があるため、作業時は公式マニュアル（WordPressセキュリティ設定）をご確認ください。
