1. Установите точный запрос
Сохраните метод, полный целевой URL без секретов, время, клиентский контекст и доступный request ID. 403 здесь относится к HTTP. Пример показывает HTTP/1.1, но семантика кода не устанавливает программный продукт или источник ответа. Зафиксируйте также цепочку прокси, балансировщика и приложения, если она известна; внешний hostname может скрывать несколько обработчиков.
2. Прочитайте существующий ответ
Начните с уже выполненного запроса в сетевой вкладке клиента или сохранённом протоколе. Сохраните статус, относящиеся к диагностике заголовки и безопасный фрагмент пояснения. Повтор с теми же полномочиями не является методом установления причины. Не публикуйте cookie, bearer token или содержимое документа в общей заметке. Укажите, какие данные заменены в копии, чтобы не потерять контекст сопоставления.
3. Интерпретируйте иллюстрацию
Синтетический ответ 403 и текст Demo policy говорят лишь об отказе в показанном обмене. Формулировка тела придумана и не является стандартным reason code. Код означает, что запрос понят, но выполнять его отказываются; причина может быть связана с полномочиями или иными ограничениями. Не приписывайте ответ WAF, Nginx или конкретному модулю по одному номеру.
4. Найдите слой, принявший решение
Сопоставьте запрос в access log, журнале авторизации приложения и доступных журналах промежуточных средств защиты. Для каждого слоя определите, видел ли он запрос и какой исход зафиксировал. Отсутствие backend-записи полезно только после проверки полноты его журналирования. Переданный request ID проверьте фактически: совпадающее текстовое значение без гарантий сквозной передачи ещё не связывает весь путь.
5. Проверьте правило доступа
Установите техническую identity, ресурс, требуемое действие и действовавшую политику. Сравнивайте с ожидаемой ролью и состоянием учётной записи на момент запроса. Не выдавайте дополнительные права и не отключайте защиту ради диагностики. В выводе отдельно укажите источник 403, установленное условие отказа и сведения, которых пока не хватает; это делает следующий шаг предметным.
6. Если причину не видно
Проверьте нужный узел, virtual host, период, ротацию и право читать подробности. Сервер может скрывать описание причины или возвращать 404 для закрытого ресурса, поэтому соседние коды не опровергают политику доступа. При отсутствии логов сохраните запрос и ответ как исходное наблюдение и явно отметьте неустановленный слой. Не превращайте неопределённость в утверждение о срабатывании WAF.