Błąd 404, 403, 401 i 400 — co znaczą kody błędów na stronie i jak je naprawić

Jeśli widzisz błąd 404 na cudzej stronie, najczęściej wystarczy sprawdzić adres: literówka, ucięty link z maila, stara zakładka. Strony, której szukasz, pod tym adresem nie ma — mogła zostać przeniesiona albo usunięta. Wyszukanie jej nazwy albo przejście na stronę główną serwisu zwykle rozwiązuje sprawę.

Jeśli to Wasza strona, sytuacja wygląda inaczej. Kody z serii 4xx formalnie mówią, że problem leży po stronie żądania — zły adres, brak uprawnień, brak logowania. Ale na własnej stronie większość z nich zrobił właściciel: 404 to zwykle podstrona usunięta albo przeniesiona bez przekierowania, albo link w menu, który prowadzi donikąd. 403 — zapora, wtyczka bezpieczeństwa albo źle ustawione uprawnienia. To są błędy, które da się znaleźć i naprawić, zanim zobaczy je klient.

Ten tekst zaczyna od mapy wszystkich kodów, bo ułatwia czytanie reszty, a potem rozkłada te, które naprawdę spotyka się na stronach firmowych. Kody błędów serwera — 500, 502, 503, 504 — mają osobny artykuł, bo wymagają innej diagnozy i trafiają do innego adresata.

Kody odpowiedzi HTTP — mapa w jednym miejscu

Każda odpowiedź serwera zaczyna się od trzycyfrowego kodu. Pierwsza cyfra mówi, co się stało, i to wystarczy, żeby z grubsza wiedzieć, gdzie szukać.

• 2xx — udało się. 200 znaczy, że serwer podał stronę. Jak zobaczycie niżej, nie znaczy, że podał tę, którą powinien.
• 3xx — przekierowanie. Adres się przeniósł. 301 i 308 — na stałe, 302 i 307 — tymczasowo; różnica ma duże znaczenie dla wyszukiwarki i rozkładamy ją przy migracji strony.
• 4xx — problem po stronie żądania. Serwer działa, ale nie może albo nie chce podać tego, o co poproszono: nie ma tego adresu, nie wolno, trzeba się zalogować, żądanie jest źle zbudowane.
• 5xx — problem po stronie serwera. Żądanie było w porządku, zawiódł serwer albo aplikacja. To osobny tekst.

Jedna rzecz z tej mapy ma znaczenie dla wszystkiego, co dalej. Według dokumentacji Google wszystkie kody 4xx poza 429 są traktowane tak samo: roboty przekazują dalej informację, że treści pod tym adresem nie ma. Dla wyszukiwarki 404, 403, 401 i 410 to w praktyce ten sam sygnał. Różnią się dla ludzi — i dla tego, kto ma je naprawić.

Błąd 404 — co oznacza

„404 Not Found" to najbardziej znany kod błędu w internecie. Specyfikacja HTTP definiuje go tak: serwer „did not find a current representation for the target resource or is not willing to disclose that one exists" — nie znalazł niczego pod tym adresem albo nie chce ujawnić, że coś tam jest. I dodaje zdanie, które ma znaczenie praktyczne: kod 404 nie mówi, czy ten brak jest chwilowy, czy trwały.

Z punktu widzenia wyszukiwarki skutki są opisane dokładnie. Google nie używa treści z adresów, które zwracają 4xx. Jeśli adres był wcześniej w indeksie, a teraz zwraca 404, z czasem zostaje z niego usunięty. Nowo napotkane adresy z błędem 404 nie są w ogóle przetwarzane. A częstotliwość, z jaką robot wraca pod taki adres, stopniowo maleje.

Warto też powiedzieć, czego ta dokumentacja nie mówi: nie opisuje błędu 404 jako kary dla reszty strony, tylko jako informację, że pod tym adresem treści nie ma. Pojedyncze adresy zwracające 404 to normalny stan każdej żyjącej strony — produkty się kończą, oferty wygasają, artykuły się dezaktualizują. Problem zaczyna się nie wtedy, gdy 404 istnieje, tylko wtedy, gdy prowadzi do niego coś, co prowadzić nie powinno: link z Waszego menu, link z innej strony, która kiedyś Was polecała, albo adres, pod którym wcześniej była ważna podstrona, a teraz jest pustka.

Błąd 404 — jak naprawić na własnej stronie

Naprawa błędu 404 zaczyna się od pytania, skąd ludzie trafiają na nieistniejący adres. Są trzy źródła i każde naprawia się inaczej.

Wasze własne linki. Link w menu, w stopce albo w treści, który prowadzi do usuniętej podstrony. To najłatwiejsze do znalezienia i najbardziej wstydliwe, bo odwiedzający trafia na błąd, klikając w coś, co sami mu pokazaliście. Narzędzia do sprawdzania linków na stronie — wiele z nich jest darmowych — przechodzą przez całą witrynę i wypisują linki zwracające błąd. Naprawa to poprawienie linku, nie ustawianie przekierowania.

Adresy, które kiedyś istniały. Podstrona przeniesiona pod nowy adres albo usunięta przy przebudowie, a stary adres nadal jest w wynikach Google, w zakładkach klientów i w linkach z innych stron. Tu naprawą jest przekierowanie stałe 301 lub 308 na nowy adres albo, jeśli treść zniknęła, na najbliższą tematycznie stronę. My sami obsługujemy w ten sposób 318 reguł przekierowań — każda to adres, który kiedyś istniał i dziś prowadzi tam, gdzie jego treść trafiła. Jak to ułożyć przy większej zmianie, opisujemy przy migracji strony.

Linki z zewnątrz z błędem. Ktoś podlinkował Waszą stronę z literówką w adresie. Nie poprawicie cudzej strony, ale jeśli taki link przynosi ruch, przekierowanie z błędnego adresu na właściwy odzyskuje go w minutę.

Gdzie te adresy znaleźć: w Search Console, w raporcie o indeksowaniu stron, są adresy oznaczone jako „nie znaleziono (404)" — to lista tego, na co trafił robot Google. Z kolei w narzędziu analitycznym widać wizyty na stronie błędu i adresy, z których przyszły; to lista tego, na co trafili ludzie. Dopiero obie razem mówią, co naprawiać w pierwszej kolejności.

I jeszcze jedno: dobrze zrobiona strona 404 też jest naprawą. Nie zmienia kodu odpowiedzi ani tego, co widzi Google, ale zmienia to, czy człowiek zostanie na stronie. Dobra strona błędu 404 ma cztery elementy:

• zdanie, co się stało, bez żargonu — „nie ma takiej strony, mogła zostać przeniesiona" zamiast „404 Not Found";
• wyszukiwarkę albo przynajmniej link do niej, bo odwiedzający zwykle wie, czego szukał;
• linki do najważniejszych miejsc — oferty, kontaktu, najczęściej odwiedzanych działów;
• wygląd reszty strony: menu, stopkę, logo. Goła strona błędu z serwera wygląda jak koniec strony, a nie jak jej zakręt.

Strona 404 to też dobre miejsce na pomiar: jeśli narzędzie analityczne zlicza jej wyświetlenia razem z adresem, z którego przyszedł odwiedzający, dostajecie gotową listę linków do naprawienia.

404 czy 410

Kod 410 „Gone" to młodszy brat 404, który mówi więcej: tego adresu nie ma i nie będzie. Specyfikacja zaleca go zamiast 404, gdy serwer wie, że brak jest trwały — na przykład po świadomym usunięciu działu albo oferty, której nie wznowicie.

Dla wyszukiwarki różnica jest mniejsza, niż sugeruje wiele poradników. Google w swojej dokumentacji wymienia 404 i 410 razem i traktuje je tak samo — obydwa znaczą, że treści pod adresem nie ma, i obydwa prowadzą do usunięcia adresu z indeksu. Wybór między nimi jest więc sprawą porządku, a nie pozycji w wynikach. Jeśli Wasz system pozwala łatwo zwrócić 410 dla usuniętych treści — warto, bo to precyzyjniejsza informacja. Jeśli nie — 404 zrobi to samo.

Ważniejsza od wyboru kodu jest decyzja wcześniejsza: czy usuwana treść nie ma odpowiednika, na który można przekierować. Jeśli ma — ani 404, ani 410, tylko przekierowanie.

Soft 404 — i dlaczego nasza strona odpowiada kodem 200

Jest jeszcze trzecia możliwość, gorsza od obu: strona, która wygląda jak błąd, ale odpowiada kodem 200, czyli „w porządku". Google nazywa to soft 404. W jego dokumentacji pada ostrzeżenie, że takie strony błędów mogą trafić do indeksu i pokazywać się w wynikach wyszukiwania, a Search Console oznacza jako soft 404 strony, których treść wygląda na błąd albo jest pusta, mimo poprawnego kodu.

Mamy taki przypadek na własnej stronie — i zostawiamy go świadomie. Kiedy ktoś wpisze adres, który na naszej stronie nie istnieje, dostaje stronę z tytułem „404 — nie znaleziono strony" i kodem 200. Wynika to ze sposobu, w jaki strona jest wysyłana do przeglądarki.

Nasza strona jest zbudowana na Next.js i wysyłana strumieniowo: przeglądarka dostaje pierwsze fragmenty, zanim serwer skończy przygotowywać resztę. Dzięki temu treść pojawia się szybciej. Ale kod odpowiedzi jest częścią nagłówka, a nagłówek wychodzi jako pierwszy. Dokumentacja Next.js mówi o tym wprost: gdy strumień już ruszył, serwer musiał już potwierdzić „200", i jeśli w trakcie okaże się, że adresu nie ma, nie może już zmienić kodu na 404. Robi więc jedyną rzecz, jaka mu została — dopisuje do strony znacznik noindex, który każe wyszukiwarkom jej nie indeksować. Sprawdziliśmy: nasza strona błędu ma go w kodzie.

Prawdziwy kod 404 byłby możliwy, ale wymagałby sprawdzania, czy adres istnieje, zanim ruszy strumień — czyli rezygnacji ze strumieniowania na stronach, gdzie daje najwięcej. Uznaliśmy, że szybkość każdej prawdziwej strony jest warta więcej niż poprawny kod na stronie, której nie ma. Znacznik noindex sprawia, że Google jej nie zaindeksuje, więc ryzyko, przed którym ostrzega dokumentacja, nas nie dotyczy.

Ma to jednak koszty, które warto znać, zanim podejmie się podobną decyzję u siebie:

• Monitoring dostępności, który sprawdza tylko kod, uzna każdy nieistniejący adres za działającą stronę — dlatego przy monitoringu zalecamy sprawdzanie treści, a nie samego kodu.
• Narzędzia SEO mogą zgłaszać takie adresy jako soft 404 i trzeba umieć ten alarm przeczytać.
• Przekierowania muszą być kompletne: stary adres bez reguły nie zwróci 404, tylko 200 ze stroną błędu, więc brak przekierowania trudniej zauważyć.

Jeśli Wasza strona też jest zbudowana w ten sposób, to nie jest powód do przebudowy. To powód, żeby sprawdzić, czy strona błędu ma noindex, i żeby nie polegać na samym kodzie tam, gdzie liczy się, czy strona naprawdę istnieje.

Błąd 403 — dostęp zabroniony

403 „Forbidden" znaczy według specyfikacji, że serwer zrozumiał żądanie, ale odmawia jego wykonania. Nie chodzi o to, że strony nie ma, ani o to, że trzeba się zalogować — serwer wie, o co prosicie, i mówi „nie".

Na stronach firmowych błąd 403 pojawia się najczęściej z jednego z czterech powodów:

• Uprawnienia plików na serwerze — po przeniesieniu strony albo ręcznej zmianie plików serwer nie ma prawa odczytać katalogu lub pliku, więc odmawia.
• Wtyczka bezpieczeństwa albo zapora — zablokowała adres IP, kraj, rodzaj przeglądarki albo zachowanie uznane za podejrzane. Często blokuje przy tym także samego właściciela, który logował się kilka razy z błędnym hasłem.
• Brak strony startowej w katalogu — adres wskazuje katalog, w którym nie ma pliku strony głównej, a serwer nie pozwala na wyświetlenie listy plików.
• Ochrona przed podkradaniem plików — obrazek albo dokument jest dostępny tylko z Waszej domeny, więc link do niego z innego miejsca kończy się odmową.

Z punktu widzenia wyszukiwarki najgroźniejsza jest druga przyczyna. Jeśli zapora zacznie odpowiadać kodem 403 robotowi Google, adresy wypadną z indeksu tak samo jak przy 404 — bo dla Google to ten sam sygnał. Google zaznacza też osobno, że kodów 401 i 403 nie należy używać do ograniczania tempa, w jakim robot pobiera stronę; na to służy 429. Po włączeniu nowej ochrony strony warto więc zajrzeć do Search Console i sprawdzić, czy robot Google nie zaczął dostawać odmów.

Jak naprawić błąd 403 na własnej stronie: najpierw sprawdzić, czy dotyczy wszystkich, czy tylko Was — z telefonu, na danych komórkowych. Jeśli tylko Was, winna jest zwykle blokada adresu IP. Jeśli wszystkich — uprawnienia albo konfiguracja serwera, i to pytanie do hostingu lub wykonawcy.

Błąd 401 — wymagane logowanie

401 „Unauthorized" znaczy, że żądanie nie ma ważnych danych logowania do zasobu, który ich wymaga. Specyfikacja nakazuje serwerowi dołączyć do takiej odpowiedzi informację, jak się uwierzytelnić — stąd okienko z pytaniem o login i hasło, które pokazuje przeglądarka.

Na stronie firmowej 401 jest poprawny w jednym typowym miejscu: na wersji testowej, zabezpieczonej hasłem, żeby nie widzieli jej klienci ani wyszukiwarka. Jest błędem, gdy pojawia się na stronie publicznej — zwykle dlatego, że zabezpieczenie z wersji testowej trafiło na produkcję razem z resztą plików albo że wtyczka członkowska zamknęła treść, która miała być otwarta. Dla Google publiczna strona zwracająca 401 to strona, której nie ma.

Warto zauważyć, że duża część wyszukiwań „błąd 401" w Polsce dotyczy systemów, których nie prowadzicie — deklaracji podatkowych, bankowości, poczty. To ten sam kod w innym kontekście: system mówi, że dane logowania wygasły albo są nieprawidłowe.

Błąd 400 i 405 — źle zbudowane żądanie

400 „Bad Request" to według specyfikacji odmowa z powodu czegoś, co serwer uznał za błąd klienta: źle zbudowane żądanie, nieprawidłowy format. Z perspektywy odwiedzającego najczęstsze przyczyny to uszkodzony link — z niedozwolonymi znakami albo uciętym kodowaniem — i zbyt duże albo uszkodzone ciasteczka zapisane przez przeglądarkę. Stąd rada, którą można dać klientowi: wyczyścić ciasteczka dla tej jednej strony albo otworzyć ją w oknie prywatnym. Jeśli błąd 400 pojawia się u wielu osób naraz, to sygnał, że strona sama tworzy źle zbudowane linki albo ustawia za duże ciasteczka — i to już pytanie do wykonawcy.

405 „Method Not Allowed" oznacza, że serwer zna sposób, w jaki wysłano żądanie, ale ten adres go nie obsługuje — typowo formularz wysyłający dane pod adres, który przyjmuje tylko wyświetlanie. Specyfikacja nakazuje w odpowiedzi podać listę metod, które są dozwolone. Na stronie firmowej 405 prawie zawsze oznacza błąd w formularzu albo w integracji i trafia prosto do wykonawcy.

Czego w tym tekście świadomie nie ma

• Błędów serwera 500, 502, 503 i 504 — osobny tekst, z tabelą, kogo wołać przy którym kodzie.
• Jak ustawić przekierowania przy przenoszeniu strony — migracja strony.
• Jak wykrywać błędy, zanim zobaczy je klient — monitoring strony.
• Zapór i zabezpieczeń od strony konfiguracji — zabezpieczenia strony.

Najkrótsze podsumowanie: na własnej stronie błąd 404 jest zwykle śladem zmiany, której nikt nie domknął — usuniętej podstrony bez przekierowania albo linku, którego nikt nie poprawił. Google traktuje wszystkie kody 4xx jednakowo i po prostu przestaje używać takiego adresu, więc naprawa polega na przekierowaniu tego, co się przeniosło, poprawieniu własnych linków i sprawdzeniu, czy zapora nie odmawia robotowi. A jeśli Wasza strona, tak jak nasza, odpowiada na nieistniejące adresy kodem 200 — sprawdźcie, czy ma noindex, i nie ufajcie samemu kodowi.