Access Denied en sitios web: qué significa Reference #18

Quieres seguir un paquete o iniciar sesión en tu cuenta de Microsoft y, en su lugar, aparece una página en blanco. Dice "Access Denied", después "You don't have permission to access http://www.microsoft.com on this server." y, al pie, una línea como "Reference #18.85c5d617.1549635923.277a7a1". Algunos sitios añaden una dirección que empieza por errors.edgesuite.net. El mismo sitio se abre con los datos móviles del teléfono, pero no con el wifi de casa.

En este artículo explicamos el mensaje, cómo saber qué servicio lo mostró, para qué sirve el número de referencia, qué probar y en qué orden, y qué enviar al propietario del sitio. Nos ocupamos solo de las páginas de bloqueo de sitios web; el aviso "Access is denied" que muestra Windows para un archivo o una carpeta es otro problema.

¿Qué significa Access Denied?#

"Access Denied" significa que tu solicitud fue rechazada. "You don't have permission to access … on this server" repite la dirección que pediste, y la línea de referencia identifica este intento concreto. Lo que la página no significa:

• El sitio no se ha caído. Te respondió y decidió no mostrarte la página.
• Tu internet funciona. Cuando una conexión no llega nunca a un sitio, el navegador muestra su propio error, que tratamos en This Site Can't Be Reached.
• Tu cuenta no está cerrada. La comprobación está delante del inicio de sesión del sitio, así que juzga la conexión.

La página suele llegar con el código de estado 403 (Forbidden); el significado general del código está en Códigos de estado HTTP en web scraping.

¿Cómo detiene Akamai tu solicitud?#

Akamai opera una red de distribución de contenido (CDN): servidores que entregan los sitios web en nombre de sus propietarios desde un punto cercano a cada visitante. Una solicitud que termina en Access Denied recorre este camino:

1. El sitio apunta su nombre a Akamai. En el DNS, la libreta de direcciones de internet, el propietario dirige el dominio a un nombre de Akamai que termina en edgesuite.net o edgekey.net.
2. Tu navegador llega primero a Akamai. La solicitud cae en un servidor perimetral (edge) de Akamai cercano, no en el servidor propio del sitio (el origen).
3. El servidor perimetral aplica las reglas del propietario. Entre ellas puede haber un firewall de aplicaciones web (WAF), que busca patrones de ataque, además de gestión de bots, límites de velocidad, reglas por país y reputación de la IP.
4. Una regla que coincide pone fin al trayecto. La solicitud nunca llega al origen y recibes la página Access Denied con un número de referencia nuevo.
5. El evento queda registrado para el propietario del sitio, y el número de referencia es la clave de ese registro.

Akamai afirma que no bloquea a los usuarios por su cuenta; son sus clientes quienes fijan las reglas que pueden bloquearte. Piensa en el vigilante de la entrada de un edificio que trabaja con la lista del inquilino: solo el inquilino, en este caso el propietario del sitio, puede cambiarla.

¿Qué capa de seguridad muestra la página Access Denied?#

Las páginas de bloqueo de distintos proveedores se parecen, pero la línea del pie delata al proveedor.

La documentación de CloudFront de Amazon cita una regla de AWS WAF y una restricción geográfica entre las causas de su 403. El texto simple "Forbidden" es el predeterminado del servidor web Apache, así que viene del propio sitio.

¿Para qué sirve el número Reference #18?#

El artículo de soporte de Microsoft sobre esta página llama al número un identificador único para ese usuario y ese intento de acceso. Es un comprobante, no una explicación. La documentación pública de Akamai no explica sus partes, y su propio ejemplo empieza por #9.

El número es para el propietario del sitio. En Akamai Control Center, en Test & troubleshoot > Edge Diagnostics, el propietario lo pega en la herramienta Translate Error String y ve el motivo del fallo, los detalles del firewall, la hora, tu dirección IP y tu navegador.

Según esa misma página, estos registros de errores solo están disponibles durante las últimas 6 o 24 horas, según el servidor y el tráfico. Haz una captura de pantalla cuando aparezca la página y envía el número ese mismo día.

¿Qué regla pudo usar Akamai para detener tu solicitud?#

La página no nombra la regla. Los candidatos habituales:

• Demasiadas conexiones. Microsoft indica que los umbrales se basan en el volumen de conexiones y que los bloqueos suelen ser temporales, como el límite de velocidad que hay detrás de Error 1015.
• La reputación de tu dirección IP. Akamai puntúa las direcciones según su comportamiento en toda su red, y puede que un usuario anterior haya bajado la tuya (lista negra de IP, IP fraud score).
• Una dirección compartida. Los operadores móviles, las residencias de estudiantes y las oficinas suelen poner a muchas personas detrás de una sola IP, así que el comportamiento de un usuario cuenta en contra de todos (¿Qué es CGNAT?).
• Una VPN, una extensión de proxy o Relay privado de iCloud (el servicio de retransmisión de Apple para Safari). Muchos sitios rechazan las direcciones de salida que comparten estos servicios (VPN o proxy detectado).
• Una regla por país. El sitio solo acepta ciertos países, y una VPN puede situarte en el equivocado.
• Tu navegador. Una extensión que cambia la identidad del navegador, una cookie dañada o hacer clic muy rápido pueden parecer un programa (Cómo funciona la detección de bots).

¿En qué orden conviene probar para acotar el bloqueo?#

Prueba la página después de cada paso. El paso que hace que se abra te indica la causa.

1. Deja de recargar y espera de 5 a 10 minutos. Cada recarga suma para el umbral. Si después la página se abre, era un bloqueo temporal por ritmo.
2. Desactiva la VPN y las extensiones de proxy. Si la página se abre, el problema era su dirección de salida compartida.
3. En iPhone o iPad, desactiva Relay privado para la red. Ve a Ajustes > Wi-Fi, toca el botón Más información (i) junto a tu red y desactiva Limitar rastreo de dirección IP. La página de Apple sobre Relay privado señala que los sitios que usan filtrado de IP o limitación de velocidad pueden intentar frenarte mientras está activado.
4. Prueba una ventana privada. Ahí las extensiones suelen quedar desactivadas; si el sitio se abre, borra sus cookies y prueba las extensiones una a una.
5. Cambia a datos móviles. Si el sitio se abre ahí pero no con el wifi, la regla apunta a la dirección IP de tu casa, no a tu dispositivo.
6. Reinicia el módem si tu IP es dinámica. En muchas líneas domésticas eso te da una dirección nueva; consulta Cómo cambiar la dirección IP.
7. Escribe al propietario del sitio. Si nada ha funcionado, solo él puede cambiar la regla.

¿Está marcada tu dirección IP en Akamai? La consulta de reputación y la reclamación#

La herramienta pública Client IP Reputation Lookup de Akamai comprueba la dirección desde la que te conectas. Tras un CAPTCHA, muestra si esa dirección tiene una mala puntuación de riesgo como atacante web, atacante de denegación de servicio, herramienta de escaneo o web scraper. Ábrela desde la conexión que recibe el bloqueo, con la VPN desactivada.

Donde más importa es cuando todos los dispositivos de casa ven Access Denied en muchos sitios. Las preguntas frecuentes de esa página advierten de que una dirección marcada en un sitio también puede quedar bloqueada en otros.

Si la dirección está marcada, el formulario Request to investigate pide tu nombre y tu correo, y Akamai indica que responde en 2 días hábiles. No des más datos personales de los que exige el formulario. Una reclamación es una petición, no una garantía, y un resultado limpio no anula las reglas de ritmo o de país que tenga cada sitio.

¿Qué te dice la página Access Denied de Sucuri?#

Sucuri es otro servicio de firewall que se sitúa delante de los sitios web. Su página, titulada "Access Denied - Sucuri Website Firewall", indica el motivo: un motivo de bloqueo (block reason), un Block ID, tu dirección IP, la URL y la hora. El Block ID procede de la lista de firmas WAF de Sucuri:

• TMP021 es un bloqueo temporal del sistema de detección de intrusiones y dura 30 minutos. Espera sin recargar.
• GEO01 y GEO02 son bloqueos por país, y BLACK02 significa una dirección IP en lista negra. Solo el propietario del sitio puede retirarlos.
• BBOT65 significa que Sucuri bloqueó un bot que usaba una técnica de fuerza bruta, como adivinar contraseñas una y otra vez.

Para informar de un bloqueo, copia el texto completo de la página. La guía de solución de problemas de Sucuri pide el mensaje entero y tu dirección IP, que permiten al soporte encontrar el bloqueo exacto.

Si toda la oficina está bloqueada#

Los dispositivos de una oficina suelen compartir una sola dirección IP pública a través del router (NAT, traducción de direcciones de red), así que, para un sitio web, toda la oficina parece un único visitante muy activo. El ejemplo de Microsoft es un dispositivo que comprueba la conexión a internet visitando sitios fiables, como los de Microsoft, con el intervalo que fija el administrador. Si el intervalo es demasiado corto, Akamai puede bloquear la dirección. La solución es hacer la prueba con menos frecuencia, localizar otras herramientas que envíen solicitudes masivas y enviar al propietario del sitio un número de referencia con la hora.

Los equipos que recopilan datos web por trabajo deberían partir de las reglas del sitio: robots.txt, un ritmo de solicitudes bajo, una API oficial o el permiso del propietario. Consulta Cómo hacer web scraping sin que te bloqueen; nuestra página de extracción de datos describe cómo apoyamos ese trabajo dentro de las reglas de cada sitio.

Avanzado: rastrear edgesuite y edgekey con nslookup#

Opcional. Abre el menú Inicio, escribe cmd, abre el Símbolo del sistema y ejecuta:

nslookup www.microsoft.com
nslookup errors.edgesuite.net

El 25 de septiembre de 2026, la primera respuesta mostraba www.microsoft.com-c-3.edgekey.net en Aliases y un nombre que terminaba en akamaiedge.net; la segunda se resolvía en un nombre que terminaba en akamai.net. Esos nombres indican que el tráfico pasa por Akamai. Los resultados pueden cambiar con el tiempo, y el comando no levanta el bloqueo.

¿En qué sitios aparecen Access Denied y bloqueos parecidos?#

• Sitios de Microsoft. Microsoft incluye www.microsoft.com, account.microsoft.com y www.xbox.com entre sus sitios alojados en Akamai; una página de inicio de sesión bloqueada es una comprobación de la conexión, no un problema de la cuenta.
• Tiendas online. El 25 de septiembre de 2026, www.ebay.com se resolvía en un nombre akamaiedge.net. Una página de producto recargada cada pocos segundos durante una campaña de ofertas encaja con lo que vigilan los límites de velocidad.
• Búsqueda de Google. Google tiene su propia versión de esta comprobación (Tráfico inusual en Google).
• YouTube. "Sign in to confirm you're not a bot" es otra comprobación de la conexión (nuestro artículo sobre YouTube).
• Sitios que ponen una prueba en lugar de rechazar. Algunos muestran un rompecabezas en vez de una página de bloqueo (¿Qué es CAPTCHA?).

Errores habituales#

• Recargar una y otra vez. Cada recarga suma para el umbral y puede alargar un bloqueo temporal.
• Cambiar el DNS o desactivar el antivirus. El sitio sigue viendo tu IP pública, y la decisión se toma en el servidor de Akamai, no en tu equipo.
• Pasarte a una VPN gratuita. Sus salidas compartidas suelen tener mala reputación (¿Son seguros los proxies gratis y los sitios web proxy?).
• No guardar el número de referencia. Akamai conserva ese registro solo 6 o 24 horas.
• Aplicar las soluciones para el "Access is denied" de Windows. La propiedad de las carpetas y los permisos de administrador no tienen nada que ver con la regla de un sitio web.
• Escribir solo "tu sitio no abre". Sin la referencia y la hora, el propietario no tiene nada que buscar.

Guía de decisión#

Preguntas frecuentes#

¿Qué significa el error Access Denied?#

La capa de seguridad situada delante de un sitio web rechazó tu solicitud. Tanto el sitio como tu internet funcionan; una regla fijada por el propietario del sitio coincidió con tu conexión.

¿Cómo quito un bloqueo Access Denied?#

No puedes levantarlo tú; la regla es del propietario del sitio. Puedes esperar, desactivar las VPN y Relay privado, probar otra red y enviar el número de referencia y la hora al propietario.

¿Qué significa Reference #18 y qué hago con el número?#

Es el identificador de Akamai para un intento bloqueado, no un código que puedas descifrar. Cópialo como texto, anota la hora y envía ambos datos al propietario del sitio ese mismo día, mientras el registro todavía lo conserva.

¿Qué es errors.edgesuite.net? ¿Es un virus?#

No. edgesuite.net es un dominio de la red de Akamai. Al abrir errors.edgesuite.net se ve una página breve que dice que la solicitud anterior tuvo un error y que remite a los propietarios de sitios a la herramienta Translate Error String. No instala nada.

¿Por qué el sitio se abre en el teléfono pero no en el equipo?#

Con datos móviles, el teléfono usa la dirección de tu operador y el equipo la de tu casa, y puede que la regla solo apunte a la segunda. Si ambos están en el mismo wifi, revisa la VPN, la extensión de proxy o las cookies guardadas del equipo; si solo falla Safari en el iPhone, comprueba Relay privado.

¿Cuánto dura un bloqueo Access Denied?#

Depende de la regla. Microsoft indica que los bloqueos por volumen suelen ser temporales, y el TMP021 de Sucuri dura 30 minutos. Los bloqueos por reputación y por país no tienen un final fijo; duran hasta que cambian la decisión del propietario o los datos de reputación.

En resumen#

La página Access Denied viene de la capa de seguridad situada delante de un sitio web. La línea del pie la identifica: Reference # significa Akamai, Block ID significa Sucuri y Ray ID significa Cloudflare. Espera unos minutos, desactiva la VPN y Relay privado, prueba otra red y envía ese mismo día el número de referencia y la hora al propietario del sitio. Si usas proxies en tu propio trabajo, nuestra página de servicios de proxy explica los tipos y para qué sirve cada uno.