Błąd 403, 404 lub „https://.*” na dane.gov.pl: dlaczego portal odrzuca raport dewelopera i jak to naprawić

Portal dane.gov.pl odrzuca raport dewelopera najczęściej z pięciu powodów: adres z http w pliku XML, brak sumy MD5 pod oczekiwanym adresem, blokada pobierania przez serwer (403), błąd serwera (500) albo zmieniony identyfikator extIdent. Każdy z nich widać po kodzie odpowiedzi albo treści komunikatu, a naprawa zwykle zajmuje kilkanaście minut.

Opisujemy przypadki, które naprawialiśmy przy prawdziwych wdrożeniach (bez danych klientów), i zasady z dokumentacji portalu. Tam, gdzie ministerstwo nic nie publikuje – jak w przypadku błędu 403 – zaznaczamy to wprost.

Szybka diagnoza: komunikat i przyczyna

Komunikat „https://.*”: adres z http w pliku XML

Po zgłoszeniu źródła danych administrator portalu uruchamia sprawdzenie pliku XML. Jeśli jest w nim adres zaczynający się od http://, walidacja kończy się błędem schematu. Kluczowy fragment komunikatu wygląda tak:

XMLSchemaValidationError(reason="value doesn't match any pattern of ['https://.*']")

Dlaczego: schemat XSD portalu dopuszcza w polu <url> zasobu wyłącznie adresy zaczynające się od https://. Wystarczy jeden zasób z http, żeby odrzucić cały plik.

Jak naprawić:

1. Otwórz plik XML w przeglądarce i wyszukaj http:// (bez „s”).
2. W WordPressie ustaw oba adresy w Ustawienia → Ogólne na https. Na innych systemach sprawdź konfigurację adresu bazowego.
3. Jeśli strona stoi za proxy lub CDN, upewnij się, że aplikacja wie, że połączenie jest szyfrowane – inaczej generuje linki z http.
4. Wygeneruj raport ponownie i sprawdź, czy w XML nie ma już żadnego http.

Samo przekierowanie z http na https nie pomaga: walidator sprawdza treść pliku, a nie to, dokąd prowadzi adres.

404 przy walidacji: brak sumy MD5 pod oczekiwanym adresem

niewłaściwy kod odpowiedzi: 404 (Not Found)

Portal sprawdza, czy plik XML się nie zmienił, porównując go z sumą kontrolną MD5. Instrukcja ministerstwa mówi, że adres pliku MD5 ma być taki sam jak pliku XML, ale z rozszerzeniem .md5. W przypadkach, które diagnozowaliśmy, walidator dopisywał .md5 do pełnego adresu XML (raport.xml → raport.xml.md5) – i jeśli pod tym adresem nic nie było, kończył na 404.

Typowe przyczyny: suma leży pod innym adresem (np. raport.md5 albo /md5), plik XML jest generowany dynamicznie pod adresem bez rozszerzenia, a o MD5 nikt nie pomyślał, albo po przeniesieniu strony zmieniła się ścieżka.

curl -s -o /dev/null -w "%{http_code}" https://twoja-inwestycja.pl/raport.xml.md5
200
curl -s https://twoja-inwestycja.pl/raport.xml | md5sum
curl -s https://twoja-inwestycja.pl/raport.xml.md5
# oba ciągi muszą być identyczne (32 znaki, małe litery)

Suma musi też być aktualna: każda zmiana XML-a (a zmienia się codziennie, bo dochodzi nowy zasób) wymaga przeliczenia MD5.

403 Forbidden: serwer nie wpuszcza portalu

Kod 403 znaczy, że serwer odebrał zapytanie, ale odmówił dostępu. Dla dewelopera to podstępny błąd, bo w przeglądarce wszystko działa – blokowany jest tylko automat. Ministerstwo nie publikuje nazwy user-agenta ani adresów IP harvestera, więc nie da się ich po prostu wpisać na białą listę. Trzeba znaleźć regułę, która blokuje.

Najczęstsze źródła blokady:

• zapora hostingu lub WAF (np. reguły ModSecurity, „ochrona przed botami” w panelu hostingu, tryb wyzwania w Cloudflare) – blokuje zapytania, które nie wyglądają jak przeglądarka,
• wtyczki bezpieczeństwa – blokowanie „podejrzanych” botów, limity zapytań, blokady krajów lub centrów danych,
• wyłączone REST API dla niezalogowanych – jeśli raport jest wystawiany przez adres /wp-json/…, a wtyczka bezpieczeństwa blokuje REST API dla gości, portal dostaje 401 albo 403,
• reguły w .htaccess – np. zakaz bezpośredniego dostępu do plików w wp-content/uploads, ochrona przed hotlinkowaniem, blokada rozszerzeń .csv lub .xml,
• tryb konserwacji, hasło na katalogu, strona „w budowie” – przez całą dobę albo tylko w nocy, gdy działają kopie zapasowe.

curl -sI https://twoja-inwestycja.pl/raport.xml
HTTP/1.1 403 Forbidden
curl -sI -A "Mozilla/5.0" https://twoja-inwestycja.pl/raport.xml
HTTP/1.1 200 OK
# różne wyniki = blokada zależna od user-agenta (zapora lub wtyczka)

Jak naprawić: w logach serwera (albo w panelu zapory) znajdź wpisy 403 z godziny importu i regułę, która je spowodowała. Najbezpieczniej wyłączyć ją tylko dla ścieżek raportu – pliku XML, sumy MD5 i katalogu z plikami z cenami – zamiast dla całej strony.

500 Internal Server Error: .htaccess, którego serwer nie akceptuje

Błąd 500 przy pobieraniu plików z cenami to najczęściej plik .htaccess w katalogu z raportami. Taki plik bywa dodawany „dla bezpieczeństwa”, np. z dyrektywą Options -Indexes (wyłączenie listowania katalogu).

Charakterystyczny objaw: 500 dla każdego adresu w danym katalogu, także nieistniejącego pliku. To wskazuje na konfigurację katalogu, a nie na sam plik z cenami.

Zmieniony extIdent: zdublowane zbiory

Identyfikator extIdent tworzy dostawca danych i jest on dla portalu „nazwą własną” zbioru i każdego zasobu. Instrukcja ministerstwa mówi, że po nadaniu identyfikatora nie należy go modyfikować, a zmiana oznacza nowy obiekt – stary trafia do kosza. Typowe sytuacje, w których identyfikator zmienia się przypadkiem:

• identyfikator zawiera dane firmy (np. NIP albo nazwę), a te zostały poprawione w konfiguracji,
• przeniesienie raportu na inny system, który tworzy identyfikatory po swojemu,
• ręczna edycja pliku XML.

Pamiętaj też, że obiekty, których identyfikatorów zabraknie w pliku XML, portal usuwa. Plik XML musi zawierać zasoby ze wszystkich dotychczasowych dni, a nie tylko dzisiejszy.

Dwie pułapki w samym pliku XML

• Przestrzeń nazw. Element główny ma prefiks: <ns2:datasets xmlns:ns2="urn:otwarte-dane:harvester:1.13">, a elementy w środku są bez przestrzeni nazw. Zamiana na domyślne xmlns="…" psuje walidację.
• Nagłówek Content-Type. Przewodnik ministerstwa opisuje sprawdzanie pliku zapytaniem HEAD i nagłówek Content-Type z text/xml lub application/xml. Strona błędu, logowania czy konserwacji zwraca text/html – nawet z kodem 200.

Jak sprawdzić cały raport w 5 minut

1. XML odpowiada 200 i ma typ XML

   curl -sI https://…/raport.xml – szukasz 200 i Content-Type: application/xml lub text/xml.

2. Suma MD5 jest pod adresem XML z dopisanym .md5

   Kod 200 i ten sam ciąg co md5sum pobranego XML-a.

3. W XML nie ma http://

   Każdy <url> zaczyna się od https:// i ma właściwą domenę.

4. Ostatni plik z cenami odpowiada 200

   Bez przekierowań, bez 403 i 500. Sprawdź też plik sprzed kilku dni.

5. Test bez przeglądarki

   Powtórz polecenia bez parametru -A, najlepiej z innego serwera niż Twój – tak, jak łączy się portal.

Jeśli wszystkie punkty przechodzą, a portal nadal nie pobiera danych, napisz na kontakt@dane.gov.pl z adresem pliku XML i nazwą dostawcy. Cały proces zgłoszenia opisaliśmy w przewodniku jak raportować ceny mieszkań do dane.gov.pl, a zmiany w strukturze plików od 11 listopada 2026 r. w artykule o nowej strukturze danych.