TODO - send a 403 error when forbidden