return 403 forbidden if no secret