Se hai un sito WordPress su un server Apache, prima o poi ti imbatti nel file .htaccess. È quel file nascosto che sta nella cartella principale, accanto a wp-config.php, e che può fare la differenza tra un sito veloce e sicuro e uno che va in tilt con un errore 500. In questo articolo ti spiego cos’è, come crearlo senza combinare disastri e quali direttive usare per migliorare sicurezza e prestazioni. Niente fuffa, solo quello che serve.
Cos’è il file .htaccess e perché è così importante per WordPress
Il file .htaccess è un file di configurazione che viene letto dal server web Apache (e da alcuni altri server compatibili) per modificare il comportamento del sito a livello di directory. In pratica, è come un interruttore che dice al server come gestire gli URL, chi può accedere a certe cartelle e come proteggere le risorse. Per WordPress è fondamentale perché permette di gestire i permalink, i redirect e persino di bloccare attacchi malevoli senza toccare il core di WordPress.
La cosa bella è che non devi essere un sistemista per usarlo: basta un editor di testo e un po’ di attenzione. La cosa brutta è che un singolo carattere sbagliato può mandare tutto il sito in errore 500. Quindi, prima di metterci mano, leggi bene e fai un backup.
Attenzione: non tutti i server usano .htaccess. Se il tuo hosting è su Nginx, il file non viene nemmeno considerato. In quel caso devi agire sulla configurazione del server (di solito tramite pannello o file di configurazione dedicato). Ma se sei su Apache, .htaccess è il tuo migliore amico.
Come creare un file .htaccess senza errori 500: guida passo passo
Il primo passo è verificare che il server permetta di modificare i file .htaccess. Nella maggior parte dei casi è abilitato, ma alcuni hosting lo disattivano per motivi di sicurezza. Se non sei sicuro, contatta l’assistenza o controlla nelle impostazioni di cPanel.
Una volta confermato, segui questa procedura:
- Accedi al tuo server via FTP (con FileZilla, ad esempio) o tramite il file manager di cPanel.
- Naviga nella cartella principale di WordPress, quella dove si trova wp-config.php. Di solito è la root del dominio o una sottocartella.
- Crea un nuovo file di testo sul tuo computer e salvalo con il nome .htaccess (assicurati che il punto sia all’inizio e che il file non abbia estensione .txt).
- Apri il file con un editor di testo semplice (NotePad++, Sublime Text, ecc.) e scrivi le direttive che ti servono. Ogni direttiva è una riga di comando.
- Salva e carica il file nella cartella principale del sito.
Se il file esiste già (WordPress lo crea automaticamente quando imposti i permalink), non sovrascriverlo: aggiungi le righe in fondo o modificalo con cautela. Prima di salvare, fai una copia di backup del file originale, così se qualcosa va storto puoi ripristinarlo in un secondo.
Dopo il caricamento, controlla subito il sito. Se vedi un errore 500, significa che c’è un errore di sintassi. In quel caso, rinomina il file .htaccess in .htaccess.bak (tramite FTP o file manager) e il sito tornerà online. Poi correggi l’errore con calma.
Direttive .htaccess più utili per WordPress: sicurezza e prestazioni
Ecco alcune direttive che puoi aggiungere al tuo .htaccess per migliorare la sicurezza e le prestazioni del sito. Copiale con attenzione e testale sempre in un ambiente di prova prima di applicarle in produzione.
1. Proteggere il file wp-config.php
Il file wp-config.php contiene le credenziali del database. Blocca l’accesso diretto con queste righe:
<files wp-config.php>
order allow,deny
deny from all
</files>
In questo modo nessuno può leggerlo via browser.
2. Impedire la visualizzazione delle directory
Se non c’è un file index, il server potrebbe mostrare l’elenco dei file. Aggiungi Options -Indexes per evitarlo.
3. Bloccare gli attacchi XSS e clickjacking
Puoi impostare header di sicurezza come X-XSS-Protection e X-Frame-Options. Ad esempio:
<IfModule mod_headers.c>
Header set X-XSS-Protection “1; mode=block”
Header set X-Frame-Options “SAMEORIGIN”
</IfModule>
Questi header dicono al browser di attivare la protezione contro script malevoli e di non incorporare il sito in iframe di altri domini.
4. Reindirizzare i visitatori a una pagina di manutenzione
Se devi fare manutenzione, puoi reindirizzare tutti gli accessi a una pagina dedicata (tranne il tuo IP). Ecco un esempio:
RewriteEngine On
RewriteBase /
RewriteCond %{REMOTE_ADDR} !^123.456.789.000
RewriteCond %{REQUEST_URI} !/manutenzione.html$
RewriteRule ^(.*)$ /manutenzione.html [R=302,L]
Sostituisci 123.456.789.000 con il tuo indirizzo IP per poter accedere mentre gli altri vedono la pagina di manutenzione.
5. Limitare l’accesso a wp-login.php
Per ridurre i tentativi di brute force, puoi consentire l’accesso solo al tuo IP:
<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 123.456.789.000
</Files>
Ma attenzione: se il tuo IP cambia, rischi di restare fuori. In alternativa, usa un plugin di sicurezza.
Errori comuni e come evitarli
Il problema numero uno è dimenticare di fare il backup. Non farlo è da pazzi. Un altro errore è copiare direttive da siti poco affidabili senza capirle. Ogni riga deve essere necessaria e corretta.
Un errore 500 dopo la modifica quasi sempre indica un errore di sintassi: una parentesi mancante, un comando scritto male, un carattere strano. Controlla riga per riga. Se non riesci, ripristina il backup e ricomincia.
Inoltre, non tutte le direttive funzionano su tutti i server. Alcune richiedono moduli specifici (come mod_rewrite o mod_headers). Se non sono attivi, il server potrebbe restituire un errore. Verifica con il tuo hosting.
Alternative al file .htaccess: quando non è la soluzione migliore
Il file .htaccess non è l’unico modo per configurare il server. Se hai accesso alla configurazione di Apache, puoi modificare direttamente httpd.conf o i file di virtual host. È più sicuro perché non rischi di sovrascrivere accidentalmente .htaccess, ma richiede accesso root e competenze tecniche.
Su WordPress, molti preferiscono usare plugin di sicurezza come Wordfence o iThemes Security, che gestiscono header, firewall e login senza toccare .htaccess. Sono più facili da usare e meno rischiosi, ma possono appesantire il sito.
La scelta dipende da te: se vuoi controllo totale e non hai paura di sporcarti le mani, .htaccess è potente. Se preferisci la comodità, affidati ai plugin. In ogni caso, documentati sempre prima di fare modifiche.
Ricorda: qualsiasi modifica al file .htaccess può influire sul comportamento del sito. Fai un backup, testa in locale o in staging, e solo dopo applica in produzione. Con un po’ di attenzione, eviterai l’errore 500 e avrai un sito più sicuro e performante.
