Een .htaccess-bestand is geen magie, maar wel een van de krachtigste bestanden op je WordPress-server. Het is een simpel tekstbestand dat Apache vertelt hoe die met je site moet omgaan. Denk aan doorverwijzingen, wachtwoordbeveiliging of het blokkeren van vervelende bots. Zonder dit bestand mis je een hoop controle over je eigen website.
Ik heb te vaak gezien dat mensen hun site slopen door een verkeerd leesteken in .htaccess. Eén typfout en je krijgt een error 500. Daarom eerst de basis: wat is een .htaccess-bestand in WordPress precies en waarom zou je er een aanmaken?
Wat is een .htaccess-bestand in WordPress en waarom het je website beïnvloedt
Een .htaccess-bestand is een configuratiebestand voor Apache-servers. WordPress gebruikt het standaard al voor permalinks, maar je kunt er veel meer mee. Het bestand staat in de hoofdmap van je WordPress-installatie, naast wp-config.php. Als je het aanpast, verander je direct het gedrag van je server.
Het mooie is dat je geen serverbeheerder hoeft te zijn. Je kunt via FTP of cPanel zo’n bestand aanmaken en bewerken. Maar let op: niet elke hostingprovider staat het toe. Sommige servers hebben de optie AllowOverride uitgeschakeld, waardoor je .htaccess genegeerd wordt. Check dat eerst bij je host.
Een .htaccess-bestand in WordPress is dus geen overbodige luxe. Het is je toegangspoort tot beveiliging, redirects en foutafhandeling. Zonder dit bestand ben je afhankelijk van plugins die vaak meer overhead kosten.
Zo maak je een .htaccess-bestand aan dat niet je site sloopt
De grootste fout die ik zie: mensen kopiëren een willekeurig stuk code van internet en plakken dat in .htaccess. Dan gaat het mis. Begin altijd met een back-up. Download het bestaande .htaccess-bestand naar je computer voordat je iets wijzigt.
Ga via FTP of cPanel naar de hoofdmap van je WordPress-site. Maak daar een nieuw tekstbestand aan en noem het exact .htaccess – met de punt ervoor. Zorg dat je teksteditor geen .txt-extensie toevoegt. In Windows kun je dat voorkomen door de bestandsnaam tussen aanhalingstekens te zetten: “.htaccess”.
Open het bestand en voeg je regels toe. Elke regel is een instructie. Denk aan:
- Redirects: stuur bezoekers van een oude URL naar een nieuwe.
- Wachtwoordbeveiliging: bescherm je hele site of een specifieke map met een gebruikersnaam en wachtwoord.
- Beveiligingsheaders: voeg HTTP-headers toe zoals X-Frame-Options of Content-Security-Policy.
- Onderhoudspagina: laat bezoekers een onderhoudspagina zien terwijl jij updates uitvoert.
Upload het bestand terug naar de server. Test direct of je site nog werkt. Krijg je een foutmelding? Verwijder dan het .htaccess-bestand via FTP en herstel je back-up. Zo voorkom je dat je hele site platligt.
Veelgebruikte .htaccess-regels voor WordPress in 2026
Wil je je WordPress-site beveiligen met .htaccess? Dat kan met een paar regels. Bijvoorbeeld het blokkeren van toegang tot wp-config.php of het uitschakelen van directory listing. Ook het beperken van loginpogingen op wp-login.php kan via .htaccess, al werkt dat niet altijd even goed met caching.
Een populaire regel is het forceren van HTTPS. Daarmee voorkom je gemengde content en verbeter je je SEO. Voeg deze regels toe:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Let op: als je site achter een proxy of CDN zit, werkt dit niet altijd. Dan moet je de HTTP_X_FORWARDED_PROTO-header checken. Test het altijd in een stagingomgeving voordat je het live zet.
Een ander veelgebruikt .htaccess-bestand in WordPress is voor het aanmaken van redirects. Bijvoorbeeld als je een pagina hebt verplaatst. Zonder redirect verlies je bezoekers en SEO-waarde. Met een 301-redirect geef je aan dat de pagina permanent is verhuisd.
Beveiligingsheaders en andere trucs die je niet vaak ziet
Veel mensen vergeten dat je via .htaccess ook HTTP-beveiligingsheaders kunt toevoegen. Denk aan X-Content-Type-Options: nosniff of Referrer-Policy. Deze headers beschermen tegen cross-site scripting en clickjacking. Je hostingprovider ondersteunt dit meestal wel, maar het staat niet standaard aan.
Een minder bekende truc: het beperken van bestandstypen die uitgevoerd mogen worden. Zo voorkom je dat een geüpload PHP-bestand via een plugin wordt uitgevoerd. Voeg bijvoorbeeld toe dat .php-bestanden in de uploads-map niet uitgevoerd mogen worden. Dat is een simpele maar effectieve beveiligingslaag.
Ook het blokkeren van specifieke IP-adressen kan via .htaccess. Handig als je last hebt van spam of brute force. Maar wees voorzichtig: als je je eigen IP blokkeert, sluit je jezelf buiten.
Back-up en testen: de gouden regel voor .htaccess
Elke fout in .htaccess kan je site onbereikbaar maken. Daarom is een back-up maken geen optie, maar een must. Ik raad aan om naast een handmatige back-up ook een versiebeheer te gebruiken, zodat je wijzigingen kunt terugdraaien.
Test je aanpassingen altijd eerst lokaal of in een stagingomgeving. Veel hostingproviders bieden een stagingfunctie. Zo kun je veilig experimenteren met redirects, headers en wachtwoordbeveiliging. Pas als alles werkt, zet je het door naar je live site.
Vergeet niet dat .htaccess niet de enige manier is. Soms is het beter om een beveiligingsplugin te gebruiken of de serverconfiguratie direct aan te passen. Maar voor veel WordPress-gebruikers is .htaccess de snelste en meest directe manier om controle te krijgen.
Wat je beter niet in .htaccess zet
Ik zie mensen soms enorme lappen code in .htaccess plempen, van caching tot complete firewallregels. Dat is vragen om problemen. .htaccess is krachtig, maar ook gevoelig. Houd het simpel en doelgericht.
Zet geen complexe logica in .htaccess die je niet volledig begrijpt. En gebruik geen verouderde regels die niet meer werken met de laatste Apache-versie. Wat jaren geleden werkte, kan nu je site vertragen of blokkeren.
Tot slot: een .htaccess-bestand in WordPress is geen vervanging voor goede hosting. Als je server traag is of slecht beveiligd, lost .htaccess dat niet op. Het is een hulpmiddel, geen wondermiddel. Gebruik het met verstand en test alles grondig.
