Se você já colou uma linha errada no .htaccess e viu o site inteiro virar um erro 500, sabe do que estou falando. Esse arquivinho minúsculo, escondido na raiz do WordPress, é lido pelo Apache e pelo LiteSpeed — que é o que roda na maioria das hospedagens brasileiras. Uma vírgula fora do lugar e o site some. Não tem aviso, não tem tela amigável: é tela branca e pânico.
A verdade é que o .htaccess não é um bicho de sete cabeças, mas também não é lugar de sair colando código de fórum de 2015. Ele serve para modificar o comportamento do servidor Apache por diretório: redirecionar URLs, forçar HTTPS, bloquear bots, definir cabeçalhos de segurança. Tudo isso sem mexer na configuração global do servidor, o que é ótimo — até você errar a sintaxe.
Onde o .htaccess fica e por que ele some do seu FTP
Ele mora na mesma pasta do wp-config.php, na raiz da instalação. O problema é que muitos clientes de FTP e gerenciadores de arquivos simplesmente escondem arquivos que começam com ponto. No FileZilla, você precisa ir em Servidor > Forçar exibição de arquivos ocultos. No cPanel, clique em Configurações e marque “Mostrar arquivos ocultos”. Sem isso, você jura que o arquivo não existe.
Só que tem um detalhe que quase ninguém conta: em uma instalação limpa do WordPress, o .htaccess pode nem existir. O próprio CMS cria o arquivo quando você salva os permalinks em Configurações > Links Permanentes. Esse é o truque mais subestimado: salve os permalinks uma vez e o WordPress gera o .htaccess com as regras básicas de reescrita. Pronto, você tem um ponto de partida.
O bloco que o WordPress escreve sozinho — e que você nunca deve tocar
Quando o WordPress gera o arquivo, ele coloca um bloco entre # BEGIN WordPress e # END WordPress. A regra é clara: nunca insira nada dentro desse bloco. Qualquer coisa que você colocar ali será apagada na próxima vez que o WordPress regenerar o arquivo — e ele regenera quando você mexe nos permalinks, atualiza o CMS ou instala certos plugins.
Suas regras vão sempre antes do # BEGIN WordPress. Se a regra é sua, ela fica fora do bloco. Se você jogar dentro, algum dia ela desaparece e você vai passar horas tentando entender o que aconteceu. Já vi gente perder fim de semana por causa disso.
Como criar um arquivo .htaccess funcional em 2026
Criar do zero é simples, mas o editor importa. Bloco de Notas do Windows adiciona extensão .txt e quebra tudo. Use Notepad++, VS Code, Sublime ou o próprio editor do cPanel. Salve com codificação UTF-8 sem BOM — BOM é aquele caractere invisível que faz o Apache cuspir erro 500 na hora.
- Acesse o servidor por FTP (FileZilla) ou pelo Gerenciador de Arquivos do cPanel.
- Vá até a pasta raiz do WordPress, onde está o wp-config.php.
- Baixe o .htaccess atual e guarde como backup. Isso não é opcional, é seguro de vida.
- Crie um arquivo de texto e salve como .htaccess, com o ponto no começo e sem extensão.
- Cole as diretivas que você quer, uma por linha, sem comentários confusos.
- Envie via FTP para a raiz, sobrescrevendo o antigo.
- Permissões: 644 na maioria dos casos. Se o servidor exigir, 640. Nunca 777.
Depois de subir, abra o site em uma aba anônima. Se aparecer erro 500, é erro de sintaxe. Volte o backup imediatamente antes de tentar adivinhar a linha culpada. Adivinhar raramente funciona e você só perde tempo.
Diretivas que realmente valem a pena hoje
Tem muita lista por aí copiada de 2015. Estas aqui são as que fazem diferença de verdade em 2026:
Forçar HTTPS e escolher entre www e não-www
Redirecionar tudo para HTTPS evita conteúdo duplicado e melhora o SEO. Escolha um formato — com ou sem www — e redirecione o outro. Manter os dois respondendo no ar é erro clássico que canibaliza ranking. O Google não sabe qual versão indexar e você perde força.
Cabeçalhos de segurança HTTP
Aqui você trava ataques de clickjacking e sniffing com poucas linhas. Os principais:
- X-Frame-Options: SAMEORIGIN — impede que seu site seja embutido em iframe de outro domínio.
- X-Content-Type-Options: nosniff — bloqueia o navegador de tentar adivinhar o tipo de arquivo.
- Referrer-Policy: strict-origin-when-cross-origin — controla o vazamento de URLs para outros sites.
- Strict-Transport-Security — só ative depois de confirmar 100% do site em HTTPS, senão você tranca visitantes fora.
Bloquear acesso a arquivos críticos
Travar leitura do wp-config.php e do próprio .htaccess é básico. Também vale desabilitar listagem de diretórios com Options -Indexes, senão qualquer um navega em pastas de upload e vê o que tem lá dentro. Já vi site com backup exposto assim.
Cortar XML-RPC e força bruta
O xmlrpc.php é porta de entrada histórica para ataques de força bruta no WordPress. Se você não publica pelo app do WordPress nem usa Jetpack, bloqueia. Junto com isso, dá para limitar tentativas de login por IP direto no .htaccess, embora plugin de segurança faça isso com mais inteligência e menos risco de você se bloquear.
O que NÃO colocar no .htaccess (ou o site quebra)
Não saia bloqueando wp-admin com regra de IP achando que é segurança. Se seu IP mudar — e ele muda, especialmente em conexão móvel — você perde o acesso ao painel. O mesmo vale para regras genéricas de User-Agent: crawlers legítimos como Googlebot podem ser bloqueados por engano e você some do Google. Aí já era.
Compressão Gzip e cache de navegador via mod_expires são ótimos, mas hoje a maioria das hospedagens com LiteSpeed já faz isso em nível de servidor. Adicionar as duas coisas ao mesmo tempo pode gerar conflito de cabeçalhos. Antes de colar, cheque se seu servidor já resolve. Na dúvida, não duplique.
Teste antes, sempre. Sem exceção.
A melhor prática que quase ninguém segue: monte um ambiente de teste (staging) e aplique lá primeiro. Hospedagens boas como Kinsta, WP Engine e Hostinger oferecem staging em um clique. Se a sua não tem, crie uma cópia do site em um subdomínio. O trabalho de 20 minutos te poupa horas de site fora do ar em plena sexta-feira.
E lembre: o .htaccess não é a única ferramenta. Plugins como Wordfence, Solid Security (ex-iThemes) e o Cloudflare resolvem boa parte da segurança com interface amigável e reversão fácil. Use o .htaccess quando precisar de algo que o plugin não faz — não para reinventar o que já está pronto.
A combinação honesta para performance e segurança
Se você quer resultado de verdade, a combinação mais sensata é: .htaccess enxuto com o essencial (HTTPS, cabeçalhos de segurança, proteção de arquivos críticos), plugin de segurança cuidando de firewall e login, e CDN na frente. Nada mais que isso faz milagre — e tudo além disso só aumenta a chance de você derrubar o próprio site.
O .htaccess é uma ferramenta de precisão. Quem entende o que está fazendo tira proveito. Quem copia e cola sem ler, uma hora quebra tudo. A escolha é sua.
