El archivo .htaccess es ese fichero oculto que muchos webmasters ignoran hasta que algo se rompe. En servidores Apache, es el mando a distancia que modifica la configuración sin tocar los archivos del sistema. Con él puedes redirigir URLs, bloquear accesos, forzar HTTPS o blindar WordPress contra ataques. Y no, no es magia: son directivas de texto plano que Apache lee en cada petición.
Para qué sirve realmente un .htaccess en WordPress
WordPress genera su propio .htaccess cuando guardas los enlaces permanentes. Dentro mete las reglas de reescritura para que URLs como /mi-entrada/ funcionen sin index.php. Pero ese archivo es solo el principio. Si añades tus propias directivas, puedes controlar la seguridad y el rendimiento del sitio a un nivel que los plugins no siempre alcanzan.
La clave está en que el .htaccess se aplica antes de que WordPress arranque. Por eso es tan potente: filtras tráfico malicioso antes de que PHP se ejecute. Eso reduce carga en el servidor y corta ataques de fuerza bruta en seco.
Cómo crear un archivo .htaccess funcional paso a paso
Lo primero es confirmar que tu hosting permite AllowOverride. En la mayoría de hostings compartidos está activo, pero en servidores gestionados o VPS puedes encontrarlo en Off. Si es así, el .htaccess no hará nada y te volverás loco buscando el error.
- Conéctate por FTP (FileZilla) o entra al Administrador de archivos de cPanel.
- Ve a la raíz de WordPress, donde está wp-config.php.
- Crea un archivo de texto y guárdalo como .htaccess (con el punto delante).
- Escribe las directivas que necesites, una por línea.
- Súbelo a la raíz y comprueba que los permisos sean 644.
Antes de tocar nada, descarga una copia del .htaccess actual. Un solo carácter mal puesto puede tumbar la web con un error 500. Esto no es alarmismo: pasa cada semana.
Directivas imprescindibles para blindar WordPress
Si tu WordPress no tiene estas reglas, estás dejando la puerta abierta. Estas son las que yo pondría sin dudar en 2026:
- Forzar HTTPS: redirige todo el tráfico a la versión segura.
- Bloquear acceso a wp-config.php: evita que cualquiera lea tus credenciales.
- Impedir listado de directorios: con Options -Indexes evitas que se vean los archivos si falta un index.
- Limitar acceso a wp-admin: puedes permitir solo tu IP para entrar al panel.
- Cabeceras de seguridad: X-Frame-Options, X-Content-Type-Options y Content-Security-Policy.
Un ejemplo real de cabeceras que funciona:
Header set X-Frame-Options «SAMEORIGIN»
Header set X-Content-Type-Options «nosniff»
Header set Referrer-Policy «strict-origin-when-cross-origin»
Estas tres líneas ya te quitan de encima ataques de clickjacking y sniffing de MIME. No sustituyen a un WAF, pero suman capas.
Errores típicos que te dejarán sin web
El fallo número uno es editar el .htaccess desde el editor de WordPress. No lo hagas nunca. Si el archivo tiene un error de sintaxis, pierdes el acceso al panel y a la web. Edita siempre por FTP o cPanel, y si algo falla, restaura la copia de seguridad.
Otro error clásico es olvidar que algunos plugins de caché o seguridad sobrescriben el .htaccess. Si usas Wordfence, WP Rocket o similares, revisa sus ajustes antes de añadir reglas manuales. Pueden entrar en conflicto y duplicar redirecciones.
Tampoco pongas reglas de redirección 301 masivas sin probar. Un bucle infinito de redirecciones es la forma más rápida de tirar tu SEO y la paciencia de tus visitantes.
Entorno de pruebas: no experimentes en producción
Antes de subir un .htaccess nuevo, pruébalo en un staging. Muchos hostings ofrecen entornos de prueba con un clic. Si no lo tienes, monta una copia en local con LocalWP o XAMPP. La regla es simple: si no lo has probado, no lo subas.
Y ojo con el archivo .htaccess en subcarpetas. Si WordPress está en la raíz, el .htaccess principal manda. Pero si tienes instalaciones en subdirectorios, cada una puede tener el suyo. No mezcles reglas entre ellos.
Alternativas al .htaccess que quizá te convengan más
El .htaccess es cómodo, pero no es la única vía. En servidores Nginx no existe: allí se usan bloques location en la configuración del servidor. Si tu hosting es Nginx, olvídate del .htaccess y pide a soporte que aplique las reglas.
También puedes usar plugins de seguridad como Solid Security o Wordfence para la mayoría de bloqueos. La ventaja es que no tocas archivos críticos. La desventaja es que añaden peso y no cubren todo lo que hace una directiva Apache bien puesta.
Mi consejo: combina ambos. Usa el .htaccess para lo estructural (HTTPS, cabeceras, bloqueo de archivos sensibles) y deja los plugins para la gestión diaria de firewalls y escaneos.
Checklist antes de dar por bueno tu .htaccess
- ¿Tienes copia de seguridad del archivo original?
- ¿Has probado la web en modo incógnito tras subirlo?
- ¿Funcionan los enlaces permanentes y el panel de admin?
- ¿No hay errores 500 ni bucles de redirección?
- ¿Las cabeceras de seguridad aparecen en las herramientas de desarrollo?
Si todo está en verde, enhorabuena: acabas de dar un salto de calidad en la configuración de tu WordPress. Y si algo falla, restaura la copia y vuelve a empezar. No hay atajos.
