Herramienta: Generador de archivo .htaccess
Configuración básica
Las que necesita WordPress para que funcionen las URLs amigables. Se escriben siempre al final del archivo.
Sin https ni www. Hace falta para la protección de imágenes; el resto de reglas funcionan sin él.
Manda a HTTPS todo el tráfico que entre por HTTP.
Redirige tudominio.com hacia www.tudominio.com.
Al revés: manda www.tudominio.com hacia tudominio.com. Marca una de las dos, nunca las dos.
Cierra el acceso directo al archivo con las credenciales de la base de datos.
Para que no se pueda leer desde el navegador.
Impide ver el contenido de las carpetas que no tienen index.
La regla que más infecciones para. Si te cuelan un archivo por un formulario, no se podrá ejecutar.
Evita que con ?author=1 averigüen tus nombres de usuario para luego probar contraseñas.
Corta ataques de fuerza bruta por esa vía. No lo marques si publicas desde la aplicación móvil de WordPress o utilizas Jetpack.
Ahrefs, Semrush, MJ12 y compañía. Si analizas tu propia página web con esas herramientas, déjalo sin marcar.
Impide que otras páginas web carguen tus imágenes gastando tu ancho de banda. Necesita que rellenes el dominio arriba.
X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
Solo se podrá entrar al panel desde las IPs que indiques.
Incluye tu IP actual antes de subir el archivo o te quedas fuera de tu propio WordPress. Y si tu conexión es dinámica, mejor no utilices esta regla.
Comprime HTML, CSS, JS y fuentes antes de enviarlos. Si tu servidor ya utiliza Brotli, no hace falta.
Dice al navegador cuánto tiempo guardar imágenes, hojas de estilo y scripts.
Quita una cabecera redundante cuando ya utilizas caché por tiempo.
Sirve tanto para rutas de tu propia página web como para enviar tráfico a otro dominio.
Cierra la página web entera a esas direcciones.
Piénsatelo dos veces si vendes online o quieres aparecer en las respuestas de ChatGPT o Perplexity: bloqueando el rastreo desapareces de ahí. Además, no todos los bots respetan lo que les digas.
Google-Extended y Applebot-Extended no se bloquean desde aquí: son etiquetas que solo entienden en el robots.txt, no user-agents reales. Si quieres excluirlos, se hace en ese archivo.
Código generado
# Marca las opciones de la izquierda y el código aparecerá aquí
Antes de subirlo
- Descarga una copia de tu .htaccess actual. Si algo falla, lo restauras y ya está.
- Sube el archivo a la raíz de tu WordPress, donde está el wp-config.php.
- Recarga la página web y entra en el escritorio. Un error de sintaxis da error 500 en el acto, así que lo sabrás enseguida.
- Si tu alojamiento utiliza Nginx en lugar de Apache o LiteSpeed, este archivo no hace nada: las reglas hay que pedírselas al soporte.
Un .htaccess no sustituye al mantenimiento
Estas reglas tapan las puertas más evidentes, pero la mayoría de webs de WordPress que acaban infectadas caen por un plugin sin actualizar, no por el .htaccess. Si no quieres estar pendiente, me encargo yo.
Quiero delegar el mantenimientoDescarga tu .htaccess
Déjame tu email y desbloqueo el archivo completo para copiarlo o descargarlo.
Introduce un email válido.
Al continuar aceptas la política de privacidad.
Listo, aquí tienes tu archivo
Ya puedes copiarlo o descargarlo. Acuérdate de la copia de seguridad.