Configurar .htaccess en WordPress: Guía SEO y seguridad

¿Qué es el archivo .htaccess y por qué es tan importante en WordPress?

El archivo .htaccess (hypertext access) es un archivo de configuración que le dice al servidor web Apache cómo comportarse en el directorio donde está instalado tu sitio. En WordPress, este pequeño archivo de texto es una auténtica navaja suiza: controla los enlaces permanentes, la seguridad, las redirecciones, la caché y hasta aspectos de SEO.

Es normal que al principio te asuste un poco tocar este archivo, pero te prometo que con esta guía vas a entenderlo todo. Lo verás como un cuaderno de instrucciones que tu servidor lee cada vez que alguien visita tu web. Y lo mejor: puedes editarlo de forma segura si sigues los pasos correctos.

El archivo .htaccess de WordPress se encuentra en la carpeta raíz de tu instalación, es decir, en la misma carpeta donde están las carpetas wp-admin, wp-content y wp-includes. Si usas un gestor de archivos del panel de control o un cliente FTP, lo verás fácilmente. Eso sí, por defecto es un archivo oculto, así que tendrás que activar la opción de "mostrar archivos ocultos" en tu cliente FTP o en el administrador de archivos.

Antes de empezar: copia de seguridad obligatoria

[WARNING]
Nunca, bajo ninguna circunstancia, edites el archivo .htaccess sin hacer una copia de seguridad antes. Un error de sintaxis puede tumbar tu web entera, mostrando un error 500 Internal Server Error. Respira, que es fácil de solucionar, pero mejor prevenir.

Para hacer la copia, simplemente accede a tu servidor por FTP o al administrador de archivos de tu hosting, localiza el .htaccess, haz clic derecho y descarga una copia a tu ordenador. También puedes renombrarlo a .htaccess.backup para tenerlo a mano en el propio servidor.

Otra opción muy cómoda es usar un plugin como UpdraftPlus o BackupBuddy para hacer una copia completa del sitio, pero con descargar el .htaccess nos vale para este propósito.

Cómo editar el archivo .htaccess de WordPress paso a paso

Vamos a ver las tres formas más comunes de editar este archivo. Elige la que más cómoda te resulte.

Opción 1: Desde el administrador de WordPress (la más fácil)

WordPress tiene un editor de archivos integrado. Para usarlo:

Entra en tu panel de administración de WordPress (www.tusitio.com/wp-admin).
Ve a Apariencia > Editor de archivos de temas.
En la columna derecha, busca el archivo .htaccess. Si no lo ves, haz clic en "Archivos de tema" y selecciónalo.
Edita el contenido directamente en el cuadro de texto.
Pulsa Actualizar archivo.

[INFO]
Esta opción solo funciona si tu servidor permite la modificación de archivos a través de PHP. Si tu hosting es muy restrictivo, verás un error. En ese caso, usa las otras opciones.

Opción 2: Desde cPanel o el panel de tu hosting

La mayoría de los hostings incluyen un administrador de archivos:

Accede a tu panel de control (cPanel, Plesk, Syspanel, etc.).
Si usas Syspanel, recuerda que el puerto de acceso es el 2106 (por ejemplo, https://tudominio.com:2106).
Busca la sección Administrador de archivos o File Manager.
Navega hasta la carpeta public_html (o la carpeta raíz de tu sitio).
Localiza el .htaccess, haz clic derecho y selecciona Editar.
Guarda los cambios cuando termines.

Opción 3: Desde FTP con un cliente como FileZilla

Si eres más clásico, el FTP siempre funciona:

Conéctate con FileZilla o cualquier cliente FTP a tu servidor.
Ve a la carpeta raíz de tu instalación de WordPress.
Descarga el .htaccess a tu ordenador.
Ábrelo con un editor de texto como Notepad++ o Sublime Text (nunca con el Bloc de notas de Windows, que puede añadir caracteres raros).
Edita, guarda y vuelve a subirlo al servidor.

El .htaccess básico que WordPress genera por defecto

Cuando instalas WordPress y activas los enlaces permanentes, el sistema genera automáticamente un .htaccess con este contenido:

# BEGIN WordPress
# Las directivas (líneas) entre "BEGIN WordPress" y "END WordPress" se generan dinámicamente, y solo deberían ser modificadas mediante filtros de WordPress. Cualquier cambio en las directivas que hay entre esos marcadores se sobrescribirán.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Este bloque es el corazón de los enlaces permanentes. Gracias a él, WordPress sabe cómo interpretar las URLs limpias como tusitio.com/mi-articulo en lugar de tusitio.com/?p=123.

[TIP]
Si alguna vez cambias la estructura de tus enlaces y te da error 404, revisa que este bloque sigue intacto. Si falta, vuelve a Ajustes > Enlaces permanentes y pulsa "Guardar cambios" para regenerarlo.

Mejoras de seguridad para tu .htaccess de WordPress

La seguridad es uno de los motivos más habituales para editar el .htaccess. Aquí tienes las reglas más útiles.

Bloquear el acceso a wp-config.php

El archivo wp-config.php contiene las credenciales de tu base de datos. Es vital protegerlo:

<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>

Desactivar la navegación por directorios

Por defecto, si alguien escribe tusitio.com/wp-content/ en el navegador, podría ver la lista de archivos. Evítalo:

Options -Indexes

Proteger el archivo .htaccess y wp-config.php

Para que nadie pueda leer estos archivos sensibles desde el navegador:

<FilesMatch "^(\.htaccess|\.htpasswd|\.htaccess\.backup|wp-config\.php)">
Order Allow,Deny
Deny from all
</FilesMatch>

Bloquear el acceso por IP al wp-admin

Si quieres restringir el acceso al panel de administración solo desde tu IP (ideal si trabajas desde casa):

<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 123.456.789.000
</Files>

Sustituye 123.456.789.000 por tu IP real. Puedes averiguarla buscando "cuál es mi IP" en Google.

[WARNING]
Si tu IP cambia con frecuencia (IP dinámica), esta regla te dejará fuera de tu propio panel. Úsala solo si tienes IP fija.

Bloquear la ejecución de PHP en carpetas sensibles

Evita que se ejecuten scripts maliciosos en wp-content/uploads o wp-includes:

<DirectoryMatch "^/.*/(uploads|files)/">
php_flag engine off
</DirectoryMatch>

Aunque esta directiva no funciona en todos los servidores, es muy útil si tu hosting lo permite.

Reglas de SEO para tu archivo .htaccess

El htaccess SEO es una de las prácticas más potentes para mejorar tu posicionamiento. Vamos con las reglas imprescindibles.

Redirigir www a no-www (o viceversa)

Google considera www.tusitio.com y tusitio.com como sitios distintos si no rediriges uno al otro. Elige una versión canónica:

De www a no-www:

RewriteEngine On
RewriteCond %{HTTP_HOST} ^www\.tusitio\.com [NC]
RewriteRule ^(.*)$ http://tusitio.com/$1 [L,R=301]

De no-www a www:

RewriteEngine On
RewriteCond %{HTTP_HOST} ^tusitio\.com [NC]
RewriteRule ^(.*)$ http://www\.tusitio\.com/$1 [L,R=301]

Sustituye tusitio.com por tu dominio real.

Forzar HTTPS

Hoy en día el HTTPS es imprescindible para el SEO. Esta regla redirige todo el tráfico HTTP a HTTPS:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

[INFO]
Asegúrate de tener un certificado SSL válido instalado antes de aplicar esta regla. Si no, tu web dejará de cargar.

Redirigir la URL de la versión móvil a la principal

Si tienes una subcarpeta móvil tipo m.tusitio.com, redirige todo a la principal:

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} "android|blackberry|iphone|ipod|ipad|opera mini|mobile" [NC]
RewriteCond %{HTTP_HOST} ^m\.tusitio\.com [NC]
RewriteRule ^(.*)$ http://tusitio.com/$1 [L,R=301]

Redirigir URLs antiguas a nuevas (301)

Cuando cambias la estructura de tus URLs, es fundamental redirigir las antiguas para no perder posicionamiento:

Redirect 301 /pagina-antigua.html http://tusitio.com/pagina-nueva/

O si tienes muchas redirecciones, usa mod_rewrite:

RewriteEngine On
RewriteRule ^pagina-antigua\.html$ http://tusitio.com/pagina-nueva/ [R=301,L]

Añadir cabeceras de caché para mejorar la velocidad

La velocidad de carga es un factor SEO importante. Añade estas cabeceras para que el navegador guarde copias de tus recursos estáticos:

<IfModule mod_expires.c>
ExpiresActive On
ExpiresByType image/jpg "access plus 1 year"
ExpiresByType image/jpeg "access plus 1 year"
ExpiresByType image/gif "access plus 1 year"
ExpiresByType image/png "access plus 1 year"
ExpiresByType text/css "access plus 1 month"
ExpiresByType application/pdf "access plus 1 month"
ExpiresByType text/javascript "access plus 1 month"
ExpiresByType application/javascript "access plus 1 month"
ExpiresByType application/x-javascript "access plus 1 month"
ExpiresByType image/x-icon "access plus 1 year"
ExpiresByType application/x-shockwave-flash "access plus 1 month"
ExpiresDefault "access plus 2 days"
</IfModule>

Comprimir archivos con Gzip

La compresión Gzip reduce el peso de tus páginas hasta un 70%. Actívala así:

<IfModule mod_deflate.c>
AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/html
AddOutputFilterByType DEFLATE text/xml
AddOutputFilterByType DEFLATE text/css
AddOutputFilterByType DEFLATE application/xml
AddOutputFilterByType DEFLATE application/xhtml+xml
AddOutputFilterByType DEFLATE application/rss+xml
AddOutputFilterByType DEFLATE application/javascript
AddOutputFilterByType DEFLATE application/x-javascript
</IfModule>

Bloquear bots maliciosos y hotlinking

Bloquear hotlinking (robo de imágenes)

Si otros sitios usan tus imágenes sin permiso, están consumiendo tu ancho de banda. Bloquéalo:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http://(www\.)?tusitio\.com/.*$ [NC]
RewriteRule \.(gif|jpg|jpeg|png|webp)$ - [F,L]

Bloquear bots maliciosos conocidos

Algunos bots rastrean tu web de forma agresiva y consumen recursos. Bloquea los más conocidos:

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (ahrefsbot|mj12bot|semrushbot|dotbot|baiduspider) [NC]
RewriteRule .* - [F,L]

[TIP]
Puedes añadir más nombres de bots separándolos con el símbolo |. Pero ten cuidado: algunos bots "malos" para unos son "buenos" para otros. Investiga antes de bloquear.

Errores comunes y cómo solucionarlos

Error 500 Internal Server Error

El más clásico. Suele deberse a:

Un carácter extra o una línea mal escrita.
Permisos incorrectos del archivo (deben ser 644).
Conflictos entre directivas.

Solución: Sube tu copia de seguridad y vuelve a intentarlo con cambios más pequeños.

Error 404 en todas las páginas

Si todo te da 404, el bloque de WordPress de los enlaces permanentes se ha borrado o está corrupto.

Solución: Ve a Ajustes > Enlaces permanentes y pulsa Guardar cambios sin modificar nada. WordPress regenerará el bloque automáticamente.

Redirecciones infinitas (ERR_TOO_MANY_REDIRECTS)

Suele pasar cuando aplicas la redirección a HTTPS pero tu servidor ya la está haciendo, o cuando tienes reglas contradictorias.

Solución: Revisa que no tengas dos reglas que se redirijan mutuamente. Comenta una de ellas añadiendo # al principio de la línea.

Preguntas frecuentes sobre el .htaccess

¿Puedo eliminar el .htaccess de WordPress?

Puedes, pero perderás los enlaces permanentes, la seguridad y las reglas de SEO. No es recomendable. Si lo eliminas, WordPress lo regenerará al guardar los enlaces permanentes, pero las reglas personalizadas se perderán.

¿Cada cuánto debo revisar mi .htaccess?

No hay una periodicidad fija. Revísalo cuando hagas cambios importantes en tu web: cambios de dominio, de estructura de enlaces, migraciones o instalación de plugins de caché.

¿Los plugins de caché modifican mi .htaccess?

Sí, plugins como W3 Total Cache o WP Super Cache añaden reglas automáticamente. Por eso, si usas varios plugins de este tipo, pueden entrar en conflicto. Es recomendable usar solo uno.

¿Qué hago si mi hosting usa Nginx en lugar de Apache?

Nginx no usa .htaccess. En su lugar, la configuración se hace a nivel de servidor. Consulta con tu proveedor de hosting para saber cómo aplicar estas reglas en Nginx.

¿Puedo usar el .htaccess para bloquear países?

Sí, aunque es más complicado. Necesitas conocer los rangos de IP de cada país. Hay servicios y plugins que lo hacen automáticamente.

¿Es normal que mi .htaccess sea muy largo?

Depende. Si usas muchos plugins de caché y seguridad, es normal que crezca. Pero si es enorme y no recuerdas por qué, revisa si hay reglas duplicadas o innecesarias.

Conclusión: domina tu .htaccess y mejora tu WordPress

El archivo .htaccess de WordPress es una herramienta increíblemente potente. Con solo unas pocas líneas bien puestas, puedes mejorar la seguridad, el SEO y la velocidad de tu sitio. No tengas miedo de experimentar, pero siempre con una copia de seguridad a mano y haciendo cambios de uno en uno.

Recuerda: cada servidor es un mundo, y lo que funciona en uno puede no funcionar en otro. Si algo falla, deshaz el último cambio y busca ayuda específica para tu configuración.

[TIP]
Guarda este artículo en favoritos. La próxima vez que necesites editar el htaccess de WordPress, seguro que vuelves a él. Y si te surge una duda muy concreta, no dudes en preguntar a tu proveedor de hosting. Ellos conocen su servidor mejor que nadie.

Con estas reglas bajo el brazo, ya eres oficialmente una persona que sabe cómo configurar el archivo .htaccess para WordPress. Tu web te lo agradecerá con mejor rendimiento, más seguridad y un SEO más fuerte. ¡Manos a la obra!