Proteger archivos WordPress con .htaccess - Guía de seguridad

¿Por qué es importante proteger archivos sensibles en WordPress con .htaccess?

WordPress es uno de los gestores de contenido más populares del mundo, pero también uno de los más atacados. Por defecto, muchos archivos y directorios de tu instalación contienen información crítica que, si cae en manos equivocadas, puede comprometer tu sitio web. Piensa en archivos como wp-config.php, el directorio wp-admin o la carpeta wp-includes. Estos son el corazón de tu WordPress y, si no los proteges, un atacante podría robar tus credenciales, modificar tu contenido o incluso tomar el control total de tu sitio.

Aquí es donde entra en juego el archivo .htaccess. Este pequeño pero poderoso archivo de configuración, ubicado en la raíz de tu instalación de WordPress, te permite definir reglas de acceso, bloquear direcciones IP, restringir directorios y mucho más. Lo mejor de todo es que no necesitas ser un experto en programación para usarlo. Con unos pocos comandos bien colocados, puedes elevar significativamente la seguridad de tu sitio.

En este artículo, te guiaré paso a paso para que aprendas a proteger archivos sensibles en WordPress usando .htaccess. Hablaremos de cómo bloquear directorios, restringir el acceso a archivos clave y cómo hacerlo todo desde tu panel de control, ya sea cPanel o Syspanel (antes conocido como HestiaCP). Al final, tendrás un sitio mucho más seguro y tú te sentirás más tranquilo.

¿Qué archivos y directorios debes proteger primero?

Antes de lanzarnos a editar el .htaccess, es importante que sepas qué es lo que realmente necesitas proteger. No todos los archivos son igual de críticos. Aquí tienes una lista de los elementos más sensibles de cualquier instalación de WordPress:

wp-config.php: Este archivo contiene las credenciales de tu base de datos, claves de seguridad y prefijos de tablas. Es el santo grial para un atacante.
Directorio wp-admin: Es la puerta de entrada al panel de administración. Si alguien accede sin autorización, puede hacer cualquier cosa en tu sitio.
Directorio wp-includes: Aquí se almacenan los archivos principales del núcleo de WordPress. Modificarlos puede romper tu sitio o abrir vulnerabilidades.
Archivo .htaccess: Sí, el propio archivo que vamos a editar también debe protegerse, ya que contiene las reglas de seguridad.
Archivo wp-config.php.bak o copias de seguridad: A veces los plugins o tú mismo podéis dejar copias de seguridad sin protección en el servidor.

[INFO] No todos los archivos de WordPress son públicos. Algunos, como los de temas y plugins, pueden ser accesibles por diseño, pero los que mencionamos arriba deben estar bajo llave.

Cómo acceder y editar el archivo .htaccess

Para modificar el .htaccess, necesitas acceso a tu servidor. La forma más común es a través del panel de control de tu hosting. Te explico cómo hacerlo tanto en cPanel como en Syspanel.

Acceder desde cPanel

Inicia sesión en tu cPanel (normalmente es tudominio.com/cpanel).
Busca la sección Archivos y haz clic en Administrador de archivos.
Navega hasta la carpeta raíz de tu WordPress (suele ser public_html).
Busca el archivo .htaccess. Si no lo ves, asegúrate de tener activada la opción Mostrar archivos ocultos (un icono de engranaje en la parte superior derecha).
Haz clic derecho sobre el archivo y selecciona Editar. Si no existe, puedes crearlo haciendo clic en + Archivo y nombrándolo .htaccess.

Acceder desde Syspanel (antes HestiaCP)

Abre tu navegador y ve a tudominio.com:2106 (recuerda, el puerto es 2106).
Inicia sesión con tus credenciales de Syspanel.
Ve a la sección Archivos y luego a Administrador de archivos.
Localiza la carpeta raíz de tu sitio (normalmente dentro de public_html).
Busca o crea el archivo .htaccess y edítalo con el editor integrado.

[TIP] Siempre haz una copia de seguridad del archivo .htaccess original antes de editarlo. Si algo sale mal, puedes restaurarlo fácilmente.

Reglas básicas para proteger archivos con .htaccess

Ahora que tienes acceso al archivo, es hora de añadir las reglas de seguridad. Te recomiendo que las agregues al principio del archivo, justo después de las líneas que genera WordPress por defecto (las que empiezan con # BEGIN WordPress y # END WordPress). Si las pones fuera de ese bloque, pueden sobrescribirse al actualizar los enlaces permanentes.

Bloquear el acceso directo a wp-config.php

Este es el archivo más crítico. Con esta regla, cualquier intento de acceder directamente a wp-config.php desde el navegador será rechazado.

<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>

¿Qué hace? Básicamente, le dice al servidor que no permita que nadie vea ese archivo. Ni siquiera tú podrás acceder a él desde el navegador, pero WordPress lo usará internamente sin problemas.

Proteger el directorio wp-admin

El panel de administración debe ser solo para usuarios autorizados. Puedes restringir el acceso por IP o simplemente añadir una capa extra de autenticación. Aquí te muestro cómo bloquear el acceso a todo el directorio excepto para tu IP:

<Directory /ruta/a/wp-admin>
Order Deny,Allow
Deny from all
Allow from 192.168.1.100
</Directory>

Sustituye 192.168.1.100 por tu dirección IP real. Si tu IP cambia (como en conexiones domésticas), esta opción puede ser molesta. En ese caso, mejor usa la autenticación por contraseña (ver más abajo).

Bloquear el acceso al directorio wp-includes

Este directorio contiene archivos que no deberían ser accesibles públicamente. Puedes bloquear todo el directorio excepto los archivos que realmente se necesitan (como los de JavaScript y CSS).

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^wp-includes/(.*)\.php$ - [F,L]
</IfModule>

Esta regla devuelve un error 403 (Prohibido) a cualquiera que intente acceder a un archivo PHP dentro de wp-includes.

Proteger el propio archivo .htaccess

No tendría sentido proteger otros archivos si el propio .htaccess queda expuesto. Añade esto:

<Files .htaccess>
Order Allow,Deny
Deny from all
</Files>

Bloquear el listado de directorios

Por defecto, si alguien escribe la URL de un directorio sin un archivo índice (como index.php), el servidor puede mostrar una lista de todos los archivos. Esto es una mina de oro para los atacantes. Desactívalo con:

Options -Indexes

[WARNING] Si usas un plugin de seguridad como Wordfence o iThemes Security, algunas de estas reglas ya pueden estar incluidas. No las dupliques, ya que podrías causar conflictos.

Cómo bloquear directorios específicos con .htaccess

A veces necesitas proteger directorios adicionales, como carpetas de subidas, logs o backups. Aquí te enseño cómo hacerlo.

Bloquear un directorio completo

Supongamos que tienes una carpeta llamada privado en la raíz de tu WordPress. Para bloquear todo su acceso:

<Directory /ruta/a/privado>
Order Deny,Allow
Deny from all
</Directory>

Bloquear ciertos tipos de archivos dentro de un directorio

Si solo quieres evitar que se ejecuten archivos PHP en la carpeta de subidas (por ejemplo), usa:

<Directory /ruta/a/wp-content/uploads>
<Files *.php>
Deny from all
</Files>
</Directory>

Esto es muy útil para evitar que suban archivos maliciosos a través de formularios.

Usar reglas con RewriteEngine para mayor control

El módulo mod_rewrite es más flexible. Por ejemplo, para redirigir todo el tráfico de un directorio a una página de error:

RewriteEngine On
RewriteRule ^directorio-protegido/ - [F,L]

La F significa "Prohibido" y la L que es la última regla a aplicar.

Autenticación adicional con contraseña (HTTP Basic Auth)

Si quieres una capa extra de seguridad, puedes añadir una contraseña para acceder a un directorio o archivo. Esto es especialmente útil para wp-admin si no quieres depender de tu IP.

Paso 1: Crear el archivo de contraseñas

Necesitas un archivo llamado .htpasswd que contenga el usuario y la contraseña encriptada. Puedes crearlo desde cPanel o Syspanel:

En cPanel: Busca la herramienta Proteger directorios o usa un generador online.
En Syspanel: Ve a Archivos > Administrador de archivos y crea un archivo .htpasswd con el contenido usuario:contraseña_encriptada.

Paso 2: Añadir la regla al .htaccess

Dentro del directorio que quieras proteger, añade:

AuthType Basic
AuthName "Acceso restringido"
AuthUserFile /ruta/completa/a/.htpasswd
Require valid-user

Sustituye /ruta/completa/a/.htpasswd por la ruta absoluta donde guardaste el archivo. Si no sabes la ruta, puedes preguntar a tu hosting o usar pwd en un terminal.

[TIP] Esta autenticación es básica, pero suficiente para la mayoría de los casos. Si necesitas algo más robusto, considera usar certificados SSL o autenticación de dos factores.

Errores comunes y cómo solucionarlos

Al editar el .htaccess, es fácil cometer errores. Aquí tienes los más frecuentes y cómo evitarlos:

Error 500 Internal Server Error: Ocurre cuando hay una sintaxis incorrecta. Revisa que no falten paréntesis, comillas o que las rutas sean correctas. Siempre puedes restaurar la copia de seguridad.
No se aplican los cambios: Asegúrate de que el archivo se llama exactamente .htaccess (con el punto al inicio) y que está en la carpeta correcta. En algunos servidores, los cambios tardan unos minutos en aplicarse.
Bloqueaste tu propio acceso: Si usaste una regla por IP y tu IP cambió, no podrás acceder a wp-admin. En ese caso, accede por FTP o desde el panel de control y elimina temporalmente la regla.
Conflictos con plugins de seguridad: Si ya usas un plugin como Wordfence, desactívalo temporalmente mientras pruebas tus reglas. Luego puedes reactivarlo y ajustar las configuraciones.

[WARNING] No copies y pegues reglas de internet sin entenderlas. Cada servidor es diferente y una regla mal aplicada puede dejar tu sitio inaccesible.

Preguntas frecuentes (FAQ)

¿Puedo proteger archivos sin usar .htaccess?

Sí, puedes usar plugins de seguridad como Wordfence, Sucuri o iThemes Security. Sin embargo, .htaccess es más rápido y no consume recursos del servidor. Además, te da control total.

¿Qué hago si mi hosting no permite modificar .htaccess?

Algunos hostings compartidos restringen el acceso. En ese caso, contacta con el soporte técnico. También puedes usar un archivo web.config si tu servidor es IIS (Windows), pero la mayoría de los sitios WordPress usan Apache o Nginx.

¿Cómo sé si mis reglas funcionan?

Prueba a acceder directamente a los archivos protegidos desde el navegador. Por ejemplo, escribe tudominio.com/wp-config.php. Deberías ver un error 403 o 404. Si ves el contenido, algo está mal.

¿El .htaccess afecta el rendimiento?

Muy poco. Las reglas se evalúan en cada petición, pero el impacto es mínimo. Eso sí, evita añadir cientos de reglas innecesarias.

¿Puedo usar .htaccess para redirigir tráfico?

Sí, es muy común para redirecciones 301, pero ese es otro tema. Enfócate primero en la seguridad.

Conclusión

Proteger archivos sensibles en WordPress con .htaccess es una de las medidas de seguridad más efectivas y sencillas que puedes implementar. No necesitas ser un experto, solo seguir los pasos que te he mostrado. Recuerda siempre hacer una copia de seguridad antes de editar, y prueba cada regla por separado para evitar errores.

Desde bloquear wp-config.php hasta añadir autenticación por contraseña en wp-admin, estas reglas te darán una tranquilidad enorme. Y si usas cPanel o Syspanel (puerto 2106), el proceso es aún más fácil.

No esperes a que tu sitio sea hackeado. Tómate 15 minutos hoy para implementar estas medidas. Tu yo del futuro te lo agradecerá.

[INFO] La seguridad no es un destino, es un proceso continuo. Revisa tu .htaccess periódicamente y mantén tu WordPress, temas y plugins actualizados.