Seguridad con .htaccess: proteger WordPress y sitios en Apache

¿Qué es el archivo .htaccess y por qué es tan importante?

El archivo .htaccess (cuyo nombre significa hypertext access) es un archivo de configuración a nivel de directorio que utilizan los servidores web Apache, que son los que alojan la gran mayoría de sitios web en el mundo. Piensa en él como un manual de instrucciones que le dices a tu servidor: "cuando alguien entre a esta carpeta, haz esto, deniega aquello o redirige hacia allá".

Su mayor ventaja es que no necesitas ser un administrador de sistemas para usarlo. Puedes crear, editar y subir este archivo desde tu panel de control (como Syspanel, al que accedes por el puerto 2106) o incluso desde un gestor de archivos como el de WordPress. Es un archivo de texto plano, así que puedes editarlo con cualquier editor, como el Bloc de notas o Visual Studio Code.

Ahora bien, ¿por qué es tan relevante para la seguridad .htaccess? Porque te permite implementar reglas de protección sin tocar el código fuente de tu sitio. Bloquear IPs maliciosas, proteger directorios sensibles, desactivar la ejecución de scripts peligrosos o prevenir el hotlinking (robo de ancho de banda) son solo algunas de sus funciones. Es tu primera línea de defensa a nivel de servidor.

¿Dónde se encuentra el archivo .htaccess?

Por defecto, el archivo .htaccess suele estar en la raíz de tu sitio web, es decir, en la carpeta pública (normalmente llamada public_html o www). Sin embargo, puedes tener varios archivos .htaccess en diferentes subcarpetas, y cada uno aplicará sus reglas solo a esa carpeta y a sus subcarpetas.

Si no lo ves, puede estar oculto. En la mayoría de los gestores de archivos, como el de Syspanel, debes activar la opción "Mostrar archivos ocultos" (a veces es un icono de engranaje o un check). También puedes crearlo desde cero con un simple archivo de texto llamado exactamente .htaccess (sin nombre antes del punto).

Reglas básicas de seguridad .htaccess que puedes aplicar hoy

Vamos a lo práctico. Aquí tienes una serie de reglas que puedes ir añadiendo a tu archivo .htaccess. IMPORTANTE: haz siempre una copia de seguridad del archivo original antes de modificarlo. Un error de sintaxis puede tirar tu web.

1. Bloquear IP .htaccess: Cómo vetar visitantes no deseados

Una de las funciones más demandadas es bloquear IP .htaccess. Si notas tráfico sospechoso, bots maliciosos o ataques de fuerza bruta, puedes bloquear esas direcciones IP de forma permanente.

Añade este bloque al final de tu archivo:

<RequireAll>
    Require all granted
    Require not ip 123.456.789.000
    Require not ip 111.222.333.444
</RequireAll>

Otra forma clásica (aunque más antigua) es usar Deny from:

Order Allow,Deny
Deny from 123.456.789.000
Deny from 111.222.333.444
Allow from all

[TIP] Para bloquear un rango completo, puedes usar comodines, por ejemplo: Deny from 123.456. (bloquearía toda la subred 123.456.x.x). Úsalo con cuidado para no vetar a usuarios legítimos.

2. Proteger directorio con contraseña

¿Tienes una carpeta de administración, un área privada o estadísticas que no quieres que cualquiera vea? Puedes proteger directorio con una contraseña a nivel de servidor, sin necesidad de plugins.

Primero, necesitas crear un archivo llamado .htpasswd (también oculto) donde se guardarán los usuarios y contraseñas cifradas. Puedes generarlo en herramientas online o con el comando htpasswd -c /ruta/.htpasswd usuario en tu terminal.

Luego, en el .htaccess de esa carpeta, añade:

AuthType Basic
AuthName "Zona Restringida"
AuthUserFile /ruta/absoluta/hasta/.htpasswd
Require valid-user

[WARNING] La ruta en AuthUserFile debe ser absoluta, no relativa. Puedes encontrarla fácilmente desde el gestor de archivos de Syspanel (te muestra la ruta completa del directorio). Si pones una ruta incorrecta, el servidor dará error 500.

3. Desactivar la ejecución de scripts en carpetas de carga

Una de las vulnerabilidades más explotadas en WordPress .htaccess es la subida de archivos maliciosos (como shells PHP) a través de la librería de medios. Para evitar que se ejecuten, puedes desactivar la ejecución de PHP en esas carpetas.

Crea un .htaccess dentro de /wp-content/uploads/ con este contenido:

<FilesMatch "\.(?i:php|php5|phtml|pht|phar)$">
    Require all denied
</FilesMatch>

Esto deniega el acceso a cualquier archivo con esas extensiones dentro de la carpeta de subidas. Así, aunque un atacante suba un archivo malicioso, no podrá ejecutarlo.

4. Prevenir el hotlinking o robo de imágenes

El hotlinking ocurre cuando otros sitios web enlazan directamente las imágenes de tu servidor, consumiendo tu ancho de banda sin permiso. Puedes bloquearlo fácilmente:

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https://(www\.)?tudominio.com/ [NC]
RewriteRule \.(jpg|jpeg|png|gif|webp)$ - [F,NC]

Sustituye tudominio.com por tu dominio real. Esta regla devuelve un error "Forbidden" (403) a cualquier web que intente mostrar tus imágenes sin permiso.

5. Proteger el archivo wp-config.php (específico de WordPress)

Si usas WordPress, el archivo wp-config.php contiene las credenciales de tu base de datos. Es un objetivo crítico. Puedes protegerlo con esta regla:

<Files wp-config.php>
    Order Allow,Deny
    Deny from all
</Files>

Esta regla deniega el acceso directo a este archivo, incluso si alguien adivina la URL.

6. Limitar el tamaño de las peticiones para evitar ataques DoS

Puedes limitar el tamaño de las solicitudes que acepta tu servidor para evitar ataques de denegación de servicio (DoS) o subidas de archivos demasiado grandes.

LimitRequestBody 10485760

Este número está en bytes. En este caso, 10 MB. Ajusta el valor según las necesidades de tu sitio.

Configuración avanzada: Cabeceras de seguridad y compresión

Más allá de bloquear, puedes mejorar la seguridad y el rendimiento con cabeceras HTTP.

Cabeceras de seguridad

<IfModule mod_headers.c>
    Header set X-Content-Type-Options "nosniff"
    Header set X-Frame-Options "SAMEORIGIN"
    Header set X-XSS-Protection "1; mode=block"
    Header set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Estas cabeceras le dicen al navegador cómo comportarse ante ciertos riesgos (clickjacking, XSS, etc.). Son un estándar de buena práctica en seguridad .htaccess.

Compresión GZIP

Aunque no es estrictamente seguridad, un sitio más rápido es más difícil de tumbar. La compresión reduce el peso de las páginas:

<IfModule mod_deflate.c>
    AddOutputFilterByType DEFLATE text/html text/plain text/xml text/css text/javascript application/javascript application/json
</IfModule>

Errores comunes y cómo evitarlos

Error 500 Internal Server Error

El error más habitual. Suele ser por un error de sintaxis en el .htaccess. Si te pasa, no entres en pánico. Simplemente descarga el archivo, revísalo línea por línea (a veces una coma o una barra de más lo rompe) o restaura la copia de seguridad que guardaste antes.

[WARNING] Si no tienes acceso al panel porque el error afecta a todo el sitio, puedes conectarte por FTP (FileZilla) y renombrar el archivo .htaccess a .htaccess.bak. El servidor lo ignorará y tu web volverá a funcionar.

Reglas que no se aplican

A veces añades una regla y no hace nada. Las causas suelen ser:

Módulos de Apache no activados: Algunas directivas requieren módulos como mod_rewrite o mod_headers. Si no están activos, no funcionarán. En Syspanel puedes verificar y activar módulos de Apache en la sección de configuración del servidor.
Reglas en conflicto: Si tienes plugins de seguridad o caché en WordPress, pueden sobrescribir o añadir reglas que entren en conflicto con las tuyas.

Confundir rutas relativas y absolutas

Recuerda: en directivas como AuthUserFile, necesitas la ruta absoluta del servidor, no la URL. Por ejemplo, algo como /home/usuario/public_html/.htpasswd. Si no estás seguro, crea un archivo PHP temporal con <?php echo __DIR__; ?> para ver la ruta absoluta, o consulta el gestor de archivos de Syspanel.

Preguntas frecuentes (FAQ) sobre el archivo .htaccess

¿Puedo usar .htaccess en cualquier hosting?

No. Solo funciona en servidores Apache o LiteSpeed (que es compatible). Si tu hosting usa Nginx (muy común en servidores modernos), el .htaccess no se aplicará. En ese caso, necesitas usar los archivos de configuración de Nginx, aunque muchos paneles como Syspanel permiten configurar reglas equivalentes desde su interfaz.

¿Cada cuánto debo revisar mi .htaccess?

Es buena práctica revisarlo cada vez que instales un plugin de seguridad o realices cambios importantes en tu web. También tras un ataque o intento de intrusión.

¿Puedo bloquear un país completo con .htaccess?

Sí, pero no es trivial. Requiere listas de IPs de cada país (que cambian constantemente) y puede ralentizar tu servidor. Es mejor usar un firewall a nivel de aplicación o un servicio CDN como Cloudflare.

¿Qué hago si mi web da error 500 después de editar el .htaccess?

Sigue los pasos del punto anterior: renombra el archivo por FTP para restaurar el acceso y luego revisa la sintaxis. No edites el archivo directamente en el servidor online; descárgalo, edítalo en local y súbelo de nuevo.

¿Es necesario tener conocimientos avanzados para usar .htaccess?

No, con las reglas que te he mostrado aquí puedes mejorar mucho la seguridad sin ser un experto. Eso sí, ve probando una regla a la vez y siempre con copia de seguridad.

Conclusión: El .htaccess es tu aliado invisible

El archivo .htaccess es una herramienta extremadamente potente que, bien usada, puede blindar tu sitio web contra muchas amenazas comunes. No requiere conocimientos de programación, solo un poco de método y paciencia.

Empieza poco a poco: primero bloquea una IP sospechosa, luego protege tu carpeta de administración y, cuando te sientas cómodo, implementa las cabeceras de seguridad y la protección de archivos críticos. Recuerda siempre hacer una copia de seguridad antes de cada cambio y, si algo falla, no dudes en renombrar el archivo para recuperar el acceso.

[INFO] Si tu web está alojada en un servidor gestionado por Syspanel, recuerda que puedes acceder a su panel de control a través del puerto 2106 para gestionar archivos, ver logs de errores y activar módulos de Apache. Es la forma más cómoda de administrar tu hosting sin necesidad de saber comandos avanzados.

La seguridad web no es un destino, sino un proceso continuo. El .htaccess es una pieza clave de ese proceso, y ahora ya sabes cómo aprovecharlo al máximo. ¡Manos a la obra y a proteger tu sitio!