Mejor .htaccess para aumentar la seguridad de Wordpress

Indice del contenido

El archivo .htaccess es un archivo de configuración utilizado por el servidor web Apache.

El archivo .htaccess es un archivo de texto plano que se coloca en la raíz de tu sitio web y contiene instrucciones que el servidor utiliza para manejar las solicitudes de los usuarios que visitan nuestro WordPress.

El archivo .htaccess es una herramienta muy poderosa que permite a los administradores de sitios web controlar y personalizar el comportamiento del servidor web, aumentar la seguridad, restringir accesos, proteger carpetas y mucho más.

Uno de los usos más comunes del archivo .htaccess en WordPress es la configuración de reglas de reescritura de URL, que permiten a los administradores crear URL amigables para los visitantes del sitio. Además, también se utiliza para controlar el acceso al sitio, establecer encabezados de seguridad, proteger archivos críticos, entre otras cosas.

En el caso de un sitio web WordPress, el archivo .htaccess puede utilizarse para aumentar la seguridad del sitio. Por ejemplo, puedes utilizarlo para bloquear el acceso a ciertas carpetas y archivos críticos, como la carpeta de inclusión de administrador y el archivo de configuración de la base de datos. También puedes utilizarlo para proteger el sitio de ataques de inyección de código y para forzar la conexión segura HTTPS.

Este es el mejor .htaccess para WordPress.

# Bloquear los archivos de includes.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

# Desactivar la exploración de directorios
Options All -Indexes

# Proteger wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>

# Proteger .htaccess
<files .htaccess>
order allow,deny
deny from all
</files>

# Protección contra ataques XSS
<IfModule mod_headers.c>
Header set X-XSS-Protection "1; mode=block"
</IfModule>

# Protección contra MIME-sniffing
<IfModule mod_headers.c>
Header set X-Content-Type-Options: "nosniff"
</IfModule>

# Forzar SSL
#RewriteEngine On
#RewriteCond %{HTTPS} off
#RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Descripción de cada sección del código .htaccess usado para proteger WordPress.

<IfModule mod_rewrite.c> y </IfModule>: Estas etiquetas indican que las siguientes líneas de código sólo deben ejecutarse si el módulo mod_rewrite de Apache está habilitado.
RewriteEngine On: Habilitar el motor de reescritura de URL de Apache, necesario para usar reglas de reescritura.
RewriteBase /: Establece la base para las reglas de reescritura.
RewriteRule ^wp-admin/includes/ - [F,L]: Bloquea el acceso a cualquier archivo dentro de la carpeta wp-admin/includes.
RewriteRule !^wp-includes/ - [S=3]: Esta regla indica que no se deben aplicar las siguientes tres reglas a la carpeta wp-includes.
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]: Bloquea el acceso a cualquier archivo PHP dentro de la carpeta wp-includes, excepto a los que están dentro de subcarpetas.
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]: Bloquea el acceso a cualquier archivo PHP dentro de la carpeta wp-includes/js/tinymce/langs.
RewriteRule ^wp-includes/theme-compat/ - [F,L]: Bloquea el acceso a cualquier archivo dentro de la carpeta wp-includes/theme-compat.
Options All -Indexes : Deshabilita la lista de directorios de Apache. Esto significa que si alguien intenta acceder a un directorio en lugar de un archivo en tu sitio web, verá un error 403 (prohibido) en lugar de la lista de archivos en ese directorio.
<files wp-config.php> and </files>: Este bloque protege el archivo wp-config.php, que contiene información importante sobre la configuración de tu sitio web, incluyendo las credenciales de la base de datos.
<files .htaccess> and </files>: Este bloque protege el propio archivo .htaccess de ser accedido por navegadores web.
<IfModule mod_headers.c> and </IfModule>: Estas etiquetas indican que las siguientes líneas de código sólo deben ejecutarse si el módulo mod_headers de Apache está habilitado.
Header set X-XSS-Protection "1; mode=block":

Advertencia y recomendaciones sobre cambios en el .htaccess

Es importante que sepas que cualquier cambio en el archivo .htaccess debe ser realizado con precaución, ya que cualquier error de sintaxis puede causar problemas en el funcionamiento del sitio. Por esta razón, te recomiendo hacer una copia de seguridad del archivo antes de realizar cambios, eso lo puedes hacer simplemente duplicando el archivo antes de editarlo.