Guía para principiantes de .htaccessHoja de trucos completa, ejemplos y mejores prácticas

.htaccess es un archivo de texto simple que le permite controlar cómo su servidor web maneja las solicitudes. Si bien originalmente fue diseñado para administrar el acceso a directorios, ahora sirve para muchos otros propósitos.

Esta guía no es una inmersión profunda en .htaccess sino más bien una introducción práctica con una colección de fragmentos de código útiles. .htaccess es potente, pero eso no significa que deba usarlo para todo. Comprender cuándo y cómo aplicarlo puede mejorar la seguridad, el rendimiento y la funcionalidad de su sitio web.

Que es .htaccess?

El .htaccess El archivo, abreviatura de “acceso a hipertexto”, es un archivo de configuración que se utiliza principalmente en Apache servidores. Permite a los usuarios controlar permisos de acceso, proteger directorios con contraseña, configurar redirecciones, personalizar páginas de error y bloquear direcciones IP específicas.

Junto con un archivo .htpasswd, permite un control de acceso granular al directorio para múltiples usuarios. Muchos proveedores de alojamiento admiten .htaccess, pero no es universal: algunos servidores web, como Nginx, utilizan métodos diferentes.

Dónde encontrar su .htaccess ¿Archivo?

De forma predeterminada, el .htaccess El archivo está oculto en el Administrador de archivos de cPanel y en otros paneles de control de alojamiento. Puede revelarlo activando la opción “Mostrar archivos ocultos” en la configuración de su administrador de archivos.

Si no puede encontrar el archivo, no se preocupe: es posible que aún no exista. En la mayoría de los casos, debería estar en el directorio raíz de su sitio web, que normalmente se llama public_html o www. Si administra varios sitios web bajo la misma cuenta de alojamiento, es posible que cada sitio tenga su propio .htaccess archivo dentro de su carpeta respectiva.

La mayoría de los archivos del sistema que comienzan con un punto (.) están ocultos. Si su .htaccess El archivo no está visible, verifique la configuración de su alojamiento o cree uno manualmente en un editor de texto.

.htaccess Hoja de trucos y ejemplos de código

Aunque .htaccess Se pueden hacer muchas cosas, pero conocer los comandos correctos es fundamental. Para facilitar las cosas, hemos elaborado una hoja de trucos con los comandos más utilizados. .htaccess reglas. Ya sea que necesites bloquear bots maliciosos, forzar HTTPS, personalizar páginas de error o mejorar el SEO, encontrará fragmentos de código listos para usar a continuación.

Simplemente cópielos, péguelos y modifíquelos para que se ajusten a sus necesidades. ¡Comencemos!

Nota: : Por favor, revise y verifique las reglas antes de usarlas. No nos hacemos responsables de ningún problema que pueda surgir; úselas bajo su propio riesgo. Además, la mayoría de las reglas requieren que RewriteEngine On directiva en su .htaccess archivo para funcionar correctamente.

Reglas de reescritura y redirección

Atiende todas las solicitudes con uno PHP Archivar con .htaccess

RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^([^?]*)$ /index.php [NC,L,QSA]

WordPress .htaccess para enlaces permanentes con .htaccess

(Esta es la única regla en esta sección que incluye la regla RewriteEngine activada).

# BEGIN WordPress
<IfModule mod_rewrite.c>
 RewriteEngine On
 RewriteBase /
 RewriteCond %{REQUEST_FILENAME} !-f
 RewriteCond %{REQUEST_FILENAME} !-d
 RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Forzar www con .htaccess

RewriteEngine on
RewriteCond %{HTTP_HOST} ^example\.com [NC]
RewriteRule ^(.*)$ https://www.example.com/$1 [L,R=301,NC]

Forzar www de forma genérica con .htaccess

RewriteCond %{HTTP_HOST} !^$
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteCond %{HTTPS}s ^on(s)|
RewriteRule ^ http%1://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Forzar el uso de www no válido .htaccess

RewriteEngine on
RewriteCond %{HTTP_HOST} ^www\.example\.com [NC]
RewriteRule ^(.*)$ https://example.com/$1 [L,R=301]

Forzar el uso de www de forma genérica con .htaccess

RewriteEngine on
RewriteCond %{HTTP_HOST} ^www\.
RewriteCond %{HTTPS}s ^on(s)|off
RewriteCond http%1://%{HTTP_HOST} ^(https?://)(www\.)?(.+)$
RewriteRule ^ %1%3%{REQUEST_URI} [R=301,L]

FORCE HTTPS con .htaccess

Utilice esto para redirigir no HTTPS solicitudes a un HTTPS solicitud. Es decir, si vas a https://example.com/, te redireccionará a https://example.com.

RewriteEngine on
RewriteCond %{HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

FORCE HTTPS Detrás de un proxy con .htaccess

Útil si tiene un proxy frente a su servidor que realiza la terminación TLS.

RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

Fuerza el corte final con .htaccess

Utilice lo siguiente .htaccess Regla para redirigir cualquier URL a la misma URL (pero con una barra diagonal final) para cualquier solicitud que no termine con una barra diagonal final. Es decir, redirigir desde https://example.com/your-page a https://example.com/your-page/

RewriteCond %{REQUEST_URI} /+[^\.]+$
RewriteRule ^(.+[^/])$ %{REQUEST_URI}/ [R=301,L]

Eliminar la barra diagonal final con .htaccess

Use esto para eliminar cualquier barra diagonal final (redireccionará 301 a la URL que no tiene barra diagonal final)

RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)/$ /$1 [R=301,L]

Redirigir una sola página con .htaccess

Redirigir una única URL a una nueva ubicación

Redirect 301 /oldpage.html https://www.yoursite.com/newpage.html
Redirect 301 /oldpage2.html https://www.yoursite.com/folder/

Alias ​​de un directorio único con .htaccess

RewriteEngine On
RewriteRule ^source-directory/(.*) target-directory/$1

Rutas de alias para crear secuencias de comandos .htaccess

RewriteEngine On
RewriteRule ^$ index.fcgi/ [QSA,L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ index.fcgi/$1 [QSA,L]

Este ejemplo tiene una index.fcgi archivo en algún directorio, y cualquier solicitud dentro de ese directorio que no pueda resolver un nombre de archivo/directorio se enviará al index.fcgi guión. Es bueno si quieres baz.foo/some/cool/path ser manejado por baz.foo/index.fcgi (que también admite solicitudes a baz.foo) manteniendo baz.foo/css/style.css y similares.

Redirigir un sitio completo con .htaccess

Use la siguiente .htaccess Regla para redirigir un sitio completo a una nueva ubicación/dominio

Redirect 301 / https://newsite.com/

De esta manera se hace con los enlaces intactos. Es decir www.oldsite.com/some/crazy/link.html se convertirá www.newsite.com/some/crazy/link.htmlEsto es extremadamente útil cuando simplemente estás “trasladando” un sitio a un nuevo dominio.

Alias ​​URL "limpias" con .htaccess

Este fragmento le permite utilizar "URL limpias", es decir, aquellas sin una PHP extensión, p. ej. example.com/users en lugar de example.com/users.php.

RewriteEngine On
RewriteCond %{SCRIPT_FILENAME} !-d
RewriteRule ^([^.]+)$ $1.php [NC,L]

Reglas de seguridad

Denegar todo acceso con .htaccess

Si desea evitar que Apache entregue cualquier archivo, utilice lo siguiente.

Esto le impedirá acceder a su sitio web. Si desea denegar todo acceso pero aún así poder verlo usted mismo, lea la siguiente regla:

Deny from all

Denegar todo acceso excepto el suyo (permitir solo ciertas IP) con .htaccess

Utilice esto para permitir que solo ciertas direcciones IP accedan a su sitio web.

# Require all denied
# Require ip xxx.xxx.xxx.xxx

xxx.xxx.xxx.xxx es tu IP. Si reemplazas los últimos tres dígitos por 0/12, por ejemplo, esto especificará un rango de IP dentro de la misma red, lo que te ahorrará el problema de tener que enumerar todas las IP permitidas por separado.

¡Consulte la siguiente regla para ver lo "opuesto" de esta regla!

Bloquear dirección IP con .htaccess

Esto permitirá el acceso a todas las direcciones IP excepto las que se enumeran. Puede utilizar esta opción para permitir el acceso a todas las direcciones IP excepto las de los remitentes de correo basura.

Reemplace xxx.xxx.xxx.xxx y xxx.xxx.xxx.xxy con las direcciones IP que desea bloquear.

Apache 2.4

# Require all granted
# Require not ip xxx.xxx.xxx.xxx
# Require not ip xxx.xxx.xxx.xxy

Permitir acceso sólo desde LAN con .htaccess

order deny,allow
deny from all
allow from 192.168.0.0/24

Denegar el acceso a determinados agentes de usuario (bots) con .htaccess

Use .htaccess Regla para bloquear/prohibir ciertos agentes de usuario

RewriteCond %{HTTP_USER_AGENT} ^User\ Agent\ 1 [OR]
RewriteCond %{HTTP_USER_AGENT} ^Another\ Bot\ You\ Want\ To\ Block [OR]
RewriteCond %{HTTP_USER_AGENT} ^Another\ UA
RewriteRule ^.* - [F,L]

Denegar el acceso a archivos y directorios ocultos con .htaccess

Archivos y directorios ocultos (aquellos cuyos nombres comienzan con un punto) .) debería estar protegido la mayor parte del tiempo, si no todo el tiempo. Por ejemplo: .htaccess, .htpasswd, .git, .hg.

RewriteCond %{SCRIPT_FILENAME} -d [OR]
RewriteCond %{SCRIPT_FILENAME} -f
RewriteRule "(^|/)\." - [F]

Alternativamente, puedes simplemente levantar un Not Found Error, sin darle ninguna pista al atacante:

RedirectMatch 404 /\..*$

Denegar el acceso a determinados archivos con .htaccess

Utilice esto para bloquear o denegar el acceso a ciertos archivos.

<files your-file-name.txt>
order allow,deny
deny from all
</files>

Denegar el acceso a los archivos de origen y de copia de seguridad con .htaccess

Estos archivos pueden ser dejados por algunos editores de texto/html (como Vi/Vim) y representan un gran peligro para la seguridad, cuando cualquiera puede acceder a ellos.

<FilesMatch "(\.(bak|config|dist|fla|inc|ini|log|psd|sh|sql|swp)|~)$">
    ## Apache 2.2
    Order allow,deny
    Deny from all
    Satisfy All

    ## Apache 2.4
    # Require all denied
</FilesMatch>

Deshabilitar la exploración de directorios con .htaccess

Options All -Indexes

Habilitar listados de directorios con .htaccess

Options All +Indexes

Deshabilitar el listado de ciertos tipos de archivos con .htaccess

Utilice esto para excluir ciertos tipos de archivos de ser incluidos en la lista. Apache Listado de directorios. Puedes usar esto para evitar que aparezcan archivos .pdf o archivos de video.

IndexIgnore *.zip *.mp4 *.pdf

Deshabilitar el enlace directo de imágenes con .htaccess

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yourdomain.com [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ - [NC,F,L]

Redirigir los enlaces directos y mostrar una imagen diferente con .htaccess

RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https://(www\.)?your-website.com/.*$ [NC]
RewriteRule \.(gif|jpg|png)$ https://www.your-website.com/do-not-hotlink-our-content.jpg [R,L]

Denegar el acceso a determinados referentes con .htaccess

Utilice esta regla para bloquear el acceso a solicitudes que incluyan un referente de un dominio determinado.

RewriteCond %{HTTP_REFERER} block-this-referer\.com [NC,OR]
RewriteCond %{HTTP_REFERER} and-block-traffic-that-this-site-sends\.com [NC]
RewriteRule .* - [F]

Proteger con contraseña un directorio con .htaccess

Primero, debe crear un archivo .htpasswd en algún lugar del sistema. Ejecute el siguiente comando en la línea de comandos:

htpasswd -c /home/hidden/directory/here/.htpasswd the_username

Luego puedes usarlo para la autenticación. En tu .htaccess Para crear el archivo, necesitas algo como el código siguiente, pero asegúrate de que AuthUserFile sea la ruta del archivo .htpasswd que acabas de crear. Debes mantener el .htpasswd en un directorio al que no se pueda acceder a través de la web. Por lo tanto, no lo coloques en tu directorio /public_html/ o /www/.

AuthType Basic
AuthName "Password Protected Dir Title"
AuthUserFile /home/hidden/directory/here/.htpasswd
Require valid-user

Proteger con contraseña un archivo o varios archivos con .htaccess

AuthName "Password Protected Directory Title"
AuthType Basic
AuthUserFile /home/hidden/directory/here/.htpasswd

<Files "/a-private-file.txt">
Require valid-user
</Files>

<FilesMatch ^((one|two|three)-rings?\.o)$>
Require valid-user
</FilesMatch>

Reglas de desempeño

Comprimir archivos de texto con .htaccess

<IfModule mod_deflate.c>

        # Force compression for mangled headers.
        # https://developer.yahoo.com/blogs/ydn/posts/2010/12/pushing-beyond-gzipping
        <IfModule mod_setenvif.c>
                <IfModule mod_headers.c>
                        SetEnvIfNoCase ^(Accept-EncodXng|X-cept-Encoding|X{15}|~{15}|-{15})$ ^((gzip|deflate)\s*,?\s*)+|[X~-]{4,13}$ HAVE_Accept-Encoding
                        RequestHeader append Accept-Encoding "gzip,deflate" env=HAVE_Accept-Encoding
                </IfModule>
        </IfModule>

        # Compress all output labeled with one of the following MIME-types
        # (for Apache versions below 2.3.7, you don't need to enable `mod_filter`
        #    and can remove the `<IfModule mod_filter.c>` and `</IfModule>` lines
        #    as `AddOutputFilterByType` is still in the core directives).
        <IfModule mod_filter.c>
            AddOutputFilterByType DEFLATE application/atom+xml \
              application/javascript \
              application/json \
              application/rss+xml \
              application/vnd.ms-fontobject \
              application/x-font-ttf \
              application/x-web-app-manifest+json \
              application/xhtml+xml \
              application/xml \
              font/opentype \
              image/svg+xml \
              image/x-icon \
              text/css \
              text/html \
              text/plain \
              text/x-component \
              text/xml
        </IfModule>

</IfModule>

Establecer encabezados de vencimiento con .htaccess

Expires headers Indica al navegador si debe solicitar un archivo específico del servidor o simplemente obtenerlo del caché. Es recomendable configurar los encabezados de vencimiento del contenido estático para una fecha lejana en el futuro.

Si no controla el control de versiones con la eliminación de caché basada en nombres de archivo, considere reducir el tiempo de caché para recursos como CSS y JS a algo así como 1 semana.

<IfModule mod_expires.c>
        ExpiresActive on
        ExpiresDefault                                    "access plus 1 month"

    # CSS
        ExpiresByType text/css                            "access plus 1 year"

    # Data interchange
        ExpiresByType application/json                    "access plus 0 seconds"
        ExpiresByType application/xml                     "access plus 0 seconds"
        ExpiresByType text/xml                            "access plus 0 seconds"

    # Favicon (cannot be renamed!)
        ExpiresByType image/x-icon                        "access plus 1 week"

    # HTML components (HTCs)
        ExpiresByType text/x-component                    "access plus 1 month"

    # HTML
        ExpiresByType text/html                           "access plus 0 seconds"

    # JavaScript
        ExpiresByType application/javascript              "access plus 1 year"

    # Manifest files
        ExpiresByType application/x-web-app-manifest+json "access plus 0 seconds"
        ExpiresByType text/cache-manifest                 "access plus 0 seconds"

    # Media
        ExpiresByType audio/ogg                           "access plus 1 month"
        ExpiresByType image/gif                           "access plus 1 month"
        ExpiresByType image/jpeg                          "access plus 1 month"
        ExpiresByType image/png                           "access plus 1 month"
        ExpiresByType video/mp4                           "access plus 1 month"
        ExpiresByType video/ogg                           "access plus 1 month"
        ExpiresByType video/webm                          "access plus 1 month"

    # Web feeds
        ExpiresByType application/atom+xml                "access plus 1 hour"
        ExpiresByType application/rss+xml                 "access plus 1 hour"

    # Web fonts
        ExpiresByType application/font-woff2              "access plus 1 month"
        ExpiresByType application/font-woff               "access plus 1 month"
        ExpiresByType application/vnd.ms-fontobject       "access plus 1 month"
        ExpiresByType application/x-font-ttf              "access plus 1 month"
        ExpiresByType font/opentype                       "access plus 1 month"
        ExpiresByType image/svg+xml                       "access plus 1 month"
</IfModule>

Desactivar eTags con .htaccess

Al eliminar el encabezado ETag, deshabilita los cachés y los navegadores para validar archivos, por lo que se ven obligados a confiar en el encabezado Cache-Control y Expires.

<IfModule mod_headers.c>
        Header unset ETag
</IfModule>
FileETag None

Limite el tamaño de archivo de carga con .htaccess

Coloque el tamaño del archivo en bytes. El código siguiente lo limita a 1 MB.

LimitRequestBody 1048576

Reglas varias

Variables del servidor para mod_rewrite con .htaccess

%{API_VERSION}
%{DOCUMENT_ROOT}
%{HTTP_ACCEPT}
%{HTTP_COOKIE}
%{HTTP_FORWARDED}
%{HTTP_HOST}
%{HTTP_PROXY_CONNECTION}
%{HTTP_REFERER}
%{HTTP_USER_AGENT}
%{HTTPS}
%{IS_SUBREQ}
%{REQUEST_FILENAME}
%{REQUEST_URI}
%{SERVER_ADDR}
%{SERVER_ADMIN}
%{SERVER_NAME}
%{SERVER_PORT}
%{SERVER_PROTOCOL}
%{SERVER_SOFTWARE}
%{THE_REQUEST}

Establecer PHP Variables con .htaccess

php_value <key> <val>

Por ejemplo:

php_value upload_max_filesize 50M
php_value max_execution_time 240

Páginas de error personalizadas con .htaccess

ErrorDocument 500 "Houston, we have a problem."
ErrorDocument 401 https://error.yourdomain.com/mordor.html
ErrorDocument 404 /errors/halflife3.html

Redirecciona a los usuarios a una página de mantenimiento mientras actualizas con .htaccess

Esto redireccionará a los usuarios a una página de mantenimiento, pero les permitirá el acceso a su dirección IP. Cambie 555.555.555.555 por su IP y YourMaintenancePageFilenameOrFullUrlUrl.html por su página de error (o una URL completa, en un dominio diferente).

ErrorDocument 403 YourMaintenancePageFilenameOrFullUrlUrl.html
Order deny,allow
Deny from all
Allow from 555.555.555.555

Forzar la descarga con .htaccess

A veces, es posible que desees obligar al navegador a descargar algún contenido en lugar de mostrarlo. El siguiente fragmento te resultará útil.

<Files *.md>
        ForceType application/octet-stream
        Header set Content-Disposition attachment
</Files>

Deshabilitar la visualización de información del servidor (firma del servidor) con .htaccess

Si bien muchas personas consideran que esto no tiene sentido (especialmente en lo que respecta a la seguridad), si desea evitar que su servidor revele información del servidor (el sistema operativo del servidor, etc.), use esto:

ServerSignature Off

Evitar la descarga con .htaccess

A veces, es posible que desees obligar al navegador a mostrar algún contenido en lugar de descargarlo. El siguiente fragmento te resultará útil.

<FilesMatch "\.(tex|log|aux)$">
        Header set Content-Type text/plain
</FilesMatch>

Permitir fuentes entre dominios con .htaccess

CDNEs posible que las fuentes web alojadas en el servidor no funcionen en Firefox o IE debido a CROS. El siguiente fragmento de alrra debería solucionarlo.

<IfModule mod_headers.c>
        <FilesMatch "\.(eot|otf|ttc|ttf|woff|woff2)$">
                Header set Access-Control-Allow-Origin "*"
        </FilesMatch>
</IfModule>

Codificación automática UTF-8 con .htaccess

tener Apache Para codificar automáticamente su contenido en UTF-8, utilice el código siguiente. También puede cambiar el UTF-8 por otro conjunto de caracteres si es necesario:

# Use UTF-8 encoding for anything served text/plain or text/html
AddDefaultCharset utf-8

# Force UTF-8 for a number of file formats
AddCharset utf-8 .atom .css .js .json .rss .vtt .xml

Establezca la zona horaria del servidor (UTC u otra zona horaria) con .htaccess

SetEnv TZ UTC

Vea una lista de zonas horarias. Para configurar la zona horaria de Los Ángeles:

SetEnv TZ America/Los_Angeles

Cambiar a otro PHP Versión con .htaccess

Si estás en un host compartido, es probable que haya más de una versión de PHP instalado y, a veces, desea una versión específica para su sitio web. Por ejemplo, requiere PHP >= 5.4. El siguiente fragmento debería cambiar el PHP versión para ti.

AddHandler application/x-httpd-php55 .php

Alternativamente, puede utilizar AddType

AddType application/x-httpd-php55 .php

Deshabilitar la vista de compatibilidad de Internet Explorer

La Vista de compatibilidad en IE puede afectar la visualización de algunos sitios web. El siguiente fragmento debería obligar a IE a usar Edge. Rendering Engine y deshabilitar la Vista de compatibilidad.

<IfModule mod_headers.c>
    BrowserMatch MSIE is-msie
    Header set X-UA-Compatible IE=edge env=is-msie
</IfModule>

Implementación PHP con una extensión de archivo diferente con .htaccess

El siguiente código ejecutará archivos que terminen en .ext con php:

AddType application/x-httpd-php .ext

Servir imágenes WebP automáticamente si existen

Si se admiten imágenes WebP y se encuentra una imagen con una extensión .webp y el mismo nombre en el mismo lugar que la imagen jpg/png que se va a servir, se sirve la imagen WebP en su lugar.

RewriteEngine On
RewriteCond %{HTTP_ACCEPT} image/webp
RewriteCond %{DOCUMENT_ROOT}/$1.webp -f
RewriteRule (.+)\.(jpe?g|png)$ $1.webp [T=image/webp,E=accept:1]

---

Resumen

El .htaccess El archivo es una herramienta poderosa, pero es importante utilizarla con prudencia. Si bien puede resultar tentador agregar reglas adicionales para soluciones rápidas, recuerde que .htaccess No es un archivo de configuración principal.

Cada vez que un servidor encuentra un .htaccess archivo, debe leerlo y ejecutarlo, anulando la configuración principal. Este proceso consume recursos y puede ralentizar su sitio web, especialmente si se usa demasiado. Siempre que sea posible, aplique las configuraciones directamente a nivel de servidor (por ejemplo, en Apache(archivo de configuración principal de ) para un mejor rendimiento.

Mediante el uso de .htaccess de manera eficiente y combinándolo con un plan de hosting bien optimizado – puede mejorar la seguridad, el rendimiento y la escalabilidad de su sitio web

Preguntas frecuentes