Guida per principianti a .htaccess: Promemoria completo, esempi e migliori pratiche

.htaccess è un semplice file di testo che consente di controllare il modo in cui il server web gestisce le richieste. Sebbene originariamente progettato per gestire l'accesso alle directory, ora serve a molti altri scopi.

Questa guida non è un'immersione profonda in .htaccess ma piuttosto un'introduzione pratica con una raccolta di utili frammenti di codice. Mentre .htaccess È potente, ma questo non significa che dovresti usarlo per tutto. Capire quando e come applicarlo può migliorare la sicurezza, le prestazioni e la funzionalità del tuo sito web.

Cosa è .htaccess?

Migliori .htaccess file, abbreviazione di "accesso ipertestuale", è un file di configurazione utilizzato principalmente su Apache server. Consente agli utenti di controllare i permessi di accesso, proteggere le directory con password, impostare reindirizzamenti, personalizzare le pagine di errore e bloccare specifici indirizzi IP.

In abbinamento a un file .htpasswd, consente un controllo granulare dell'accesso alle directory per più utenti. Molti provider di hosting supportano .htaccess, ma non è universale: alcuni server web, come Nginx, utilizzano metodi diversi.

Dove trovare il tuo .htaccess File?

Per impostazione predefinita, il .htaccess Il file è nascosto nel File Manager di cPanel e in altri pannelli di controllo hosting. Puoi visualizzarlo abilitando l'opzione "Mostra file nascosti" nelle impostazioni del tuo file manager.

Se non riesci a trovare il file, niente panico: potrebbe non esistere ancora. Nella maggior parte dei casi, dovrebbe trovarsi nella directory principale del tuo sito web, in genere denominata public_html o www. Se gestisci più siti web con lo stesso account di hosting, ogni sito potrebbe avere il proprio .htaccess file all'interno della rispettiva cartella.

La maggior parte dei file di sistema che iniziano con un punto (.) sono nascosti. Se il tuo .htaccess il file non è visibile, controlla le impostazioni di hosting o creane uno manualmente in un editor di testo.

.htaccess Promemoria e esempi di codice

Mentre .htaccess può fare molto, conoscere i comandi giusti è fondamentale. Per semplificare le cose, abbiamo compilato un promemoria con i comandi più comunemente usati. .htaccess regole. Che tu abbia bisogno di bloccare i bot dannosi, forzare HTTPS, personalizzare le pagine di errore o migliorare la SEO, qui sotto troverai frammenti di codice pronti all'uso.

Basta copiarli, incollarli e modificarli in base alle proprie esigenze. Iniziamo!

Note:: Si prega di ricontrollare e verificare le regole prima di utilizzarle. Non siamo responsabili per eventuali problemi che potrebbero sorgere: utilizzatele a vostro rischio e pericolo. Inoltre, la maggior parte delle regole richiede RewriteEngine On direttiva nel tuo .htaccess affinché il file funzioni correttamente.

Regole di riscrittura e reindirizzamento

Soddisfa tutte le richieste con uno PHP File con .htaccess

RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^([^?]*)$ /index.php [NC,L,QSA]

WordPress .htaccess per i permalink con .htaccess

(Questa è l'unica regola in questa sezione che include la regola RewriteEngine.)

# BEGIN WordPress
<IfModule mod_rewrite.c>
 RewriteEngine On
 RewriteBase /
 RewriteCond %{REQUEST_FILENAME} !-f
 RewriteCond %{REQUEST_FILENAME} !-d
 RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Forza www con .htaccess

RewriteEngine on
RewriteCond %{HTTP_HOST} ^example\.com [NC]
RewriteRule ^(.*)$ https://www.example.com/$1 [L,R=301,NC]

Forza www in modo generico con .htaccess

RewriteCond %{HTTP_HOST} !^$
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteCond %{HTTPS}s ^on(s)|
RewriteRule ^ http%1://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Forza non-www con .htaccess

RewriteEngine on
RewriteCond %{HTTP_HOST} ^www\.example\.com [NC]
RewriteRule ^(.*)$ https://example.com/$1 [L,R=301]

Forza non-www in modo generico con .htaccess

RewriteEngine on
RewriteCond %{HTTP_HOST} ^www\.
RewriteCond %{HTTPS}s ^on(s)|off
RewriteCond http%1://%{HTTP_HOST} ^(https?://)(www\.)?(.+)$
RewriteRule ^ %1%3%{REQUEST_URI} [R=301,L]

forza HTTPS con .htaccess

Usalo per reindirizzare non HTTPS richieste ad a HTTPS richiesta. Ad esempio, se vai su https://example.com/ verrai reindirizzato a https://example.com.

RewriteEngine on
RewriteCond %{HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

forza HTTPS Dietro un proxy con .htaccess

Utile se si ha un proxy davanti al server che esegue la terminazione TLS.

RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

Forza la barra finale con .htaccess

Usa il seguente .htaccess Regola per reindirizzare tutti gli URL allo stesso URL (ma con una barra finale) per tutte le richieste che non terminano con una barra finale. Ad esempio, reindirizza da https://example.com/your-page a https://example.com/your-page/

RewriteCond %{REQUEST_URI} /+[^\.]+$
RewriteRule ^(.+[^/])$ %{REQUEST_URI}/ [R=301,L]

Rimuovi la barra finale con .htaccess

Usalo per rimuovere qualsiasi barra finale (verrà reindirizzato 301 all'URL senza barra finale)

RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)/$ /$1 [R=301,L]

Reindirizza una singola pagina con .htaccess

Reindirizzare un singolo URL a una nuova posizione

Redirect 301 /oldpage.html https://www.yoursite.com/newpage.html
Redirect 301 /oldpage2.html https://www.yoursite.com/folder/

Alias ​​di una singola directory con .htaccess

RewriteEngine On
RewriteRule ^source-directory/(.*) target-directory/$1

Percorsi alias per script con .htaccess

RewriteEngine On
RewriteRule ^$ index.fcgi/ [QSA,L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ index.fcgi/$1 [QSA,L]

Questo esempio ha un index.fcgi file in una directory e tutte le richieste all'interno di quella directory che non riescono a risolvere un nome file/directory verranno inviate a index.fcgi sceneggiatura. Va bene se vuoi baz.foo/some/cool/path da gestire da baz.foo/index.fcgi (che supporta anche le richieste di baz.foo) mantenendo baz.foo/css/style.css e simili.

Reindirizzare un intero sito con .htaccess

Utilizza il seguente .htaccess regola per reindirizzare un intero sito a una nuova posizione/dominio

Redirect 301 / https://newsite.com/

In questo modo lo fai con i collegamenti intatti. Cioè www.oldsite.com/some/crazy/link.html diventerà www.newsite.com/some/crazy/link.htmlQuesto è estremamente utile quando si sta semplicemente "spostando" un sito su un nuovo dominio.

URL "puliti" alias con .htaccess

Questo frammento ti consente di utilizzare "URL puliti", ovvero quelli senza un PHP estensione, ad esempio example.com/users invece di example.com/users.php.

RewriteEngine On
RewriteCond %{SCRIPT_FILENAME} !-d
RewriteRule ^([^.]+)$ $1.php [NC,L]

Regole di sicurezza

Nega tutto l'accesso con .htaccess

Se si desidera impedire ad Apache di fornire alcun file, utilizzare la seguente procedura.

Questo ti impedirà di accedere al tuo sito web. Se desideri negare completamente l'accesso ma desideri comunque visualizzarlo, leggi la regola successiva:

Deny from all

Nega tutti gli accessi tranne il tuo (consenti solo determinati IP) con .htaccess

Utilizza questa opzione per consentire solo a determinati indirizzi IP di accedere al tuo sito web.

# Require all denied
# Require ip xxx.xxx.xxx.xxx

xxx.xxx.xxx.xxx è il tuo IP. Se sostituisci le ultime tre cifre con 0/12, ad esempio, questo specificherà un intervallo di IP all'interno della stessa rete, risparmiandoti così la fatica di elencare separatamente tutti gli IP consentiti.

Per il "contrario" di questa regola, vedere la regola successiva!

Blocca l'indirizzo IP con .htaccess

Questo consentirà l'accesso a tutti gli IP tranne quelli elencati. Puoi usare questa opzione per consentire l'accesso a tutti gli indirizzi IP tranne quelli dello spammer.

Sostituisci xxx.xxx.xxx.xxx e xxx.xxx.xxx.xxy con gli indirizzi IP che vuoi bloccare.

Apache 2.4

# Require all granted
# Require not ip xxx.xxx.xxx.xxx
# Require not ip xxx.xxx.xxx.xxy

Consenti l'accesso solo dalla LAN con .htaccess

order deny,allow
deny from all
allow from 192.168.0.0/24

Nega l'accesso a determinati agenti utente (bot) con .htaccess

Utilizzare questa .htaccess regola per bloccare/bannare determinati user agent

RewriteCond %{HTTP_USER_AGENT} ^User\ Agent\ 1 [OR]
RewriteCond %{HTTP_USER_AGENT} ^Another\ Bot\ You\ Want\ To\ Block [OR]
RewriteCond %{HTTP_USER_AGENT} ^Another\ UA
RewriteRule ^.* - [F,L]

Nega l'accesso ai file e alle directory nascosti con .htaccess

File e directory nascosti (quelli i cui nomi iniziano con un punto .) dovrebbero essere protetti nella maggior parte dei casi, se non sempre. Ad esempio: .htaccess, .htpasswd, .git, .hg.

RewriteCond %{SCRIPT_FILENAME} -d [OR]
RewriteCond %{SCRIPT_FILENAME} -f
RewriteRule "(^|/)\." - [F]

In alternativa, puoi semplicemente sollevare un Not Found errore, che non fornisce alcun indizio all'aggressore:

RedirectMatch 404 /\..*$

Nega l'accesso a determinati file con .htaccess

Utilizzalo per bloccare o negare l'accesso a determinati file

<files your-file-name.txt>
order allow,deny
deny from all
</files>

Nega l'accesso ai file di backup e di origine con .htaccess

Questi file potrebbero essere lasciati da alcuni editor di testo/html (come Vi/Vim) e rappresentare un grave pericolo per la sicurezza, se chiunque potesse accedervi.

<FilesMatch "(\.(bak|config|dist|fla|inc|ini|log|psd|sh|sql|swp)|~)$">
    ## Apache 2.2
    Order allow,deny
    Deny from all
    Satisfy All

    ## Apache 2.4
    # Require all denied
</FilesMatch>

Disabilitare la navigazione nelle directory con .htaccess

Options All -Indexes

Abilita gli elenchi delle directory con .htaccess

Options All +Indexes

Disabilita l'elenco di determinati tipi di file con .htaccess

Utilizzare questa opzione per escludere determinati tipi di file dall'elenco Apache Elenco delle directory. Puoi usarlo per impedire la visualizzazione di file .pdf o file video.

IndexIgnore *.zip *.mp4 *.pdf

Disabilitare il collegamento diretto delle immagini con .htaccess

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yourdomain.com [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ - [NC,F,L]

Reindirizza gli hotlinker e mostra un'immagine diversa con .htaccess

RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https://(www\.)?your-website.com/.*$ [NC]
RewriteRule \.(gif|jpg|png)$ https://www.your-website.com/do-not-hotlink-our-content.jpg [R,L]

Nega l'accesso da parte di determinati referenti con .htaccess

Utilizzare questa regola per bloccare l'accesso alle richieste che includono un referrer da un determinato dominio.

RewriteCond %{HTTP_REFERER} block-this-referer\.com [NC,OR]
RewriteCond %{HTTP_REFERER} and-block-traffic-that-this-site-sends\.com [NC]
RewriteRule .* - [F]

Proteggi una directory con password .htaccess

Per prima cosa devi creare un file .htpasswd da qualche parte nel sistema. Esegui il seguente comando dalla riga di comando:

htpasswd -c /home/hidden/directory/here/.htpasswd the_username

Quindi puoi utilizzarlo per l'autenticazione. Nel tuo .htaccess Per il file .htpasswd, è necessario un codice simile al seguente, ma assicurati che AuthUserFile sia il percorso del file .htpasswd appena creato. Dovresti conservare il file .htpasswd in una directory non accessibile via web. Quindi, non inserirlo nella directory /public_html/ o /www/.

AuthType Basic
AuthName "Password Protected Dir Title"
AuthUserFile /home/hidden/directory/here/.htpasswd
Require valid-user

Proteggi con password un file o più file con .htaccess

AuthName "Password Protected Directory Title"
AuthType Basic
AuthUserFile /home/hidden/directory/here/.htpasswd

<Files "/a-private-file.txt">
Require valid-user
</Files>

<FilesMatch ^((one|two|three)-rings?\.o)$>
Require valid-user
</FilesMatch>

Regole di prestazione

Comprimi i file di testo con .htaccess

<IfModule mod_deflate.c>

        # Force compression for mangled headers.
        # https://developer.yahoo.com/blogs/ydn/posts/2010/12/pushing-beyond-gzipping
        <IfModule mod_setenvif.c>
                <IfModule mod_headers.c>
                        SetEnvIfNoCase ^(Accept-EncodXng|X-cept-Encoding|X{15}|~{15}|-{15})$ ^((gzip|deflate)\s*,?\s*)+|[X~-]{4,13}$ HAVE_Accept-Encoding
                        RequestHeader append Accept-Encoding "gzip,deflate" env=HAVE_Accept-Encoding
                </IfModule>
        </IfModule>

        # Compress all output labeled with one of the following MIME-types
        # (for Apache versions below 2.3.7, you don't need to enable `mod_filter`
        #    and can remove the `<IfModule mod_filter.c>` and `</IfModule>` lines
        #    as `AddOutputFilterByType` is still in the core directives).
        <IfModule mod_filter.c>
            AddOutputFilterByType DEFLATE application/atom+xml \
              application/javascript \
              application/json \
              application/rss+xml \
              application/vnd.ms-fontobject \
              application/x-font-ttf \
              application/x-web-app-manifest+json \
              application/xhtml+xml \
              application/xml \
              font/opentype \
              image/svg+xml \
              image/x-icon \
              text/css \
              text/html \
              text/plain \
              text/x-component \
              text/xml
        </IfModule>

</IfModule>

Imposta le intestazioni di scadenza con .htaccess

Scadenza intestazioni Indica al browser se deve richiedere un file specifico dal server o semplicemente recuperarlo dalla cache. È consigliabile impostare le intestazioni expires dei contenuti statici su un valore futuro.

Se non si controlla il versioning con il cache busting basato sui nomi dei file, si può prendere in considerazione la possibilità di ridurre il tempo di cache per risorse come CSS e JS a circa 1 settimana.

<IfModule mod_expires.c>
        ExpiresActive on
        ExpiresDefault                                    "access plus 1 month"

    # CSS
        ExpiresByType text/css                            "access plus 1 year"

    # Data interchange
        ExpiresByType application/json                    "access plus 0 seconds"
        ExpiresByType application/xml                     "access plus 0 seconds"
        ExpiresByType text/xml                            "access plus 0 seconds"

    # Favicon (cannot be renamed!)
        ExpiresByType image/x-icon                        "access plus 1 week"

    # HTML components (HTCs)
        ExpiresByType text/x-component                    "access plus 1 month"

    # HTML
        ExpiresByType text/html                           "access plus 0 seconds"

    # JavaScript
        ExpiresByType application/javascript              "access plus 1 year"

    # Manifest files
        ExpiresByType application/x-web-app-manifest+json "access plus 0 seconds"
        ExpiresByType text/cache-manifest                 "access plus 0 seconds"

    # Media
        ExpiresByType audio/ogg                           "access plus 1 month"
        ExpiresByType image/gif                           "access plus 1 month"
        ExpiresByType image/jpeg                          "access plus 1 month"
        ExpiresByType image/png                           "access plus 1 month"
        ExpiresByType video/mp4                           "access plus 1 month"
        ExpiresByType video/ogg                           "access plus 1 month"
        ExpiresByType video/webm                          "access plus 1 month"

    # Web feeds
        ExpiresByType application/atom+xml                "access plus 1 hour"
        ExpiresByType application/rss+xml                 "access plus 1 hour"

    # Web fonts
        ExpiresByType application/font-woff2              "access plus 1 month"
        ExpiresByType application/font-woff               "access plus 1 month"
        ExpiresByType application/vnd.ms-fontobject       "access plus 1 month"
        ExpiresByType application/x-font-ttf              "access plus 1 month"
        ExpiresByType font/opentype                       "access plus 1 month"
        ExpiresByType image/svg+xml                       "access plus 1 month"
</IfModule>

Disattiva gli eTag con .htaccess

Rimuovendo l'intestazione ETag, si impedisce alle cache e ai browser di convalidare i file, costringendoli quindi a fare affidamento sulle intestazioni Cache-Control ed Expires.

<IfModule mod_headers.c>
        Header unset ETag
</IfModule>
FileETag None

Limita la dimensione del file caricato con .htaccess

Inserisci la dimensione del file in byte. Il codice seguente la limita a 1 MB.

LimitRequestBody 1048576

Regole varie

Variabili del server per mod_rewrite con .htaccess

%{API_VERSION}
%{DOCUMENT_ROOT}
%{HTTP_ACCEPT}
%{HTTP_COOKIE}
%{HTTP_FORWARDED}
%{HTTP_HOST}
%{HTTP_PROXY_CONNECTION}
%{HTTP_REFERER}
%{HTTP_USER_AGENT}
%{HTTPS}
%{IS_SUBREQ}
%{REQUEST_FILENAME}
%{REQUEST_URI}
%{SERVER_ADDR}
%{SERVER_ADMIN}
%{SERVER_NAME}
%{SERVER_PORT}
%{SERVER_PROTOCOL}
%{SERVER_SOFTWARE}
%{THE_REQUEST}

Impostato PHP Variabili con .htaccess

php_value <key> <val>

Per esempio:

php_value upload_max_filesize 50M
php_value max_execution_time 240

Pagine di errore personalizzate con .htaccess

ErrorDocument 500 "Houston, we have a problem."
ErrorDocument 401 https://error.yourdomain.com/mordor.html
ErrorDocument 404 /errors/halflife3.html

Reindirizza gli utenti a una pagina di manutenzione mentre esegui l'aggiornamento con .htaccess

Questo reindirizzerà gli utenti a una pagina di manutenzione, ma consentirà l'accesso al tuo indirizzo IP. Sostituisci 555.555.555.555 con il tuo IP e YourMaintenancePageFilenameOrFullUrlUrl.html con la tua pagina di errore (o un URL intero, su un dominio diverso).

ErrorDocument 403 YourMaintenancePageFilenameOrFullUrlUrl.html
Order deny,allow
Deny from all
Allow from 555.555.555.555

Forza il download con .htaccess

A volte si desidera forzare il browser a scaricare un contenuto invece di visualizzarlo. Il seguente frammento di codice può essere utile.

<Files *.md>
        ForceType application/octet-stream
        Header set Content-Disposition attachment
</Files>

Disabilita la visualizzazione delle informazioni sul server (firma del server) con .htaccess

Sebbene molte persone lo considerino inutile (soprattutto per quanto riguarda la sicurezza), se vuoi impedire al tuo server di rivelare informazioni sul server (il sistema operativo del server, ecc.), usa questo:

ServerSignature Off

Impedisci il download con .htaccess

A volte si desidera forzare il browser a visualizzare determinati contenuti invece di scaricarli. Il seguente frammento di codice può essere utile.

<FilesMatch "\.(tex|log|aux)$">
        Header set Content-Type text/plain
</FilesMatch>

Consenti font multidominio con .htaccess

CDNI webfont forniti potrebbero non funzionare su Firefox o IE a causa di CROS. Il seguente frammento di codice di alrra dovrebbe risolvere il problema.

<IfModule mod_headers.c>
        <FilesMatch "\.(eot|otf|ttc|ttf|woff|woff2)$">
                Header set Access-Control-Allow-Origin "*"
        </FilesMatch>
</IfModule>

Codifica UTF-8 automatica con .htaccess

per avere Apache Per codificare automaticamente il contenuto in UTF-8, utilizzare il seguente codice. È anche possibile sostituire UTF-8 con un altro set di caratteri, se necessario:

# Use UTF-8 encoding for anything served text/plain or text/html
AddDefaultCharset utf-8

# Force UTF-8 for a number of file formats
AddCharset utf-8 .atom .css .js .json .rss .vtt .xml

Imposta il fuso orario del server (su UTC o altro fuso orario) con .htaccess

SetEnv TZ UTC

Visualizza un elenco di fusi orari. Per impostare il fuso orario di Los Angeles:

SetEnv TZ America/Los_Angeles

Passa a un altro PHP Versione con .htaccess

Se ti trovi su un host condiviso, è probabile che ci siano più versioni di PHP installato e a volte desideri una versione specifica per il tuo sito web. Ad esempio, richiede PHP >= 5.4. Il seguente frammento dovrebbe cambiare il PHP versione per te.

AddHandler application/x-httpd-php55 .php

In alternativa, puoi usare AddType

AddType application/x-httpd-php55 .php

Disattiva la visualizzazione di compatibilità di Internet Explorer

La Visualizzazione Compatibilità in IE potrebbe influire sulla visualizzazione di alcuni siti web. Il seguente frammento di codice dovrebbe forzare IE a utilizzare Edge. Rendering Engine e disattivare la Visualizzazione Compatibilità.

<IfModule mod_headers.c>
    BrowserMatch MSIE is-msie
    Header set X-UA-Compatible IE=edge env=is-msie
</IfModule>

Eseguire PHP con un'estensione di file diversa con .htaccess

Il seguente codice eseguirà i file che terminano in .ext con php:

AddType application/x-httpd-php .ext

Servire automaticamente le immagini WebP se esistono

Se sono supportate le immagini WebP e un'immagine con estensione .webp e lo stesso nome viene trovata nello stesso posto dell'immagine jpg/png che verrà servita, allora verrà servita l'immagine WebP.

RewriteEngine On
RewriteCond %{HTTP_ACCEPT} image/webp
RewriteCond %{DOCUMENT_ROOT}/$1.webp -f
RewriteRule (.+)\.(jpe?g|png)$ $1.webp [T=image/webp,E=accept:1]

---

Avvolgere Up

Migliori .htaccess Il file è uno strumento potente, ma è importante usarlo con saggezza. Anche se potrebbe essere allettante aggiungere regole extra per soluzioni rapide, ricorda che .htaccess non è un file di configurazione primario.

Ogni volta che un server incontra un .htaccess file, deve leggerlo ed eseguirlo, sovrascrivendo le impostazioni di configurazione principali. Questo processo consuma risorse e può rallentare il sito web, soprattutto se utilizzato eccessivamente. Quando possibile, applica le configurazioni direttamente a livello di server (ad esempio, in Apachefile di configurazione principale) per prestazioni migliori.

Utilizzando .htaccess in modo efficiente e abbinandolo a un piano di hosting ben ottimizzato – puoi migliorare la sicurezza, le prestazioni e la scalabilità del tuo sito web

Domande frequenti