[Publicada el 18 de mayo de 2015. Revisada en octubre de 2026]<\/p>\n
Esta entrada arrastra ya unos cu\u00e1ntos a\u00f1os a sus espaldas y varias cosas se hab\u00edan quedado desfasadas. He conservado lo que sigue teniendo sentido t\u00e9cnico y he corregido el resto. Hab\u00eda ejemplos de c\u00f3digo que directamente no funcionaban y Apache ha metido cambios de peso en este tiempo. Cuando alguna directiva sea distinta de lo que escrib\u00ed en 2015, te lo comento en su correspondiente apartado.<\/p>\n
En su momento, cuando habl\u00e9 sobre qu\u00e9 pasos dar tras instalar Drupal<\/a>, comentaba que una de las primeras tareas deb\u00eda ser configurar bien el fichero .htaccess. Aprovecho ahora para examinar con m\u00e1s detalle este archivo, un elemento fundamental dentro de cualquier servidor web Apache.<\/p>\n El fichero *hypertext access*, m\u00e1s conocido como [.htaccess<\/a>], es una de las piezas centrales dentro de un servidor Apache<\/a>, para el que fue dise\u00f1ado en exclusiva. En 2015 sostuve que con el tiempo su uso se hab\u00eda extendido al resto de servidores web, pero la realidad me ha llevado la contraria: Nginx, muy habitual hoy en d\u00eda, no lo lee en absoluto. LiteSpeed s\u00ed lo interpreta, aunque lo hace por pura compatibilidad con Apache. Si tu proveedor de alojamiento no utiliza Apache, este texto no te servir\u00e1 de mucho.<\/p>\n En la mayor\u00eda de alojamientos compartidos resulta imposible que nos den acceso al fichero de configuraci\u00f3n principal del servidor, el conocido *httpd.conf*. Por suerte, casi todas las modificaciones se pueden aplicar mediante el *.htaccess* de forma muy directa, ya que permite definir instrucciones de configuraci\u00f3n para cada directorio y para todos los subdirectorios que dependan de \u00e9l. La propia documentaci\u00f3n de Apache aconseja recurrir al .htaccess \u00fanicamente cuando carecemos de acceso a la configuraci\u00f3n global.<\/p>\n Contar con un fichero .htaccess en cada carpeta del servidor aporta una ventaja clara: permite ajustar los permisos y las reglas de acceso con bastante precisi\u00f3n dentro de esa estructura. Sin embargo, trae consigo un inconveniente que conviene no pasar por alto: perjudica la velocidad de carga de la web. En cada petici\u00f3n que realiza el navegador, el servidor rastrea la presencia de este archivo en cada nivel de la ruta del recurso, exista o no, para comprobar si debe aplicar alguna norma. Eso se traduce en un impacto medible en el rendimiento.<\/p>\n Para que el servidor reconozca estos archivos es imprescindible que la directiva AllowOverride<\/a> lo autorice en la configuraci\u00f3n global de Apache. Su valor por defecto es None, lo que inhabilita los ficheros .htaccess por completo. Si tu hosting los tiene desactivados de ra\u00edz, poco podr\u00e1s hacer. Determinadas \u00f3rdenes requieren un permiso concreto: para emplear la instrucci\u00f3n Options en un .htaccess, por ejemplo, hace falta declarar AllowOverride Options.<\/p>\n Veamos a continuaci\u00f3n sus aplicaciones pr\u00e1cticas, c\u00f3mo darlo de alta y qu\u00e9 medidas tomar para protegerlo.<\/p>\n <\/p>\n Las posibilidades de ajuste que ofrece este archivo son enormes. Voy a detenerme en las m\u00e1s habituales. Ten en cuenta que la mayor\u00eda de estos bloques requieren que el servidor tenga cargado el m\u00f3dulo correspondiente (mod_rewrite, mod_headers, etc.). Si el m\u00f3dulo no est\u00e1 activo, el servidor responder\u00e1 con un error 500 de entrada.<\/p>\n El uso m\u00e1s extendido consiste en limitar el acceso a una carpeta espec\u00edfica o a varias secciones de la web. Sin la contrase\u00f1a adecuada, el servidor deniega la lectura del directorio. El principal inconveniente de gestionar el acceso por este canal \u2014frente a hacerlo desde el panel del hosting o con el propio CMS\u2014 es que exige un segundo archivo, denominado .htpasswd, donde se almacenan las identidades y las claves. Esto resta flexibilidad a la administraci\u00f3n (el usuario no puede cambiar su contrase\u00f1a ni solicitar un recordatorio; \u00fanicamente puede modificarla el administrador del sistema) y genera alg\u00fan problema de seguridad si no se configura bien. La documentaci\u00f3n de Apache explica el procedimiento paso a paso<\/a>. El archivo .htaccess adopta esta estructura:<\/p>\n El fichero .htpasswd se genera desde la l\u00ednea de comandos con la utilidad htpasswd de Apache. Conviene emplear el par\u00e1metro -B para guardar las contrase\u00f1as cifradas con bcrypt (la opci\u00f3n -c crea el fichero la primera vez):<\/p>\n Procura guardar ese archivo fuera del directorio p\u00fablico de la web (public_html o www). Y no olvides que la autenticaci\u00f3n b\u00e1sica transmite las credenciales codificadas en Base64, no cifradas, de modo que solo resulta segura si la web funciona bajo HTTPS.<\/p>\n Aunque no existen pruebas concluyentes de que las URLs amigables mejoren por s\u00ed solas el posicionamiento en buscadores, es innegable que facilitan la interacci\u00f3n con el usuario. Una direcci\u00f3n limpia resulta m\u00e1s comprensible y l\u00f3gica que una cadena repleta de par\u00e1metros incoherentes. Para activar esta funci\u00f3n es necesario que el m\u00f3dulo mod_rewrite<\/a> de Apache se encuentre habilitado. El siguiente bloque en el fichero .htaccess permite gestionar este comportamiento:<\/p>\n La \u00faltima l\u00ednea ejecuta el trabajo principal. Las dos condiciones previas comprueban que la petici\u00f3n no se corresponde con un directorio ni con un fichero real existente en el disco. Si la ruta no existe f\u00edsicamente, el servidor deriva la solicitud a index.php, que se encarga de procesarla. En el texto de 2015 esa l\u00ednea faltaba y la regla resultaba in\u00fatil. Si utilizas un gestor de contenidos como WordPress o Drupal, el propio sistema ya genera estas instrucciones de forma autom\u00e1tica en su fichero .htaccess, por lo que no debes duplicarlas.<\/p>\n <\/p>\n Otra opci\u00f3n muy pr\u00e1ctica consiste en restringir la entrada a la web, a una carpeta o a un archivo espec\u00edfico bas\u00e1ndote en la direcci\u00f3n IP del visitante. Resulta muy \u00fatil cuando sufres ataques sistem\u00e1ticos desde un origen concreto o cuando quieres acotar la consulta de un \u00e1rea de trabajo a un rango de red determinado. La siguiente directiva:<\/p>\n bloquea el acceso a la m\u00e1quina con la IP 1.1.1.1 y permite la navegaci\u00f3n al resto de usuarios. Por su parte, la regla:<\/p>\n concede acceso al fichero index.php \u00fanicamente a la direcci\u00f3n 1.2.3.4. En la versi\u00f3n de 2015 afirm\u00e9 que esta \u00faltima instrucci\u00f3n la bloqueaba, cuando en realidad hace exactamente lo contrario.<\/p>\n La sintaxis ha cambiado sustancialmente en las versiones recientes. Las instrucciones Order, Allow, Deny y Limit, habituales en manuales antiguos y presentes en mi primera versi\u00f3n del art\u00edculo, est\u00e1n quedando en desuso desde Apache 2.4<\/a> en favor de Require. Aunque siguen funcionando si el servidor mantiene activo el m\u00f3dulo de compatibilidad, la documentaci\u00f3n oficial desaconseja mezclar ambos esquemas.<\/p>\n <\/p>\n Permite gestionar el almacenamiento temporal en el navegador del usuario o en servidores proxy intermediarios, optimizando el ancho de banda y aligerando las solicitudes hacia el servidor web. Aunque varios CMS permiten administrar estas cabeceras, aplicarlas desde el .htaccess suele ofrecer un rendimiento m\u00e1s consistente. El siguiente c\u00f3digo establece un periodo de validez de una semana para los recursos gr\u00e1ficos:<\/p>\n Esta regla requiere el m\u00f3dulo mod_headers. He eliminado de la lista los formatos obsoletos como SWF e introducido extensiones modernas como WebP y AVIF.<\/p>\n <\/p>\n Si dispones de un certificado SSL\/TLS, lo razonable es forzar a que todo el tr\u00e1fico transite por un canal cifrado. Los navegadores actuales marcan como no seguras las conexiones HTTP y los motores de b\u00fasqueda priorizan las direcciones bajo HTTPS. Puedes implantar esta redirecci\u00f3n con las siguientes l\u00edneas:<\/p>\n En la versi\u00f3n original omit\u00ed las banderas R=301 y L, lo que provocaba que la respuesta se interpretase como una redirecci\u00f3n temporal (302). Si la web se encuentra detr\u00e1s de un proxy inverso o de una red de distribuci\u00f3n de contenidos (CDN), la variable %{HTTPS} puede no detectar el tr\u00e1fico seguro y generar un bucle infinito. En ese caso conviene evaluar la cabecera X-Forwarded-Proto.<\/p>\n Cuando la web funcione sin incidencias en HTTPS, puedes indicar a los navegadores que no intenten conectar por HTTP durante un a\u00f1o mediante la cabecera HSTS:<\/p>\n Aplica esta directiva solo cuando tengas la certeza de que ning\u00fan recurso dependiente del sitio requiere HTTP, ya que revertir esta orden en los clientes lleva tiempo.<\/p>\n <\/p>\n Sirve para determinar el modo en que el servidor web entrega cada tipo de archivo atendiendo a su definici\u00f3n MIME<\/a>. Por ejemplo, se puede forzar la descarga de los ficheros de filtros y estilos del gestor bibliogr\u00e1fico EndNote<\/a>:<\/p>\n <\/p>\n Aunque Apache suele buscar por defecto archivos como index.html o index.php, es posible modificar este comportamiento y establecer otro documento de entrada:<\/p>\n <\/p>\n El aviso cl\u00e1sico cuando un recurso no se encuentra en la ruta indicada. Es recomendable configurar el .htaccess para mostrar una plantilla propia en lugar del mensaje est\u00e1ndar del servidor:<\/p>\n Del mismo modo se pueden personalizar las respuestas para otros c\u00f3digos de estado HTTP:<\/p>\n En 2015 se\u00f1al\u00e9 que un error 404 constitu\u00eda una de las principales causas de penalizaci\u00f3n en motores de b\u00fasqueda. Conviene matizar esa afirmaci\u00f3n: el c\u00f3digo 404 es una respuesta est\u00e1ndar del protocolo HTTP y no perjudica el posicionamiento de forma autom\u00e1tica. El verdadero problema radica en perder visitantes que se tropiezan con un callej\u00f3n sin salida, por lo que resulta oportuno integrar en esa p\u00e1gina un buscador interno o enlaces de navegaci\u00f3n hacia las secciones principales. Utiliza siempre rutas relativas a la ra\u00edz del servidor. Si introduces una URL completa (http:\/\/…), Apache realizar\u00e1 una redirecci\u00f3n 302 y la respuesta original de error 404 se perder\u00e1 por el camino.<\/p>\n <\/p>\n Para redirigir de forma permanente una URL antigua a su nueva ubicaci\u00f3n:<\/p>\n Conviene diferenciar la redirecci\u00f3n 301 (permanente) de la 302 (temporal). La primera comunica a los rastreadores que la direcci\u00f3n ha cambiado definitivamente y transmite la autoridad acumulada por el enlace original hacia la nueva ruta. Te recuerdo que publiqu\u00e9, hace alg\u00fan tiempo, una entrada en la que explicaba lo que implicaban los c\u00f3digos de respuesta del servidor HTTP desde el punto de vista de la arquitectura de la informaci\u00f3n<\/a>.<\/p>\n <\/p>\n Suele emplearse durante la migraci\u00f3n de un sitio web hacia un dominio distinto para conservar los enlaces entrantes y el tr\u00e1fico acumulado. El bloque necesario es el siguiente:<\/p>\n El c\u00f3digo publicado en 2015 reenviaba todo el tr\u00e1fico a la portada del nuevo sitio y conten\u00eda un fallo de sintaxis en el nombre del dominio. Esta formulaci\u00f3n mantiene la estructura de la ruta, de manera que cada p\u00e1gina antigua deriva a su equivalente en el nuevo dominio.<\/p>\n <\/p>\n Los motores de b\u00fasqueda identifican como direcciones independientes las variantes con www y sin www, as\u00ed como las respuestas HTTP y HTTPS. Si todas ellas entregan el mismo contenido, se generan duplicidades que obligan al buscador a determinar por su cuenta cu\u00e1l es la versi\u00f3n de referencia. Resulta m\u00e1s aconsejable fijar un criterio propio y redirigir las dem\u00e1s combinaciones. Si disponemos del dominio www.hola.com<\/a> y queremos consolidar las peticiones, podemos establecer la versi\u00f3n sin www como principal y aplicar cifrado al mismo tiempo:<\/p>\n Esta regla sustituye a la directiva de conexi\u00f3n segura comentada anteriormente, por lo que no deben combinarse ambas. Se trata de una variante de la redirecci\u00f3n 301 orientada a unificar el tr\u00e1fico. Esta redirecci\u00f3n debe complementarse con la etiqueta rel=\u00bbcanonical\u00bb en el c\u00f3digo HTML de cada p\u00e1gina.<\/p>\n <\/p>\n Impide que un usuario pueda consultar el \u00edndice de contenidos de una carpeta que carezca de un documento por defecto. Es una medida b\u00e1sica de seguridad para evitar la exposici\u00f3n de archivos internos:<\/p>\n Recuerda que para emplear la instrucci\u00f3n Options en un fichero .htaccess, la configuraci\u00f3n del servidor debe incluir la directiva AllowOverride Options.<\/p>\n <\/p>\n Permite fijar un l\u00edmite al volumen de los archivos que se suben al servidor para prevenir abusos en el almacenamiento y en el consumo de transferencia:<\/p>\n El valor se expresa en bytes, por lo que este ejemplo establece un tope de 10 MB. En la versi\u00f3n de 2015 recurr\u00ed a variables de entorno de PHP:<\/p>\n Esas instrucciones solo son v\u00e1lidas cuando PHP se ejecuta como m\u00f3dulo integrado en Apache. Con arquitecturas como PHP-FPM o FastCGI, habituales en los alojamientos actuales, provocan un error interno 500. En esas configuraciones, los ajustes de PHP deben realizarse mediante un archivo .user.ini o desde el panel de control del hosting.<\/p>\n <\/p>\n El m\u00f3dulo mod_headers permite inyectar cabeceras HTTP dirigidas a los motores de b\u00fasqueda sin alterar el contenido visible para los usuarios. La m\u00e1s habitual es X-Robots-Tag, \u00fatil para impedir la indexaci\u00f3n de documentos no HTML, como los archivos PDF:<\/p>\n <\/p>\n El fichero .htaccess no presenta peculiaridades en cuanto a su formato de texto. Se trata de un archivo plano cuyo nombre comienza por un punto, lo que lo identifica dentro de los sistemas Unix\/Linux como un fichero oculto que no aparece en los listados convencionales de carpeta.<\/p>\n Para crearlo basta con utilizar cualquier editor de texto sin formato (Gedit, VS Code, Notepad) y guardarlo provisionalmente como htaccess.txt. Una vez transferido al servidor mediante FTP o SFTP, se renombra a .htaccess. Tambi\u00e9n se puede generar directamente desde el administrador de archivos del panel del hosting.<\/p>\nUsos concretos del fichero .htaccess<\/h2>\n
Autorizaci\u00f3n y control de acceso<\/h3>\n
AuthType Basic\r\nAuthName \"Zona restringida\"\r\nAuthUserFile \/home\/usuario\/.htpasswd\r\nRequire valid-user<\/pre>\n
htpasswd -B -c \/home\/usuario\/.htpasswd ana<\/pre>\n
Crear URLs amigables<\/h3>\n
<IfModule mod_rewrite.c>\r\nRewriteEngine On\r\nRewriteBase \/\r\nRewriteCond %{REQUEST_FILENAME} !-d\r\nRewriteCond %{REQUEST_FILENAME} !-f\r\nRewriteRule ^ index.php [L]\r\n<\/IfModule><\/pre>\nLimitar el acceso por IP<\/h3>\n
<RequireAll>\r\nRequire all granted\r\nRequire not ip 1.1.1.1\r\n<\/RequireAll><\/pre>\n
<Files index.php>\r\nRequire ip 1.2.3.4\r\n<\/Files><\/pre>\n
Control de la cach\u00e9<\/h3>\n
<FilesMatch \"\\.(jpg|jpeg|png|gif|webp|avif|svg|ico)$\">\r\nHeader set Cache-Control \"max-age=604800, public\"\r\n<\/FilesMatch><\/pre>\n
Obligar a usar una conexi\u00f3n segura<\/h3>\n
RewriteEngine On\r\nRewriteCond %{HTTPS} !=on\r\nRewriteRule ^ https:\/\/%{HTTP_HOST}%{REQUEST_URI} [L,R=301]<\/pre>\nHeader always set Strict-Transport-Security \"max-age=31536000\"<\/pre>\n
Control de los tipos MIME<\/h3>\n
AddType application\/x-endnote-style ens\r\nAddType application\/x-endnote-filter enf<\/pre>\n
Indicar la p\u00e1gina por defecto<\/h3>\n
DirectoryIndex welcome.html<\/pre>\n
P\u00e1gina de error 404<\/h3>\n
ErrorDocument 404 \/error404.html<\/pre>\n
ErrorDocument 403 \/error403.html\r\nErrorDocument 401 \/error401.html<\/pre>\n
Redirecci\u00f3n 301<\/h3>\n
Redirect 301 \/index.html \/nuevo\/index.html<\/pre>\n
Redirigir a otro dominio<\/h3>\n
RewriteEngine On\r\nRewriteCond %{HTTP_HOST} ^(www\\.)?web-antigua\\.com$ [NC]\r\nRewriteRule ^ https:\/\/nueva-web.com%{REQUEST_URI} [L,R=301]<\/pre>\nURLs can\u00f3nicas<\/h3>\n
RewriteEngine On\r\nRewriteCond %{HTTPS} !=on [OR]\r\nRewriteCond %{HTTP_HOST} ^www\\. [NC]\r\nRewriteRule ^ https:\/\/hola.com%{REQUEST_URI} [L,R=301]<\/pre>\nEvitar el listado de ficheros<\/h3>\n
Options -Indexes<\/pre>\n
Limitar el tama\u00f1o m\u00e1ximo de los ficheros<\/h3>\n
LimitRequestBody 10485760<\/pre>\n
php_value upload_max_filesize 10M\r\nphp_value max_execution_time 200\r\nphp_value max_input_time 200<\/pre>\n
Cabeceras para los buscadores<\/h3>\n
<FilesMatch \"\\.pdf$\">\r\nHeader set X-Robots-Tag \"noindex\"\r\n<\/FilesMatch><\/pre>\n
C\u00f3mo crear el fichero .htaccess<\/h2>\n