Apache sigue siendo el caballo de batalla en el mundo de los servidores web y, escondido en su configuraci\u00f3n, hay un peque\u00f1o gigante: el .htaccess<\/strong>. A veces lo ignoramos. Nos olvidamos de \u00e9l. Pero este archivo de texto es la primera trinchera real contra las amenazas que rondan internet. Si buscas una seguridad htaccess<\/em> de verdad, no puedes mirar hacia otro lado; entender c\u00f3mo funciona es obligatorio. Con unas pocas l\u00edneas, controlas qui\u00e9n entra, qu\u00e9 ven y bloqueas IPs molestas antes de que toquen tu aplicaci\u00f3n.<\/p>\n En RedServicio.net sabemos que la seguridad no tiene por qu\u00e9 ser un dolor de cabeza. Por eso nuestros planes de hosting est\u00e1n pensados para que saques el m\u00e1ximo partido a estas configuraciones. Vamos a ver, paso a paso, c\u00f3mo endurecer tu web usando este archivo.<\/p>\n Antes de tocar nada, hay una regla de oro que no puedes saltarte: haz una copia de seguridad. Un solo error de sintaxis en el .htaccess<\/strong> y, zas, error 500. Tu sitio se cae y se queda inaccessible.<\/p>\n Tip pr\u00e1ctico:<\/strong> Si no tienes ning\u00fan archivo .htaccess<\/strong>, crea uno. Abre el Bloc de notas (o cualquier editor de texto plano), guarda un archivo en blanco y n\u00f3mbralo exactamente Por defecto, si una carpeta no tiene un Para cerrar esa puerta, mete esta l\u00ednea en tu archivo .htaccess<\/strong>:<\/p>\n Le est\u00e1s diciendo al servidor: \u00abno listes nada\u00bb. Si alguien intenta ver la carpeta sin \u00edndice, se encontrar\u00e1 con un error 403 (Forbidden).<\/p>\n Archivos como A\u00f1ade este bloque al final del archivo:<\/p>\n Puedes retocar la lista entre par\u00e9ntesis para incluir otros archivos que necesites blindar.<\/p>\n Los archivos XML a veces guardan datos estructurados del sitio. En WordPress, el archivo Si quieres una seguridad htaccess<\/strong> seria, limita qui\u00e9n puede entrar al login o al panel de administraci\u00f3n. Si tienes una IP est\u00e1tica en casa o en la oficina, puedes permitir solo tu conexi\u00f3n y cerrar el resto.<\/p>\n Asumiendo que tu panel est\u00e1 en Cambia El hotlinking es cuando otra web enlaza directamente a tus im\u00e1genes para consumir tu ancho de banda. Es un robo puro y duro, y adem\u00e1s te ralentiza.<\/p>\n Para pararlo, usa este c\u00f3digo:<\/p>\n No olvides cambiar El m\u00f3dulo A\u00f1ade estas l\u00edneas para endurecer la seguridad a nivel de navegador:<\/p>\n Configurar bien el .htaccess<\/strong> es de las cosas m\u00e1s inteligentes que puede hacer un administrador para blindar su web sin llenarla de plugins pesados o software caro. Hemos visto c\u00f3mo, desde algo tan simple como Estas configuraciones son potentes, pero necesitan un buen terreno. En RedServicio.net<\/strong> nos enorgullece ofrecer un hosting estable y soporte t\u00e9cnico 24\/7 para ayudarte con esto y mucho m\u00e1s. No dejes tu seguridad al azar. Aplica estos consejos y descansa sabiendo que tu servidor est\u00e1 un poco m\u00e1s seguro.<\/p>\n Si te sale un error 500, entra por FTP ya mismo, cambia el nombre del archivo No hace falta ser programador, pero tienes que ser cuidadoso con la sintaxis. Un espacio de m\u00e1s o una comilla fuera de sitio pueden romper todo. Lo m\u00e1s seguro es copiar y pegar ejemplos probados.<\/p>\n No. El archivo .htaccess<\/strong> es cosa de Apache. En Nginx hay que traducir estas configuraciones al archivo principal (nginx.conf), aunque la l\u00f3gica es parecida.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":" La importancia del archivo .htaccess para la seguridad web Apache sigue siendo el caballo de batalla en el mundo de […]<\/p>\n","protected":false},"author":7,"featured_media":660,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[11],"tags":[],"class_list":["post-658","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad"],"yoast_head":"\nPaso 1: Preparaci\u00f3n y copia de seguridad<\/h2>\n
\n
public_html<\/code> o www<\/code>. \u00bfNo lo ves? Aseg\u00farate de que tu FTP est\u00e9 mostrando los archivos ocultos (los que empiezan con punto).<\/li>\n.htaccess<\/code> actual en tu ordenador como .htaccess.backup<\/code>.<\/li>\n<\/ol>\n.htaccess<\/code>. Y por favor, NUNCA uses Word. Procesadores de texto as\u00ed a\u00f1aden c\u00f3digo basura que te arruinar\u00e1 el d\u00eda.<\/p>\n<\/div>\nPaso 2: Deshabilitar el navegaci\u00f3n por directorios<\/h2>\n
index.php<\/code> o index.html<\/code>, Apache saca una lista de todo lo que hay dentro. Es una ventana abierta a tus datos sensibles, plugins, temas… un regalo para atacantes.<\/p>\nOptions -Indexes<\/code><\/p>\nPaso 3: Proteger archivos de configuraci\u00f3n sensibles<\/h2>\n
wp-config.php<\/code> en WordPress, configuration.php<\/code> en Joomla o los .env<\/code> guardan las claves de tu base de datos. Dejarlos al alcance de cualquiera es suicida. Vamos a bloquear el acceso externo.<\/p>\n<FilesMatch \"^(wp-config\\.php|php\\.ini|\\.htaccess|readme\\.txt)$\">
\nOrder Allow,Deny
\nDeny from all
\n<\/FilesMatch><\/code><\/p>\n3.1 Prevenir el acceso directo a archivos XML<\/h2>\n
xmlrpc.php<\/code> es famoso por ser utilizado en ataques de fuerza bruta y DDoS. Mejor cortar por lo sano a menos que lo necesites para publicaciones remotas.<\/p>\n<Files xmlrpc.php>
\nOrder Deny,Allow
\nDeny from all
\n<\/Files><\/code><\/p>\nPaso 4: Restringir el acceso a la administraci\u00f3n por IP<\/h2>\n
\/wp-admin<\/code> (WordPress) o ruta similar, mete esto:<\/p>\n<FilesMatch \"^(wp-login|admin)\\.php$\">
\nOrder Deny,Allow
\nDeny from all
\nAllow from 123.456.789.000
\n<\/FilesMatch><\/code><\/p>\n123.456.789.000<\/code> por tu IP real. Si no tienes IP fija puede ser molesto, pero para entornos corporativos o blogs gestionados por una sola persona, es un blindaje casi total.<\/p>\nPaso 5: Desactivar la firma del servidor y evitar el hotlinking<\/h2>\n
RewriteEngine on
\nRewriteCond %{HTTP_REFERER} !^$
\nRewriteCond %{HTTP_REFERER} !^http(s)?:\/\/(www\\.)?tusitio.com [NC]
\nRewriteCond %{HTTP_REFERER} !^http(s)?:\/\/(www\\.)?google.com [NC]
\nRewriteRule \\.(jpg|jpeg|png|gif)$ - [F]<\/code><\/p>\ntusitio.com<\/code> por tu dominio. Esto permite que las im\u00e1genes carguen en tu sitio y en Google (necesario para el SEO), pero devolver\u00e1 un error 403 si alguien intenta cargarlas desde otro lugar.<\/p>\nPaso 6: Cabeceras de seguridad HTTP<\/h2>\n
mod_headers<\/code> de Apache te permite mandar cabeceras extra al navegador del usuario. Esto sube el nivel de seguridad contra ataques como Cross-Site Scripting (XSS) o Clickjacking.<\/p>\n<IfModule mod_headers.c>
\nHeader set X-Content-Type-Options \"nosniff\"
\nHeader set X-XSS-Protection \"1; mode=block\"
\nHeader set X-Frame-Options \"SAMEORIGIN\"
\nHeader set Referrer-Policy \"strict-origin-when-cross-origin\"
\n<\/IfModule><\/code><\/p>\n\n
iframe<\/code> ajeno (evitando Clickjacking).<\/li>\nConclusi\u00f3n<\/h2>\n
Options -Indexes<\/code> hasta reglas de IP, la diferencia en la defensa de tu infraestructura es abismal. Eso s\u00ed, la seguridad es un proceso, no un evento puntual.<\/p>\nPreguntas Frecuentes<\/h3>\n
\u00bfQu\u00e9 pasa si mi sitio deja de funcionar despu\u00e9s de editar .htaccess?<\/h4>\n
.htaccess<\/code> a .htaccess.broken<\/code> y sube tu copia de seguridad. Eso levantar\u00e1 el sitio de nuevo.<\/p>\n\u00bfNecesito saber programar para editar este archivo?<\/h4>\n
\u00bfEstas reglas funcionan en servidores Nginx?<\/h4>\n