Cómo Mejorar la Seguridad de tu Sitio WordPress con .htaccess

Buenas prácticas generales de seguridad

Antes de tocar configuraciones de servidor, estas son las medidas con mejor relación esfuerzo-beneficio:

• Usa contraseñas seguras y cámbialas regularmente, especialmente la del usuario administrador. Evita reutilizar contraseñas de otros servicios.
• Fuerza el uso de HTTPS (SSL) en todo el sitio para proteger los datos en tránsito y evitar que terceros los intercepten.
• Activa la autenticación de dos factores (2FA) en el acceso al panel de administración; añade una capa extra que bloquea la mayoría de los intentos de acceso automatizado.
• Mantén WordPress, plugins y temas siempre actualizados: la mayoría de los hackeos explotan vulnerabilidades ya conocidas y corregidas en versiones más recientes.
• Instala un plugin de seguridad confiable (como Wordfence o Sucuri) para escaneo de malware, protección contra spam y bloqueo de intentos de fuerza bruta.
• Monitorea tu sitio regularmente con herramientas de análisis para detectar comportamientos anómalos antes de que se conviertan en un problema serio.
• Configura un firewall de aplicación web (WAF) que filtre tráfico malicioso antes de que llegue a WordPress.
• Automatiza tus copias de seguridad para poder restaurar el sitio rápidamente ante cualquier incidente.
• Restringe el acceso a archivos sensibles, como veremos a continuación con .htaccess.

¿Qué es el archivo .htaccess y por qué es tan útil?

El archivo .htaccess es un archivo de configuración usado en servidores Apache que permite modificar el comportamiento del servidor a nivel de directorio, sin necesidad de acceso a la configuración global. Es especialmente útil para seguridad porque te permite bloquear accesos, forzar HTTPS y ocultar archivos sensibles con unas pocas líneas de código, sin instalar plugins adicionales que consuman recursos.

Bloquear el acceso a directorios sensibles

Puedes restringir el acceso completo a un directorio específico, como wp-admin, usando la directiva Deny from all:

<Directory /path/to/wp-admin>
  Deny from all
</Directory>

Ajusta esta regla según tu flujo de trabajo: si necesitas acceso remoto al panel, combínala con una lista de IPs permitidas en lugar de bloquearlo por completo.

Bloquear direcciones IP específicas

Si detectas una IP realizando intentos de acceso sospechosos, puedes bloquearla directamente desde .htaccess:

Order Deny,Allow
Deny from 123.456.789.0

Este enfoque es útil como respuesta puntual, pero para bloqueo masivo y automático de IPs maliciosas es más eficiente usar una herramienta como Fail2Ban a nivel de servidor.

Forzar la conexión segura (HTTPS)

Para redirigir automáticamente todo el tráfico HTTP hacia HTTPS y evitar que los datos viajen sin cifrar:

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTPS} off
  RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Esta misma regla cumple dos funciones a la vez: fuerza SSL y redirige el tráfico no seguro, por lo que no necesitas reglas separadas para cada caso.

Proteger archivos de configuración críticos

El archivo wp-config.php contiene las credenciales de tu base de datos, por lo que debe estar completamente inaccesible desde el navegador:

<Files wp-config.php>
  Deny from all
</Files>

Restringir el acceso a tipos de archivo específicos

Con la directiva FilesMatch puedes bloquear el acceso directo a archivos según su extensión. Por ejemplo, para impedir que archivos PHP sueltos dentro de carpetas de subida sean ejecutados directamente:

<FilesMatch "\.(php)$">
  Order Allow,Deny
  Deny from all
</FilesMatch>

Esta regla es particularmente útil dentro del directorio wp-content/uploads, un blanco frecuente para subir shells maliciosos disfrazados de imágenes.

Bloquear el acceso desde servidores proxy

Para dificultar que bots que ocultan su origen a través de proxies accedan a tu sitio, puedes usar la directiva SetEnvIf:

SetEnvIf X-Forwarded-For "^.+\..+\..+\..+" DenyAccess
Order Deny,Allow
Deny from env=DenyAccess

Desactivar la exploración de directorios

Por defecto, si un directorio no tiene un archivo index.php o index.html, Apache puede mostrar el listado completo de sus archivos a cualquier visitante. Esto se desactiva con:

Options -Indexes

Esta es una de las reglas más simples y, al mismo tiempo, más importantes: evita que un atacante descubra la estructura interna de tu sitio simplemente navegando a una carpeta sin index.

Bloquear tráfico desde sitios de referencia (referrer spam)

Si detectas tráfico malicioso o spam proveniente de un sitio específico, puedes bloquearlo según el encabezado Referer:

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTP_REFERER} example\.com [NC]
  RewriteRule .* - [F]
</IfModule>

Ejemplo completo combinado

Estas reglas pueden combinarse en un único bloque dentro de tu .htaccess. Un punto de partida razonable para un sitio WordPress típico sería:

# Forzar HTTPS
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTPS} off
  RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

# Proteger wp-config.php
<Files wp-config.php>
  Deny from all
</Files>

# Desactivar exploración de directorios
Options -Indexes

# Bloquear PHP dentro de uploads
<FilesMatch "\.(php)$">
  Order Allow,Deny
  Deny from all
</FilesMatch>

Importante: siempre haz una copia de respaldo de tu .htaccess original antes de editarlo, y prueba los cambios en un entorno de staging si es posible. Una regla mal escrita puede dejar tu sitio inaccesible ("Error 500") hasta que se corrija.