Configurar htaccess no WordPress é editar o arquivo de configuração por diretório que o servidor Apache lê a cada requisição para aplicar regras de reescrita, segurança e cache. Esse controle fino define como o servidor responde antes mesmo do PHP carregar. O arquivo vive na raiz da instalação, ao lado do wp-config.php, e o próprio WordPress reescreve sua seção de permalinks de forma automática. Mas as diretivas de segurança, compressão e redirecionamento ficam por sua conta. Um erro de sintaxe derruba o site inteiro com erro 500, então o ponto de partida é sempre um backup do arquivo original.

Antes de configurar htaccess no WordPress: Backup e teste de servidor

Antes de configurar htaccess no WordPress, confirme dois fatos em menos de 2 minutos: onde o arquivo está e qual servidor você roda. O .htaccess fica na raiz do site, a pasta public_html ou www, no mesmo nível de wp-config.php. Sempre baixe uma cópia antes de mexer, porque um único caractere errado gera erro 500.

O arquivo é oculto, com ponto na frente, então ative “mostrar arquivos ocultos” no gerenciador de arquivos da hospedagem ou no cliente FTP como Filezilla. Nos tickets de erro 500 que chegam ao suporte da FULL, boa parte vem de edição manual de .htaccess sem backup prévio do original. Se o painel não mostra o arquivo, o servidor provavelmente é Nginx, que não usa .htaccess e ignora qualquer diretiva que você adicionar nele. Esse teste de 2 minutos antes de tocar no arquivo evita a maior parte das dores de cabeça com o site fora do ar.

Por que o .htaccess só funciona em Apache e LiteSpeed (e Nginx ignora)

Configurar htaccess no WordPress só faz efeito em servidores Apache HTTP Server e em compatíveis como o LiteSpeed, que leem o mesmo formato de diretiva. Em Nginx, o arquivo é ignorado por completo: cerca de um terço das hospedagens WordPress modernas roda Nginx ou um proxy Nginx na frente do Apache, e nessas o .htaccess não tem efeito nenhum.

No Nginx, as regras precisam ir no bloco server do arquivo de configuração principal (nginx.conf), editado via SSH, sem recarga a quente por diretório. Tentar configurar htaccess no WordPress nesse cenário não tem efeito, e essa diferença é o erro técnico mais comum de quem segue tutorial genérico. De acordo com a documentação oficial do Apache, o .htaccess deve ser usado só quando você não tem acesso ao arquivo de configuração principal do servidor. Confira no painel da hospedagem ou rode phpinfo() para ver o “Server API” antes de copiar qualquer diretiva.

Passo a passo: Como configurar o .htaccess do zero

Configurar htaccess no WordPress segue uma sequência fixa de 6 passos, e a ordem importa: as regras de reescrita do WordPress vêm primeiro, depois suas diretivas customizadas. O bloco padrão que o WordPress mantém ocupa cerca de 7 linhas e nunca deve ser apagado, porque ele controla todos os permalinks do site.

Quando esse bloco some por acidente, os permalinks quebram e o site retorna erro 404 em todos os posts. Para configurar htaccess no WordPress sem sustos, trate cada passo abaixo como um H3 independente: aplique um, salve, teste o site, e só então avance para o próximo. Ferramentas como o editor do cPanel, o Filezilla e o plugin All in One Security ajudam em cada etapa.

Legenda: o editor de arquivos da hospedagem mostra o .htaccess na raiz, ao lado de wp-config.php. O ponto na frente marca o arquivo como oculto.

Passo 1: Faça backup do arquivo atual

Baixe o .htaccess existente antes de qualquer alteração. Pelo cPanel, clique com o botão direito e escolha “Download”; pelo Filezilla, arraste o arquivo para o computador. Renomeie a cópia para htaccess-backup.txt e guarde com a data. Se a edição quebrar o site, você restaura em segundos subindo o original de volta. Esse passo de 30 segundos é a sua rede de segurança contra o erro 500.

Passo 2: Localize o bloco padrão do WordPress

Abra o arquivo e encontre o trecho entre # BEGIN WordPress e # END WordPress. Esse bloco controla os permalinks e é reescrito automaticamente pelo WordPress quando você salva a estrutura de links em Configurações > Links permanentes. Nunca apague nem edite o conteúdo entre esses dois marcadores. Suas diretivas customizadas vão sempre fora desse bloco, acima do # BEGIN WordPress ou abaixo do # END WordPress.

Passo 3: Adicione a proteção do wp-config.php

Insira um bloco que bloqueia acesso direto ao arquivo mais sensível do WordPress. O wp-config.php guarda as credenciais do banco de dados, então negar o acesso externo é a primeira camada de defesa. Cole acima do bloco do WordPress:

<Files wp-config.php>
  Require all denied
</Files>

Salve e teste se o site abre normalmente. Essa diretiva usa a sintaxe do Apache 2.4; em servidores mais antigos com Apache 2.2, a linha equivalente é Order allow,deny seguida de Deny from all.

Passo 4: Force HTTPS e proteja a área de login

Redirecione todo o tráfego HTTP para HTTPS e limite o acesso ao wp-login.php por IP, se você tem um IP fixo. O redirect de HTTPS garante que ninguém acesse o painel por conexão não criptografada. Use o módulo mod_rewrite:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

O código R=301 informa ao Google que o redirecionamento é permanente, preservando a autoridade de SEO da URL antiga.

Passo 5: Ative a compressão gzip e o cache de navegador

Adicione diretivas mod_deflate e mod_expires para reduzir o peso das páginas e o tempo de carregamento. A compressão gzip diminui o tamanho de arquivos de texto, CSS e JavaScript em até 70%, segundo medições do próprio Apache. O cache de navegador define por quanto tempo imagens e scripts ficam armazenados no dispositivo do visitante. Esse par de diretivas costuma cortar o tempo de resposta de páginas pesadas pela metade.

Passo 6: Salve, teste e valide o site inteiro

Salve o arquivo, abra o site em uma aba anônima e navegue por 4 ou 5 páginas: home, um post, a página de contato e o painel administrativo. Se aparecer erro 500, restaure o backup do Passo 1 imediatamente e revise a última diretiva adicionada. Limpe o cache do navegador e de qualquer plugin de cache antes de concluir que algo quebrou.

As 5 diretivas de segurança mais úteis no .htaccess

Ao configurar htaccess no WordPress para hardening, as 5 diretivas de segurança abaixo bloqueiam vetores de ataque antes que o WordPress carregue, economizando recursos do servidor. Elas cobrem proteção do wp-config, bloqueio de PHP em uploads, listagem de diretórios, xmlrpc.php e o próprio .htaccess.

Cada uma resolve um problema concreto que a FULL vê com frequência nos tickets de segurança. Configurar htaccess no WordPress com essas regras é a base do hardening de servidor, e a tabela abaixo resume o que cada uma protege e quando aplicá-la. Combine-as com um plugin como o All in One Security para uma camada extra na interface do WordPress, sem depender só do arquivo.

Para um aprofundamento nas regras de hardening pelo arquivo, o guia de segurança via .htaccess no WordPress detalha cada bloco com exemplos prontos. A proteção do arquivo wp-config.php merece atenção especial por concentrar todas as credenciais.

Redirecionamentos 301 e cache ao configurar htaccess no WordPress

Redirecionamentos 301 no .htaccess são a forma mais rápida de mover URLs antigas para novas sem perder ranqueamento, porque o servidor responde antes do PHP. Um redirect 301 transfere cerca de 90 a 99% da autoridade de link da página antiga para a nova, segundo o consenso técnico de SEO.

Ao configurar htaccess no WordPress para SEO, o redirect 301 é a diretiva de maior impacto, porque preserva o link juice das URLs antigas. A sintaxe usa Redirect 301 /página-antiga/ https://seusite.com/página-nova/ ou regras RewriteRule para padrões complexos. Para gerenciar muitos redirects sem editar o arquivo na mão, o tutorial de como configurar redirecionamentos 301 mostra a alternativa por plugin. As diretivas de cache, por sua vez, definem cabeçalhos Cache-Control e Expires que instruem o navegador a guardar arquivos estáticos localmente por dias ou semanas. Combine isso com a compressão gzip e Brotli para um ganho de performance mensurável sem instalar nada.

Por que a FULL recomenda configurar pelo plugin na maioria dos casos

Configurar htaccess no WordPress na mão é poderoso, mas frágil: um caractere errado e o site sai do ar com erro 500, sem mensagem clara. Para quem gerencia vários sites, a configuração via plugin reduz esse risco a quase zero, porque a interface valida a sintaxe antes de gravar o arquivo.

No plano PRO da FULL, por R$ 849, você ativa em um clique plugins como o All in One Security e o WP Rocket, que aplicam diretivas de segurança e cache pelo painel sem você tocar no .htaccess. Diluído nos sites que o plano cobre, o custo fica em torno de R$ 85 por site, com a tranquilidade de não derrubar nada por erro de sintaxe no arquivo. Para quem cuida de uma carteira de sites, esse modelo elimina a edição manual repetida em cada instalação. Conheça os planos da FULL e veja qual cobre seu volume de sites.

Perguntas frequentes sobre configurar htaccess no WordPress

Próximos passos para dominar a configuração do servidor

Configurar htaccess no WordPress é o primeiro degrau no controle do servidor: com backup, teste de Apache versus Nginx e as 6 etapas acima, você aplica segurança, redirects e cache sem derrubar o site. Quem domina configurar htaccess no WordPress passa a controlar o servidor antes mesmo do PHP rodar. A regra que nunca muda é testar cada diretiva isoladamente e manter o backup à mão. Para continuar avançando, explore os guias de segurança WordPress da FULL e o guia completo de segurança para WordPress, que reúnem o hardening de servidor, plugins e configuração em uma trilha única. O FULL Academy organiza todos esses tutoriais em um só lugar para quem quer aprender no ritmo certo.