Guía técnica: .htaccess, el Controlador

El archivo .htaccess (HyperText Access) es el centro de mando de los servidores Apache (y de los compatibles, como LiteSpeed). Si tu sitio corre en Nginx o en una plataforma como Vercel, no existe: las mismas reglas se escriben en otra configuración. Su comportamiento es jerárquico: una regla aquí afecta al directorio actual y a todas sus subcarpetas.

Este archivo no es solo configuración técnica; es el punto de cruce entre la Experiencia de Usuario (WPO) y la Preservación de Activos Digitales (SEO). Una configuración correcta aquí reduce el rebote, mejora la velocidad de carga (Core Web Vitals) y protege tu autoridad durante migraciones.

Gestión de tráfico y autoridad (RewriteEngine)

El uso más crítico para el negocio. Aquí definimos cómo se transfieren los activos de autoridad (PageRank) y cómo se presentan las URLs.

Redirección 301 (El salvavidas de las migraciones)

Si cambias de dominio o reestructuras tu sitio, el 301 es obligatorio. Le dice a Google: “El negocio se mudó, transfiere toda la reputación antigua a esta nueva dirección”. Sin esto, pierdes años de posicionamiento en un día.

1
RewriteEngine On
2
# Redirigir todo el tráfico antiguo al nuevo dominio manteniendo la ruta
3
RewriteRule ^(.*)$ https://nuevodominio.cl/$1 [R=301,L]

URLs amigables (Conversión y Confianza)

Transforma parámetros técnicos sucios en rutas limpias que aumentan el CTR en buscadores.

• Caso Simple: De proyectos.php a /proyectos.

1
RewriteRule ^proyectos/?$ proyectos.php [NC,L]

• Caso E-commerce (Complejo): De index.php?cat=zapatos&id=nike a /tienda/zapatos/nike/.

1
RewriteRule ^tienda/([^/]*)/([^/]*)/$ /index.php?cat=$1&id=$2 [L]

Higiene Digital: WWW y HTTPS

La duplicidad diluye tu SEO. Debes forzar una sola versión de la verdad.

1
RewriteEngine On
2

3
# 1. Forzar HTTPS (Seguridad y Confianza)
4
RewriteCond %{HTTPS} off
5
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
6

7
# 2. Forzar sin-www (o con-www, tú eliges, pero sé consistente)
8
RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
9
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

Gestión de “Trailing Slash” (La barra final)

Google ve site.com/pagina y site.com/pagina/ como dos URLs distintas (Contenido Duplicado). Decide una estrategia y fuérzala. Aquí forzamos a quitar la barra (sin tocar los directorios reales, que la necesitan):

1
RewriteBase /
2
RewriteCond %{REQUEST_FILENAME} !-d
3
RewriteRule ^(.*)/$ /$1 [L,R=301]

Aceleración de Ingresos (WPO)

La velocidad no es un lujo, es una métrica de retención: más espera, menos conversión. (Desconfía de la cifra exacta que circula por internet, “cada segundo cuesta un 7%”: viene de un estudio de 2008 y de otra web; la dirección es correcta, el número es tuyo de medir.)

Compresión Gzip (El .zip del servidor)

Comprime el código (HTML, CSS, JS) antes de enviarlo por el cable. En texto, reduce el peso típicamente a menos de la mitad. Si tu servidor lo soporta, Brotli comprime todavía mejor que Gzip.

1
<IfModule mod_deflate.c>
2
  AddOutputFilterByType DEFLATE text/html text/plain text/xml text/css text/javascript application/javascript application/json
3
</IfModule>

Browser Caching (La mejor petición es la que no se hace)

Le dice al navegador del usuario: “Ya bajaste el logo y los estilos ayer, no los pidas de nuevo hasta el próximo mes”. Ahorra ancho de banda y carga instantánea para usuarios recurrentes.

1
<IfModule mod_expires.c>
2
  ExpiresActive On
3
  # Imágenes: Larga duración (1 año)
4
  ExpiresByType image/jpeg "access plus 1 year"
5
  ExpiresByType image/png "access plus 1 year"
6
  ExpiresByType image/webp "access plus 1 year"
7
  # CSS y JS: Media duración (1 mes)
8
  ExpiresByType text/css "access plus 1 month"
9
  ExpiresByType application/javascript "access plus 1 month"
10
</IfModule>

Un cuidado con el caché largo: si cambias tu CSS y el archivo se sigue llamando estilos.css, tus visitantes recurrentes seguirán viendo el diseño viejo durante un mes. La práctica correcta es que el nombre del archivo cambie con cada versión (estilos.a1b2c3.css), algo que la mayoría de las herramientas de construcción de sitios hace sola.

Keep-Alive (y por qué no se activa aquí)

Keep-Alive permite bajar múltiples archivos por una misma conexión, en lugar de abrir y cerrar una por cada imagen. Pero circula un “truco” que no funciona: poner Header set Connection keep-alive en el .htaccess. Eso solo agrega un encabezado; no activa nada. Keep-Alive se configura en el servidor (la directiva KeepAlive), y en los servidores modernos con HTTP/2 la reutilización de conexiones ya viene incluida. Si tu hosting no lo tiene activo, la conversación es con el proveedor, no con este archivo.

Seguridad y Control Corporativo

Headers de Seguridad (Modern Defense)

No dependas solo de plugins. Inyecta seguridad a nivel de servidor para proteger a tus usuarios.

1
<IfModule mod_headers.c>
2
  # Evita que otros sitios incrusten tu web en un iframe (Clickjacking)
3
  Header always set X-Frame-Options "SAMEORIGIN"
4
  # Evita que el navegador "adivine" el tipo de un archivo
5
  Header always set X-Content-Type-Options "nosniff"
6
  # Controla cuánto de tu URL se comparte al salir hacia otro sitio
7
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
8
  # Fuerza al navegador a usar HTTPS en el futuro (HSTS)
9
  Header always set Strict-Transport-Security "max-age=31536000"
10
</IfModule>

Dos notas sobre lo que no está. X-XSS-Protection aparece en muchas guías, pero los navegadores modernos eliminaron esa protección y la recomendación actual es no usarlo. Y el includeSubDomains del HSTS, que también se copia mucho, obliga a usar HTTPS en todos tus subdominios durante un año: agrégalo solo cuando hayas verificado que todos lo tienen.

Evitar indexación quirúrgica (X-Robots-Tag)

A veces quieres que el PDF sea accesible si tienes el link, pero no quieres que aparezca en Google. El robots.txt es demasiado general; el .htaccess es un francotirador.

1
<Files ~ "\.(pdf|doc|docx)$">
2
  Header set X-Robots-Tag "noindex, noarchive"
3
</Files>

Bloquear listado de directorios

Si un usuario entra a tusitio.com/imagenes/ y no hay un index.html, Apache por defecto lista todos tus archivos. Esto es un riesgo de seguridad masivo.

1
Options -Indexes

Hack: “Modo Mantenimiento VIP”

Cuando el sitio se cae o necesitas hacer un deploy crítico, poner una página de “En Construcción” suele matar el acceso a todos, incluidos los desarrolladores y el equipo de QA.

Este script redirige a todo el mundo a una página de mantenimiento (con código 503 para que Google sepa que es temporal y no desindexe), EXCEPTO a tu oficina o tu IP de casa.

1
RewriteEngine On
2
RewriteBase /
3

4
# IP de la Oficina (Desarrolladores) - ¡Cámbiala por la tuya!
5
RewriteCond %{REMOTE_ADDR} !^123\.45\.67\.89$
6
# IP de Casa (Líder del proyecto)
7
RewriteCond %{REMOTE_ADDR} !^98\.76\.54\.32$
8

9
# Si NO es ninguna de las IPs de arriba, y NO están pidiendo la imagen de mantenimiento
10
RewriteCond %{REQUEST_URI} !^/mantenimiento\.html$
11
RewriteCond %{REQUEST_URI} !^/logo-empresa\.png$
12

13
# Responder 503 (Service Unavailable) mostrando la página de mantenimiento
14
ErrorDocument 503 /mantenimiento.html
15
Header always set Retry-After "3600"
16
RewriteRule .* - [R=503,L]

Fíjate en las dos últimas líneas, porque es donde fallan las versiones que circulan: con un código que no es de redirección, Apache descarta el destino de la regla, así que RewriteRule ^(.*)$ /mantenimiento.html [R=503,L] devuelve un 503 genérico y nunca muestra tu página. La página se entrega con ErrorDocument, y Retry-After le dice a Google en cuánto tiempo volver.

El valor: Permites que el equipo técnico arregle el sitio en producción viendo los cambios en tiempo real, mientras el público y Google ven un aviso profesional de “Volvemos en breve”.