.htaccess, sitenin kök dizininde bulunan ve web sunucusunun her istekte okuduğu düz bir metin dosyasıdır. Kalıcı bağlantıların çalışmasının sebebi odur ve aynı zamanda bir siteyi baştan sona çalışmaz hale getirmenin en hızlı yoludur: yanlış yere düşmüş tek bir karakter, yönetim paneli dâhil her sayfada aynı anda 500 hatası üretir.
Bu birleşim, rehberlerin neden kurallarla değil yön bulmayla başladığını açıklar. Dosyanın ne olduğu, içindeki WordPress tarafından yönetilen bloğun ne yaptığı, sunucunun onu nasıl okuduğu ve herhangi bir değişiklikten önce geri yüklenebilecek bir kopyanın nasıl alınacağı.
Oradan sonra edinilmeye değer kurallar gelir. HTTPS’i zorunlu kılmak, www ile www’siz arasında karar vermek, statik dosyalar için önbellek başlıkları eklemek ve tarayıcılara sayfalara ne kadar sıkı davranacaklarını bildiren güvenlik başlıklarını tanımlamak.
Başka bir grup belirli noktaları sertleştirir: klasör içeriğini açığa çıkaran dizin listelemesini durdurmak, wp-config.php dosyasını erişim dışında tutmak, kullanılmıyorsa XML-RPC’yi engellemek ve başka sitelerin görselleri kendi sayfalarına gömüp bant genişliği harcamasını önlemek.
Geri kalanı kurtarmadır, çünkü bu dosyayı er ya da geç herkes bozar. Bir düzenlemeden sonra gelen 500 hatası, WordPress bloğu kaybolduğunda 404 döndüren kalıcı bağlantılar, sunucunun yazılmasına izin vermediği bir dosya.
Dosyayı daha önce düzenlemiş olanlar için bile başlangıç rehberiyle başlamak yerinde olur. O rehber, buradaki her şeyi güvenle denenebilir kılan geri alma alışkanlığını anlatır.
WordPress güvenlik başlıklarını .htaccess üzerinden aşamalı olarak yapılandırın; CSP kaynaklarını envanterleyin, HSTS kapsamını doğrulayın ve kritik işlevleri bozmadan yayınlayın.
WordPress’te statik dosyalara doğru Cache-Control ve Expires başlıklarını ekleyin; dinamik sayfaları ayırın, CDN çakışmalarını önleyin ve yayın sonrası güncellemeleri güvenle doğrulayın.
WordPress görsellerinin başka sitelerde izinsiz kullanılmasını .htaccess ile sınırlandırın; meşru istekleri koruyun, CDN davranışını doğrulayın ve güvenli bir geri dönüş planı hazırlayın.
XML-RPC’yi kapatmadan önce Jetpack, mobil uygulama ve uzaktan yayın kullanımını doğrulayın; gerekmiyorsa yalnız xmlrpc.php yolunu .htaccess ile engelleyin.
Apache tabanlı WordPress sitelerinde wp-config.php dosyasına doğrudan web erişimini engelleyin; yedek kopyaları kaldırıp dosya izinlerini en dar kapsamda tutun.
Apache tabanlı WordPress sitelerinde dizin listelemeyi .htaccess ile kapatın; hassas dosyaları web kökünden çıkarıp normal medya ve tema dosyalarının çalıştığını doğrulayın.
WordPress ana sayfası çalışırken kalıcı bağlantılar 404 veriyorsa .htaccess rewrite bloğunu, kurulum dizinini ve Apache ayarlarını sistemli biçimde kontrol edin.
WordPress’te www veya www’siz kanonik hostu .htaccess ile güvenle uygulayın; iki hostun DNS, TLS, CDN ve entegrasyon ayarlarını aynı tercihle eşleştirin.
WordPress’te HTTP isteklerini HTTPS’e güvenle yönlendirin; sertifikayı, reverse proxy bilgisini ve mevcut yönlendirmeleri doğrulayarak döngüleri önleyin.
WordPress .htaccess dosyasını her değişiklikten önce sürümlü ve tanımlı biçimde yedekleyin; WordPress çalışmasa bile kullanılabilecek geri yükleme yolunu önceden doğrulayın.