Comment sécuriser son fichier .htaccess pour améliorer le SEO et la sécurité de WordPress ?

Le .htaccess est le fichier le plus sous-estimé d’un site WordPress. Mal configuré, il ouvre wp-config.php aux robots, laisse fuiter la bande passante en hotlinking et peut casser le crawl d’un coup si une seule ligne est mal écrite. Bien tenu, il ferme des portes que ni un plugin de sécurité ni un firewall applicatif ne referment aussi proprement.

Ce que fait réellement le .htaccess sur WordPress

Un point de terminologie d’abord, parce qu’il évite bien des confusions : le .htaccess ne gère pas l’indexation. Ce rôle revient à robots.txt et aux balises meta. Le .htaccess, lui, agit au niveau du serveur Apache, avant même que WordPress ne s’exécute. C’est lui qui réécrit les permaliens, qui peut bloquer une requête au premier octet, qui décide si un fichier PHP est accessible ou renvoie un 403.

Concrètement, WordPress dépose un bloc de règles par défaut entre les commentaires # BEGIN WordPress et # END WordPress, dédié à la réécriture des permaliens. Tout ce qui sécurise le site vient s’ajouter autour, en général avant ce bloc généré automatiquement (pour ne pas être écrasé à la prochaine régénération des permaliens).

Un site peut aussi avoir plusieurs .htaccess : un à la racine, et d’autres dans des sous-dossiers comme wp-admin ou wp-content/uploads, avec des règles qui s’appliquent en cascade. C’est cette architecture en couches qui permet de restreindre finement sans toucher au cœur du CMS.

Les failles qu’un .htaccess mal réglé laisse ouvertes

Trois familles de risques reviennent systématiquement sur les audits que je mène :

Le premier, c’est l’exposition des fichiers sensibles : wp-config.php donc, mais aussi les fichiers de log, les sauvegardes .sql oubliées à la racine, ou un .htaccess lui-même modifiable de l’extérieur. Le second, c’est l’absence d’en-têtes de sécurité : sans X-Frame-Options ni protection anti-clickjacking, une page WordPress peut être intégrée dans un iframe malveillant. Le troisième, plus SEO que sécurité au sens strict, c’est le hotlinking : un site tiers affiche vos images en pointant directement vers vos URLs, et c’est votre bande passante qui paie la note, avec un impact direct sur le temps de chargement perçu par vos vrais visiteurs.

Les règles de sécurisation à poser en priorité

Voici les blocs qui apportent le plus de protection pour le moins de risque de casse. Chacun se teste isolément avant d’ajouter le suivant.

1. Bloquer l’accès direct à wp-config.phpAjoutez un bloc <files wp-config.php> avec order allow,deny et deny from all. C’est la règle la plus rentable du fichier entier : elle ferme la faille la plus recherchée par les scans automatisés.
2. Désactiver le listing des répertoiresLa directive Options All -Indexes empêche l’affichage du contenu d’un dossier quand il ne contient pas d’index. Sans elle, n’importe qui peut lister le contenu de wp-content/uploads dans un navigateur.
3. Protéger le .htaccess lui-mêmeUn bloc <files .htaccess> avec deny from all empêche la lecture ou l’écriture externe du fichier qui contient vos règles de sécurité.
4. Restreindre l’accès à wp-admin par IPSi vous travaillez depuis une IP fixe ou un VPN d’agence, une restriction par Require ip (Apache 2.4) est plus robuste qu’un simple mot de passe, sans bloquer les robots légitimes qui n’ont rien à faire dans wp-admin de toute façon.
5. Ajouter les en-têtes anti-clickjacking et XSSHeader set X-Frame-Options SAMEORIGIN et Header set X-XSS-Protection "1; mode=block" ferment deux vecteurs d’attaque courants sans aucun effet sur le SEO ni sur l’affichage.
6. Bloquer le hotlinking sur les imagesUne règle RewriteCond %{HTTP_REFERER} qui exclut votre propre domaine coupe l’affichage externe non autorisé et récupère de la bande passante, donc de la vitesse de chargement pour Google comme pour vos visiteurs.

L’impact direct sur le SEO technique

Le lien entre .htaccess et référencement n’est pas cosmétique. Trois points concrets, souvent oubliés :

D’abord, les redirections. C’est le .htaccess qui force le www vers le non-www (ou l’inverse) et qui gère la bascule HTTP vers HTTPS. Sans une règle propre et unique, vous créez du contenu accessible en double, dilué entre plusieurs versions d’URL aux yeux de Google. Ensuite, la performance : chaque hotlink non bloqué consomme de la bande passante serveur, ce qui dégrade le temps de réponse global du site, un signal que Google mesure directement via les Core Web Vitals. Enfin, la stabilité du crawl : une règle mal écrite dans le .htaccess peut renvoyer une erreur 500 sur l’ensemble du site. Si Googlebot tombe sur cette erreur pendant une exploration, il peut réduire la fréquence de crawl du domaine dans les jours qui suivent, en attendant que le site redevienne fiable.

Les erreurs qui cassent tout le site

Une syntaxe incorrecte dans le .htaccess produit presque toujours la même chose : une erreur 500 Internal Server Error, sur l’intégralité du domaine, immédiatement. C’est la raison pour laquelle on ne modifie jamais ce fichier en direct sur un site en production sans filet.

Avant toute modification : téléchargez une copie du fichier actuel en local. Si le site devient inaccessible après une sauvegarde, remettre l’ancienne version répare la situation en quelques secondes par FTP, sans attendre un support technique. Gardez aussi un accès par IP dédié pendant vos interventions, via une condition RewriteCond %{REMOTE_ADDR} : cela évite de vous verrouiller vous-même hors de wp-admin en testant une restriction d’accès.

Checklist avant de sauvegarder le fichier

Si le sujet dépasse le simple copier-coller de règles, notamment sur un site à fort trafic où une erreur 500 de quelques minutes a un coût réel, faire appel à un spécialiste SEO WordPress pour auditer le fichier avant modification évite le mauvais scénario du site down un vendredi soir.

Ce fichier n’est qu’une pièce du puzzle technique. La structuration des catégories et tags et le traitement des pages d’attachment mal indexées relèvent de la même logique : des pièges natifs du CMS qui, non traités, grignotent le crawl budget et la clarté du site pour Google.

En résumé

Le .htaccess n’est ni un fichier à ignorer ni un terrain d’expérimentation. Six règles bien posées suffisent à fermer l’essentiel des failles courantes, sans plugin supplémentaire ni ralentissement du site. La règle d’or reste la même à chaque intervention : une sauvegarde avant, un test après, une seule modification à la fois.