--- title: "Wat is htaccess? Uitleg en betekenis | Keurig Online" description: "Een .htaccess bestand is een configuratiebestand voor Apache webservers waarmee je per directory instellingen kunt wijzigen zonder toegang tot de hoofdconfiguratie." canonical: https://www.keurigonline.nl/begrippenlijst/htaccess last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # htaccess Een .htaccess bestand is een configuratiebestand voor Apache webservers waarmee je per directory instellingen kunt wijzigen zonder toegang tot de hoofdconfiguratie. Actueel: [CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive) Het .htaccess bestand staat voor "hypertext access" en is een krachtig configuratiebestand voor Apache HTTP Server. Het stelt websitebeheerders in staat om per directory instellingen aan te passen zonder directe toegang tot de hoofdconfiguratie van de server. Dit maakt het ideaal voor shared hosting omgevingen. Via .htaccess kun je URL's herschrijven met mod\_rewrite, redirects instellen, toegangscontrole regelen en beveiligingsheaders toevoegen. Veel voorkomende toepassingen zijn het forceren van HTTPS, het maken van vriendelijke URL's, het blokkeren van ongewenste bezoekers en het instellen van custom error pages. Het bestand wordt bij elke HTTP request ingelezen door Apache. Wijzigingen werken daarom direct zonder dat je de webserver hoeft te herstarten. Dit is handig voor snelle aanpassingen, maar kan bij intensief gebruik de performance beïnvloeden. Bij KeurigOnline gebruiken we .htaccess bestanden vooral voor URL rewriting, security headers en redirects. Voor optimale performance plaatsen we waar mogelijk configuraties in de virtuele host configuratie in plaats van in .htaccess bestanden. ## Geschiedenis Het .htaccess concept ontstond in de beginjaren van het Apache HTTP Server project. [Apache HTTP Server](https://httpd.apache.org/) werd in 1995 publiek uitgebracht, gebaseerd op de NCSA HTTPd server die ontwikkeld was door [Rob McCool](https://en.wikipedia.org/wiki/Rob_McCool) aan de University of Illinois. De .htaccess functionaliteit was vanaf het begin onderdeel van Apache om gebruikers zonder root-toegang toch configuratiemogelijkheden te bieden. Dit was revolutionair voor shared hosting providers die in de jaren '90 opkwamen. De naam "htaccess" verwijst naar de oorspronkelijke toepassing: access control voor directories. In de loop der jaren werd .htaccess steeds krachtiger, vooral door de toevoeging van [mod\_rewrite](https://httpd.apache.org/docs/current/mod/mod_rewrite.html) in Apache 1.2 (1996). Deze module maakte URL rewriting mogelijk en werd een essentieel onderdeel van moderne webapplicaties voor het creëren van SEO-vriendelijke URL's. Sinds Apache 2.4 (2012) is .htaccess standaard uitgeschakeld via de AllowOverride directive. Dit bevordert betere performance, omdat de server niet bij elke request alle directories hoeft te scannen naar .htaccess bestanden. Beheerders moeten .htaccess expliciet activeren waar nodig. ## Bronnen **Online bronnen:** 1. **Apache Software Foundation** - [Apache Tutorial: .htaccess files](https://httpd.apache.org/docs/current/howto/htaccess.html) 2. **Apache Software Foundation** - [Apache Module mod\_rewrite](https://httpd.apache.org/docs/current/mod/mod_rewrite.html) 3. **MDN Web Docs** - [Apache Configuration: .htaccess](https://developer.mozilla.org/en-US/docs/Learn/Server-side/Apache_Configuration_htaccess) 4. **OpenLogic** - [Apache HTTP Server Overview: Features, Use Cases, and Alternatives](https://www.openlogic.com/blog/apache-http-server) **Boeken:** 1. **Laurie, B. & Laurie, P. (2003)** - *Apache: The Definitive Guide, 3rd Edition*. O'Reilly Media. ISBN: 978-0596002039 ## Gerelateerde artikelen WordPress 30 okt 2026 [WordPress updateproces beveiligen tegen RCE: update 7.1.4](https://www.keurigonline.nl/blog/wordpress-updateproces-beveiligen-tegen-rce) Ga naar Dashboard > Updates en klik op Nu bijwerken[\[1\]](https://wordpress.org/news/2026/10/wordpress-7-1-4/). Controleer daarna het versienummer onder Dashboard > Updates. Staat er nog 7.1.3 of lager, dan is de update niet gelukt en zit je nog in het risico. ### 2. Blokkeer webtoegang tot wp-content/upgrade/ Niemand hoeft die map via de browser te openen. Servers die webtoegang tot `wp-content/upgrade/` blokkeren, zijn niet via deze race bereikbaar[\[2\]](https://patchstack.com/articles/wordpress-7-1-4-security-release/). Op een LiteSpeed- of Apache-server met DirectAdmin zet je deze regel in de `.htaccess` in de hoofdmap van je site: ```apache # Blokkeer webtoegang tot de tijdelijke updatemap van WordPress. # WordPress gebruikt deze map via het bestandssysteem, niet via HTTP, # dus updates blijven gewoon werken. RedirectMatch 403 ^/wp-content/upgrade/ ``` WordPress 29 okt 2026 [WordPress backup maken: 3 manieren + terugzettest \| KeurigOnline](https://www.keurigonline.nl/blog/wordpress-backup-maken) - **`wp-content/themes` en `wp-content/plugins`:** je thema, eventuele aanpassingen daarin en alle plugins. - **`wp-config.php`:** de koppeling met je database, plus je beveiligingssleutels. - **`.htaccess`:** je permalinks, redirects en eventuele serverregels. De WordPress-kern zelf (`wp-admin` en `wp-includes`) kun je altijd opnieuw downloaden. Neem hem toch mee: dan zet je precies dezelfde versie terug. Beveiliging 22 okt 2026 [CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive) De drop-in hoort daarbij ook in de echte map te staan, anders wist de nachtelijke CageFS-update hem weer uit het skeleton. ### PHP\_INI\_PERDIR `session.upload_progress.enabled` is een `PHP_INI_PERDIR`-directive\[6\]. Een `php_flag` in een `.htaccess` (mod\_php, LiteSpeed) of een regel in `.user.ini` (FPM) kan hem dus per map weer aanzetten. Oude installaties hebben zulke regels soms nog. Vraag je klanten daarom om dat niet te doen, of zet de waarde met `php_admin_value` in de pool-configuratie vast. Draai je PHP 8.5 en kun je nog niet patchen, zet dan ook `fatal_error_backtraces = 0`: dat sluit de tweede bevestigde producer van CVE-2026-109619\[2\]. ## Configuratie is geen runtime De belangrijkste les van de ochtend. Een check op de opdrachtregel leest de ini vers in, maar de FPM-master leest zijn configuratie alleen bij het starten of bij een reload. Staat de drop-in er pas sinds vanochtend en is de pool sinds vannacht niet herladen, dan zegt `php -r` "0" terwijl elke worker die bezoekers bedient nog met upload progress aan draait. Wij hebben daarom niet de configuratie gemeten, maar het tijdstip van de laatste reload naast de mtime van de drop-in gelegd: