Die wp-config.php ist die Steuerzentrale deiner WordPress-Installation: Datenbank-Zugang, Sicherheitsschlüssel, Debug-Verhalten, Speicher-Limits — alles läuft über diese eine Datei. Entsprechend gilt: mächtiges Werkzeug, null Fehlertoleranz. Ein Tippfehler legt die komplette Website lahm. Mit der richtigen Arbeitsweise ist sie trotzdem gefahrlos zu bearbeiten.
Sicher bearbeiten: die Grundregeln
- Immer per FTP/SFTP oder Dateimanager — nie über einen Editor im Adminbereich. Geht beim Speichern etwas schief, brauchst du einen Zugang, der nicht von der funktionierenden Website abhängt.
- Vorher Kopie ziehen: Datei herunterladen, als
wp-config.php.baklokal sichern. Der Unterschied zwischen 30 Sekunden Ärger und einem Abend Fehlersuche. - Nur mit Code-Editor (VS Code, Notepad++) arbeiten — Word & Co. zerstören die Datei mit „smarten“ Anführungszeichen und falscher Kodierung.
- Eigene Einträge oberhalb der Stopp-Zeile: Alles Neue gehört vor
/* That's all, stop editing! Happy publishing. */— danach lädt WordPress seine Interna, spätere Definitionen greifen teils nicht mehr. - Nach dem Hochladen sofort testen: Frontend und Admin einmal laden. Bei weißer Seite oder Syntax-Fehler: Sicherungskopie zurückspielen, in Ruhe den Tippfehler suchen (Syntax Error beheben).
Was in der Datei steht
- Datenbank-Zugang:
DB_NAME,DB_USER,DB_PASSWORD,DB_HOST— die vier Werte, die bei Umzügen angepasst werden müssen. Stimmen sie nicht, gibt es den Datenbankverbindungs-Fehler. - Sicherheitsschlüssel: die acht
AUTH_KEY/SALT-Zeilen verschlüsseln Cookies und Sitzungen. Sie lassen sich jederzeit gegen frische von der offiziellen WordPress-API austauschen — alle Nutzer müssen sich danach neu anmelden (nützlich nach einem Sicherheitsvorfall!). - Tabellen-Präfix:
$table_prefix— relevant, wenn du in phpMyAdmin die richtigen Tabellen suchst.
Die nützlichsten Konstanten im Überblick
Diagnose:
define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);
define('WP_DEBUG_DISPLAY', false);
Fehler sichtbar machen, ohne sie Besuchern zu zeigen — Details im Artikel Debug-Modus.
Ressourcen:
define('WP_MEMORY_LIMIT', '256M');
define('WP_MAX_MEMORY_LIMIT', '512M');
Sicherheit & Ordnung:
define('DISALLOW_FILE_EDIT', true); // Datei-Editor im Admin aus
define('WP_POST_REVISIONS', 5); // Revisionen begrenzen
define('WP_AUTO_UPDATE_CORE', 'minor'); // Sicherheits-Updates automatisch
URL-Probleme lösen (Umzug, Redirect-Schleifen, Login-Probleme):
define('WP_HOME', 'https://deine-domain.de');
define('WP_SITEURL', 'https://deine-domain.de');
Sicherheit der Datei selbst
- Dateirechte:
640oder600— restriktiver als normale Dateien, denn hier stehen Datenbank-Zugangsdaten im Klartext. - Nie öffentlich machen: Keine Kopien wie
wp-config.php.txtoderwp-config-alt.phpim Webroot liegen lassen — Textdateien liefert der Server lesbar aus, mitsamt deiner Passwörter. - Ein zusätzlicher .htaccess-Block schadet nicht:
<Files wp-config.php>
Require all denied
</Files>
Bei Ammera Care gehören die wp-config-Grundeinstellungen zum Onboarding-Check: Debug aus auf Produktion, sinnvolle Limits, Datei-Editor gesperrt, Revisionen begrenzt — die unspektakulären Handgriffe, die Websites jahrelang stabil halten. Die Module ansehen.
