Was ist die wp-config.php und warum ist sie so wichtig?

Die wp-config.php im Hauptverzeichnis ist die Schaltzentrale jeder WordPress-Installation. Sie enthält die Datenbank-Zugangsdaten, die Sicherheitsschlüssel und eine Reihe von Konstanten, mit denen sich das Verhalten und die Sicherheit der Seite steuern lassen. Weil hier so viel zusammenläuft, ist sie ein lohnendes Ziel für Angreifer – und gleichzeitig einer der wirksamsten Orte, um mit wenigen Zeilen die Sicherheit zu erhöhen.

Welche Konstanten härten WordPress ab?

Die wichtigsten sind DISALLOW_FILE_EDIT (deaktiviert den Code-Editor im Backend), FORCE_SSL_ADMIN (erzwingt HTTPS für Login und Backend), WP_DEBUG auf false im Live-Betrieb und neu gesetzte Sicherheitsschlüssel (AUTH_KEY und Co.), die gestohlene Sessions ungültig machen. Ergänzend begrenzen WP_POST_REVISIONS die Revisionen und WP_AUTO_UPDATE_CORE steuert die automatischen Core-Updates.

Was bewirkt DISALLOW_FILE_EDIT?

Die Konstante deaktiviert den eingebauten Code-Editor für Themes und Plugins im WordPress-Backend. Der Nutzen: Selbst wenn ein Angreifer ein Administrator-Konto übernimmt, kann er über das Backend keinen Schadcode mehr direkt in Theme- oder Plugin-Dateien schreiben. Das ist eine der wirksamsten Einzelmaßnahmen und hat für die meisten Seiten keinen praktischen Nachteil, weil der Editor ohnehin selten sinnvoll genutzt wird.

Kann ich die wp-config.php gefahrlos bearbeiten?

Mit Vorsicht ja. Weil ein einziger Tippfehler in dieser Datei die ganze Seite lahmlegen kann, gilt vor jeder Änderung: erst ein Backup der Datei anlegen, dann bearbeiten. Neue Konstanten gehören vor die Zeile That's all, stop editing. Wer unsicher ist, testet die Änderung besser erst auf einer Staging-Kopie.

wp-config.php härten: Die wichtigsten Sicherheits-Konstanten

Die wp-config.php im Hauptverzeichnis ist die Schaltzentrale deiner WordPress-Installation. Hier liegen nicht nur die Datenbank-Zugangsdaten, sondern auch eine Reihe von Konstanten, mit denen du die Seite mit wenigen Zeilen deutlich sicherer machst. Welche das sind und was sie bewirken:

Die wichtigsten Härtungs-Konstanten

DISALLOW_FILE_EDIT – deaktiviert den Code-Editor im Backend. Ein gekapertes Admin-Konto kann dann nicht mehr direkt Schadcode in Theme oder Plugin schreiben. Eine der wirksamsten Einzelmaßnahmen.
FORCE_SSL_ADMIN – erzwingt, dass Backend und Login nur verschlüsselt (HTTPS) laufen. Schützt Zugangsdaten auf dem Transportweg.
WP_DEBUG = false – im Live-Betrieb sollten keine Fehlermeldungen für Besucher sichtbar sein; sie verraten unnötig Details über das System.
WP_POST_REVISIONS – begrenzt die Revisionen pro Beitrag und hält die Datenbank schlank (Performance + Sicherheit).
WP_AUTO_UPDATE_CORE – steuert die automatischen Core-Updates (siehe Auto-Updates richtig einsetzen).
Sicherheitsschlüssel (AUTH_KEY & Co.) – diese Salts verschlüsseln Session-Cookies. Werden sie neu gesetzt, sind alle bestehenden Sessions ungültig – ideal nach einem Verdacht oder Hack.

Generator: deinen Härtungs-Block erzeugen

Wähle die Optionen, kopiere den Block und füge ihn vor die Zeile „That’s all, stop editing!” in deiner wp-config.php ein:

wp-config.php Härtung

Sicherheits-Konstanten generieren

Optionen wählen, Block kopieren – vor „That's all, stop editing!" einfügen. Alles im Browser.

Datei-Editor im Backend deaktivieren DISALLOW_FILE_EDIT – verhindert das Bearbeiten von Theme/Plugin-Code übers Dashboard. Backend nur über HTTPS FORCE_SSL_ADMIN – erzwingt verschlüsselte Logins. Debug-Ausgaben im Live-Betrieb aus WP_DEBUG = false – keine Fehlermeldungen für Besucher.

Beitragsrevisionen begrenzen WP_POST_REVISIONS – hält die Datenbank schlank.

Max. Revisionen

Automatische Core-Updates steuern WP_AUTO_UPDATE_CORE – Minor (empfohlen), alle oder keine.

Alle Datei-Änderungen sperren DISALLOW_FILE_MODS – blockiert auch Plugin-/Theme-/Core-Updates. Nur bewusst setzen. Neue Sicherheitsschlüssel generieren AUTH_KEY & Co. – im Browser zufällig erzeugt. Ersetzt die alten Schlüssel (loggt alle Nutzer aus).

Alles passiert lokal im Browser. Vor Änderungen an der wp-config.php ein Backup anlegen.

Wichtig: Vor jeder Änderung an der wp-config.php ein Backup anlegen. Ein Tippfehler in dieser Datei kann die ganze Seite lahmlegen.

Zwei Konstanten mit Vorsicht

Nicht jede Härtung passt zu jedem Setup. Zwei Konstanten solltest du nur mit klarem Grund setzen:

DISALLOW_FILE_MODS sperrt alle Datei-Änderungen – auch Plugin-, Theme- und Core-Updates. Das ist in streng kontrollierten Setups sinnvoll, in denen Updates ausschließlich über einen Deployment-Prozess laufen. Setzt du es ohne diesen Prozess, bleiben Sicherheitsupdates aus – dann schadet die Konstante mehr, als sie nützt.
DISALLOW_UNFILTERED_HTML verbietet auch Administratoren das Einfügen von ungefiltertem HTML/JavaScript. In Redaktionen mit vielen Autoren erhöht das die Sicherheit, kann aber legitime Einbettungen (z. B. bestimmte Embed-Codes) blockieren – vorher prüfen, ob euer Workflow das verträgt.

Nicht nur Konstanten: der Speicherort zählt

Über die Konstanten hinaus lohnt ein Blick auf die Datei selbst. Restriktive Dateirechte (typisch 600 oder 640) verhindern, dass andere Nutzer auf dem Server sie auslesen. Auf vielen Setups lässt sich die wp-config.php außerdem eine Ebene über das Web-Wurzelverzeichnis verschieben, sodass sie über den Browser gar nicht erst erreichbar ist. Beides ist optional, aber ein sinnvoller Zusatz für sicherheitskritische Seiten.

Wie es zusammenpasst

Die wp-config-Härtung ist eine Ebene von mehreren. Zusammen mit einem abgesicherten Login und regelmäßigen Updates entsteht ein Schutz, der die häufigsten Angriffe ins Leere laufen lässt. Übrigens steuert dieselbe Datei auch das Memory Limit für WordPress – andere Konstante, gleicher Ansatz.

Du willst die wp-config.php und das gesamte Setup sauber abgesichert wissen? Schreib uns kurz – wir härten ab, ohne dass Updates oder Funktionen leiden.