Die wp-config.php ist so etwas wie das Schaltpult Ihrer WordPress-Installation. Hier steht, wie WordPress seine Datenbank erreicht, dazu eine Reihe von Sicherheits- und Konfigurationseinstellungen. Weil diese Datei so zentral ist, hat ein Fehler darin oft drastische Folgen: vom Datenbankfehler bis zum kompletten Stillstand. Umso wichtiger ist es, sie zu verstehen und sorgfältig zu behandeln.
Keine Sorge, Sie müssen kein Programmierer sein, um die wp-config.php zu prüfen. Die entscheidenden Zeilen sind überschaubar und gut zu erkennen. Wichtig ist vor allem eines: immer mit einer Sicherungskopie arbeiten. Dann kann nichts wirklich schiefgehen.
Was in der wp-config.php steht
Der wichtigste Block sind die Datenbank-Zugangsdaten. Vier Angaben entscheiden darüber, ob WordPress seine Inhalte findet:
- Datenbankname. Der Name der Datenbank, in der Ihre Inhalte liegen.
- Benutzername. Der Datenbankbenutzer, der Zugriff hat.
- Passwort. Das zugehörige Passwort dieses Benutzers.
- Datenbank-Server. Die Adresse des Datenbankservers, oft localhost, manchmal eine eigene Hoster-Adresse.
Daneben enthält die Datei Sicherheitsschlüssel, das Tabellen-Präfix und je nach Installation weitere Einstellungen, etwa zum Debugging oder zum Speicherlimit. Für die meisten Probleme sind aber die vier Zugangsdaten der entscheidende Punkt.
So prüfen Sie die Datei richtig
- Sicherungskopie anlegen: Bevor Sie irgendetwas ändern: Laden Sie die wp-config.php herunter und bewahren Sie eine Kopie auf. So können Sie jeden Fehler rückgängig machen.
- Mit einem reinen Texteditor öffnen: Verwenden Sie einen einfachen Editor, kein Textverarbeitungsprogramm. Letztere fügen unsichtbare Zeichen ein, die die Datei beschädigen können.
- Zugangsdaten abgleichen: Vergleichen Sie Datenbankname, Benutzer, Passwort und Server Zeichen für Zeichen mit den Angaben im Hosting-Panel. Genau hier stecken die meisten Fehler.
- Auf Anführungszeichen und Semikolons achten: Jede Zeile folgt einem festen Muster mit Anführungszeichen und einem Semikolon am Ende. Fehlt eines davon oder ist es falsch, bricht die Datei.
- Speichern und testen: Speichern Sie die Datei, laden Sie sie hoch und rufen Sie die Seite auf. Lädt sie, war es das. Wenn nicht, spielen Sie die Sicherungskopie zurück und prüfen erneut.
Der häufigste Fehler: Ein versehentlich gelöschtes Anführungszeichen oder Semikolon. Diese Zeichen sind für die Datei lebenswichtig. Schon ein einziges fehlendes Zeichen führt dazu, dass WordPress gar nicht mehr startet. Genau deshalb ist die Sicherungskopie so wichtig.
Sicherheit: Was Sie zusätzlich tun können
Weil die wp-config.php so sensible Daten enthält, lohnt ein Blick auf ihre Sicherheit. Die Datei sollte für Außenstehende nicht über den Browser abrufbar sein. Die meisten guten Hosting-Setups verhindern das ohnehin, aber es schadet nicht, das zu prüfen. Auch die Dateirechte sollten restriktiv gesetzt sein, sodass nur der Eigentümer die Datei lesen und schreiben kann.
Ein weiterer Sicherheitsbaustein sind die Schlüssel und Salts, eine Reihe zufälliger Zeichenketten, die WordPress zur Absicherung von Anmeldungen nutzt. Wenn Sie den Verdacht haben, dass jemand unbefugt Zugriff hatte, ist der Austausch dieser Schlüssel ein wirksamer Schritt, denn er macht alle bestehenden Anmeldungen ungültig.
Die Datei vor fremden Blicken schützen
Weil in der wp-config.php die Zugangsdaten zur Datenbank stehen, ist sie ein beliebtes Ziel, wenn jemand eine Seite angreifen will. Umso wichtiger ist, dass sie gut geschützt ist. Im Normalfall sorgt WordPress dafür, dass die Datei nicht direkt über den Browser aufgerufen werden kann, aber es lohnt sich, das nicht dem Zufall zu überlassen.
Ein bewährter Schutz ist, den Zugriff auf die Datei über die Serverkonfiguration ausdrücklich zu sperren, sodass niemand ihren Inhalt von außen abrufen kann. Viele Sicherheits-Plugins richten das automatisch ein. Ebenso sinnvoll ist es, die Dateirechte so zu setzen, dass nur der Server selbst die Datei lesen darf und sie nicht für alle zugänglich ist. Das klingt technisch, ist aber mit den richtigen Werkzeugen schnell erledigt.
Ein weiterer Punkt, der oft vergessen wird: Wenn Sie eine Kopie der Datei zur Sicherung anlegen, sollte diese Kopie nicht im öffentlich erreichbaren Bereich liegen und schon gar nicht eine Endung haben, die der Browser als reinen Text anzeigt. Eine Sicherung mit einer harmlosen Endung im falschen Ordner kann die Zugangsdaten ungewollt offenlegen. Bewahren Sie Sicherungen solcher sensiblen Dateien immer außerhalb des Webverzeichnisses auf, etwa lokal auf Ihrem Rechner.
Eine Kopie ist durch nichts zu ersetzen
Der wichtigste Satz zu dieser Datei lässt sich nicht oft genug wiederholen: Ohne Sicherungskopie sollten Sie die wp-config.php niemals anfassen. Sie ist klein, eine Kopie ist in Sekunden gemacht, und sie ist Ihre einzige Rückversicherung. Wer das beherzigt, kann an der Datei nichts dauerhaft kaputtmachen, denn der schlimmste Fall ist immer nur, die funktionierende Kopie zurückzuspielen. Diese eine Gewohnheit trennt einen kurzen Schreckmoment von einem langen Ausfall.
Die Kurz-Checkliste
- Sicherungskopie der Datei angelegt
- Mit einem reinen Texteditor geöffnet, nicht mit einer Textverarbeitung
- Die vier Zugangsdaten Zeichen für Zeichen mit dem Panel abgeglichen
- Anführungszeichen und Semikolons in jeder Zeile geprüft
- Datei für den Browser nicht abrufbar, Dateirechte restriktiv
- Bei Verdacht auf fremden Zugriff die Sicherheitsschlüssel erneuert
Wer die wp-config.php mit dieser Sorgfalt behandelt, hat einen der häufigsten Stolpersteine von WordPress im Griff. Die Datei ist mächtig, aber nicht kompliziert, solange man genau arbeitet und immer eine Kopie in der Hinterhand hat.
Wenn Sie ohnehin gerade an den Grundlagen sind, passen diese Ratgeber: Datenbankverbindung-Fehler, WordPress: weißer Bildschirm und Website absichern.
Häufige Fragen
Sie liegt im Hauptverzeichnis Ihrer WordPress-Installation, also dort, wo auch die Ordner wp-admin und wp-content sind. Sie erreichen sie über FTP oder den Dateimanager Ihres Hosters.
Schon ein fehlendes Anführungszeichen oder Semikolon kann dazu führen, dass WordPress gar nicht mehr lädt, oft mit einem weißen Bildschirm oder einer Fehlermeldung. Deshalb sollten Sie immer eine Sicherungskopie haben, um den Fehler sofort rückgängig machen zu können.
Mit einem reinen Texteditor, der keine Formatierung hinzufügt. Programme wie Word fügen unsichtbare Zeichen ein, die die Datei beschädigen. Geeignet sind einfache Code-Editoren oder der Editor im Dateimanager des Hosters.
Ja. Sie können die Schlüssel und Salts jederzeit durch neue zufällige Werte ersetzen. WordPress stellt dafür sogar einen Generator bereit. Die Folge ist nur, dass alle aktuell angemeldeten Nutzer neu einloggen müssen, was bei Verdacht auf einen Einbruch sogar erwünscht ist.