Auf dieser Seite: [ausblenden]
One stray character in wp-config.php, a missing semicolon or a deleted quote, and your entire WordPress site turns into a white screen. That same file is also where you fix slow admin pages, lock out the dashboard code editor, and switch on the log that tells you what actually broke. It’s the most powerful file in your install and the easiest one to wreck.
Schnelle Antwort: wp-config.php is the PHP file in your WordPress root folder that holds your database login, your security keys, and dozens of optional settings WordPress reads before the rest of the site loads. You’ll find it next to the wp-admin and wp-content folders. Edit it through your host’s File Manager or SFTP, use a plain text editor (never Word), and back it up before you touch a single line.
Zuletzt überprüft: Juni 2026. Settings verified against WordPress 7.0 and the official developer.wordpress.org documentation.
What wp-config.php Actually Does (and Where to Find It)
WordPress loads wp-config.php near the very start of every request, before most of the core code runs. The file’s job is to define a handful of PHP constants and one variable (the table prefix) that tell WordPress how to connect to its database and how to behave. No working wp-config.php means no site. Full stop.
You’ll find it in your WordPress root directory, the same folder that holds wp-admin, wp-includes, und wp-content. On most shared hosts that folder is called public_html or www. On a VPS it’s usually something like /var/www/html.
Fresh downloads of WordPress don’t ship with wp-config.php at all. They ship with wp-config-sample.php. The famous five-minute install copies that sample, fills in your database details, and saves the result as the real file. If you ever see wp-config-sample.php sitting in your root, that’s the template, not the live config. Editing it does nothing.
Here’s the part people miss: even on WordPress 7.0, this file works exactly the way it did a decade ago. The constants change and new ones get added, but the mechanism is the same plain-PHP setup. That’s why one outdated tutorial can still break a modern site. Viele verwaltetes WordPress-Hosting platforms now lock, ausblenden, or partly auto-generate this file, so check your host’s rules before you go editing.
How to Edit wp-config.php Safely
Back up the file first. Immer. Laden Sie eine Kopie auf Ihren Computer herunter, bevor Sie etwas ändern, Eine fehlerhafte Bearbeitung ist also eine 30-sekündige Wiederherstellung und keine Mitternachtspanik. Dies ist umso wichtiger, wenn Sie sich mitten in einem befinden Site-Migration, wo die Datenbankdetails bereits im Fluss sind.
Es gibt vier gängige Möglichkeiten:
- Dateimanager (cPanel/Host-Panel): Finden Sie die Datei, Rechtsklick, Wählen Sie Bearbeiten. Am einfachsten für Anfänger, Keine Software erforderlich.
- SFTP oder FTP: Verbinden Sie sich mit einem Client wie FileZilla, Laden Sie die Datei herunter, lokal bearbeiten, lade es wieder hoch. Am besten, wenn Sie sowieso eine lokale Kopie wünschen.
- WP-CLI: Laufen
wp config set WP_DEBUG true --rawüber die Befehlszeile. Schnell und tippsicher, sobald Sie eingerichtet sind. - SSH mit Nano oder Vim: Bearbeiten Sie direkt auf dem Server. Für Menschen, die im Terminal wohnen.
Zwei Regeln bewahren Sie vor Ärger. Verwenden Sie einen Code-Editor oder Nur-Text-Editor (VS-Code, Notizblock, Nano), niemals ein Textverarbeitungsprogramm. Word und Pages fügen unsichtbare Formatierungszeichen hinzu, die gültiges PHP in Müll verwandeln. Und neue Zeilen setzen über der Kommentar, der lautet:
/* Das ist alles, Hören Sie auf zu bearbeiten! Viel Spaß beim Veröffentlichen. */
Alles, was Sie unterhalb dieser Zeile einfügen, kann ignoriert werden oder, schlechter, brechen Sie die Datei. PHP ist auch wählerisch. Jeder define() braucht seine Zitate, sein Komma, und ein abschließendes Semikolon. Wenn Sie einen verpassen, sehen Sie den weißen Bildschirm des Todes. Also bearbeiten, speichern, Laden Sie dann Ihre Website in einem neuen Tab neu, bevor Sie den Editor schließen. Wenn es lädt, Du bist gut.
wp-config.php Constants Cheat Sheet
Vor dem Tieftauchgang, Hier ist die schnelle Karte: die Konstanten, nach denen Sie tatsächlich greifen werden, mit ihren Standardwerten, sofern vorhanden. Eine ausführliche Erklärung erhalten Sie jeweils weiter unten.
DB_NAME,DB_USER,DB_PASSWORD,DB_HOST: die Datenbankverbindung (erforderlich, keine Standardeinstellungen).$table_prefix: Präfix der Datenbanktabelle (Standardwp_).- Die Acht
AUTH_KEYundAUTH_SALTLinien: Login-Cookie-Sicherheit (kein Standard, Du erzeugst sie). WP_DEBUG,WP_DEBUG_LOG,WP_DEBUG_DISPLAY: Fehlerprotokollierung (alles standardmäßig ausgeschaltet).WP_MEMORY_LIMIT: Front-End-PHP-Speicher (Standard 40M, 64M auf Multisite).WP_POST_REVISIONS: gespeicherter Bearbeitungsverlauf (standardmäßig unbegrenzt).AUTOSAVE_INTERVAL: Lückeneditor für die automatische Speicherung (Standard 60 Sekunden).EMPTY_TRASH_DAYS: Müllaufbewahrung (Standard 30 Tage).DISABLE_WP_CRON: Deaktivieren Sie den vom Besucher ausgelösten Planer (Standard: Der Scheduler läuft).DISALLOW_FILE_EDIT: Beenden Sie den Dashboard-Code-Editor (Standard: Bearbeitung erlaubt).FORCE_SSL_ADMIN: Erzwinge HTTPS bei Anmeldung und Administrator (Standardmäßig deaktiviert).FS_METHOD: wie WordPress Dateien schreibt (Standard: automatisch erkannt).WP_AUTO_UPDATE_CORE: Kernrichtlinie für automatische Updates (Standardminor).WP_ENVIRONMENT_TYPE: Website-Label, lokal / Entwicklung / Inszenierung / Produktion (Standardproduction).WP_HOME,WP_SITEURL: hartcodierte Site-Adresse (kein Standard, aus der Datenbank gelesen).
The Required Settings: Database Credentials
Vier Werte sind nicht verhandelbar. Ohne sie kann WordPress seine Datenbank nicht erreichen, und du wirst das Gefürchtete sehen “Datenbankverbindung fehlgeschlagen” Nachricht anstelle Ihrer Homepage.
definieren( 'DB_NAME', 'Ihr_Datenbankname' ); definieren( 'DB_USER', 'your_database_user' ); definieren( 'DB_PASSWORD', 'Ihr_starkes_Passwort' ); definieren( 'DB_HOST', 'localhost' );
DB_HOST ist localhost auf den meisten Shared Hosting, Viele Hosts verwenden jedoch einen dedizierten Datenbankserver mit einer anderen Adresse oder einem nicht standardmäßigen Port (geschrieben als hostname:3307). Wenn eine Verbindung fehlschlägt und Ihr Benutzername und Ihr Passwort korrekt sind, Der Hostwert ist der übliche Schuldige. Die genaue Zeichenfolge finden Sie in der Dokumentation Ihres Hosts.
Zwei weitere Datenbankzeilen runden das Ganze ab. DB_CHARSET eingestellt ist utf8mb4 auf aktuellen Installationen, Der Zeichensatz, der Emoji und die gesamte Palette der Weltsprachen unterstützt. DB_COLLATE bleibt in fast allen Fällen leer, Dadurch kann MySQL automatisch die richtigen Sortierregeln auswählen.
Dann gibt es noch das Tabellenpräfix, Das ist keine Konstante, sondern eine Variable:
$table_prefix = 'wp_';
Die Standardeinstellung ist wp_. In einigen Sicherheitsleitfäden wird empfohlen, den Wert in einen zufälligen Wert zu ändern, um automatisierten SQL-Injection-Angriffen auszuweichen. Ehrlich, Der Schutz gegen jeden Angreifer, der sich bereits in Ihrer Datenbank befindet, ist gering, und wenn Sie es auf einer Live-Site ändern, müssen Sie Tabellen umbenennen und zwei serialisierte Werte manuell aktualisieren. Legen Sie bei Bedarf bei der Installation ein benutzerdefiniertes Präfix fest. Machen Sie sich nicht die Mühe, es nur aus Sicherheitsgründen auf einer laufenden Website umzuschreiben.
Security Keys and Salts
Unterhalb des Datenbankblocks befindet sich eine Wand aus langen Zufallszeichenfolgen: acht davon, vier “Schlüssel” und vier “Salze.”
definieren( 'AUTH_KEY', 'long-random-string-here' ); definieren( 'SECURE_AUTH_KEY', 'long-random-string-here' ); definieren( 'LOGGED_IN_KEY', 'long-random-string-here' ); definieren( 'NONCE_KEY', 'long-random-string-here' ); definieren( 'AUTH_SALT', 'long-random-string-here' ); definieren( 'SECURE_AUTH_SALT', 'long-random-string-here' ); definieren( 'LOGGED_IN_SALT', 'long-random-string-here' ); definieren( 'NONCE_SALT', 'long-random-string-here' );
Diese verschlüsseln die Anmeldecookies und Sitzungstoken, die WordPress in Ihrem Browser speichert. Mit stark, einzigartige Werte, Ein gestohlener Keks ist viel schwerer zu fälschen. Sie tippen diese Tasten nie ein und müssen sie sich auch nie merken. Sie müssen nur lang sein, zufällig, und auf jeder Seite anders.
Genau dafür betreibt WordPress einen kostenlosen Generator. Besuchen https://api.wordpress.org/secret-key/1.1/salt/ in Ihrem Browser und es werden acht neue Zeilen zurückgegeben. Kopieren Sie sie direkt über den alten Block. Erledigt.
Hier ist der wirklich nützliche Trick: diese Werte zu ändern meldet jeden Benutzer sofort ab, including any attacker riding a hijacked session. After a suspected breach, password resets alone won’t kick an intruder whose cookie is still valid. Rotating the salts will. It’s the fastest “log everyone out everywhere” button WordPress has.
Debug Mode: Turning On the Error Log
When something breaks and you’ve no idea why, wp-config.php holds the flashlight. The main switch is WP_DEBUG, off by default:
definieren( 'WP_DEBUG', wahr );
On its own, that splashes PHP errors across your live pages, which looks alarming to visitors and leaks server paths to anyone watching. So you almost never use it alone. The safe live-site recipe sends errors to a private file instead of the screen:
definieren( 'WP_DEBUG', wahr ); definieren( 'WP_DEBUG_LOG', wahr ); definieren( 'WP_DEBUG_DISPLAY', falsch );
With this set, errors quietly pile up in /wp-content/debug.log, the default location. Your visitors see nothing. You read the log over SFTP, find the plugin or theme throwing warnings, repariere es, then switch all three back to false. Noch eine Flagge, SCRIPT_DEBUG, forces WordPress to load the full unminified versions of its core CSS and JavaScript, which helps when you’re chasing a front-end glitch.
Can you point the log somewhere outside the public folder? Ja. Pass a full path instead of true, zum Beispiel define( 'WP_DEBUG_LOG', '/home/you/logs/wp-errors.log' );. That keeps the log off the web entirely, which is the safer choice on any site that handles real traffic.
Performance and Content Settings
This is where wp-config.php stops being plumbing and starts buying you speed and sanity. None of these lines exist by default. You add the ones you need.
definieren( 'WP_MEMORY_LIMIT', '256M' ); definieren( 'WP_MAX_MEMORY_LIMIT', '512M' ); definieren( 'WP_POST_REVISIONS', 5 ); definieren( 'AUTOSAVE_INTERVAL', 120 ); definieren( 'EMPTY_TRASH_DAYS', 7 ); definieren( 'DISABLE_WP_CRON', wahr );
WP_MEMORY_LIMIT caps how much memory the front end can use. WordPress defaults to 40M for single sites und 64M for multisite, which heavy plugins blow through fast. Eine Erhöhung auf 256 Mio. ist üblich. WP_MAX_MEMORY_LIMIT deckt nur Administratoraufgaben wie Bildverarbeitung ab und ist standardmäßig auf 256 MB eingestellt. Wenn Sie immer wieder auf Speicherfehler stoßen, egal was Sie hier einstellen, Dein Gastgeber ist die Decke, Und das ist der Moment, über den Wechsel von Shared Hosting zu a nachzudenken VPS mit echten Ressourcen.
Die Inhaltseinstellungen verhindern das Aufblähen der Datenbank. WP_POST_REVISIONS Standardmäßig ist true, Das heißt, WordPress speichert unbegrenzte Kopien jeder Bearbeitung. Auf einem geschäftigen Blog, der Ihre Beitragstabelle stillschweigend verdreifacht. Begrenzen Sie es auf 5 Behält einen nützlichen Rückgängig-Verlauf ohne Aufblähung. AUTOSAVE_INTERVAL Standardmäßig ist 60 Sekunden; verdoppelt es auf 120 Entlastet einen langsamen Server. Und EMPTY_TRASH_DAYS Standardmäßig ist 30, Daher bleiben gelöschte Beiträge einen Monat lang bestehen, es sei denn, Sie kürzen sie.
Sie möchten Revisionen auf einer Website, die sie nie benötigt, vollständig löschen? Satz define( 'WP_POST_REVISIONS', false );. Denken Sie daran, dass Sie dabei das Rollback-Sicherheitsnetz verlieren.
Die letzte Zeile im Block, DISABLE_WP_CRON, ist die Lösung für die Schlafgeschwindigkeit. Standardmäßig führt WordPress seine geplanten Aufgaben aus (Beiträge veröffentlichen, Müll beschneiden, Überprüfung von Updates) auf einem Pseudo-Cron, der immer dann ausgelöst wird, wenn jemand eine Seite lädt. Auf einer stark frequentierten Website wird es viel zu oft ausgelöst; auf einem ruhigen, Geplante Beiträge können verspätet veröffentlicht werden, weil kein Besucher erschienen ist. Wenn Sie es auf true setzen, wird dies verhindert, Tun Sie dies jedoch nur, wenn Sie einen echten Server-Cron-Job hinzufügen, der nach einem festen Zeitplan auf wp-cron.php zugreift. Überspringen Sie diesen Schritt und Ihre geplanten Beiträge werden einfach nicht mehr veröffentlicht. Eine verwandte Flagge: Caching-Plugins wie WP Rocket oder W3 Total Cache eingestellt WP_CACHE automatisch auf „true“ umstellen, Sie fügen es also selten von Hand hinzu.
Security Hardening Through wp-config.php
Ein paar kurze Zeilen schließen einige der häufigsten Angriffstüren in WordPress. Beginnen Sie mit dem Dashboard-Code-Editor, which lets anyone with admin access rewrite your theme and plugin PHP straight from the browser. One compromised login and an attacker owns your files. Shut it off:
definieren( 'DISALLOW_FILE_EDIT', wahr );
Want to go further on a locked-down site? DISALLOW_FILE_MODS blocks all plugin and theme installs, Aktualisierung, and deletions from the dashboard. It’s heavy-handed, so reserve it for sites where changes only ever happen through deployment, not the admin panel.
Nächster, force every login and admin page over HTTPS so passwords and cookies never travel in plain text:
definieren( 'FORCE_SSL_ADMIN', wahr );
Two more moves happen outside the file’s contents. Zuerst, you can relocate wp-config.php one directory above your WordPress root. WordPress checks the parent folder automatically, and the file then sits outside the public web path, Daher kann eine Fehlkonfiguration des Servers es niemals als Klartext bereitstellen. Zweite, Dateiberechtigungen verschärfen. Das Übliche 644 ermöglicht es anderen Benutzern auf einem gemeinsam genutzten Server, Ihre Datei zu lesen; stellen Sie es ein 600 oder 440 Das kann also nur der Eigentümer. Sie können auch eine .htaccess-Regel hinzufügen, die alle Webanfragen für die Datei ablehnt. Ziehen Sie es vor, nichts davon selbst zu verwalten? Gut verwaltetes WordPress-Hosting verwaltet Dateiberechtigungen, SSL, und Härtung auf Serverebene für Sie.
Environment and Modern Constants
Neuere WordPress-Versionen fügten Konstanten hinzu, die in älteren Tutorials übersprungen wurden, und es lohnt sich, sie kennenzulernen 2026.
WP_ENVIRONMENT_TYPE kennzeichnet, um welche Art von Website es sich handelt. Es akzeptiert vier Werte: local, development, staging, und production (die Standardeinstellung). Plugins lesen es, um sich je nach Umgebung unterschiedlich zu verhalten. Ein praktischer Nebeneffekt: wenn Sie es einstellen development, WordPress aktiviert WP_DEBUG automatisch für Sie.
definieren( 'WP_ENVIRONMENT_TYPE', 'Inszenierung' );
In WordPress hinzugefügt 6.3, WP_DEVELOPMENT_MODE ist ein anderer Schalter für aktive Bauarbeiten. Es braucht core, plugin, theme, all, oder eine leere Zeichenfolge (die Standardeinstellung). Theme-Builder verwenden die theme Wert ändert sich also zu theme.json werden sofort angezeigt, ohne dass ein Cache-Flush erforderlich ist. Lassen Sie es auf jeder Live-Site leer; Es deaktiviert Caches, die in der Produktion ausgeführt werden sollen.
Zwei erfahrene Konstanten verdienen immer noch ihren Platz. WP_HOME und WP_SITEURL Codieren Sie Ihre Site-Adresse fest. Wenn Sie sie festlegen, werden Umleitungsschleifen nach einem Domänenwechsel behoben und eine Datenbanksuche auf jeder Seite übersprungen, ein kleiner Geschwindigkeitsgewinn. Sie werden als Erstes festgelegt, wenn eine Migration dazu führt, dass Ihre Website auf die falsche URL verweist:
definieren( 'WP_HOME', 'https://example.com' ); definieren( 'WP_SITEURL', 'https://example.com' );
Ein letzter Hinweis zu Updates: WP_AUTO_UPDATE_CORE Standardmäßig ist 'minor', Ihre Site installiert also automatisch Sicherheits- und Wartungsversionen, wartet aber bei großen Versionssprüngen auf Sie. Diese Standardeinstellung ist für die meisten Menschen sinnvoll. Stellen Sie es ein true für vollständige automatische Updates oder false alles selbst erledigen.
Common wp-config.php Mistakes (and Fast Fixes)
Most wp-config.php disasters trace back to five errors. Recognize them and you’ll fix in minutes what otherwise costs hours.
White screen right after saving. You broke the PHP syntax: a missing quote, comma, or semicolon, or you pasted code below the “Hören Sie auf zu bearbeiten” Linie. Restore your backup, or fix the exact line. This is why you copied the file first.
“Error establishing a database connection.” One of your four database values is wrong, or the database server is down. Re-check DB_HOST first (it’s the sneakiest), then the username and password against what your host shows in its panel.
Edits do nothing. You’re editing wp-config-sample.php instead of the live wp-config.php, or a caching layer is serving an old page. Confirm the filename, then clear your cache.
Changes vanish after an update. You added lines below the stop-editing comment, and WordPress ignored them. Verschieben Sie Ihre benutzerdefinierten Definitionen über diese Linie und sie bleiben hängen.
WordPress fragt nach FTP-Anmeldeinformationen. Dies geschieht bei jedem Update, da der Server Dateien nicht direkt schreiben kann, Daher bettelt WordPress wieder um eine Verbindung. Hinzufügen define( 'FS_METHOD', 'direct' ); damit es direkt auf die Festplatte schreiben kann. Wenn dies stattdessen Berechtigungsfehler auslöst, Die eigentliche Lösung besteht darin, den Dateieigentum auf dem Server zu korrigieren, nicht diese Zeile.
Häufig gestellte Fragen
Where is the wp-config.php file located?
In Ihrem WordPress-Stammverzeichnis, derselbe Ordner, der den wp-admin enthält, wp-includes, und wp-content-Ordner. Beim Shared Hosting heißt dieser Ordner normalerweise public_html oder www. Auf einem VPS ist es normalerweise /var/www/html. Erreichen Sie es über den Dateimanager Ihres Hosts oder einen SFTP-Client.
Is it safe to edit wp-config.php?
Ja, solange Sie zuerst die Datei sichern und einen Nur-Text- oder Code-Editor verwenden, kein Textverarbeitungsprogramm. The risk isn’t the file itself, it’s a typo in the PHP, which produces a white screen. Save your edit, reload the site in a new tab to confirm it works, and keep the backup until you’re sure.
What happens if I delete wp-config.php?
Your site stops loading and WordPress redirects to the setup screen, since it can’t find the database credentials. Your content is safe because it lives in the database, not the file. Restore your backup or rebuild the file from wp-config-sample.php with your database details, and the site returns.
How do I fix “Datenbankverbindung fehlgeschlagen” through wp-config.php?
Open the file and check the four database values. DB_HOST is wrong most often, so verify it against your host’s panel (it isn’t always “localhost”). Then confirm DB_NAME, DB_USER, and DB_PASSWORD match your actual database. If all four are right, Möglicherweise ist der Datenbankserver selbst ausgefallen, Das ist ein Host-Problem.
How do I change the WordPress salts, and why would I?
Erzeugen Sie einen neuen Satz unter https://api.wordpress.org/secret-key/1.1/salt/ und fügen Sie sie über die acht vorhandenen Schlüssel- und Salzzeilen ein. Der Hauptgrund dafür: Wenn Sie sie ändern, wird jeder angemeldete Benutzer sofort abgemeldet. Das ist der schnellste Weg, einen Angreifer von einer kompromittierten Website zu vertreiben, schneller als das Zurücksetzen von Passwörtern allein.
Does editing wp-config.php log users out?
Nur wenn Sie die Authentifizierungsschlüssel oder Salts ändern. Diese acht Werte signieren die Anmeldecookies, Wenn Sie sie also ersetzen, wird jede aktive Sitzung auf einmal ungültig. Bearbeiten anderer Einstellungen, wie Speicherlimits oder Debug-Flags, lässt angemeldete Benutzer in Ruhe.
Should I move wp-config.php out of the root folder?
Es ist eine vernünftige zusätzliche Schicht. WordPress überprüft automatisch ein Verzeichnis oberhalb des Stammverzeichnisses, Wenn Sie die Datei also dorthin verschieben, bleibt sie vollständig außerhalb des öffentlichen Webpfads. Für die meisten Websites, Korrekte Dateiberechtigungen (600 oder 440) plus an .htaccess deny rule give you nearly the same protection with less fuss.
Can I turn my site into a multisite network from wp-config.php?
Ja. Hinzufügen define( 'WP_ALLOW_MULTISITE', true ); unlocks a Network Setup screen under Tools in your dashboard. That’s only step one: WordPress then hands you a second block of constants (mögen MULTISITE und SUBDOMAIN_INSTALL) to paste in, plus new .htaccess rules. Back up first, because converting to multisite is hard to cleanly undo.
Was als nächstes zu tun ist
Open your wp-config.php right now and do three quick checks. Confirm your salts aren’t still the install defaults. Hinzufügen DISALLOW_FILE_EDIT if it’s missing. And make sure the file permission is 600 oder 440, nicht 644. Those three take five minutes and close real gaps.
If you find yourself raising WP_MEMORY_LIMIT again and again and still hitting walls, the file isn’t your problem, your plan is. That’s the signal to step up from a cramped starter plan to something with real headroom. Ich fange gerade erst an und teste auf einer Wegwerfseite? EIN kostenloser WordPress-Host können Sie diese Bearbeitungen üben, ohne dass etwas Reales auf dem Spiel steht. Beherrschen Sie diese eine Datei und Sie haben die Kontrolle über die Teile von WordPress, die die meisten Benutzer nie berühren.