wp-config.php

Warum es für WordPress wichtig ist

Wenn wp-config.php leakt, bekommen Angreifer Datenbankzugang und Authentifizierungs-Salts. Malware schreibt hier gern PHP hinein, weil die Datei bei jeder Anfrage lädt. Eine stille Änderung kann bleiben, lange nachdem Sie eine offensichtliche Webshell gelöscht haben.

So zeigt es sich in der Praxis

• Datenbankname, Benutzer, Passwort und Tabellenpräfix als Klartext-PHP-Konstanten
• AUTH_KEY und verwandte Salts, die Cookies und Nonces signieren
• Schalter wie DISALLOW_FILE_EDIT, WP_DEBUG und eigene Speicherlimits
• Integritätswarnungen, wenn sich die Datei ändert und niemand deployed hat

Was Sie tun sollten

1. Halten Sie die Datei außerhalb des Webroots, wenn der Host das kann, oder zumindest nicht weltweit lesbar.
2. Committen Sie echte Geheimnisse nie in ein öffentliches Git-Repo.
3. Schalten Sie öffentliches Debugging in Produktion aus (WP_DEBUG-Anzeige aus).
4. Nach einem Einbruch: Datenbankpasswörter wechseln und Salts neu erzeugen.
5. Achten Sie in Integritätsscans auf unerwartete Änderungen an dieser Datei.