Cómo encontrar, acceder y editar wp-config.php en WordPress

El archivo wp-config.php es el corazón de tu instalación de WordPress, pero para muchas personas es motivo de preocupación. Un solo carácter incorrecto puede dejar tu sitio fuera de servicio. Sin embargo, dominar este archivo es la clave para desbloquear funciones avanzadas de seguridad, mejorar el rendimiento y solucionar algunos de los errores más frustrantes de WordPress.

Esta guía es un manual práctico y detallado, fruto de años de experiencia. Te mostraremos exactamente qué editar, por qué debes hacerlo y cómo hacerlo de forma segura sin dañar tu sitio.

Función y ubicación del archivo wp‑config.php

• Ubicación: Se encuentra en el directorio raíz de tu instalación de WordPress. Las rutas habituales incluyen public_html/wp-config.php, www/wp-config.php o una carpeta específica del hosting, como name/wp-config.php, donde «name» corresponde al nombre de tu sitio.
  
• Función principal: Para conectar tu software WordPress con su base de datos almacenando las credenciales de la base de datos (DB_NAME, DB_USER, DB_PASSWORD, DB_HOST).
  
• Creación: El archivo no se incluye en la descarga inicial de WordPress. Se genera a partir de la plantilla wp-config-sample.php durante el proceso de instalación.
  
• Contenido crítico: Contiene las credenciales de la base de datos, claves y sales de autenticación únicas para proteger las sesiones de los usuarios, y el prefijo de las tablas de la base de datos de WordPress.
  
• La forma más segura de editarlo: Descarga el archivo, edítalo localmente con un editor de texto sin formato y vuelve a subirlo, sobrescribiendo el archivo existente. Si puedes evitarlo, no edites nunca directamente el archivo activo en el servidor. Crea siempre una copia de seguridad completa del sitio antes de realizar cambios.
  
• El mayor riesgo: Un error de sintaxis menor, como un punto y coma o unas comillas que falten, puede provocar una interrupción inmediata de todo el sitio, que normalmente se muestra como «Error al establecer una conexión con la base de datos» o como una pantalla blanca vacía.
  
• Táctica de seguridad clave: Para mejorar la seguridad, puedes mover el archivo wp-config.php un nivel por encima de tu directorio raíz de WordPress. WordPress está programado para buscarlo automáticamente allí si no se encuentra en la raíz.

¿Qué es wp-config.php en WordPress?

Comprender este archivo de configuración de WordPress es esencial para los administradores del sitio que necesitan solucionar problemas u optimizar sus instalaciones.

El archivo wp-config.php es un archivo principal de una instalación de WordPress que contiene los detalles de los ajustes de configuración más importantes de tu sitio web. En resumen, es el archivo de configuración principal de WordPress. El prefijo «wp» significa «WordPress», «config» es la abreviatura de «configuración» y el tipo de archivo «.php» indica el tipo de código que contiene: PHP.

Sin wp-config.php, tu sitio web simplemente no funcionaría. WordPress necesita este archivo, sobre todo, para conectarse a tu base de datos, donde se almacena información como la configuración de WordPress, el contenido de las entradas, la configuración del tema y de los plugins, y los datos de los usuarios. No solo wp-config.php sirve de puente entre los archivos de tu sitio y tu base de datos, sino que también te permite incluir claves de seguridad, cambiar los prefijos de las tablas, reubicar carpetas de archivos principales de WordPress, como wp-plugins, wp-uploads, y wp-content; y realizar otras configuraciones avanzadas.

¿Dónde se encuentra el wp-config.php?

Ahora que sabes qué hace wp-config.php, probablemente te estés preguntando: «¿Dónde se encuentra wp-config.php?» Si buscas la ubicación de wp-config.php en un sitio de WordPress ya existente, lo encontrarás en la carpeta raíz de tu instalación de WordPress. La carpeta raíz contiene las carpetas wp-admin, wp-content y wp-includes. Debajo de estas carpetas, verás una lista de archivos, muchos de los cuales comienzan por el prefijo «wp-». Aquí encontrarás tu archivo wp-config.php.

Sin embargo, si estás descargando y configurando WordPress por primera vez, el archivo wp-config.php no se incluirá. En su lugar, se creará automáticamente durante el proceso de configuración de WordPress. Durante la configuración, se te pedirá cierta información, como: 

• Nombre de la base de datos: Nombre de la base de datos asociada a tu instalación de WordPress
• Nombre de usuario de la base de datos: Nombre de usuario utilizado para acceder a tu base de datos
• Contraseña de la base de datos: Contraseña asociada al usuario de la base de datos
• Host de la base de datos: El nombre de host del servidor de tu base de datos (normalmente «localhost», aunque puede variar según tu proveedor de hosting)

WordPress utilizará entonces esta información para crear el archivo wp-config.php en tu directorio raíz. 

También puedes configurar manualmente wp-config.php si lo prefieres. Esta podría ser una buena opción si tienes muchos ajustes personalizados que te gustaría añadir a la configuración de tu sitio. 

¿Cómo accedo a wp-config.php?

Hay un par de métodos sencillos para acceder a wp-config.php  — mediante el protocolo seguro de transferencia de archivos (SFTP) o mediante cPanel si tu empresa de hosting lo proporciona. 

1. Acceder a wp-config.php mediante SFTP

Paso 1: Instala tu cliente SFTP. Tu primer paso será descargar e instalar un cliente SFTP si aún no tienes uno. Algunas opciones recomendables son: 

En este ejemplo utilizaremos Filezilla, pero otros clientes SFTP deberían funcionar de forma similar.

Paso 2: Obtén tus credenciales de SFTP. Una vez instalado tu cliente SFTP, necesitarás las credenciales de SFTP de tu proveedor de hosting para acceder a tu servidor. Encontrarás estos datos en el panel de administración de tu hosting. Según tu proveedor, esta información puede generarse automáticamente o quizá tengas que crear un nombre de usuario y una contraseña de SFTP. Si no sabes dónde encontrar estas credenciales o cómo crearlas, ponte en contacto con el soporte de tu proveedor o busca instrucciones en su documentación de ayuda. Estos son los datos que necesitarás para tu cliente SFTP:

• Host (la dirección IP o URL de tu servidor activo)
• nombre de usuario de SFTP
• Contraseña
• Número de puerto

Paso 3: Introduce tus credenciales en tu cliente de SFTP. Introduce la dirección IP o la URL de tu host, tu nombre de usuario de SFTP, la contraseña y el número de puerto.

Nota: Si tu cliente de SFTP utiliza la autenticación de confianza en el primer uso (TOFU) es posible que aparezca una alerta de «clave de host desconocida». Haz clic en «Aceptar» y continúa. Marca «Confiar siempre en este host y añadir esta clave a la caché» si tienes pensado utilizar tu cliente de SFTP para volver a acceder al sitio. 

Paso 4: Ve al directorio raíz de tu sitio web.

Cuando hayas iniciado sesión en tu servidor mediante SFTP, verás un árbol de archivos en los dos paneles de la parte inferior derecha de la pantalla que muestra los directorios de tu servidor web (remoto). En el lado izquierdo aparecen los directorios de tu ordenador (local). 

El directorio raíz suele estar en una carpeta llamada «www» o «public_html», aunque puede tener otro nombre. Las convenciones para nombrar la carpeta raíz varían según el proveedor de hosting, así que, si no tienes claro qué carpeta debes buscar, pregunta a tu proveedor de hosting. Sabrás que estás en la carpeta correcta si ves las carpetas wp-admin, wp-content y wp-includes cerca de la parte superior de la lista de archivos.

Paso 5: Selecciona o crea una carpeta en tu ordenador donde quieras añadir tu archivo wp-config.php. Si ya tienes una carpeta seleccionada, utiliza el panel izquierdo para buscarla y abrirla. Si no, busca el directorio donde quieras crear una carpeta nueva, haz clic derecho en el panel izquierdo y selecciona Crear directorio.

Pon nombre al directorio y haz clic en Aceptar.

Haz doble clic para abrir el nuevo directorio que has creado.

Paso 6: Busca y descarga wp-config.php. El archivo wp-config.php se encuentra en la carpeta raíz, así que desplázate hacia abajo hasta wp-config.php en el panel inferior derecho de tu cliente SFTP. Haz clic con el botón derecho en el archivo wp-config.php, y selecciona Descargar, o simplemente arrastra el archivo desde el panel derecho hasta la carpeta deseada del panel izquierdo.

Tu archivo wp-config.php debería descargarse ahora en tu equipo local, en el directorio que seleccionaste anteriormente. Deberías poder encontrarlo en el explorador de archivos de tu ordenador.

2. Acceder a wp-config.php en cPanel

Si tu proveedor de hosting utiliza cPanel, puedes acceder al wp-config.php a través del gestor de archivos de cPanel. Si no sabes cómo encontrar cPanel en el panel de control de tu proveedor, ponte en contacto con su servicio de atención al cliente.

Paso 1: Abre el gestor de archivos de cPanel. Una vez dentro de cPanel, ve a la sección Archivos y haz clic en Gestor de archivos.

Paso 2: Abre la carpeta raíz de tu sitio web. La carpeta raíz suele llamarse «www» o «public_html,» pero puede tener otro nombre. Las convenciones para nombrar la carpeta raíz varían según el proveedor de hosting, así que, si no tienes claro qué carpeta debes buscar, pregunta a tu proveedor de hosting. Sabrás que estás en la carpeta correcta si ves las carpetas wp-admin, wp-content y wp-includes cerca de la parte superior de la lista de archivos.

Paso 3: Busca y descarga wp-config.php. El archivo wp-config.php se encuentra en tu carpeta raíz, así que desplázate hacia abajo hasta wp-config.php en el panel derecho del Administrador de archivos de cPanel. Haz clic con el botón derecho en wp-config.php, y haz clic en Descargar, o haz un solo clic en wp-config.php y, a continuación, haz clic en la opción Descargar del menú superior.

Selecciona o crea una carpeta en la que quieras guardar tu archivo wp-config.php (NO lo cambies de nombre) y haz clic en Guardar. 

Tu archivo wp-config.php debería descargarse ahora en tu equipo local, en el directorio que seleccionaste. Deberías poder encontrarlo en el explorador de archivos de tu ordenador.

Cómo editar tu archivo wp-config.php.

Hay dos opciones para editar el archivo wp-config.php. Puedes usar un editor de código fuente o editarlo directamente en cPanel. Antes de editar el archivo wp-config.php en WordPress, ¡asegúrate siempre de hacer una copia de seguridad de tu sitio!

1. Haz una copia de seguridad de tu sitio

Cada vez que haces un cambio importante en tu sitio —especialmente en los archivos del núcleo de WordPress o en los plugins—, corres el riesgo de que algo salga mal. Puede ser desde un problema de visualización casi imperceptible hasta la temida pantalla blanca de la muerte. Para evitar interrupciones del servicio y pérdidas de datos al modificar aspectos fundamentales de tu sitio, haz siempre una copia de seguridad antes. Si todavía no tienes instalada ninguna herramienta de copias de seguridad en tu sitio, Jetpack Backup es una solución asequible con restauraciones con un solo clic.

¿Has hecho la copia de seguridad? Bien. Ya podemos empezar a editar el archivo wp-config.php.

2. Cómo editar wp-config.php con un editor de código fuente

La mejor forma de editar wp-config.php es en el software de edición de código que prefieras. Como estás editando una copia de wp-config.php que está sin conexión en tu ordenador, no tienes que estar conectado a internet para trabajar en el archivo y es menos probable que sobrescribas el archivo original wp-config.php al volver a subirlo a tu servidor (a diferencia de editarlo directamente en cPanel). 

Paso 1: Abre wp-config.php en tu editor de código fuente. Si no estás familiarizado con el uso de un editor de código fuente, puedes elegir entre varias opciones gratuitas. 

Editores gratuitos de código fuente y texto sin formato:

Paso 2: Edita wp-config.php y guárdalo en tu equipo local. La pantalla puede variar según el programa que utilices para editar tu archivo wp-config.php. Este es el aspecto de parte del código en atom.io:

Añade o cambia la información que necesites y, después, guarda el archivo. Ve a «¿Qué puedes configurar mediante wp-config.php?» para obtener más información sobre los distintos tipos de modificaciones que puedes hacer en tu archivo wp-config.php.

Paso 3: Inicia sesión en tu servidor web mediante SFTP o cPanel. Ve a la carpeta raíz de tu sitio y busca el archivo wp-config.php.

Paso 4: Cambia el nombre de wp-config.php en tu servidor web. Si la versión editada contiene errores, no querrás sobrescribir el archivo original. Debes poder restaurar rápidamente el archivo original de wp-config.php, así que cambiarle el nombre por algo como ‘wp-config-orginal.php’ no solo hará que WordPress ignore este archivo, sino que el contenido del archivo original seguirá existiendo en tu servidor.

Si sobrescribes accidentalmente tu archivo wp-config.php y la versión editada da problemas, siempre puedes restaurar tu sitio desde una copia de seguridad. Sin embargo, siempre es buena idea conservar una copia del archivo original de wp-config.php para restaurarlo rápidamente si algo sale mal. Si no tienes una copia de seguridad guardada en algún sitio —especialmente si tienes muchos ajustes personalizados—, recuperar la información original puede ser muy complicado y provocar mucho tiempo de inactividad en el sitio.

Paso 5: Sube wp-config.php desde tu equipo local a tu servidor web. Mediante SFTP o cPanel, sube tu archivo wp-config.php al directorio raíz de tu servidor web.

Cliente de SFTP:

cPanel:

Paso 6: Visita tu sitio web y comprueba que se muestra y funciona correctamente. Has subido correctamente tu archivo wp-config.php y ahora ha llegado el momento de comprobar que todo funciona en tu sitio tal como querías. Visita la portada de tu sitio e inicia sesión también en el panel de administración de WordPress para asegurarte de que todo es accesible, se muestra correctamente y las funciones del sitio, como los formularios, la navegación y las funciones de comercio electrónico, funcionan correctamente. 

Paso 7: Elimina el antiguo archivo wp-config.php al que cambiaste el nombre. Cuando hayas comprobado que tu sitio funciona correctamente, puedes eliminar wp-config-original.php (o el nombre que le hayas asignado).

3. Cómo editar wp-config.php directamente en tu cPanel

Si no tienes un editor de código fuente o no quieres utilizarlo, puedes editar wp-config.php directamente en cPanel (si tu proveedor de hosting utiliza cPanel). Esto es algo más arriesgado que editarlo en tu equipo local. Si se interrumpe tu conexión a Internet mientras editas, podrías perder los cambios. También corres el riesgo de sobrescribir accidentalmente el archivo original wp-config.php sin guardar antes una copia de seguridad. Pero, siempre que hagas una copia del archivo original wp-config.php y tengas una conexión a Internet fiable, editarlo directamente en cPanel debería ser relativamente seguro. 

Paso 1: Busca wp-config.php en cPanel. En cPanel, haz clic en «Administrador de archivos». 

Ve a tu carpeta raíz (normalmente ‘public_html’ o ‘www’ pero, dependiendo de tu proveedor de hosting, puede llamarse de otra forma).

Paso 2: Crea una carpeta nueva para tu archivo de copia de seguridad de wp-config.php. En el menú principal del Administrador de archivos, haz clic en + Carpeta para añadir una carpeta nueva. Haremos una copia de tu archivo wp-config.php y la guardaremos aquí como copia de seguridad.

Pon a tu carpeta nueva un nombre fácil de identificar, como «backup config», para que puedas encontrarla fácilmente más adelante. Haz clic en Crear carpeta nueva.

Paso 3: Busca wp-config.php en la carpeta raíz y cópialo en la carpeta de copias de seguridad. En el directorio raíz, desplázate hasta wp-config.php y haz clic con el botón derecho en el nombre del archivo. Selecciona Copiar.

Aparecerá un cuadro de diálogo que te pedirá que introduzcas la ruta donde quieres copiar el archivo. Normalmente tendrá preintroducido el nombre de la carpeta raíz, así que solo tendrás que añadir el nombre de la carpeta de copias de seguridad que acabas de crear después de «/public_html/» (o como se llame tu carpeta raíz). Por tanto, si tu carpeta de copias de seguridad se llama «backup config», la ruta del archivo sería algo parecido a «/public_html/backup config».

Haz clic en Copiar archivo(s).

Una vez que hayas copiado el archivo, ve a la carpeta «backup config» y verás wp-config.php allí. Te recomendamos cambiarle el nombre para no confundir este archivo wp-config.php con el que quieres editar. Haz clic derecho en el archivo wp-config.php y haz clic en Cambiar nombre. 

Puedes cambiarle el nombre que quieras, pero en este caso lo cambiaremos a wp-config-original.php.

Paso 4: vuelve a wp-config.php en el directorio raíz. Ahora que tenemos una copia de seguridad del archivo wp-config.php, volveremos al archivo wp-config.php del directorio raíz para editarlo. 

Selecciona wp-config.php, después haz clic en Editar en el menú superior del Administrador de archivos.

Paso 5: Editar wp-config.php. Ahora deberías ver el contenido del archivo wp-config.php en tu pantalla. Debería tener un aspecto parecido a este: 

Añade o cambia la información que necesites y guarda el archivo. Ve a «Qué puedes configurar mediante wp-config.php?» para obtener más información sobre los distintos tipos de cambios que puedes hacer en tu archivo wp-config.php.

Crear el archivo wp-config.php manualmente

¡No puedes editar tu archivo wp-config.php si aún no has creado uno! Si por algún motivo no puedes crear el archivo wp-config.php durante la configuración de WordPress o simplemente prefieres crearlo manualmente, te convendrá usar la plantilla wp-config-sample.php incluida cuando descargas WordPress.

Abre wp-config-sample.php en tu editor de código fuente. La pantalla puede tener un aspecto diferente según el programa que utilices para editar tu archivo wp-config-sample.php. Este es el aspecto de parte del código en atom.io:

Introduce los siguientes datos de la base de datos y cualquier ajuste personalizado que necesites: 

Nombre de la base de datos de WordPress

define( 'DB_NAME', 'database_name_here' ); 

Nombre de usuario de la base de datos

define( 'DB_USER', 'username_here' ); 

Contraseña de la base de datos

define( 'DB_PASSWORD', 'password_here' ); 

Nombre del host de la base de datos

define( 'DB_HOST', 'localhost' );

Codificación de caracteres de la base de datos que se utilizará al crear las tablas de la base de datos (normalmente utf8)

define( 'DB_CHARSET', 'utf8' );

Tipo de cotejamiento de la base de datos (si tienes dudas, no lo cambies)

define( 'DB_COLLATE', '' );

Claves y sales únicas de autenticación

Cámbialas por otras frases únicas. Puedes generarlas mediante el servicio de claves secretas de WordPress.org. Puedes cambiarlas en cualquier momento para invalidar todas las cookies existentes. Ten en cuenta que esto obligará a todos los usuarios a volver a iniciar sesión.

define( 'AUTH_KEY',  'put your unique phrase here' );
define( 'SECURE_AUTH_KEY',  'put your unique phrase here' );
define( 'LOGGED_IN_KEY',  'put your unique phrase here' );
define( 'NONCE_KEY',  'put your unique phrase here' );
define( 'AUTH_SALT',  'put your unique phrase here' );
define( 'SECURE_AUTH_SALT',  'put your unique phrase here' );
define( 'LOGGED_IN_SALT',  'put your unique phrase here' );
define( 'NONCE_SALT',  'put your unique phrase here' );

Define un prefijo personalizado para las tablas de la base de datos de WordPress

El prefijo predeterminado de las tablas de la base de datos de WordPress es «wp_», pero puedes definir un prefijo personalizado si quieres. Además, si tienes varias instalaciones de WordPress en una misma base de datos, puedes asignar a cada una un prefijo único. Utiliza solo números, letras y guiones bajos.

$table_prefix = 'wp_';

Define el modo de depuración de WordPress

De forma predeterminada, el modo de depuración de WordPress en wp-config.php debería estar establecido en «false», a menos que estés en modo de desarrollo y estés intentando depurar activamente problemas de tu sitio. 

define( 'WP_DEBUG', false );

Cambia esta declaración a «true» para activar la visualización de avisos de errores y advertencias durante el desarrollo. 

Añade valores personalizados

Después de la línea en la que defines el modo de depuración hay dos líneas de código comentadas, entre las que puedes añadir los valores personalizados que quieras incluir en tu archivo wp-config.php.

/* Add any custom values between this line and the "stop editing" line. */
YOUR CUSTOM VALUES GO HERE
/* That's all, stop editing! Happy publishing. */

Para obtener información sobre los valores personalizados que puedes usar, desplázate hasta la sección «Qué puedes configurar mediante wp-config.php?.»

Define la ruta absoluta al directorio de WordPress

Debajo de tus valores personalizados, después de «/*That’s all, stop editing! Happy publishing.*/», verás un par de fragmentos de código más. El primero define la ruta absoluta al directorio de WordPress. Puedes dejarlo tal cual, a menos que hayas configurado WordPress en un subdirectorio, en cuyo caso sustituirías «/» por «/tu-subdirectorio/». 

if ( ! defined( 'ABSPATH' ) ) {
	define( 'ABSPATH', __DIR__ . '/' );
}

Configura las variables y los archivos incluidos de WordPress

Esta última sección del archivo wp-config-sample.php declara la ruta absoluta a wp-settings.php, que configura las variables de WordPress y los archivos incluidos.

require_once ABSPATH . 'wp-settings.php';

Cuando termines de editar el archivo de configuración de ejemplo, guárdalo como ‘wp-config.php’ y colócalo en el directorio raíz de tu sitio mediante SFTP o cPanel.

NOTA: El contenido del archivo wp-config-sample.php está dispuesto en un orden concreto y dicho orden es importante. Reorganizar el orden de la información del archivo de configuración puede provocar errores en tu sitio. 

¿Qué puedes configurar en wp-config.php?

Hay muchas cosas que puedes configurar mediante wp-config.php más allá de los ajustes básicos incluidos en el archivo wp-config-sample.php. Puedes activar la funcionalidad multisitio, configurar los dominios de las cookies, aumentar la memoria permitida, gestionar diversos ajustes relacionados con la seguridad, determinar la frecuencia con la que WordPress realiza determinadas operaciones esenciales y cambiar otros ajustes de optimización de archivos. Incluso puedes modificar los permisos de la base de datos y de los archivos. 

¿Qué no puedes configurar en wp-config.php?

Aunque la lista de ajustes que puedes gestionar en wp-config.php es larga, hay algunas cosas que no puedes hacer. 

El archivo wp-config.php es, más o menos, una lista de constantes que determinan ciertos ajustes del núcleo de WordPress. No puedes utilizarlo para realizar modificaciones funcionales en tus plugins o temas; para eso, utilizarás el archivo functions.php.

También hay algunos aspectos codificados directamente de WordPress que no puedes modificar, ni siquiera en wp-config.php — como la ubicación de la carpeta de temas. 

Cómo proteger wp-config.php frente a vulnerabilidades de seguridad

Tu archivo wp-config.php contiene mucha información confidencial sobre tu sitio: información que quieres mantener fuera del alcance de los hackers. Aquí tienes algunos consejos para proteger tu archivo wp-config.php:

1. Instala un plugin de seguridad

Un plugin de seguridad para WordPress añadirá automáticamente a tu sitio ajustes que ayudan a proteger todos sus aspectos, incluido wp-config.php, frente a los intentos de hackeo.

La herramienta de seguridad de Jetpack para WordPress es una opción económica que puede ayudar a mantener tu sitio protegido frente a ataques maliciosos. Jetpack Security incluye:

• Protección contra ataques de fuerza bruta que detiene los ataques en seco 
• Monitorización del tiempo de inactividad para avisarte en cuanto haya un problema
• Un registro de actividad para que sepas si se han producido actividades sospechosas y cuándo
• Autenticación segura para evitar accesos no autorizados
• Análisis de malware que te avisa si han hackeado tu sitio
• Protección contra el spam para tus páginas, entradas y formularios de contacto

Jetpack Security también supervisa tu sitio para detectar cualquier cambio en los archivos del núcleo de WordPress, plugins obsoletos o inseguros y otras vulnerabilidades, para que puedas detectarlos antes de que un hacker los encuentre y se aproveche de ellos.

Puedes obtener un análisis gratuito de vulnerabilidades para tu sitio con Jetpack Protect y actualizar fácilmente Protect para añadir análisis de malware con correcciones en un clic y nuestro firewall para sitios web (WAF), que protegerá tu sitio las 24 horas.

2. Deniega el acceso a wp-config.php mediante el archivo .htaccess

Puedes usar el archivo .htaccess para ayudar a proteger el archivo wp-config.php. Encontrarás este archivo en tu carpeta raíz. 

Paso 1: Descarga .htaccess

Usa SFTP o cPanel para ir a la carpeta raíz de tu sitio web. Haz clic derecho en .htaccess y selecciona descargar para descargar el archivo en tu ordenador.

Paso 2: Añade código para bloquear el acceso a wp-config.php

En un editor de código fuente o de texto sin formato, abre .htaccess y añade el siguiente código:

<files wp-config.php>
order allow,deny
deny from all
</files>

Guarda el archivo. Asegúrate de que el programa no incluya una extensión de archivo. Si utilizas el Bloc de notas o TextEdit, puede añadir la extensión de archivo .txt, que no quieres. El archivo debe llamarse simplemente «.htaccess». 

Paso 3: Vuelve a subir el archivo .htaccess editado a la carpeta raíz

Vuelve a subir el archivo .htaccess a la carpeta raíz de tu sitio web. Se te preguntará si quieres sobrescribir el archivo existente. Haz clic en Aceptar.

Ahora tu archivo .htaccess debería bloquear el acceso externo a tu archivo wp-config.php.

3. Oculta wp-config.php fuera del directorio raíz

Como todos los hackers conocen la ubicación predeterminada de wp-config.php en un sitio de WordPress, cambiarlo a una carpeta con acceso restringido fuera del directorio raíz puede impedir que caiga en manos de un hacker. 

Este proceso requiere algo de configuración adicional: no puedes simplemente arrastrar y soltar wp-config.php fuera de la carpeta raíz. Sin embargo, el esfuerzo merece la pena para añadir una capa adicional de protección a tu sitio web. 

En unos pocos pasos, puedes proteger tu archivo wp-config.php fuera de la carpeta raíz.

Paso 1: Descarga tu archivo wp-config.php actual

Tu carpeta raíz es donde se encuentran todos tus archivos de WordPress, incluido el archivo wp-config.php. Puede llamarse ‘public_html’ o ‘www’. Si no tienes claro dónde están tu carpeta raíz o tu directorio de WordPress, ponte en contacto con tu empresa de hosting.

Cuando hayas encontrado tu carpeta raíz y el directorio de WordPress, descarga el archivo wp-config.php a tu equipo local mediante SFTP o cPanel.

Paso 2: Crea un directorio nuevo fuera de la carpeta raíz

Sal del directorio raíz y sube un nivel, hasta la siguiente carpeta. Deberías ver el nombre de tu carpeta raíz, además de varias otras carpetas. En este directorio, haz clic con el botón derecho y selecciona crear directorio.

Ponle a tu directorio un nombre que puedas recordar fácilmente para usarlo como repositorio de tu archivo wp-config.php. Incluso puedes crear varias carpetas anidadas si quieres, pero tendrás que recordar los nombres de todas ellas para el paso 4.

Paso 3: Sube wp-config.php a tu carpeta nueva

Sube el archivo wp-config.php que descargaste antes a tu carpeta nueva mediante SFTP o cPanel.

Comprueba los permisos de tu carpeta nueva y del archivo wp-config.php y asegúrate de que estén establecidos en 600.

Paso 4: Indica a WordPress que use el archivo nuevo wp-config.php

Deberías tener un wp-config.php en tu nuevo directorio «secreto», además del archivo original wp-config.php que aún está en tu directorio raíz. Para que WordPress encuentre y use el archivo correcto, deberás eliminar toda la información del archivo wp-config.php de tu directorio raíz y sustituirla por el siguiente fragmento de código:

<?php
include('/home3/usr/secureconfig/wp-config.php');
?>

Nota: La ruta del archivo será diferente, ya que utilizarás los nombres de directorio de tu servidor.

En cPanel, puedes abrir el archivo wp-config.php de la carpeta raíz y editarlo directamente, o editar la copia que descargaste antes en tu equipo local mediante un editor de código fuente. En este ejemplo, hemos editado la copia que descargamos antes con Atom.io.

Guarda el archivo wp-config.php y vuelve a subirlo a tu carpeta raíz.

Se te preguntará si quieres sobrescribir el archivo. Haz clic en Aceptar para sobrescribir el archivo.

Ahora WordPress debería hacer referencia a tu archivo nuevo wp-config.php en su ubicación segura fuera de la carpeta raíz.

4. Cambia el nombre de tu archivo wp-config.php

Cambiar el nombre de tu wp-config.php también puede ayudar a ocultarlo de los hackers. Si lo haces, también tendrás que alojar este archivo fuera de la carpeta raíz. Si ya has seguido los pasos para ocultar wp-config.php fuera del directorio raíz, puedes cambiar el nombre del archivo wp-config.php siguiendo estos pasos adicionales:

Paso 1: En tu directorio seguro, fuera de la carpeta raíz, cambia el nombre del archivo wp-config.php

Ve a la carpeta de wp-config.php alojada fuera del directorio raíz y cambia el nombre por uno único, como ‘secret-setup-file.php’ o ‘cheese-sandwich.php’; da igual cuál sea.

Paso 2: Edita el código de wp-config.php en tu directorio raíz para reflejar el cambio de nombre

Ahora que has cambiado el nombre, debes asegurarte de que la copia de wp-config.php apunte al nombre de archivo correcto. 

Descarga en tu ordenador la copia de la carpeta raíz de wp-config.php y edítala con el editor de código fuente que prefieras. Cambia el nombre del archivo wp-config.php por el nuevo nombre y guárdalo.

<?php
include('/home3/usr/secureconfig/cheese-sandwich.php');
?>

Paso 3: Vuelve a subir wp-config.php al directorio raíz

Se te preguntará si quieres sobrescribir el archivo existente. Haz clic en Aceptar. 

Ahora WordPress debería apuntar a tu archivo de configuración renombrado. 

wp-config.php: cambios para mejorar el rendimiento de WordPress

Puedes usar wp-config.php para optimizar la configuración de WordPress y mejorar el rendimiento de tu sitio web. A continuación se indican siete cambios que puedes hacer en wp-config.php para reducir el tamaño y la carga de la base de datos, mejorar el tiempo de carga de tu sitio y ahorrar espacio en el servidor.

1. Limpia las ediciones de imágenes

Cada vez que editas una imagen en WordPress, se crea un nuevo conjunto de miniaturas y otros tamaños de imagen. Cuando restauras una imagen original, esas ediciones no se eliminan. Esto puede provocar que las carpetas multimedia estén desordenadas. Si quieres asegurarte de que solo exista un conjunto de ediciones de imágenes en tu servidor y de que, al restaurar la imagen original, se eliminen las ediciones, puedes usar el siguiente código:

define( 'IMAGE_EDIT_OVERWRITE', true );

2. Repara tu base de datos

Si tu sitio funciona lentamente, muestra errores y sospechas que la base de datos está dañada y necesita repararse, puedes activar la reparación automática de la base de datos mediante WP_ALLOW_REPAIR y establecer el valor en «true».

define( ‘WP_ALLOW_REPAIR’, true );

Asegúrate de desactivar esta función una vez resuelto el problema de la base de datos. Este script también se encuentra en el archivo repair.php: {$your_site}/wp-admin/maint/repair.php.

3. Gestiona la configuración de las revisiones de entradas

Mientras editas una entrada, WordPress guarda automáticamente tus revisiones cada 60 segundos de forma predeterminada. Si quieres que transcurra más tiempo entre guardados o prefieres intervalos de guardado más frecuentes, puedes modificar el intervalo de guardado automático. 

define( 'AUTOSAVE_INTERVAL', 60 ); // Seconds

WordPress no limita el número de revisiones de entradas que se guardan, así que, si quieres reducir la carga que las revisiones ejercen sobre la base de datos, puedes especificar el número máximo o desactivar por completo el guardado de revisiones.

Especifica el número máximo de revisiones de entradas

define( 'WP_POST_REVISIONS', 3 );

Desactiva las revisiones de entradas

define( 'WP_POST_REVISIONS', false );

4. Gestiona la configuración de la papelera

De forma predeterminada, WordPress elimina permanentemente los elementos de la papelera después de que hayan permanecido allí durante 30 días. Si quieres cambiar esta frecuencia, puedes usar el siguiente código y establecer el número en la frecuencia que quieras.

define( 'EMPTY_TRASH_DAYS', 30 ); // 30 days

También puedes evitar que se vacíe la papelera estableciendo el número de días en cero.

define( 'EMPTY_TRASH_DAYS', 0 ); // Zero days

Nota: Si desactivas el vaciado de la papelera, WordPress no pedirá confirmación cuando alguien haga clic en Eliminar permanentemente. ¡Usa esta configuración con precaución!

5. Ajusta la configuración de cron

WordPress usa WP-Cron para programar tareas en función de la hora, como comprobar si hay actualizaciones y publicar entradas programadas.

Si las entradas programadas no se publican o no se completan otros trabajos de cron en tu sitio, quizá quieras probar a usar un cron alternativo. Cuando ALTERNATE_WP_CRON está establecido en «true», los navegadores de los visitantes se redirigen a una nueva conexión mientras cron sigue ejecutándose en la conexión interrumpida. 

define( 'ALTERNATE_WP_CRON', true );

Nota: Como este método depende de un servicio de WordPress no nativo, implica ciertos riesgos.

También puedes cambiar los intervalos en los que se ejecutan los procesos de cron o desactivar cron por completo.

Desactivar cron

define( 'DISABLE_WP_CRON', true );

Tiempo de espera de cron

define( 'WP_CRON_LOCK_TIMEOUT', 60 );

6. Aumenta la memoria asignada a PHP

Si tienes plugins o temas que utilizan muchos recursos de PHP, puede aparecerte el mensaje «Allowed memory size of xxxxxx bytes exhausted». Algunos temas y plugins pueden incluso especificar un límite mínimo de memoria de PHP para poder usar su software o determinadas funciones del mismo, como importar datos de demostración. 

De forma predeterminada, WordPress intentará aumentar los límites de memoria de PHP a 40 MB para sitios individuales y a 60 MB para instalaciones multisitio, pero puede que tengas que establecer un límite superior. A veces, el límite de memoria de PHP lo establece tu proveedor de hosting y, aunque algunos proveedores te permiten editar el límite de memoria de PHP, otros no.

Si tu proveedor de hosting te permite aumentar el límite de memoria de PHP, puedes añadir el siguiente código a tu archivo wp-config.php y sustituir «96M» por la cantidad de memoria que necesites (recuerda usar M y no MB después del número):

define( 'WP_MEMORY_LIMIT', '96M' );

Esta configuración aumenta la memoria de PHP solo para WordPress, no para otras aplicaciones. 

Las tareas del área de administración de WordPress requieren mucha más memoria que la actividad en la interfaz pública de tu sitio web. Puedes aumentar la memoria del área de administración definiendo WP_MAX_MEMORY_LIMIT. 

define( 'WP_MAX_MEMORY_LIMIT', '256M' );

Nota: coloca este código antes de la inclusión de wp-settings.php en tu archivo wp-config.php.

7. Activa o desactiva la caché

Algunos plugins de caché utilizan el archivo advanced-cache.php y activan WP_CACHE en tu archivo wp-config.php por ti. A veces tendrás que añadirlo manualmente incluyendo lo siguiente:

define( 'WP_CACHE', true );

También puedes desactivar la caché. En ese caso, sustituye «true» por «false» en la declaración anterior.

define( 'WP_CACHE', false );

wp-config.php: cambios para mejorar la seguridad de WordPress

Puedes usar wp-config.php para gestionar la seguridad de tu sitio de WordPress bloqueando las solicitudes externas de URL, exigiendo SSL a los administradores, cambiando la ubicación de los archivos y carpetas principales de WordPress, sustituyendo los permisos de archivo predeterminados por una configuración de permisos más restrictiva y mucho más. Si te interesa usar wp-config.php para mejorar la seguridad de tu sitio web, consulta los siete consejos siguientes: 

1. Define un table_prefix personalizado

El prefijo predeterminado de las tablas de la base de datos de WordPress es «wp_», pero puedes usar cualquier prefijo que quieras con el siguiente código:

$table_prefix = 'customprefix_'; 

Sustituye «customprefix_» por el texto que prefieras, pero utiliza solo números, letras y guiones bajos; no uses caracteres especiales.

Nota: Si estás cambiando el prefijo de las tablas en una instalación existente de WordPress, también tendrás que actualizar los prefijos de las tablas en tu base de datos, hacer una búsqueda y sustitución de cualquier referencia al prefijo anterior y reemplazarla por el nuevo.

2. Requerir SSL para el panel de administración y los inicios de sesión

Si quieres mantener segura la información de inicio de sesión del panel de administración, puedes usar «FORCE_SSL_ADMIN» para que las contraseñas y las cookies se envíen siempre mediante SSL. Establece «FORCE_SSL_ADMIN» en «true» con el siguiente código en wp-config.php:

define( 'FORCE_SSL_ADMIN', true );

Nota: También tendrás que configurar SSL en tu servidor para que el sitio funcione correctamente con FORCE_SSL_ADMIN establecido en true.

3. Bloquear las solicitudes externas de URL

Para mejorar la seguridad, puedes impedir las solicitudes externas de URL desde tu servidor definiendo «WP_HTTP_BLOCK_EXTERNAL» como «true». Con esta constante activada, solo tu sitio web y localhost podrán realizar solicitudes. 

define( 'WP_HTTP_BLOCK_EXTERNAL', true );

Si quieres hacer una excepción para determinados hosts, puedes definir WP_ACCESSIBLE_HOSTS con una lista de nombres de host separados por comas. Si quieres permitir todos los subdominios de un host, antepone «*.» al nombre del dominio (por ejemplo, «*.wordpress.org»). De este modo, solo localhost y tu blog podrán realizar solicitudes. 

Por ejemplo, si quieres hacer una excepción para Google Fonts y todos los subdominios de WordPress.org, añadirías lo siguiente a wp-config.php:

define( 'WP_ACCESSIBLE_HOSTS', 'fonts.googleapis.com,*.wordpress.org' );

4. Desactivar el editor de archivos de plugins y temas

De forma predeterminada, los administradores de sitios WordPress tienen acceso a la función de edición de archivos de plugins y temas en el panel de administración de WordPress. Esto puede suponer un riesgo de seguridad. Un administrador que no entienda bien cómo editar estos archivos —ni cómo no hacerlo— podría intentar modificarlos y provocar que el sitio dejara de funcionar. Un administrador descontento podría sabotearlos deliberadamente, o un hacker podría acceder a la interfaz de administración e intentar editar archivos principales mediante el editor de archivos de plugins y temas.

Para desactivar el editor de archivos de plugins y temas, define «DISALLOW_FILE_EDIT» como «true».

define( 'DISALLOW_FILE_EDIT', true );

Nota: Algunos plugins pueden comprobar las capacidades del usuario con «current_user_can(‘edit_plugins’)». Si tienes instalados plugins que utilizan esta función, es posible que no funcionen correctamente cuando «DISALLOW_FILE_EDIT» esté establecido en «true». Si defines «DISALLOW_FILE_EDIT» como «true» y después tienes problemas con un plugin, esta función del código del plugin podría ser la causa.

5. Desactivar las actualizaciones e instalaciones de plugins y temas

Si quieres impedir que los usuarios actualicen o instalen plugins y temas desde el área de administración de WordPress, puedes establecer «DISALLOW_FILE_MODS» como «true». Esto también desactivará el editor de archivos de plugins y temas.

define( 'DISALLOW_FILE_MODS', true );

6. Mover las carpetas principales de WordPress

Mantener las carpetas principales de WordPress en ubicaciones personalizadas puede ayudar a proteger tu sitio frente a los hackers. Esto es especialmente útil si los hackers utilizan scripts automatizados para encontrar los nombres predeterminados de determinados archivos y carpetas: cambiar su ubicación puede proteger tu sitio frente a este tipo de ataques.

Mueve la carpeta llamada wp-content.

Tu directorio wp-content contiene tus temas, plugins y archivos subidos. Puedes moverlo fuera del directorio de WordPress estableciendo WP_CONTENT_DIR en la ruta local completa del directorio o en la URL completa. 

Ruta del archivo

define( 'WP_CONTENT_DIR', dirname(__FILE__) . '/blog/wp-content' );

URL

define( 'WP_CONTENT_URL', 'http://example/blog/wp-content' );

Nota: No incluyas la «/» final en la ruta del archivo.

Mueve la carpeta de plugins

Puedes proteger tus plugins moviendo la carpeta y utilizando las siguientes opciones para definir la ruta de la nueva carpeta:

Establece «WP_PLUGIN_DIR» en la ruta completa del directorio local. 

define( 'WP_PLUGIN_DIR', dirname(__FILE__) . '/blog/wp-content/secureplugins/plugins' );

Establece «WP_PLUGIN_URL» en la URL completa del directorio.

define( 'WP_PLUGIN_URL', 'http://example/blog/wp-content/secureplugins/plugins' );

Si tienes problemas de compatibilidad con los plugins, puedes establecer «PLUGINDIR» en la ruta del directorio local.

define( 'PLUGINDIR', dirname(__FILE__) . '/blog/wp-content/secureplugins/plugins' );

Nota: No incluyas la «/» final en las rutas de los archivos.

Mueve la carpeta de archivos subidos

Mover la carpeta de archivos subidos es una buena forma de protegerte frente a scripts que puedan intentar subir contenido directamente a la ruta de la carpeta de archivos subidos predeterminada de WordPress. Usa la constante «UPLOADS» para definir la ruta de la carpeta de archivos subidos.

define( 'UPLOADS', 'blog/wp-content/secureuploads/uploads' );

Nota: usa una ruta relativa a la carpeta de archivos subidos, sin la «/» inicial.

7. Anular los permisos de archivo predeterminados

En algunos casos, puede que tengas que ajustar los permisos de los archivos para anular los permisos predeterminados establecidos por WordPress o por tu proveedor de hosting. Aunque podrías cambiar los permisos de los archivos individualmente mediante SFTP o cPanel, también puedes anularlos en bloque utilizando wp-config.php. Puede que quieras usar permisos más restrictivos para algunos archivos y carpetas y menos restrictivos para otros, según tus objetivos. 

Para anular el permiso de un archivo, usarás la constante «FS_CHMOD_FILE». Para anular el permiso de un directorio, usarás «FS_CHMOD_DIR».

Archivo

define( 'FS_CHMOD_FILE', ( 0644 & ~ umask() ) );

Directorio

define( 'FS_CHMOD_DIR', ( 0755 & ~ umask() ) );

Ejemplo para proporcionar setgid (permisos de grupo):

define( 'FS_CHMOD_DIR', ( 02755 & ~umask() ) );

Nota: «0755» y «02755» son valores octales y deben ir precedidos de un «0». 

Funciones avanzadas de wp-config.php para desarrolladores

Además de la seguridad y la optimización del sitio, los desarrolladores pueden usar wp-config.php para añadir otros ajustes personalizados a los entornos de WordPress. A continuación se muestran solo algunas funciones que puedes considerar utilizar en wp-config.php:

1. Definir la URL de WordPress

La constante WP_SITEURL te permite definir la dirección donde se encuentran los archivos principales de tu instalación de WordPress. Debes incluir http:// o https://, el dominio raíz y las subcarpetas que contienen los archivos principales de tu instalación de WordPress. Sin embargo, no incluyas la «/» final al final de la URL. 

define( 'WP_SITEURL', 'http://yoursite.com/wordpress' );

Cuando estableces la dirección WP_SITEURL en wp-config.php, se anula el valor de «siteurl» en la base de datos. Puesto que WP_SITEURL solo tiene prioridad sobre el valor de «siteurl» en la base de datos, en lugar de sobrescribirlo realmente, si eliminas el código WP_SITEURL de tu wp-config.php, se utilizará el valor original de «siteurl» de la base de datos. 

También puedes establecer dinámicamente la URL del sitio basándote en el host o el nombre del servidor.

Host del servidor:

define( 'WP_SITEURL', 'http://' . $_SERVER['HTTP_HOST'] . '/path/to/wordpress' );

Nombre del servidor:

define( 'WP_SITEURL', 'http://' . $_SERVER['SERVER_NAME'] . '/path/to/wordpress' );

Nota: Puede ser más seguro utilizar SERVER_NAME que HTTP_HOST. El uso de HTTP_HOST puede permitir vulnerabilidades de inclusión de archivos. Además, si tu servidor utiliza Apache y está configurado como UseCanonicalName “on”, SERVER_NAME no se establece dinámicamente, sino que lo establece la configuración del servidor. En este caso, deberías utilizar SERVER_NAME en lugar de HTTP_HOST.

2. Definir la URL de inicio

La URL de inicio es la URL que utilizas para acceder a la página principal de tu sitio. Normalmente, será tu dominio raíz (por ejemplo, https://mysite.com), aunque instales WordPress en un subdirectorio.

Si prefieres incluir el subdirectorio como parte de la URL de inicio, puedes usar WP_HOME para sustituir en la tabla wp_options el valor correspondiente a home. Esto no cambiará ese valor en la base de datos, así que, si eliminas esta línea de wp-config.php, la URL de inicio de tu sitio volverá al valor de la tabla wp_options.

define( ‘WP_HOME’, ‘https://mysite.com/wordpress’ );

También tendrás que añadir el siguiente código a index.php en el directorio raíz de tu sitio:

define( 'WP_HOME', 'https://mysite.com' );

Al igual que con «SERVER_NAME» y «SERVER_HOST», también puedes establecer «WP_HOME» dinámicamente. Usa $_SERVER[‘HTTP_HOST’] entre http:// o https:// y la ruta de archivo a WordPress (sin el dominio raíz), de la siguiente forma:

define( 'WP_HOME', 'http://' . $_SERVER['HTTP_HOST'] . '/path/to/wordpress' );

3. Establecer el dominio de las cookies

Si tienes una configuración de dominio no estándar, quizá quieras especificar el dominio de las cookies mediante la constante «COOKIE_DOMAIN». Algunos casos de uso son:

Servir contenido estático desde un subdominio. Si sirves contenido estático desde un subdominio, pero quieres establecer el dominio de las cookies en la URL donde se encuentra tu contenido dinámico, utiliza lo siguiente:

define( 'COOKIE_DOMAIN', 'www.mysite.com' );

Nota: No es necesario incluir http:// ni https:// antes del nombre de dominio.

Ejecutar una red multisitio. Si ejecutas una red multisitio en subcarpetas de un dominio y tienes problemas con las cookies (por ejemplo, aparece el error «Las cookies están bloqueadas o no son compatibles con tu navegador. Debes activar las cookies para usar WordPress»), puedes asegurarte de que las cookies pertenecen a los dominios desde los que se solicitan y no proceden de un único dominio estableciendo COOKIE_DOMAIN en un valor vacío.

define( 'COOKIE_DOMAIN', '' );

4. Activar las capacidades multisitio

WordPress no incluye las capacidades multisitio activadas automáticamente. La mayoría de las instalaciones de WordPress no necesitarán esta función. Sin embargo, si la necesitas, puedes activarla fácilmente mediante la constante «WP_ALLOW_MULTISITE».

define( 'WP_ALLOW_MULTISITE', true );

5. Redirigir subdominios o carpetas inexistentes

Aunque podrías permitir que los visitantes llegaran a tu página 404 predeterminada cuando no se encuentra contenido, ofrecerles una página personalizada podría mejorar su experiencia. Puedes hacerlo fácilmente mediante wp-config.php usando la constante «NOBLOGREDIRECT».

define( 'NOBLOGREDIRECT', 'https://mysite.com/custompage' );

6. No actualizar las tablas globales

Si tienes un sitio con tablas globales grandes o compartes tablas de usuarios entre varias instalaciones de WordPress (los sitios de foros y comercio electrónico pueden entrar en estas categorías), puedes evitar que WordPress realice consultas que consuman muchos recursos en las tablas globales durante el proceso de actualización estableciendo «DO_NOT_UPGRADE_GLOBAL_TABLES» en «true».

 define( 'DO_NOT_UPGRADE_GLOBAL_TABLES', true );

7. Gestionar los ajustes de actualización automática

Quizá quieras desactivar las actualizaciones automáticas de los temas, plugins y el núcleo de WordPress, especialmente si estás probando un sitio en desarrollo o solucionando un problema. También puedes elegir si el núcleo de WordPress se actualiza automáticamente solo con actualizaciones menores, con todas las nuevas versiones o nunca.

Desactivar las actualizaciones automáticas

Para desactivar por completo todas las actualizaciones automáticas, establece «AUTOMATIC_UPDATER_DISABLED» en «true».

define( 'AUTOMATIC_UPDATER_DISABLED', true );

Desactivar las actualizaciones del núcleo de WordPress

Puedes establecer la constante «WP_AUTO_UPDATE_CORE» para permitir las actualizaciones automáticas de todas las versiones, solo de las actualizaciones menores o para desactivar todas las actualizaciones automáticas del núcleo.

Desactivar todas las actualizaciones del núcleo

define( 'WP_AUTO_UPDATE_CORE', false );

 Activar todas las actualizaciones del núcleo

 define( 'WP_AUTO_UPDATE_CORE', true );

Activar las actualizaciones del núcleo para las versiones menores

define( 'WP_AUTO_UPDATE_CORE', 'minor' );

8. Definir las constantes de actualización de WordPress

Si tienes problemas para actualizar WordPress, quizá necesites definir algunas constantes adicionales de actualización de WordPress para llegar al fondo del problema. Intenta utilizar el menor número posible de estas constantes para resolverlo.

Las dos razones más habituales por las que podrías tener que definir estas constantes en wp-config.php son:

• Tu proveedor de hosting utiliza enlaces simbólicos en la instalación. En ese caso, quizá tengas que definir constantes relacionadas con las rutas, como FTP_BASE, FTP_CONTENT_DIR y FTP_PLUGIN_DIR.
• Tu instalación de PHP utiliza una extensión FTP que no es compatible con ciertos servidores FTP. Es una situación poco frecuente, pero si te encuentras con ella, quizá tengas que definir FS_METHOD como «ftpsockets».

A continuación se incluye una lista de constantes válidas y código de ejemplo para las actualizaciones de WordPress:

9. Crear tablas de usuarios y usermeta personalizadas

Las constantes «CUSTOM_USER_TABLE» y «CUSTOM_USER_META_TABLE» se utilizan para asignar tablas personalizadas donde almacenar los datos de los usuarios. Lo más recomendable es implementar estos ajustes al configurar inicialmente WordPress.

define( 'CUSTOM_USER_TABLE', $table_prefix.'my_users' );
define( 'CUSTOM_USER_META_TABLE', $table_prefix.'my_usermeta' );

Nota: Si estás ejecutando una instalación multisitio de WordPress, se crea una tabla usermeta y los permisos correspondientes para la base de datos de cada instancia de WordPress, aunque definas manualmente «CUSTOM_USER_META_TABLE». Los permisos solo se añaden para el primer usuario, por lo que tendrás que gestionar los permisos de usuario de cada sitio mediante una función personalizada o un plugin; de lo contrario, tendrás problemas para iniciar sesión.

Garantizar el acceso de administrador con tablas de usuario y usermeta personalizadas durante la configuración multisitio:

1. Tras crear tu primer sitio y añadir tus tablas personalizadas de usuarios y usermeta, copia el archivo wp-config.php a tu siguiente instancia y cambia la variable $table_prefix. Si el primer sitio utiliza «my_usermeta», el segundo debería utilizar algo diferente (p. ej., «site2_usermeta»).
2. Utiliza una dirección de correo electrónico diferente para esta nueva instancia de la que utilizaste en la instalación original. 
3. Cuando hayas completado la configuración, inicia sesión con la cuenta de administrador y la contraseña generadas automáticamente. 
4. Promociona la cuenta que quieras utilizar como administrador al nivel de administrador y, después, cierra la sesión de administrador de WordPress. 
5. Vuelve a iniciar sesión con tu nueva cuenta de administrador y elimina la cuenta generada automáticamente.

10. Guardar consultas para su análisis

Si realizas y analizas consultas a la base de datos y necesitas guardarlas para examinarlas más adelante, puedes usar la constante «SAVEQUERIES» en wp-config.php. Las consultas se guardan en un array que puedes mostrar mediante código en el archivo footer.php. La función guardará las consultas, la función que las llamó y el tiempo que tardaron en ejecutarse.

Esta operación puede ralentizar tu sitio, por lo que deberías desactivar esta función salvo que estés depurando activamente.

Añade lo siguiente a wp-config.php:

define( 'SAVEQUERIES', true );

En footer.php (en la carpeta de tu tema), añade este código:

<?php
if ( current_user_can( 'administrator' ) ) {
    global $wpdb;
    echo "<pre>";
    print_r( $wpdb->queries );
    echo "</pre>";
}
?>

11. Configurar la depuración y el registro de errores

¿Recuerdas la pantalla blanca de la muerte? Pues, tras el lanzamiento de WordPress 5.2, en lugar de la temida pantalla blanca y vacía, ahora verás un mensaje de error que dice «El sitio está experimentando dificultades técnicas. Consulta la bandeja de entrada del correo del administrador de tu sitio para obtener instrucciones.» cuando se produce un error fatal.

Por supuesto, si se produce un error fatal, querrás activar la depuración y el registro de errores para poder solucionar el problema. Para ello, tendrás que utilizar la constante «WP_DEBUG» y establecerla en «true» (el valor predeterminado es «false»).

define( 'WP_DEBUG', true );

Establecer «WP_DEBUG» en «true» permitirá que se muestren los errores de la base de datos y elevará los niveles de notificación de errores para que veas advertencias cuando se utilicen archivos o funciones obsoletos. 

Sin embargo, antes de poder mostrar estos errores, tendrás que desactivar el modo de recuperación estableciendo «WP_DISABLE_FATAL_ERROR_HANDLER» en «true» y activar «WP_DEBUG_DISPLAY». 

define( 'WP_DISABLE_FATAL_ERROR_HANDLER', true );   // 5.2 and later 
define( 'WP_DEBUG_DISPLAY', true );

Puedes optar por no registrar los errores y, en su lugar, mostrarlos en pantalla, pero deberías activar estos ajustes en un sitio de desarrollo o de pruebas para evitar que los errores sean visibles para el público en tu sitio activo. Si la configuración de tu archivo php.ini ya está establecida para registrar los errores en lugar de mostrarlos, puedes anularla con lo siguiente en wp-config.php:

@ini_set( 'log_errors', 'Off' );
@ini_set( 'display_errors', 'On' );
define( 'WP_DEBUG_LOG', false );

Si php.ini no está configurado para registrar errores y quieres activar el registro de errores, tendrás que hacer un poco más de trabajo.

La configuración predeterminada del registro y la visualización de errores se encuentra en el archivo php.ini. En algunos casos, es posible que no tengas acceso a este archivo o que tu proveedor de hosting use user.ini u otra convención de nomenclatura. Si no tienes acceso a este archivo, pide a tu proveedor de hosting que realice estos cambios por ti.

Configuración recomendada de errores de php.ini:

error_reporting = 4339 
display_errors = Off
display_startup_errors = Off
log_errors = On
error_log = /home/mysite.com/logs/php_error.log
log_errors_max_len = 1024
ignore_repeated_errors = On
ignore_repeated_source = Off
html_errors = Off

Si activas el registro de errores, recuerda eliminar el archivo después, ya que a menudo se encuentra en una ubicación de acceso público a la que cualquiera podría acceder para consultar tu registro.

También puedes utilizar wp-config.php para activar el registro de errores (error_logging) de PHP y registrarlos en el archivo que especifiques. Asegúrate de que WP_DEBUG esté definido como true y coloca lo siguiente antes de cualquiera de los comandos require_once o include:

@ini_set( 'log_errors', 'On' );
@ini_set( 'display_errors', 'Off' );
@ini_set( 'error_log', '/home/mysite.com/logs/php_error.log' );
/* That's all, stop editing! Happy blogging. */

Para ver más ejemplos de técnicas de registro de errores, puedes consultar las sugerencias de Mike Little en la lista de correo de wp-hackers o el grupo de usuarios de Manchester WordPress.

Hay varios aspectos importantes que debes tener en cuenta al implementar los ajustes de depuración y registro:

1. Si «WP_DEBUG» está establecido en «false», «WP_DEBUG_DISPLAY» y «WP_DEBUG_LOG» no funcionarán. 
2. Si «WP_DEBUG» está definido como «true», las demás constantes solo estarán activas si también están definidas como «true». Esto incluye las directivas de tu archivo php.ini —no solo las instrucciones de tu archivo wp-config.php. Así que, si el archivo php.ini establece («display_errors» = «Off»); pero define( «WP_DEBUG_DISPLAY», true); está definido en tu archivo wp-config.php, no se mostrarán errores porque tendrá prioridad el comportamiento configurado de PHP.
3. Para asegurarte de que las directivas funcionen como está previsto, debes definir explícitamente tanto la configuración de php.ini como la configuración correspondiente de wp-config.php.

Para tu instalación pública de WordPress en producción, podrías plantearte incluir lo siguiente en el archivo wp-config.php aunque pueda resultar parcialmente redundante:

@ini_set( 'log_errors', 'On' );
@ini_set( 'display_errors', 'Off' );
define( 'WP_DISABLE_FATAL_ERROR_HANDLER', false );   // 5.2 and later
define( 'WP_DEBUG', false );
define( 'WP_DEBUG_LOG', false );
define( 'WP_DEBUG_DISPLAY', false );

Nota: Si utilizas el archivo de registro de depuración predeterminado en su ubicación predeterminada de /wp-content/debug.log, querrás limitar el acceso al archivo únicamente a SFTP. Establece los permisos del archivo de registro en 600 y añade lo siguiente al archivo .htaccess de tu directorio raíz:

<Files debug.log>
    Order allow,deny
    Deny from all
</Files>

12. Definir el tipo de entorno de WordPress

Si estás configurando sitios locales, de desarrollo o sitios de staging, puede ser útil definir «WP_ENVIRONMENT_TYPE». Cuando no se define esta constante, el tipo de entorno predeterminado es production. Los valores permitidos son: local, development, staging y production.

define( 'WP_ENVIRONMENT_TYPE', 'staging' );

Nota: Cuando «WP_ENVIRONMENT_TYPE» está establecido en «development», WP_DEBUG se establecerá automáticamente en «true» si aún no está definido en tu wp-config.php.

13. Depurar scripts

Si estás solucionando problemas con JavaScript y CSS, puedes usar la constante SCRIPT_DEBUG para obligar a WordPress a utilizar las versiones de desarrollo de los scripts y las hojas de estilo. Los archivos de wp-includes/js, wp-includes/css, wp-admin/js, y wp-admin/css se cargarán en lugar de las versiones minificadas. Para ver estas versiones de desarrollo, establece ‘SCRIPT_DEBUG’ en ‘true’.

define( 'SCRIPT_DEBUG', true );

14. Desactivar la concatenación de JavaScript

En WordPress, los archivos de JavaScript se ordenan para acelerar el tiempo de carga de las pantallas del panel de administración. Si recibes errores de JavaScript en el área de administración de WordPress, puedes desactivar la concatenación de scripts estableciendo «CONCATENATE_SCRIPTS» en «false».

define( 'CONCATENATE_SCRIPTS', false );

¿Es esta la guía definitiva sobre wp-config.php?

Aunque este artículo es bastante extenso y cubre todo, desde los conceptos básicos sobre cómo localizar, acceder y editar wp-config.php, no es ni mucho menos exhaustivo. La configuración de tu wp-config.php será específica de tus necesidades, de tu entorno de servidor y de tus preferencias personales. Si tienes preguntas adicionales acerca del uso de wp-config.php, puedes consultar la documentación de soporte de WordPress.org. También hemos incluido algunas respuestas a preguntas frecuentes más abajo.

Preguntas frecuentes

¿Qué ocurre si no encuentro la ubicación de wp-config.php?

Aunque el archivo wp-config.php normalmente se encuentra en la carpeta raíz de tu instalación de WordPress, es posible que esté en otro lugar. Es más probable que ocurra si te haces cargo de un sitio de WordPress de un desarrollador anterior o si tu proveedor de hosting instala WordPress automáticamente. Si tienes problemas para encontrar el archivo wp-config.php, puedes buscarlo en tu programa SFTP o en cPanel.

Filezilla

Si utilizas Filezilla para acceder a tu sitio mediante SFTP, puedes hacer clic en el icono de los prismáticos de la parte superior para buscar archivos. Busca ‘wp-config.php’ en la carpeta de nivel más alto a la que tengas acceso por si wp-config.php se encuentra en una carpeta fuera del directorio raíz. Los resultados pueden tardar varios minutos en aparecer, ya que buscarás en todas las carpetas de tu servidor.

cPanel

Buscar wp-config.php en cPanel es bastante sencillo. En el cPanel de tu proveedor, haz clic en Administrador de archivos en Archivos.

Accederás al árbol de archivos de tu servidor y, en la parte superior derecha de la pantalla, habrá un campo de búsqueda. Puedes usar el selector desplegable de la izquierda para elegir si quieres buscar en todos los archivos o solo en un directorio específico. Como no sabes dónde está wp-config.php, probablemente sea mejor buscar en todos los directorios.

Introduce «wp-config.php» en el campo de búsqueda y haz clic en Ir.

Si aún no encuentras wp-config.php, es posible que la carpeta no tenga configurados los permisos correctos para que puedas acceder a él. En ese caso, ponte en contacto con tu empresa de hosting para obtener ayuda.

¿Qué ocurre si mi archivo wp-config.php no tiene permisos de escritura?

Si ves un error sobre la falta de permisos de escritura para wp-config.php en el panel de administración de WordPress, probablemente se deba a un plugin que necesita permisos de escritura para wp-config.php. Algunos plugins necesitan este tipo de acceso para añadir el código necesario para que el plugin funcione. Sin embargo, algunos proveedores de hosting pueden establecer permisos estrictos en wp-config.php por motivos de seguridad que también impiden que estos plugins tengan permisos de escritura.

Si tu proveedor de hosting te permite modificar estos ajustes, deberías poder cambiar los permisos de tus archivos y carpetas mediante SFTP o cPanel.

SFTP

Para este ejemplo, utilizamos Filezilla.

1. Conéctate a tu servidor mediante SFTP.

2. Busca tu archivo wp-config.php. De forma predeterminada, se encuentra en la carpeta raíz de tu instalación de WordPress, pero puede estar en otro lugar.

3. Haz clic con el botón derecho en tu archivo wp-config.php y haz clic en Permisos del archivo.

Asegúrate de que los permisos del archivo estén configurados como 640 o 644.

Si wp-config.php está en una carpeta fuera de la carpeta raíz, comprueba de nuevo que los permisos de la carpeta estén configurados como 750 o 755.

Nota: Es posible que algunas plataformas de hosting requieran que uses valores de permisos diferentes. Para los archivos, puedes probar con 664 y 666. Para las carpetas, prueba con 775. 

Si cambiar los permisos del archivo no resuelve el problema de conceder acceso de escritura, es probable que la causa sean los ajustes de propiedad del archivo y tendrás que ponerte en contacto con tu proveedor de hosting para realizar cualquier cambio.

Obtén más información sobre los permisos de los archivos de WordPress.

¿Pueden los plugins editar mi archivo wp-config.php?

Si los permisos de tu carpeta y de tu archivo están configurados para permitir el acceso de escritura (750, 755 o 775 para las carpetas; 640, 644, 664 o 666 para los archivos), los plugins deberían poder escribir en wp-config.php. Si quieres impedir que los plugins puedan escribir en tu archivo wp-config.php puedes establecer permisos de archivo más restrictivos, como 440 o 400. Esto también impedirá que otros usuarios de tu servidor lean wp-config.php.

¿Qué es wp-config-sample.php?

Cuando descargas WordPress por primera vez, no se incluye ningún archivo wp-config.php. Este archivo suele configurarse durante el proceso de instalación o puede configurarse manualmente. El wp-config-sample.php se incluye con WordPress para que dispongas de una plantilla que usar al configurar manualmente wp-config.php y de una plantilla de respaldo «en blanco» que puedas utilizar si le ocurre algo al archivo original wp-config.php que creaste. 

wp-config-sample.php incluye todas las constantes básicas y los valores de marcador de posición necesarios para configurar WordPress, además de explicaciones comentadas de las secciones del archivo que ayudan a los usuarios a entender dónde colocar cierta información.

Contenido de wp-config-sample.php:

<?php
/**
 * The base configuration for WordPress
 *
 * The wp-config.php creation script uses this file during the installation.
 * You don't have to use the web site, you can copy this file to "wp-config.php"
 * and fill in the values.
 *
 * This file contains the following configurations:
 *
 * * Database settings
 * * Secret keys
 * * Database table prefix
 * * ABSPATH
 *
 * @link https://wordpress.org/support/article/editing-wp-config-php/
 *
 * @package WordPress
 */
 
// ** Database settings - You can get this info from your web host ** //
/** The name of the database for WordPress */
define( 'DB_NAME', 'database_name_here' );
 
/** Database username */
define( 'DB_USER', 'username_here' );
 
/** Database password */
define( 'DB_PASSWORD', 'password_here' );
 
/** Database hostname */
define( 'DB_HOST', 'localhost' );
 
/** Database charset to use in creating database tables. */
define( 'DB_CHARSET', 'utf8' );
 
/** The database collate type. Don't change this if in doubt. */
define( 'DB_COLLATE', '' );
 
/**#@+
 * Authentication unique keys and salts.
 *
 * Change these to different unique phrases! You can generate these using
 * the {@link https://api.wordpress.org/secret-key/1.1/salt/ WordPress.org secret-key service}.
 *
 * You can change these at any point in time to invalidate all existing cookies.
 * This will force all users to have to log in again.
 *
 * @since 2.6.0
 */
define( 'AUTH_KEY',         'put your unique phrase here' );
define( 'SECURE_AUTH_KEY',  'put your unique phrase here' );
define( 'LOGGED_IN_KEY',    'put your unique phrase here' );
define( 'NONCE_KEY',        'put your unique phrase here' );
define( 'AUTH_SALT',        'put your unique phrase here' );
define( 'SECURE_AUTH_SALT', 'put your unique phrase here' );
define( 'LOGGED_IN_SALT',   'put your unique phrase here' );
define( 'NONCE_SALT',       'put your unique phrase here' );
 
/**#@-*/
 
/**
 * WordPress database table prefix.
 *
 * You can have multiple installations in one database if you give each
 * a unique prefix. Only numbers, letters, and underscores please!
 */
$table_prefix = 'wp_';
 
/**
 * For developers: WordPress debugging mode.
 *
 * Change this to true to enable the display of notices during development.
 * It is strongly recommended that plugin and theme developers use WP_DEBUG
 * in their development environments.
 *
 * For information on other constants that can be used for debugging,
 * visit the documentation.
 *
 * @link https://wordpress.org/support/article/debugging-in-wordpress/
 */
define( 'WP_DEBUG', false );
 
/* Add any custom values between this line and the "stop editing" line. */
 
 
 
/* That's all, stop editing! Happy publishing. */
 
/** Absolute path to the WordPress directory. */
if ( ! defined( 'ABSPATH' ) ) {
	define( 'ABSPATH', __DIR__ . '/' );
}
 
/** Sets up WordPress vars and included files. */
require_once ABSPATH . 'wp-settings.php';

¿Cuál es la forma más rápida de solucionar un «Error al establecer una conexión con la base de datos»?

La solución más rápida es comprobar las credenciales de tu base de datos dentro del archivo wp-config.php. Este error suele indicar que los valores de DB_NAME, DB_USER, DB_PASSWORD o DB_HOST son incorrectos. Primero, descarga una copia de tu archivo wp-config.php mediante FTP o el gestor de archivos de tu proveedor de hosting.

Después, ábrelo y compara detenidamente estas cuatro líneas con las credenciales exactas que te ha proporcionado tu proveedor de hosting. Un simple error tipográfico puede provocar este error. Si confirmas que los datos son correctos, el siguiente paso es ponerte en contacto con tu proveedor de hosting para asegurarte de que su servidor de base de datos está conectado y funciona correctamente.

¿Cómo sé si he cometido un error de sintaxis en wp-config.php?

Un error de sintaxis en wp-config.php suele dar lugar a una pantalla blanca, también conocida como la «pantalla blanca de la muerte de WordPress». También puede aparecer en pantalla el mensaje «Parse error», lo que indica claramente que hay un error en el código.

Para encontrar el error exacto, puedes activar temporalmente la depuración. Añade la línea define( ‘WP_DEBUG’, true ); a tu archivo wp-config.php. Esto mostrará en pantalla el error específico de PHP y te indicará el número exacto de la línea en la que se produjo el error. Los errores más habituales son los puntos y comas que faltan, las comillas incorrectas o los espacios adicionales antes de la etiqueta <?php.

¿Es seguro dejar activado el modo de depuración en un sitio en producción?

No, nunca es seguro dejar activado el modo de depuración en un sitio web en producción. Cuando WP_DEBUG está establecido en true, tu sitio muestra errores y advertencias de PHP en las páginas públicas. Esto no solo da una imagen poco profesional, sino que también expone información confidencial sobre las rutas de archivos de tu servidor y la estructura del código de tu sitio. Los hackers pueden usar esta información para encontrar vulnerabilidades.

Usa siempre la depuración para solucionar problemas en un entorno de pruebas o durante periodos muy breves en un sitio en producción. Cuando hayas solucionado el problema, asegúrate de volver a cambiar la línea a define( ‘WP_DEBUG’, false );.

¿Qué permisos debería tener el archivo wp-config.php?

Los permisos del archivo wp-config.php deben establecerse en 600, 640 o 644. La configuración 600 es la más segura, porque significa que solo el propietario del archivo puede leerlo y escribir en él. La configuración 644 permite al propietario leer y escribir, mientras que el grupo y el público solo pueden leerlo.

No debes establecer nunca los permisos en 777, ya que esto permite que cualquiera lea, escriba y ejecute el archivo, lo que supone un grave riesgo de seguridad. Puedes cambiar los permisos de los archivos mediante un cliente FTP como FileZilla o desde el gestor de archivos del panel de control de tu proveedor de hosting.

¿Puedo recuperar mi sitio si elimino el archivo wp-config.php?

Sí, puedes recuperar tu sitio, pero necesitarás las credenciales de la base de datos. Si eliminas el archivo, tu sitio mostrará la pantalla de instalación de WordPress porque no puede encontrar la información de la base de datos. Para solucionarlo, puedes obtener una copia del archivo wp-config-sample.php a partir de una descarga nueva de WordPress.

Cámbiale el nombre a wp-config.php. Después, debes introducir manualmente la información correcta de DB_NAME, DB_USER, DB_PASSWORD y DB_HOST. Si no tienes guardados estos datos, tendrás que buscarlos en el panel de control de tu cuenta de hosting o ponerte en contacto con el equipo de soporte de tu proveedor de hosting para obtener ayuda.

¿Cómo mejora la seguridad mover wp-config.php un nivel hacia arriba?

Mover el archivo wp-config.php un directorio por encima de la carpeta raíz pública hace que no se pueda acceder a él desde un navegador web. La carpeta raíz pública, que suele llamarse public_html o www, es donde se encuentran los archivos que se sirven en Internet. Al colocar wp-config.php fuera de esta carpeta, nadie puede acceder directamente a él mediante una URL.

WordPress está diseñado para buscar automáticamente el archivo en el directorio superior si no lo encuentra en la raíz. Esta es una técnica de refuerzo de la seguridad sencilla pero eficaz que oculta el archivo de configuración más importante del acceso web directo y protege las credenciales de tu base de datos frente a ciertos tipos de errores de configuración del servidor o ataques.

¿Qué significa «error de memoria agotada» y cómo puede solucionarlo wp-config.php?

Un «error de memoria agotada» significa que tu sitio de WordPress ha intentado usar más memoria (RAM) de la que tu servidor ha asignado a los procesos de PHP. Esto suele ocurrir cuando usas un plugin mal programado, un tema grande o intentas subir una imagen de gran tamaño. Puedes solucionarlo aumentando el límite de memoria directamente en el archivo wp-config.php.

Añade la siguiente línea: define( ‘WP_MEMORY_LIMIT’, ‘256M’ );. Esto indica a WordPress que puede usar hasta 256 megabytes de memoria. Puedes ajustar esta cifra según los límites de tu plan de hosting. Es una forma habitual y eficaz de resolver errores graves relacionados con los recursos.

¿Se sobrescribirán los cambios realizados en wp-config.php cuando actualice WordPress?

No, los cambios realizados en el archivo wp-config.php no se sobrescribirán durante una actualización estándar del núcleo de WordPress. El proceso de actualización de WordPress está diseñado para sustituir archivos del núcleo, como los de las carpetas wp-admin y wp-includes, pero deja intencionadamente intactos el archivo wp-config.php y la carpeta wp-content.

Esto se debe a que wp-config.php contiene la configuración específica de tu sitio que es necesaria para que funcione. Tus constantes personalizadas de memoria, seguridad y depuración permanecerán a salvo en todas las actualizaciones del núcleo de WordPress.

¿Cuál es la diferencia entre wp-config.php y functions.php?

El archivo wp-config.php gestiona la configuración básica de tu sitio y la conexión con la base de datos. Funciona antes de que WordPress se cargue por completo. Piensa en él como el plano fundamental de toda tu instalación de WordPress. En cambio, el archivo functions.php forma parte de tu tema específico y se utiliza para añadir funciones y características a ese tema.

Se carga después de los archivos del núcleo de WordPress, incluido wp-config.php. Usas wp-config.php para configuraciones de todo el sitio, como los límites de memoria y los datos de la base de datos, mientras que usas functions.php para código específico del tema, como crear nuevas áreas de widgets o cambiar el aspecto de tus entradas.