Necesitas modificar wp-config.php, pero no encuentras el archivo.
Entras en WordPress y no aparece por ninguna parte. Buscas en el administrador de archivos del hosting y ves carpetas como wp-admin, wp-content y wp-includes, pero no sabes exactamente dónde mirar. O quizá solo tienes acceso al escritorio de WordPress y alguien te ha dicho que debes editar wp-config.php.
Son situaciones bastante habituales.
wp-config.php es uno de los archivos principales de una instalación WordPress. Contiene, entre otras cosas, los datos que WordPress utiliza para conectarse con la base de datos y determinadas constantes que controlan depuración, memoria, actualizaciones o comportamiento del sistema.
Pero no es un archivo que normalmente debas editar desde el panel de WordPress.
Antes de tocarlo conviene saber tres cosas:
En una instalación estándar, wp-config.php se encuentra en el directorio raíz de WordPress.
Es normalmente la misma carpeta donde encontrarás:
wp-admin;wp-content;wp-includes;wp-login.php;wp-settings.php.Si ves esas tres carpetas juntas, probablemente estás en el lugar correcto.
WordPress también permite que wp-config.php se encuentre un nivel por encima del directorio donde está instalado WordPress, por lo que no encontrarlo junto a wp-content no significa necesariamente que no exista.
Imagina que WordPress está instalado en:
/public_html/
Lo normal sería encontrar:
/public_html/wp-config.php
Pero algunas instalaciones pueden tener WordPress dentro de otra carpeta:
/public_html/web/
En ese caso, el archivo podría estar en:
/public_html/web/wp-config.php
Y determinadas configuraciones permiten situarlo un nivel por encima de la instalación.
Por eso no conviene editar el primer archivo llamado wp-config.php que encuentres si en el hosting existen varias webs o instalaciones WordPress.
Busca estas carpetas:
wp-adminwp-contentwp-includes
Las tres forman parte del núcleo de WordPress y normalmente permiten identificar el directorio de la instalación.
Si tienes varios dominios en el mismo alojamiento, primero comprueba qué carpeta está asociada al dominio que quieres modificar.
En cPanel, Plesk y otros paneles de hosting es habitual que cada dominio o subdominio tenga su propio document root.
Esto es especialmente importante si tienes:
Modificar el wp-config.php equivocado puede no producir ningún efecto o, peor aún, afectar a otra web.
Tienes varias posibilidades.
Suele ser la opción más sencilla.
En cPanel, Plesk o paneles equivalentes encontrarás normalmente una herramienta denominada Administrador de archivos, File Manager o similar.
El recorrido habitual es:
wp-admin, wp-content y wp-includes;wp-config.php;No todos los proveedores utilizan public_html. Algunos emplean nombres como httpdocs, htdocs, www o estructuras propias.
Por eso es mejor identificar la instalación por sus archivos que asumir un nombre concreto de carpeta.
Si dispones de credenciales SFTP o FTP puedes conectarte al servidor mediante un cliente de archivos.
Una vez conectado, busca nuevamente el directorio donde aparecen:
wp-adminwp-contentwp-includes
Ahí debería estar wp-config.php o, en determinados casos, un nivel por encima.
Siempre que esté disponible, SFTP es preferible a FTP sin cifrar.
Si el hosting proporciona acceso SSH puedes localizar el archivo desde el servidor y editarlo con las herramientas disponibles en ese entorno.
Esta opción está más orientada a administradores o desarrolladores que ya trabajan habitualmente con la línea de comandos.
Si tienes WP-CLI disponible, existe incluso un comando específico para abrir el archivo de configuración con el editor del sistema:
wp config edit
WP-CLI busca por defecto wp-config.php en la raíz de la instalación WordPress, aunque permite indicar otra ruta.
No necesitas WP-CLI simplemente para editar el archivo, pero puede resultar muy útil cuando gestionas WordPress desde SSH.
No de forma estándar.
El escritorio de WordPress incluye herramientas para editar determinados archivos de plugins y temas cuando esa funcionalidad está permitida, pero wp-config.php no forma parte de esos editores.
Y tiene sentido que sea así.
wp-config.php contiene información especialmente sensible, entre ella las credenciales que WordPress utiliza para conectarse con su base de datos.
Instalar un plugin únicamente para poder editar este archivo desde wp-admin tampoco sería mi primera opción.
Si necesitas modificar wp-config.php, es preferible recuperar el acceso adecuado al hosting, SFTP o servidor.
Si puedes entrar en WordPress pero no tienes acceso al alojamiento, consulta qué puedes hacer cuando tienes acceso a WordPress pero no al hosting.
Tener una cuenta de administrador de WordPress no equivale a controlar la infraestructura donde está alojada la web.
Si estás dentro del servidor pero el archivo no aparece, revisa estas posibilidades.
Es la causa más sencilla.
Puede que hayas entrado en:
Busca wp-admin, wp-content y wp-includes.
WordPress permite esta configuración.
Comprueba la carpeta inmediatamente superior al directorio de la instalación.
wp-config.php normalmente no debería considerarse un archivo oculto por empezar por punto, pero algunos paneles o configuraciones pueden limitar qué archivos muestra el usuario.
Comprueba los ajustes del administrador de archivos y tus permisos.
En alojamientos administrados o cuentas con permisos limitados puedes tener acceso a una parte de los archivos pero no a todos.
En ese caso necesitarás la intervención del titular del hosting o del soporte.
Entonces no tienes todavía el tipo de acceso necesario.
Antes de instalar herramientas adicionales para sortear esa limitación, intentaría recuperar las credenciales del alojamiento.
En webs heredadas este problema suele ir acompañado de otros: desconocer dónde está registrado el dominio, quién paga el hosting o quién conserva las copias de seguridad. En cómo recuperar el control cuando el desarrollador de una web WordPress ha desaparecido explicamos cómo ordenar esos accesos.
Su función principal es proporcionar a WordPress datos de configuración fundamentales.
Entre ellos destacan los siguientes.
Encontrarás valores equivalentes a:
define( 'DB_NAME', 'nombre_base_datos' );
define( 'DB_USER', 'usuario_base_datos' );
define( 'DB_PASSWORD', 'contraseña' );
define( 'DB_HOST', 'localhost' );WordPress necesita estos datos para acceder a la base de datos.
Por eso no debes compartir públicamente una copia de wp-config.php.
Si alguno de estos valores deja de coincidir con la configuración real del servidor, WordPress puede mostrar un error de conexión con la base de datos.
Eso no significa que cada error de conexión se resuelva modificando wp-config.php: el servidor MySQL también puede estar caído, saturado o inaccesible.
También encontrarás varias constantes con nombres como:
AUTH_KEY
SECURE_AUTH_KEY
LOGGED_IN_KEY
NONCE_KEY
AUTH_SALT
SECURE_AUTH_SALT
LOGGED_IN_SALT
NONCE_SALTWordPress las utiliza en su sistema de autenticación y cookies.
No deben compartirse.
Si existe una razón para sospechar que esas claves se han expuesto, pueden regenerarse. Al hacerlo se invalidarán sesiones existentes y los usuarios tendrán que autenticarse de nuevo.
No es necesario convertir su renovación periódica en una rutina arbitraria si no existe un motivo.
Encontrarás una línea parecida a:
$table_prefix = 'wp_';Indica el prefijo utilizado por las tablas de WordPress.
Cambiarlo en una instalación ya existente no consiste simplemente en modificar esa línea. Las tablas de la base de datos y determinadas referencias también tendrían que coincidir.
Además, no consideraría cambiar wp_ una medida de seguridad prioritaria frente a mantener plugins actualizados, controlar accesos, usar autenticación robusta o disponer de copias recuperables.
Si quieres revisar el conjunto de medidas con mayor impacto, consulta nuestra guía de seguridad WordPress para empresas.
Una de las constantes más conocidas es:
define( 'WP_DEBUG', false );Cambiarla a true activa el modo de depuración de WordPress.
Puede ser muy útil para investigar un problema, pero no deberías interpretar WP_DEBUG = true como una configuración permanente recomendable para una web en producción.
WordPress recomienda estas herramientas fundamentalmente para entornos de desarrollo y staging.
Además, registrar errores y mostrarlos públicamente son cosas diferentes.
Una configuración de diagnóstico puede combinar:
define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );Así es posible registrar información sin mostrar directamente los avisos al visitante.
Los logs también pueden contener información sensible, por lo que deben protegerse y retirarse cuando ya no sean necesarios.
Si tu web muestra el mensaje «Ha habido un error crítico», no actives y desactives constantes al azar. Sigue primero un diagnóstico ordenado como el que explicamos en qué hacer ante un error crítico en WordPress.
Otra configuración frecuente es:
define( 'WP_MEMORY_LIMIT', '256M' );Pero aquí hay otro error común:
escribir 256M en wp-config.php no obliga al servidor a conceder 256 MB.
El límite real también depende de la configuración PHP y del proveedor de hosting.
Por eso aumentar WP_MEMORY_LIMIT puede ser parte de una solución, pero no demuestra que hayas solucionado la causa de un consumo excesivo.
Si WordPress está agotando memoria de manera repetida, conviene investigar qué proceso, plugin o tarea está consumiéndola.
También pueden utilizarse:
define( 'WP_HOME', 'https://ejemplo.com' );
define( 'WP_SITEURL', 'https://ejemplo.com' );Pueden resultar útiles en migraciones o para sobrescribir determinadas configuraciones almacenadas en la base de datos.
No las añadiría sin una necesidad concreta.
Una configuración incorrecta puede provocar redirecciones inesperadas o problemas de acceso.
Puede añadirse:
define( 'DISALLOW_FILE_EDIT', true );Esto desactiva desde el escritorio de WordPress los editores de archivos de plugins y temas.
WordPress lo documenta como una medida que puede reducir errores accidentales y limitar una vía de modificación de PHP cuando una cuenta administrativa queda comprometida.
No debe confundirse con:
define( 'DISALLOW_FILE_MODS', true );Esta segunda constante tiene un efecto bastante mayor porque también bloquea la instalación y actualización de plugins y temas desde WordPress.
No la utilizaría sin entender cómo se van a gestionar posteriormente las actualizaciones.
También puedes encontrar:
define( 'DISABLE_WP_CRON', true );No es una optimización universal.
Solo tiene sentido cuando existe otro mecanismo que ejecuta correctamente las tareas programadas, normalmente un cron real del servidor.
Si desactivas WP-Cron sin sustituirlo, puedes provocar que determinadas tareas automáticas dejen de ejecutarse.
Esto puede afectar a plugins, publicaciones programadas, tareas de mantenimiento y procesos de WooCommerce.
No hace falta dramatizar cada cambio, pero sí establecer unas precauciones mínimas.
Antes de editar:
wp-config.php
guarda una copia:
wp-config-backup.php
mejor fuera del directorio público o descárgala localmente.
No dejaría copias de configuración accesibles públicamente con extensiones como .bak, .old o similares.
Pueden contener credenciales.
Una copia de wp-config.php permite revertir ese archivo.
No sustituye a una copia completa de WordPress.
Antes de cambios importantes deberías saber si puedes recuperar archivos y base de datos. En cómo comprobar si tus copias de seguridad de WordPress realmente funcionan explicamos por qué tener un backup no es lo mismo que disponer de una restauración fiable.
Si modificas cinco constantes y WordPress deja de funcionar, tendrás cinco posibles causas.
Un cambio, una comprobación.
No edites archivos PHP con un procesador de textos como Word.
La documentación oficial de WordPress también advierte expresamente de ello.
Un error tan pequeño como una comilla, un punto y coma o un paréntesis puede provocar un error PHP y dejar la web inaccesible.
Por ejemplo:
define( 'WP_DEBUG', false );no es lo mismo que escribir una línea incompleta.
Tampoco utilices:
define( 'WP_DEBUG', 'false' );Las comillas convierten false en una cadena de texto y PHP puede interpretarla de una manera distinta de la que esperas. WordPress señala expresamente esta diferencia en su documentación de depuración.
Lo primero es revertir el último cambio.
Si conservaste una copia anterior:
No encadenes cambios intentando encontrar una solución por ensayo y error.
Si el fallo apareció justo después de editar wp-config.php, la sintaxis del cambio es una de las primeras cosas que comprobaría.
Si no puedes entrar en WordPress pero sí en el hosting, SFTP o SSH, todavía puedes restaurar el archivo desde ahí.
Hay varias capas.
La primera es bastante sencilla:
no exponer el archivo ni sus copias.
Un servidor correctamente configurado no debería entregar el contenido PHP de wp-config.php al navegador.
Además, WordPress documenta la posibilidad de restringir su acceso mediante configuración del servidor y, en determinados entornos, almacenarlo un nivel por encima de la instalación.
También puedes revisar sus permisos.
Pero evitaría la regla simplista de que todo WordPress debe tener obligatoriamente 400 o 440.
Los permisos adecuados dependen de:
Un permiso excesivamente restrictivo puede impedir que WordPress o las herramientas de administración funcionen correctamente.
La pregunta no es «¿qué número es más seguro?», sino:
¿qué usuarios del sistema necesitan leer o modificar este archivo y cuáles no?
No lo haría como una receta automática.
WordPress permite buscar wp-config.php un nivel por encima de la instalación y su documentación de hardening describe esa posibilidad.
Pero la propia documentación reconoce que existe debate sobre el beneficio real de esta medida y que una mala implementación puede introducir otros problemas.
En la mayoría de webs pequeñas daría prioridad a:
Mover un archivo no compensa una instalación desactualizada o una contraseña comprometida.
Evitaría especialmente estas prácticas:
$table_prefix;wp-config.php accesibles desde la web.No.
Publicar contenidos, gestionar páginas, productos, usuarios o ajustes habituales no debería requerir tocar este archivo.
Incluso muchas tareas técnicas pueden resolverse desde:
wp-config.php debe modificarse cuando existe una razón concreta para cambiar una configuración que WordPress obtiene de ese archivo.
Si no sabes qué efecto tendrá una constante, lo sensato no es probarla en producción.
Comprueba:
Hay una última situación especialmente frecuente en webs de empresa.
Puedes entrar perfectamente en wp-admin, pero nadie sabe:
En ese caso, encontrar wp-config.php no debería ser tu único objetivo.
Tienes que recuperar el control técnico de la web.
Porque tarde o temprano necesitarás acceder al servidor para revisar PHP, archivos, logs, copias, permisos o una incidencia que no pueda solucionarse desde WordPress.
El panel de administración sirve para gestionar WordPress.
No sustituye al acceso a la infraestructura que lo mantiene funcionando.
