Cum securizezi fișierul wp-config.php pas cu pas

Fișierul wp-config.php este inima oricărei instalări WordPress: acolo stau datele de conectare la baza de date, cheile secrete de autentificare și comutatoarele care controlează cum se comportă site-ul tău. Dacă un atacator ajunge să-l citească, are practic cheile de la casă. Tocmai de aceea securizarea wp-config.php ar trebui să fie printre primele lucruri pe care le bifezi după instalare, nu ceva la care te gândești abia după ce lucrurile merg prost.

Partea bună e că nu ai nevoie de plugin-uri scumpe sau de cunoștințe avansate de administrare de server. Îți trebuie doar acces la fișierele site-ului — prin SFTP, FTP sau File Manager din cPanel — și puțină răbdare să parcurgi pașii în ordine. Hai să-i luăm pe rând.

De ce wp-config.php este o țintă preferată de atacatori

Într-un singur fișier găsești numele bazei de date, utilizatorul, parola și prefixul tabelelor. Sunt exact informațiile de care are nevoie cineva ca să-ți compromită site-ul fără să spargă nimic „cu forța”. Boții automați scanează constant internetul căutând instalări expuse, iar un wp-config.php accesibil direct din browser este printre primele lucruri pe care le testează.

Vestea și mai neplăcută: multe compromiteri nu vin dintr-un atac spectaculos, ci dintr-o permisiune greșită sau dintr-un backup uitat în rădăcina site-ului. Din fericire, toate aceste riscuri se închid cu câțiva pași concreți.

Pasul 1: Fă un backup înainte de orice modificare

Orice atingi în fișierele de sistem poate duce la un site care nu mai încarcă („White Screen of Death”). Înainte să editezi ceva, descarcă o copie a fișierului wp-config.php pe calculatorul tău și, ideal, fă un backup complet al site-ului. Așa, dacă apare o eroare, revii în câteva secunde la varianta funcțională, fără stres.

Pasul 2: Mută fișierul un nivel mai sus

WordPress caută automat wp-config.php și în directorul părinte al instalării. Dacă site-ul tău stă în /public_html/, poți muta fișierul în directorul de deasupra, care nu este accesibil public. Astfel, chiar dacă serverul ar servi din greșeală fișiere PHP ca text simplu, conținutul sensibil nu ar mai fi expus nimănui.

Atenție: pasul funcționează curat doar dacă ai un singur site pe acel cont de hosting. Pe configurări cu mai multe site-uri sau setup-uri atipice, testează întâi pe un mediu de staging.

Pasul 3: Blochează accesul direct din browser

Dacă preferi să nu muți fișierul, poți interzice accesul la el la nivel de server. Pe Apache sau LiteSpeed, adaugă în fișierul .htaccess din rădăcină regulile de mai jos:

<Files wp-config.php>
  Require all denied
</Files>

Din acest moment, orice încercare de a deschide fișierul direct în browser returnează o eroare de acces interzis, indiferent cine o face.

Pasul 4: Setează permisiunile corecte de fișier

Permisiunile spun serverului cine are voie să citească și să scrie un fișier. Pentru wp-config.php, recomandarea general acceptată este 440 sau 400 — adică doar proprietarul îl poate citi, iar nimeni nu-l poate modifica prin browser. Poți seta asta din File Manager sau prin comanda chmod 440 wp-config.php.

Evită 777 ca pe foc. O permisiune atât de permisivă înseamnă că oricine poate scrie în fișier, iar asta transformă o mică breșă într-un dezastru complet.

Pasul 5: Regenerează cheile și „salt”-urile de securitate

Cheile secrete (AUTH_KEY, SECURE_AUTH_KEY și celelalte) criptează cookie-urile de autentificare. Dacă folosești valori implicite sau bănuiești că cineva ți-a văzut fișierul, regenerează-le. WordPress îți oferă un generator oficial care produce valori aleatorii puternice — le copiezi și le înlocuiești în wp-config.php. Efectul e imediat: toate sesiunile active sunt delogate, deci un eventual intrus este dat afară pe loc.

Măsuri suplimentare care merită bifate

După ce ai securizat fișierul propriu-zis, câteva linii adăugate în wp-config.php ridică și mai mult ștacheta:

• Dezactivează editorul din admin: define('DISALLOW_FILE_EDIT', true); împiedică modificarea temelor și plugin-urilor direct din panou.
• Forțează conexiunile securizate: define('FORCE_SSL_ADMIN', true); pentru zona de administrare.
• Oprește afișarea erorilor pe live: define('WP_DEBUG', false);, ca să nu expui căi și versiuni.
• Șterge fișierele inutile: elimină wp-config-sample.php și orice arhivă de backup rămasă în rădăcină.

Recomandările oficiale complete le găsești în ghidul de întărire a securității WordPress, actualizat constant de comunitatea din spatele platformei.

Securizare wp-config.php: un fișier mic, cu impact uriaș

Niciunul dintre pașii de mai sus nu îți ia mai mult de câteva minute, dar împreună închid cele mai comune uși prin care intră atacatorii. Fă-ți un backup, mută sau blochează fișierul, corectează permisiunile, regenerează cheile și adaugă cele câteva linii de hardening — apoi bifează-le ca rutină la fiecare site nou.

Dacă vrei ca de partea tehnică să se ocupe cineva de la cap la coadă, de la configurare la monitorizare continuă, aruncă o privire pe serviciul nostru de securitate WordPress sau pornește cu un audit gratuit al site-ului tău. Un fișier bine securizat astăzi îți economisește ore de recuperare mâine.