O wp-config.php é o arquivo de configuração mais importante do WordPress. É ele que guarda os dados de conexão com o banco de dados, as chaves de segurança e uma série de constantes que controlam como o seu site funciona — do modo de depuração ao limite de memória. Neste guia, você vai entender o que é o wp-config.php, onde ele fica, como editá-lo com segurança e quais são as principais configurações que você pode ajustar. Como é um arquivo sensível (um erro pode derrubar o site inteiro), a regra de ouro é sempre a mesma: faça backup antes de tocar nele.
O wp-config.php controla a conexão com o banco e a segurança do site. Um erro de digitação pode tirar o site do ar. Antes de qualquer alteração, baixe uma cópia do arquivo — se algo quebrar, basta reenviar a versão anterior.
Conteúdo
O que é o arquivo wp-config.php?
O wp-config.php é um arquivo PHP que fica na raiz da instalação do WordPress e reúne as configurações fundamentais do site. É ele que diz ao WordPress a qual banco de dados se conectar, com quais credenciais, e define comportamentos como idioma, prefixo das tabelas, modo de depuração e limites de recursos.
Um detalhe importante: o wp-config.php não vem pronto no pacote de instalação do WordPress. O que existe é um modelo chamado wp-config-sample.php. Durante a instalação, o WordPress preenche os dados e gera o wp-config.php automaticamente — ou você mesmo pode criá-lo, renomeando o wp-config-sample.php e preenchendo as informações do banco.
Sem esse arquivo (ou com ele mal configurado), o WordPress não carrega e você vê o erro clássico “Erro ao estabelecer conexão com o banco de dados”.
Onde fica o wp-config.php?
O wp-config.php fica no diretório raiz da instalação do WordPress — normalmente a pasta public_html, ao lado das pastas wp-admin e wp-content. Para acessá-lo, use o gerenciador de arquivos do seu painel (cPanel, DirectAdmin) ou um cliente FTP como o FileZilla.
Nosso guia sobre a estrutura de arquivos do WordPress explica o que é cada uma dessas pastas e quais arquivos da raiz podem ser apagados com segurança.
Para editar, você pode abrir direto pelo editor do gerenciador de arquivos, ou baixar o arquivo, editá-lo em um editor de código (como o VS Code) e reenviar. Sempre com uma cópia de backup guardada.
As principais configurações do wp-config.php
Conexão com o banco de dados
É o bloco mais crítico — sem ele, o site não funciona. Reúne as quatro informações que o WordPress usa para acessar o banco:
define( 'DB_NAME', 'nome_do_banco' );
define( 'DB_USER', 'usuario_do_banco' );
define( 'DB_PASSWORD', 'sua_senha' );
define( 'DB_HOST', 'localhost' );- DB_NAME — o nome do banco de dados MySQL do site.
- DB_USER — o usuário com permissão de acesso a esse banco.
- DB_PASSWORD — a senha desse usuário.
- DB_HOST — o endereço do servidor de banco de dados. Costuma ser
localhost, mas alguns provedores usam um host específico (confirme com o seu). Se o MySQL usa uma porta diferente da padrão (3306), informe assim:localhost:3307.
Se esses dados estiverem errados, aparece o erro “Erro ao estabelecer conexão com o banco de dados”.
Chaves de segurança (salts)
Logo abaixo do banco, ficam oito chaves de segurança (as keys e salts). Elas criptografam as informações de sessão e os cookies de login, tornando muito mais difícil para um invasor forjar um acesso:
define( 'AUTH_KEY', '...' );
define( 'SECURE_AUTH_KEY', '...' );
define( 'LOGGED_IN_KEY', '...' );
define( 'NONCE_KEY', '...' );
define( 'AUTH_SALT', '...' );
define( 'SECURE_AUTH_SALT', '...' );
define( 'LOGGED_IN_SALT', '...' );
define( 'NONCE_SALT', '...' );Nunca invente as chaves manualmente. O WordPress tem um gerador oficial que cria as oito de uma vez, com aleatoriedade segura: acesse api.wordpress.org/secret-key/1.1/salt/, copie o resultado e substitua as linhas correspondentes.
Ou use o gerador de wp-config.php mais abaixo, que cria as oito chaves direto no seu navegador — sem enviar nada a nenhum servidor.
Trocar essas chaves desconecta todos os usuários logados — útil se você suspeita de um acesso indevido.
Prefixo das tabelas
Define o prefixo das tabelas do banco no WordPress. O padrão é wp_:
$table_prefix = 'wp_';Como wp_ é o padrão conhecido por todos, usar um prefixo personalizado (por exemplo, meusite_) na hora da instalação é uma boa prática de segurança — dificulta ataques automatizados ao banco. Atenção: mudar o prefixo em um site que já está funcionando exige renomear as tabelas do banco também, senão o site quebra. Faça isso só na instalação ou com um plugin específico.
Modo de depuração (WP_DEBUG)
Controla se o WordPress exibe erros e avisos do PHP. Por padrão vem desativado (false):
define( 'WP_DEBUG', false );Ao investigar um problema (como uma tela branca ou erro crítico), mude para true para ver os erros. Para não mostrar os erros aos visitantes e sim gravá-los num arquivo de log, use a combinação:
define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true ); // grava em wp-content/debug.log
define( 'WP_DEBUG_DISPLAY', false ); // não mostra na telaLembre-se de desativar o debug quando terminar — deixá-lo ligado em produção pode expor informações sensíveis.
O caminho absoluto (não mexer)
No fim do arquivo há um bloco que define o caminho absoluto e carrega o WordPress. Nunca adicione nada abaixo dele — suas linhas personalizadas devem sempre vir antes do comentário “Isso é tudo, pode parar de editar!”:
/* Isso é tudo, pode parar de editar! Bom blogging. */
if ( ! defined( 'ABSPATH' ) ) {
define( 'ABSPATH', __DIR__ . '/' );
}
require_once ABSPATH . 'wp-settings.php';Constantes úteis para adicionar ao wp-config.php
Além do básico, o wp-config.php aceita dezenas de constantes que ajustam segurança, desempenho e comportamento do site. As mais úteis:
Gerador de wp-config.php
Monte o seu wp-config.php sem digitar uma linha. Gere o arquivo completo para um site novo — com as chaves de segurança e um prefixo aleatório — ou só as linhas extras para acrescentar a um arquivo existente. A ferramenta escapa a senha do banco corretamente e avisa as configurações que pedem cuidado.
Escolha as configurações e copie o resultado. As chaves de segurança são geradas no seu navegador — nada é enviado a nenhum servidor.
Constantes conforme a documentação oficial do WordPress. Faça uma cópia do arquivo atual antes de substituí-lo. Fonte: homehost.com.br
Como proteger o wp-config.php
Como o wp-config.php guarda as credenciais do banco, protegê-lo é essencial. Duas medidas simples:
1. Bloquear o acesso pelo navegador via .htaccess. Adicione ao .htaccess na raiz:
<Files wp-config.php>
Require all denied
</Files>2. Usar chaves de segurança fortes (o gerador oficial, como mostramos acima) e um prefixo de tabelas personalizado. Some a isso boas práticas gerais: senhas fortes, plugins atualizados e um bom plugin de segurança.
Configurar banco de dados e wp-config.php pode assustar. Na hospedagem WordPress da Homehost, o WordPress já vem instalado e configurado, com LiteSpeed e Redis Cache para o site ficar rápido, ferramentas para gerar e baixar seus backups e suporte em português para quando você precisar mexer no que importa.
Ver planos de hospedagem WordPressPerguntas frequentes sobre o wp-config.php
Onde fica o wp-config.php?
No diretório raiz da instalação do WordPress, normalmente a pasta public_html, ao lado das pastas wp-admin e wp-content. Você acessa pelo gerenciador de arquivos do painel ou por FTP.
Meu site não tem wp-config.php. É normal?
O arquivo não vem pronto no pacote do WordPress — existe um modelo chamado wp-config-sample.php. O wp-config.php é gerado durante a instalação, ou você pode criá-lo renomeando o modelo e preenchendo os dados do banco de dados.
É seguro editar o wp-config.php?
Sim, desde que você faça um backup antes e edite com cuidado. Como o arquivo controla a conexão com o banco, um erro pode tirar o site do ar — mas basta restaurar a cópia anterior para voltar ao normal. Adicione linhas sempre antes do comentário “Isso é tudo, pode parar de editar!”.
O que fazer se aparecer “Erro ao estabelecer conexão com o banco de dados”?
Esse erro quase sempre vem de dados errados no wp-config.php. Confira se DB_NAME, DB_USER, DB_PASSWORD e DB_HOST estão corretos e batem com os dados do banco no painel da hospedagem. Se estiverem certos, o servidor de banco pode estar fora do ar.
Como ativar o modo de depuração pelo wp-config.php?
Mude a linha define('WP_DEBUG', false); para true. Para gravar os erros num arquivo em vez de mostrá-los aos visitantes, adicione WP_DEBUG_LOG como true e WP_DEBUG_DISPLAY como false. Lembre de desativar quando terminar — o debug ligado em produção expõe informações do servidor.
Qual permissão o wp-config.php deve ter?
600 ou 640, mais restritiva que os 644 dos demais arquivos. Ele contém a senha do banco em texto puro, e com 644 qualquer usuário do servidor consegue lê-lo.
Posso apagar o wp-config-sample.php?
Pode. Ele é apenas o modelo usado na instalação, e depois que o wp-config.php existe, vira resíduo. ⚠️ Mas ele volta a cada atualização do WordPress, porque faz parte do pacote oficial.
Onde fica o arquivo de log do debug?
Em wp-content/debug.log, criado automaticamente quando WP_DEBUG_LOG está ativo. ⚠️ Ele é acessível pelo navegador por padrão — vale bloqueá-lo pelo .htaccess ou apagá-lo depois de resolver o problema.
Como mudar a URL do site pelo wp-config.php?
Com as constantes WP_HOME e WP_SITEURL, que sobrescrevem o valor gravado no banco. É a saída quando o site ficou inacessível depois de uma migração — você corrige o endereço sem conseguir entrar no painel.
Preciso trocar as chaves de segurança?
Só em duas situações: se você suspeita de acesso indevido, ou se quer desconectar todos os usuários de uma vez. Trocá-las invalida todas as sessões ativas — e o gerador oficial do WordPress cria as oito de uma vez.
Como aumentar o limite de memória do WordPress?
Com a constante define('WP_MEMORY_LIMIT', '256M');, acrescentada antes da linha “Isso é tudo, pode parar de editar”. ⚠️ Ela não ultrapassa o limite definido no php.ini do servidor — se a hospedagem permite 128M, pedir 256M não funciona.
Veja também
Continue configurando seu WordPress: veja o que é o WordPress, o guia do arquivo .htaccess do WordPress, como aumentar o limite de memória do WordPress e como fazer login no WordPress.
Conclusão
O wp-config.php é o coração da configuração do WordPress: conecta o site ao banco de dados, protege o acesso com chaves de segurança e permite ajustar dezenas de comportamentos por meio de constantes. Não é um arquivo que você mexe todo dia — mas saber o que cada parte faz ajuda a resolver erros, reforçar a segurança e otimizar o site quando necessário. A regra essencial permanece: faça backup antes de editar, altere uma coisa por vez e sempre teste o site em seguida.
