Ao abrir o gerenciador de arquivos pela primeira vez, uma instalação WordPress mostra três pastas e cerca de vinte arquivos soltos — quase todos com nomes que não explicam nada.
A boa notícia é que a estrutura é simples depois de entendida: uma pasta guarda o que é seu, duas guardam o WordPress, e a maioria dos arquivos soltos você nunca vai tocar.
Este guia explica o que é cada um, quais dá para apagar com segurança, e os três que nunca devem ser modificados.
| Onde tudo fica | Na pasta public_html |
| A única pasta que é sua | wp-content — temas, plugins e uploads |
| As que o WordPress substitui | wp-admin e wp-includes |
| Dá para apagar | readme.html, license.txt e o instalador |
| Nunca toque | wp-config.php, wp-load.php e index.php |
Conteúdo
Onde a instalação fica
Na public_html, que é a raiz pública do seu site na hospedagem. Tudo que estiver ali é acessível pela internet; tudo que estiver fora, não.
⚠️ É a origem do problema mais comum de quem começa: subir os arquivos para a pasta errada e ver o site continuar vazio. Se o WordPress foi instalado em public_html/blog/, o site responde em seusite.com.br/blog, não na raiz.
Como acessar: pelo Gerenciador de Arquivos do cPanel ou do DirectAdmin, ou por um programa de FTP como o FileZilla.
As três pastas
A estrutura do WordPress tem só três diretórios de primeiro nível — e a distinção entre eles resolve quase tudo.
wp-content — a única que é sua
É onde fica tudo que você acrescentou ao site. Temas, plugins, imagens, uploads.
Ela nunca é substituída numa atualização do WordPress, e é a única que você precisa considerar ao fazer backup dos arquivos.
Dentro dela:
themes — os temas instalados, um por pasta.plugins — os plugins, um por pasta.uploads — todas as imagens e arquivos enviados pela biblioteca de mídia, organizados por ano e mês.languages — os arquivos de tradução.upgrade — pasta temporária usada durante atualizações. Pode ser esvaziada.
⚠️ E alguns plugins criam pastas próprias ali — cache, backup, logs. É por isso que a wp-content cresce muito mais que o resto.
wp-admin — o painel
Os arquivos que geram a área administrativa, aquela que você acessa em /wp-admin.
Ela é substituída inteira a cada atualização, então qualquer alteração feita ali se perde. Não edite nada dentro.
wp-includes — o núcleo
As bibliotecas e funções do WordPress. É onde mora o código que faz tudo funcionar.
Também é substituída a cada atualização, e também não deve ser editada.
⚠️ Uma observação de segurança: a wp-includes é alvo frequente de ataques que tentam gravar arquivos PHP ali. Se você encontrar um arquivo com nome estranho dentro dela, é sinal de invasão — o conteúdo dessa pasta deveria ser idêntico ao do pacote oficial.
Os arquivos soltos na raiz
São cerca de vinte, e eles se dividem em três grupos.
Os três que importam
| Arquivo | O que faz |
|---|---|
wp-config.php | Guarda os dados de conexão com o banco. Sem ele, o site não sobe |
index.php | O ponto de entrada: toda visita ao site passa por ele |
.htaccess | Regras do servidor — links permanentes, redirecionamentos, segurança |
⚠️ O .htaccess começa com ponto, o que o torna oculto por padrão. No cPanel, ative “Mostrar arquivos ocultos” nas configurações do gerenciador para vê-lo.
O wp-config.php é o mais sensível de todos — ele contém a senha do banco de dados em texto puro. Nosso guia sobre wp-config.php detalha o que dá para configurar ali.
Os que dá para apagar
Três arquivos não fazem falta nenhuma:
readme.html — o texto de boas-vindas do WordPress. ⚠️ E ele informa a versão instalada, o que é exatamente o que alguém procurando instalações desatualizadas quer saber. Apague.
license.txt — a licença GPL. Também expõe informação de versão em algumas versões, e não é exibida a ninguém.
wp-config-sample.php — o modelo usado na instalação. Depois que o wp-config.php existe, ele é resíduo.
⚠️ Um aviso: esses arquivos voltam a cada atualização do WordPress, porque fazem parte do pacote. Apagá-los é uma medida recorrente, não definitiva.
O que vale desativar, não apagar
xmlrpc.php — uma interface antiga, usada por aplicativos móveis e por alguns plugins. É alvo frequente de ataques de força bruta, porque permite centenas de tentativas de login numa única requisição.
Apagar quebra integrações, incluindo o app do WordPress e o Jetpack. O correto é bloquear o acesso a ele pelo .htaccess ou por um plugin de segurança, se você não o usa.
Os demais
Arquivos como wp-load.php, wp-settings.php, wp-blog-header.php e wp-login.php são partes do núcleo, substituídos a cada atualização. Você não precisa entendê-los, e não deve editá-los.
O que fazer backup
Duas coisas, e só duas:
A pasta wp-content — é onde está tudo que é seu.
E o banco de dados — onde ficam posts, páginas, comentários e configurações.
⚠️ O resto é o WordPress, e pode ser baixado do site oficial a qualquer momento. Fazer backup de wp-admin e wp-includes é guardar cópia de algo público.
O wp-config.php merece uma cópia à parte, porque contém dados que só você tem.
Onde mexer quando algo dá errado
A estrutura vira útil no momento em que o site quebra. Três situações em que saber onde as coisas ficam resolve:
Tela branca ou erro depois de instalar um plugin. Renomeie a pasta dele dentro de wp-content/plugins — o WordPress desativa automaticamente o que não encontra. Nosso guia sobre como desativar plugins mostra o passo a passo.
Erro 500 sem causa aparente. Renomeie o .htaccess para .htaccess-antigo e recarregue. Se voltar, o problema estava nele — e ir em Configurações → Links Permanentes → Salvar gera um novo, limpo.
Site fora do ar depois de editar configuração. O wp-config.php é o suspeito. É por isso que a regra é sempre fazer cópia antes de editar.
As permissões de cada pasta
Um detalhe que causa erro 403 e upload que falha.
| Item | Permissão |
|---|---|
| Pastas em geral | 755 |
| Arquivos em geral | 644 |
wp-config.php | 600 ou 640 |
wp-content/uploads | 755 |
⚠️ O wp-config.php merece ser mais restrito que os demais, porque contém a senha do banco. Com 644, qualquer usuário do servidor pode lê-lo.
E nunca use 777 — ele dá permissão de escrita a qualquer um, e é a configuração que mais aparece em sites invadidos. Nosso guia sobre chmod explica os números.
E a diferença entre um susto e um problema é ter backup. Na Homehost, o backup é diário e você mesmo restaura pelo painel, sem abrir chamado. Com WordPress em dois cliques, gerenciador de arquivos completo, SSL grátis e servidores no Brasil. A partir de R$ 7,90/mês.
Ver hospedagem WordPressPerguntas frequentes
Quais são as pastas do WordPress?
Três de primeiro nível: wp-content, onde ficam temas, plugins e uploads — a única que é sua; wp-admin, com os arquivos do painel administrativo; e wp-includes, com as bibliotecas do núcleo. As duas últimas são substituídas inteiras a cada atualização.
Onde fica a pasta do WordPress na hospedagem?
Na public_html, que é a raiz pública do site. Se o WordPress foi instalado numa subpasta, como public_html/blog/, o site responde nesse caminho — o que explica boa parte dos casos de “subi os arquivos e nada apareceu”.
Para que serve a pasta wp-content?
Para guardar tudo que você acrescentou ao site: temas, plugins, imagens e arquivos enviados pela biblioteca de mídia. É a única pasta que o WordPress nunca substitui numa atualização, e a única que precisa entrar no backup dos arquivos.
Posso apagar o readme.html e o license.txt?
Pode, e é recomendado. Eles não têm função no funcionamento do site, e o readme.html informa a versão do WordPress instalada — informação útil para quem procura instalações desatualizadas. ⚠️ Eles voltam a cada atualização, porque fazem parte do pacote oficial.
O que é o arquivo xmlrpc.php e posso apagar?
É uma interface antiga usada por aplicativos móveis e alguns plugins, e um alvo frequente de ataques de força bruta — ela permite muitas tentativas de login numa única requisição. Apagar quebra integrações; o correto é bloquear o acesso pelo .htaccess ou por plugin de segurança, se você não o usa.
De quais arquivos preciso fazer backup?
Da pasta wp-content e do banco de dados. O resto é o WordPress em si, que pode ser baixado do site oficial a qualquer momento. Vale guardar também uma cópia do wp-config.php, porque ele contém dados que só você tem.
Por que não encontro o arquivo .htaccess?
Porque ele começa com ponto, o que o torna oculto por padrão. No cPanel, ative “Mostrar arquivos ocultos” nas configurações do gerenciador de arquivos. Se mesmo assim ele não aparecer, pode não existir — e ir em Configurações → Links Permanentes → Salvar faz o WordPress criá-lo.
Posso editar arquivos dentro de wp-admin ou wp-includes?
Não. As duas pastas são substituídas inteiras a cada atualização do WordPress, então qualquer alteração se perde. Se precisar mudar comportamento, use um tema filho ou um plugin — que ficam em wp-content e sobrevivem às atualizações.
Quais permissões usar nas pastas do WordPress?
755 para pastas e 644 para arquivos, que é o padrão. O wp-config.php merece ser mais restrito — 600 ou 640 —, porque contém a senha do banco em texto puro. Nunca use 777: é a configuração que mais aparece em sites invadidos.
Encontrei um arquivo estranho na wp-includes. O que significa?
Provavelmente invasão. O conteúdo de wp-admin e wp-includes deveria ser idêntico ao do pacote oficial do WordPress — qualquer arquivo a mais ali é suspeito. Compare com um download limpo da mesma versão, e acione o suporte da hospedagem.
Qual arquivo apagar para desativar um plugin sem acesso ao painel?
Nenhum — renomeie. Entre em wp-content/plugins, e mude o nome da pasta do plugin para algo como nome-do-plugin-off. O WordPress desativa automaticamente o que não encontra, e o painel volta a abrir.
A pasta wp-content está enorme. O que ocupa tanto espaço?
Quase sempre a uploads, com as imagens — e o WordPress gera várias versões de cada uma. Depois vêm as pastas criadas por plugins de cache e de backup, que costumam acumular. Backups antigos dentro de wp-content são a causa mais comum de conta de hospedagem que estoura o espaço.
Conclusão
A estrutura do WordPress assusta na primeira vez e fica simples depois de uma distinção: wp-content é sua; wp-admin e wp-includes são do WordPress.
Três coisas resolvem quase tudo. O backup precisa cobrir só a wp-content e o banco — o resto se baixa do site oficial. O wp-config.php é o arquivo mais sensível, e merece permissão mais restrita que os demais. E qualquer arquivo estranho dentro de wp-admin ou wp-includes é sinal de invasão, porque essas pastas deveriam ser idênticas ao pacote original.
E o hábito que evita o pior: antes de editar ou apagar qualquer coisa pelo gerenciador de arquivos, baixe uma cópia. Leva dez segundos, e é a diferença entre um susto e um site fora do ar.
