Kort svar: wp-config.php er sitets nøglering – og fire små greb hærder den mærkbart: friske, unikke saltnøgler (gør stjålne login-cookies ubrugelige),
DISALLOW_FILE_EDIT(fjerner kode-editoren i wp-admin, så en kapret admin-konto ikke kan plante kode med ét klik), debug-visning slukket på live (WP_DEBUG_DISPLAY false– log i stedet) og korrekte filrettigheder på selve filen. Ti minutters arbejde – én gang.
wp-config.php indeholder databaseadgangen, sikkerhedsnøglerne og sitets grundindstillinger – alligevel står den på de fleste sites, som installationen efterlod den. Denne guide gennemgår de hærdninger, der giver reel værdi, forklarer HVORFOR de virker – og springer de rituelle over, som kun giver falsk tryghed.
Kontrolramme: WordPress 7.1 og PHP 8.4.23 udgør versionsgrundlaget pr. 30. august 2026. Terminaleksemplet viser konstanternes form – med pladsholdere, aldrig rigtige nøgler.
De otte AUTH/SALT-konstanter krydrer alt, WordPress signerer – først og fremmest login-cookies. Konsekvensen går begge veje: unikke, hemmelige nøgler gør cookies umulige at forfalske – og et SKIFT af nøglerne gør alle eksisterende cookies ugyldige øjeblikkeligt. Deraf de to brugsscenarier: sæt friske nøgler én gang (mange ældre/migrerede sites kører med svage eller genbrugte), og skift dem igen som fast del af enhver sikkerhedshændelse – det logger alle ud, også ubudne gæster:
Nye nøgler hentes fra WordPress’ officielle generator (api.wordpress.org/secret-key) eller med wp config shuffle-salts – aldrig håndskrevne, aldrig genbrugt på tværs af sites.
WordPress leveres med en indbygget kode-editor (Udseende/Plugins → Editor), der kan redigere tema- og pluginfiler direkte fra wp-admin. I praksis bruges den af én gruppe: angribere med en kapret admin-konto, som med få klik planter en bagdør i functions.php. define( 'DISALLOW_FILE_EDIT', true ); fjerner editoren helt – legitime rettelser hører alligevel hjemme i versionsstyring eller via SFTP. Vil du et skridt videre, blokerer DISALLOW_FILE_MODS også installation/opdatering af plugins fra admin – stærkt på låste driftsmiljøer, men kun hvis opdateringer så sker ad anden vej (WP-CLI/panel), for uopdaterede plugins er en større risiko end editoren.
Fejlbeskeder på skærmen afslører stier, versioner og databasedetaljer for alle besøgende – gratis rekognoscering for angribere. På live gælder derfor: WP_DEBUG_DISPLAY false (og display_errors slukket i PHP), mens WP_DEBUG_LOG gerne må være klar til fejlfinding – så lander detaljerne i en logfil, kun du læser. Arbejdsgangen ved konkret fejljagt står i kritisk fejl-guiden; pointen her er standardtilstanden: stille udadtil, talende i loggen.
Filen bør have stramme rettigheder (600 eller 640 på de fleste delte miljøer – aldrig verdenslæsbar; principperne står i rettigheds-guiden). Og så det rituelle, du roligt kan springe over: at flytte wp-config en mappe op giver på moderne hosting marginal værdi og driller værktøjer; at skjule WordPress-versionen stopper ingen scanner; og eksotiske konstant-remser fra gamle blogindlæg tilføjer mest kompleksitet. Hærdning er de få greb med dokumenteret effekt – udført konsekvent.
Hærdningen er på plads, når alle otte saltnøgler er unikke og friske (og alle blev logget ud, da du satte dem – det er beviset), fil-editoren er væk fra wp-admin-menuerne, en fremprovokeret fejl viser ingenting på skærmen men lander i loggen, og wp-config.php’s rettigheder er strammet. Notér datoen for salt-skiftet i driftsloggen – og læg konstanterne ind i jeres standard-opsætning, så næste site fødes hærdet i stedet for at skulle indhentes.
Ja – alle sessioner dør, og alle logger ind på ny. Det er hele pointen ved hændelser (stjålne cookies dør med) og en ubetydelig gene i drift. Tim skiftet uden for spidsbelastning på sites med mange indloggede.
Kun kode-editoren i wp-admin – alt andet virker som før. Reelle kodeændringer sker via SFTP, child-tema eller versionsstyring, hvor de hører hjemme og kan fortrydes.
Ved hændelser: ja, altid (og wp-config opdateres samtidig). I fredstid: kun hvis det er svagt eller delt – et stærkt, unikt databasekodeord sat én gang er tilstrækkeligt.
