Le fichier wp-config.php est l’un des plus importants de WordPress, et l’un des plus fragiles. Une seule faute de syntaxe peut afficher une page blanche sur tout le site.
Voici ce qu’il contient, comment le modifier sans risque et quels réglages méritent vraiment d’être touchés.
À quoi sert le fichier wp-config.php ?
D’après la documentation officielle, ce fichier se trouve à la racine de votre installation WordPress. Il contient les informations de base du site, comme la connexion à la base de données.
Le fichier n’est pas inclus dans l’archive que vous téléchargez. Le processus d’installation le crée à partir des informations que vous saisissez.
Sans lui, WordPress ne sait pas où se trouve sa base de données. S’il est absent ou illisible, le site affiche une erreur de connexion ou relance l’installation.
Où se trouve le fichier wp-config.php ?
Il est dans le dossier principal du site, au même niveau que les dossiers wp-admin, wp-content et wp-includes. Vous y accédez par le gestionnaire de fichiers de votre hébergement ou par SFTP.
Un non-développeur a rarement besoin de le modifier. La documentation précise que l’on y touche surtout en suivant les consignes d’un technicien ou d’un hébergeur.
Les clés et salages sont des chaînes aléatoires qui protègent les cookies de connexion. WordPress fournit un générateur officiel, et il vaut mieux les renouveler après un piratage pour déconnecter tous les comptes.
Certains hébergeurs placent le fichier un dossier au-dessus de la racine publique, ce qui le protège davantage. WordPress sait aussi le retrouver à cet endroit.
Que contient wp-config.php ?
| Élément | Rôle | Précaution |
|---|---|---|
| DB_NAME, DB_USER, DB_PASSWORD, DB_HOST | Connexion à la base de données | Ne jamais les partager |
| Clés et salages | Sécurisent les cookies de connexion | À régénérer après un piratage |
| Préfixe des tables | Début du nom des tables, wp_ par défaut | Ne pas le changer sur un site en ligne |
| Constantes WP_ | Active ou règle des fonctions | Respecter la syntaxe exacte |
Le préfixe des tables ne doit contenir que des lettres, des chiffres et des tirets bas. Le modifier sans migrer la base casse le site.
Les identifiants de la base de données donnent accès à toutes vos données. Ne les envoyez jamais par e-mail ni dans une capture d’écran publique, et changez-les si vous les avez exposés.
Comment modifier wp-config.php sans risque ?
- Faites une copie du fichier sur votre ordinateur avant d’y toucher.
- Faites une sauvegarde complète du site, comme dans mon guide pour sauvegarder WordPress.
- Ouvrez le fichier avec un éditeur de texte brut, jamais avec un traitement de texte.
- Ajoutez vos lignes avant la ligne qui annonce la fin des modifications.
- Enregistrez et rechargez le site aussitôt pour vérifier qu’il répond.
La documentation rappelle de garder les guillemets simples autour des valeurs et de ne laisser aucun espace ni contenu après la balise de fermeture PHP.
Comment activer le mode débogage ?
Le débogage sert à comprendre une erreur. Selon le guide officiel du débogage, on active WP_DEBUG, on envoie les erreurs dans un journal avec WP_DEBUG_LOG et on masque l’affichage avec WP_DEBUG_DISPLAY.
Les erreurs sont alors écrites dans le fichier wp-content/debug.log. Le guide précise que ces outils ne sont pas recommandés sur un site en production, et que les valeurs vrai ou faux s’écrivent sans guillemets.
Comment augmenter la mémoire de WordPress ?
La constante WP_MEMORY_LIMIT fixe la mémoire PHP maximale utilisée par WordPress. La valeur par défaut est de 40 Mo pour un site simple et de 64 Mo pour un réseau de sites, d’après la documentation.
Augmenter cette valeur peut résoudre une erreur de mémoire, mais cela masque parfois une extension trop gourmande. Mon article sur l’erreur critique de WordPress aide à trouver la vraie cause.
Si l’erreur persiste après une hausse raisonnable, demandez à votre hébergeur la limite réelle de votre offre. Elle peut être plus basse que la valeur que vous essayez de définir.
Quels réglages renforcent la sécurité ?
- DISALLOW_FILE_EDIT : désactive l’éditeur de thèmes et d’extensions de l’administration.
- DISALLOW_FILE_MODS : bloque aussi l’installation et la mise à jour depuis l’administration.
- FORCE_SSL_ADMIN : impose le chiffrement pour la connexion et l’administration.
Le second réglage empêche aussi les mises à jour automatiques depuis l’administration. Ne l’utilisez que si vous gérez les mises à jour autrement. D’autres bonnes pratiques figurent dans mon guide pour sécuriser WordPress.
Que faire si le site plante après une modification ?
Remettez la copie d’origine du fichier : le site doit reprendre immédiatement. Comparez ensuite les deux versions pour repérer la ligne fautive, souvent une apostrophe, un point-virgule ou une parenthèse oubliés.
Si vous n’avez pas de copie ou si le site reste cassé, je peux intervenir avec le service de dépannage WordPress.
Et maintenant ?
Ce que vous pouvez faire dès aujourd’hui :
- Téléchargez une copie de votre fichier wp-config.php et rangez-la avec vos sauvegardes.
- Vérifiez que le débogage est désactivé et qu’aucun fichier debug.log n’est présent dans wp-content.
- Demandez à votre hébergeur où se trouve le gestionnaire de fichiers et testez son accès.
Pour aller plus loin : Dépannage WordPress et site piraté
