wp-config.php seguro: ajustes recomendados y qué hace cada uno

Actualizado el 5 de noviembre de 2026

Un wp-config.php más seguro desactiva el editor de archivos, fuerza HTTPS en el panel, usa claves únicas y no muestra errores a los visitantes. Haz una copia del archivo antes de tocarlo: un error de sintaxis puede dejar la web caída.

Añade los ajustes antes de la línea que dice que dejes de editar el archivo.

Desactivar el editor de archivos

define( 'DISALLOW_FILE_EDIT', true );

Elimina el editor de temas y plugins del panel. Si alguien roba una cuenta de administrador, no podrá modificar el código desde ahí.

Forzar HTTPS en el panel

define( 'FORCE_SSL_ADMIN', true );

Actívalo solo si tu web ya funciona bien con HTTPS.

No mostrar errores en producción

define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );

Los mensajes de error pueden revelar rutas y detalles internos. Si necesitas depurar, escribe los errores en un registro y no los muestres en pantalla.

Usar claves únicas

Comprueba que las constantes AUTH_KEY, SECURE_AUTH_KEY y similares tienen valores largos y únicos. Puedes generarlas con el servicio oficial de WordPress. Al cambiarlas se cierran todas las sesiones abiertas, así que tendrás que volver a entrar.

Mantener las actualizaciones menores

define( 'WP_AUTO_UPDATE_CORE', 'minor' );

Mantiene activas las actualizaciones menores del núcleo, que incluyen las de seguridad.

Un ajuste que conviene evitar sin motivo

DISALLOW_FILE_MODS bloquea también la instalación y las actualizaciones desde el panel. Solo tiene sentido si actualizas por otro medio, como un despliegue. Si no, tu web podría quedarse sin parches.

Este archivo es solo una parte: consulta la guía completa para proteger WordPress.

Fuente de referencia: documentación oficial de wp-config.php.