WordPress-Websites werden oft über ihre Konfiguration geknackt, nicht über ihren Code: Salts, in denen noch 'put your unique phrase here' steht, eine wp-config.php.bak, die der Webserver als Klartext ausliefert, oder ein debug.log, das jeder herunterladen kann. Dieser Skill findet diese und sieben weitere wp-config-Fehler, bevor eine Website live geht oder übergeben wird, und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihren Website-Ordner aus. Er liest wp-config.php, Dateien vom Typ wp-config-<name>.php, config/application.php und Umgebungsdateien von Bedrock sowie Sicherungskopien von wp-config.php. Er versteht PHP-Kommentare und -Strings, daher zählt ein auskommentiertes define nicht und Salts voller Sonderzeichen werden korrekt gelesen. Er führt nie PHP oder WordPress aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Salts und Passwörter werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• V01: Keys und Salts, in denen noch 'put your unique phrase here' steht

• V02: WP_DEBUG aktiviert, ohne WP_DEBUG_DISPLAY zu deaktivieren, sodass Fehler auf den Seiten erscheinen

• V03: WP_DEBUG_LOG schreibt nach wp-content/debug.log oder an einen anderen Ort im Web-Root

• V04: eine Kopie von wp-config.php, die nicht auf .php endet (.bak, .old, .orig, .save, .swp, .txt, ~ und Ähnliches)

REVIEW (vor dem Release prüfen)

• V11: DISALLOW_FILE_EDIT nicht gesetzt, sodass Admins PHP von Themes und Plugins im Dashboard bearbeiten können

• V12: FORCE_SSL_ADMIN auf false gesetzt

• V13: automatische Updates deaktiviert (AUTOMATIC_UPDATER_DISABLED oder WP_AUTO_UPDATE_CORE false)

• V14: DB_USER ist root

• V15: ein leeres DB_PASSWORD

• V16: Keys oder Salts kürzer als 32 Zeichen oder doppelt

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Eine riskante und eine sichere Beispiel-wp-config.php, eine Sicherungskopie zum Finden und der echte Bericht des Scanners zum riskanten Beispiel

Grenzen

Er liest define()-Aufrufe so, wie sie geschrieben sind, daher werden Konstanten aus eingebundenen Dateien, Werte aus der Datenbank und Serverregeln, die Dateien blockieren, nicht berücksichtigt. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 8 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (3 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.