wp-config.php en WordPress: qué es y cómo editar este archivo con seguridad

Hay archivos de WordPress que puedes pasar años sin tocar. Y está bien. No todo el mundo que tiene una web necesita entrar por FTP, abrir carpetas del servidor o leer código PHP.

Pero hay un archivo que conviene conocer aunque solo sea para saber que existe: wp-config.php.

El archivo wp-config.php es uno de los ficheros más importantes de una instalación de WordPress. Ahí se guardan datos esenciales para que la web pueda funcionar: conexión con la base de datos, claves de seguridad, prefijo de tablas, modo depuración, límites de memoria, ajustes de URL y algunas configuraciones avanzadas.

Dicho de forma sencilla: si wp-config.php está mal, WordPress puede dejar de cargar.

Por eso esta guía no está pensada para que toques cosas sin mirar. Está pensada para que entiendas qué es este archivo, dónde está, qué partes tiene, cuándo se edita y qué precauciones debes tomar antes de cambiar una sola línea.

En ideaWeb trabajamos a diario con instalaciones WordPress, migraciones, mantenimiento, errores técnicos y optimización. Y si algo hemos aprendido es esto: muchas webs se rompen no por tocar wp-config.php, sino por tocarlo sin entender qué se está cambiando.

Qué es wp-config.php en WordPress

wp-config.php es el archivo de configuración principal de WordPress. Es un archivo escrito en PHP que WordPress lee durante la carga de la web para saber cómo conectarse a la base de datos y cómo aplicar ciertos ajustes esenciales.

En una instalación normal, WordPress necesita varias piezas para funcionar:

• Archivos del núcleo de WordPress.
• Carpetas como wp-admin, wp-content y wp-includes.
• Una base de datos MySQL o MariaDB.
• Un tema activo.
• Plugins.
• Configuración del servidor.
• El archivo wp-config.php.

El archivo wp-config.php actúa como punto de conexión entre WordPress y parte de esa configuración. Si WordPress no puede leerlo, si contiene un error de sintaxis o si los datos de base de datos no son correctos, la web puede mostrar errores como “Error al establecer una conexión con la base de datos” o incluso una pantalla blanca.

Dónde está el archivo wp-config.php

En una instalación habitual, el archivo wp-config.php está en la raíz de WordPress, al mismo nivel que carpetas como wp-admin, wp-content y wp-includes.

Dependiendo del hosting, puede estar en rutas parecidas a estas:

/public_html/wp-config.php
/httpdocs/wp-config.php
/home/usuario/public_html/wp-config.php
/home/usuario/dominio.com/wp-config.php
/var/www/html/wp-config.php

Si usas Plesk, lo normal es encontrarlo dentro de httpdocs o en la carpeta asignada al dominio. Si usas cPanel, suele estar dentro de public_html o en la carpeta concreta del dominio.

Junto a él deberías ver otros archivos y carpetas de WordPress:

wp-admin/
wp-content/
wp-includes/
index.php
wp-config.php
wp-login.php

Si no lo ves, puede haber varias posibilidades: que estés mirando en la carpeta equivocada, que el archivo esté oculto por permisos, que WordPress no esté instalado en esa ruta o que se haya movido por razones de seguridad.

wp-config.php y wp-config-sample.php: no son lo mismo

Cuando descargas WordPress, normalmente encuentras un archivo llamado wp-config-sample.php. Ese archivo es una plantilla de ejemplo.

Durante la instalación, WordPress utiliza esa plantilla para crear el archivo real wp-config.php, añadiendo los datos de conexión a la base de datos y otras claves necesarias.

Archivo	Qué es	Para qué sirve
wp-config-sample.php	Plantilla de ejemplo	Sirve como base para crear el archivo de configuración real
wp-config.php	Archivo real de configuración	Contiene los datos y ajustes que usa tu instalación de WordPress

Si estás creando una instalación manual, puedes copiar wp-config-sample.php, renombrarlo como wp-config.php y completar los datos necesarios. Pero si estás trabajando en una web ya creada, el archivo importante es wp-config.php.

Antes de editar wp-config.php: copia de seguridad y acceso seguro

Antes de tocar wp-config.php, haz una copia del archivo.

Y si la web es importante, haz también una copia de seguridad completa: archivos y base de datos.

Este punto no es decorativo. Un simple error puede tirar la web abajo:

• Una comilla mal puesta.
• Un punto y coma olvidado.
• Una constante duplicada.
• Una contraseña de base de datos incorrecta.
• Un código pegado en el lugar equivocado.
• Un carácter raro al copiar desde un editor de texto.

También conviene usar un editor de código decente. Evita editar archivos PHP con procesadores de texto como Word o herramientas que puedan cambiar comillas, codificación o caracteres.

Mejor utiliza:

• Visual Studio Code.
• Sublime Text.
• Notepad++.
• El editor del administrador de archivos de tu hosting, si es fiable.
• Un editor vía SSH si tienes experiencia.

Cómo editar wp-config.php

Hay varias formas de editar wp-config.php. La mejor depende de tu nivel y del acceso que tengas al hosting.

Editar wp-config.php desde Plesk o cPanel

Es una de las formas más cómodas para usuarios no técnicos.

El proceso general suele ser:

1. Entra en el panel del hosting.
2. Abre el administrador de archivos.
3. Accede a la carpeta del dominio.
4. Localiza wp-config.php.
5. Haz una copia del archivo.
6. Edita el archivo con cuidado.
7. Guarda cambios.
8. Comprueba que la web sigue cargando.

Editar wp-config.php por FTP

Otra opción es usar un cliente FTP o SFTP, como FileZilla.

En este caso, descargas el archivo, lo editas en tu equipo y lo vuelves a subir al servidor. Es importante no sobrescribir sin copia de seguridad.

Editar wp-config.php por SSH

Si tienes conocimientos técnicos, puedes editarlo por SSH con herramientas como nano o vim.

nano wp-config.php

Esta vía es rápida, pero no es la más recomendable para usuarios sin experiencia. Un error puede ser inmediato y dejar la web caída.

Editar wp-config.php con WP-CLI

WP-CLI permite leer, modificar y gestionar valores de configuración de WordPress desde línea de comandos. Es muy útil para técnicos, migraciones y servidores.

Por ejemplo, se pueden consultar constantes o crear configuraciones, pero no es una vía pensada para usuarios principiantes.

Partes principales del archivo wp-config.php

Un archivo wp-config.php puede tener más o menos líneas según el hosting, plugins, ajustes personalizados o configuraciones avanzadas. Pero normalmente contiene estos bloques:

Bloque	Para qué sirve
Datos de base de datos	Permiten que WordPress se conecte con MySQL o MariaDB
Codificación y colación	Definen cómo se gestionan caracteres en la base de datos
Claves y salts	Refuerzan la seguridad de sesiones, cookies y autenticación
Prefijo de tablas	Define el prefijo de las tablas de WordPress dentro de la base de datos
Modo debug	Permite registrar o mostrar errores para diagnóstico
Ajustes avanzados	Memoria, URL, cron, revisiones, seguridad, caché y más
ABSPATH y wp-settings.php	Indican la ruta base y cargan el resto de WordPress

Datos de conexión con la base de datos

Uno de los bloques más importantes de wp-config.php es el que conecta WordPress con la base de datos.

define( 'DB_NAME', 'nombre_de_la_base_de_datos' );
define( 'DB_USER', 'usuario_de_la_base_de_datos' );
define( 'DB_PASSWORD', 'contraseña_de_la_base_de_datos' );
define( 'DB_HOST', 'localhost' );

Cada constante tiene una función concreta:

Constante	Qué indica
DB_NAME	Nombre de la base de datos que usa WordPress
DB_USER	Usuario con permisos para acceder a esa base de datos
DB_PASSWORD	Contraseña de ese usuario de base de datos
DB_HOST	Servidor donde está la base de datos, muchas veces localhost

Este bloque suele tocarse en migraciones, cambios de hosting, restauraciones de backup o cuando se ha cambiado la contraseña del usuario de base de datos.

DB_CHARSET y DB_COLLATE: cuándo tocarlos y cuándo no

Después de los datos de conexión suelen aparecer estas constantes:

define( 'DB_CHARSET', 'utf8mb4' );
define( 'DB_COLLATE', '' );

DB_CHARSET define el conjunto de caracteres usado por la base de datos. En instalaciones modernas lo normal es ver utf8mb4.

DB_COLLATE define la colación. En la mayoría de casos se deja vacío para que WordPress gestione el valor adecuado.

Si no sabes exactamente por qué cambiar estos valores, no los cambies. Tocar charset o collation sin criterio puede generar problemas con caracteres, emojis, acentos o compatibilidad de base de datos.

Claves y salts de WordPress: qué son

En wp-config.php también aparecen varias claves de seguridad:

define( 'AUTH_KEY',         '...' );
define( 'SECURE_AUTH_KEY',  '...' );
define( 'LOGGED_IN_KEY',    '...' );
define( 'NONCE_KEY',        '...' );
define( 'AUTH_SALT',        '...' );
define( 'SECURE_AUTH_SALT', '...' );
define( 'LOGGED_IN_SALT',   '...' );
define( 'NONCE_SALT',       '...' );

Estas claves ayudan a reforzar la seguridad de cookies, sesiones y autenticación en WordPress.

No tienes que inventarlas a mano. WordPress ofrece un generador oficial de claves secretas que crea valores aleatorios.

Puede tener sentido regenerarlas si:

• La web ha sufrido una intrusión.
• Has heredado una web y no confías en accesos anteriores.
• Quieres cerrar sesiones activas de usuarios.
• Has movido una web desde un entorno poco seguro.

Al cambiar las salts, los usuarios que estuvieran conectados tendrán que iniciar sesión de nuevo.

$table_prefix: para qué sirve el prefijo de tablas

Otra línea habitual es esta:

$table_prefix = 'wp_';

Este valor define el prefijo de las tablas de WordPress dentro de la base de datos.

Por ejemplo, si el prefijo es wp_, las tablas pueden llamarse:

wp_posts
wp_options
wp_users
wp_postmeta
wp_terms

Si el prefijo es abc_, las tablas serían algo parecido a:

abc_posts
abc_options
abc_users
abc_postmeta
abc_terms

Este prefijo no cambia el nombre de la base de datos. Solo cambia el prefijo de las tablas dentro de esa base de datos.

Modificarlo en una web ya instalada no basta con cambiar esta línea. También habría que cambiar los nombres de las tablas y revisar ciertos valores internos. Si no sabes hacerlo, no lo toques.

WP_DEBUG: cómo activar la depuración sin mostrar errores al público

WP_DEBUG sirve para activar el modo depuración de WordPress.

define( 'WP_DEBUG', true );

Esto puede ayudar a detectar errores de PHP, avisos, problemas de plugins, temas o compatibilidades. Pero en una web pública no conviene mostrar errores en pantalla.

Una configuración más prudente para diagnosticar errores sin enseñarlos al visitante sería:

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Con esto, WordPress puede registrar errores en un archivo de log sin mostrarlos directamente en la web.

Para desactivarlo:

define( 'WP_DEBUG', false );

WP_MEMORY_LIMIT: aumentar memoria de WordPress

En algunas webs puede aparecer un error de memoria, especialmente con WooCommerce, constructores visuales, plugins pesados, importaciones o procesos de actualización.

Desde wp-config.php se puede definir un límite de memoria para WordPress:

define( 'WP_MEMORY_LIMIT', '256M' );

También puede definirse un límite mayor para tareas de administración:

define( 'WP_MAX_MEMORY_LIMIT', '512M' );

Esto puede ayudar, pero tiene un matiz importante: no siempre basta con ponerlo en wp-config.php. El servidor debe permitir ese límite. Si el hosting tiene un límite inferior en PHP, puede que WordPress no pueda superarlo.

Si tienes errores de memoria frecuentes, quizá no solo necesites aumentar memoria. Puede haber plugins mal optimizados, importaciones demasiado pesadas, procesos mal programados o un hosting insuficiente.

WP_HOME y WP_SITEURL: cambiar la URL de WordPress desde wp-config.php

En algunas situaciones puede ser necesario definir la URL de la web desde wp-config.php.

define( 'WP_HOME', 'https://tudominio.com' );
define( 'WP_SITEURL', 'https://tudominio.com' );

Esto puede ser útil cuando:

• Has migrado WordPress a otro dominio.
• Has cambiado de http a https.
• No puedes entrar al panel porque la URL está mal.
• La web redirige de forma incorrecta.
• Necesitas forzar temporalmente la URL correcta.

Aun así, hay que usarlo con cuidado. Si defines una URL incorrecta, puedes provocar redirecciones raras o problemas para acceder a la administración.

DISALLOW_FILE_EDIT: mejorar seguridad desde wp-config.php

WordPress permite editar archivos de temas y plugins desde el panel de administración, aunque en muchos proyectos esto no es recomendable.

Para desactivar ese editor interno, puedes añadir:

define( 'DISALLOW_FILE_EDIT', true );

Esto no impide que se modifiquen archivos por FTP, SSH o desde el hosting, pero sí evita que alguien con acceso al panel pueda editar archivos PHP desde el propio WordPress.

Es una medida sencilla y bastante recomendable en webs en producción.

Revisiones, papelera y autoguardado desde wp-config.php

wp-config.php también permite ajustar algunos comportamientos de edición de contenidos.

Limitar revisiones de entradas

define( 'WP_POST_REVISIONS', 5 );

Esto limita el número de revisiones guardadas por cada entrada o página.

Desactivar revisiones

define( 'WP_POST_REVISIONS', false );

No siempre recomiendo desactivarlas por completo. Las revisiones pueden salvarte si alguien borra contenido o hace cambios incorrectos.

Cambiar intervalo de autoguardado

define( 'AUTOSAVE_INTERVAL', 120 );

Este ejemplo cambia el autoguardado a 120 segundos.

Vaciar papelera automáticamente

define( 'EMPTY_TRASH_DAYS', 15 );

Esto indica a WordPress cuántos días conservar elementos en la papelera antes de eliminarlos definitivamente.

WP-Cron: cuándo desactivarlo desde wp-config.php

WordPress utiliza WP-Cron para ejecutar tareas programadas: publicaciones, comprobaciones, tareas de plugins, envíos, limpiezas y otros procesos.

En webs con mucho tráfico, tiendas online o proyectos exigentes, puede interesar desactivar WP-Cron y configurar un cron real en el servidor.

define( 'DISABLE_WP_CRON', true );

Pero no basta con añadir esa línea. Si desactivas WP-Cron y no configuras un cron real, algunas tareas programadas pueden dejar de ejecutarse.

WP_CACHE y caché avanzada

Algunos plugins de caché añaden esta línea al archivo wp-config.php:

define( 'WP_CACHE', true );

Esta constante permite que WordPress cargue mecanismos avanzados de caché, como el archivo advanced-cache.php, cuando está configurado por un plugin compatible.

No suele ser necesario añadirla a mano si usas un plugin de caché conocido. Normalmente el propio plugin la gestiona.

ABSPATH y wp-settings.php: las líneas que no deberías tocar

Al final de wp-config.php suelen aparecer líneas parecidas a estas:

if ( ! defined( 'ABSPATH' ) ) {
    define( 'ABSPATH', __DIR__ . '/' );
}

require_once ABSPATH . 'wp-settings.php';

Estas líneas definen la ruta absoluta de WordPress y cargan el archivo wp-settings.php, que continúa el proceso de carga del sistema.

No deberías tocarlas salvo que sepas muy bien lo que haces.

Si eliminas o rompes esta parte, WordPress no podrá cargar correctamente.

wp-config.php en migraciones WordPress

Uno de los momentos donde más se toca wp-config.php es durante una migración WordPress.

Cuando mueves una web a otro hosting, puede cambiar:

• Nombre de la base de datos.
• Usuario de base de datos.
• Contraseña.
• Servidor de base de datos.
• Ruta de archivos.
• URL del dominio.
• Prefijo si se ha hecho una migración compleja.

Si después de migrar aparece el error “Error al establecer una conexión con la base de datos”, lo primero que suele revisarse es este bloque:

define( 'DB_NAME', '...' );
define( 'DB_USER', '...' );
define( 'DB_PASSWORD', '...' );
define( 'DB_HOST', '...' );

También puede ser necesario revisar WP_HOME, WP_SITEURL, permisos del archivo, versión PHP, datos importados y configuración del servidor.

Si necesitas ayuda con este tipo de trabajos, puedes ver nuestro servicio de mantenimiento WordPress, donde también revisamos errores técnicos, actualizaciones, migraciones y problemas de configuración.

Errores típicos relacionados con wp-config.php

Estos son algunos errores habituales que pueden estar relacionados con wp-config.php.

Error	Posible causa	Qué revisar
Error al establecer conexión con la base de datos	Datos de base de datos incorrectos	DB_NAME, DB_USER, DB_PASSWORD, DB_HOST
Pantalla blanca	Error PHP o fallo crítico	Modo debug, logs, código añadido recientemente
Error de sintaxis	Comillas, punto y coma o código mal pegado	Línea indicada en el error, copia original del archivo
No puedo entrar al panel	URL mal definida o redirecciones incorrectas	WP_HOME, WP_SITEURL, base de datos
Error de memoria	Límite insuficiente o proceso pesado	WP_MEMORY_LIMIT, servidor, plugins, tema
Actualizaciones fallidas	Permisos, límites de servidor o configuración	Logs, permisos, hosting, mantenimiento, WP-CLI

Ejemplos útiles para wp-config.php

Estos ejemplos pueden ser útiles, pero no los pegues todos porque sí. Cada línea debe tener un motivo.

Activar debug y guardar errores en log

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Aumentar memoria de WordPress

define( 'WP_MEMORY_LIMIT', '256M' );
define( 'WP_MAX_MEMORY_LIMIT', '512M' );

Definir URL de la web

define( 'WP_HOME', 'https://tudominio.com' );
define( 'WP_SITEURL', 'https://tudominio.com' );

Desactivar editor de archivos desde el panel

define( 'DISALLOW_FILE_EDIT', true );

Limitar revisiones

define( 'WP_POST_REVISIONS', 5 );

Desactivar WP-Cron

define( 'DISABLE_WP_CRON', true );

Recuerda: si desactivas WP-Cron, configura un cron real en el servidor.

Qué no deberías tocar en wp-config.php si no sabes lo que haces

Hay partes que conviene respetar si no tienes experiencia.

• No cambies DB_CHARSET o DB_COLLATE sin motivo técnico.
• No cambies $table_prefix en una web ya instalada sin migrar las tablas.
• No borres las claves y salts sin regenerarlas correctamente.
• No elimines ABSPATH ni la carga de wp-settings.php.
• No actives debug visible en una web pública.
• No desactives actualizaciones o cron sin entender las consecuencias.
• No pegues configuraciones de otro hosting sin adaptarlas.
• No dejes datos de base de datos expuestos en capturas o documentos.

wp-config.php y seguridad

El archivo wp-config.php contiene datos sensibles, así que conviene protegerlo bien.

Algunas buenas prácticas son:

• Usar permisos adecuados en archivos y carpetas.
• No dejar copias como wp-config.php.bak accesibles públicamente.
• No descargarlo en equipos inseguros.
• No enviarlo por email sin protección.
• No compartir capturas con credenciales visibles.
• Desactivar el editor de archivos desde WordPress.
• Mantener WordPress, plugins y tema actualizados.
• Revisar accesos FTP, SSH y panel de hosting.

También se puede bloquear el acceso directo al archivo desde el servidor, aunque en muchos hostings modernos ya se aplican protecciones. En Apache, por ejemplo, puede usarse una regla en .htaccess:

<Files wp-config.php>
order allow,deny
deny from all
</Files>

En servidores Nginx, la configuración se hace de otra forma y depende del bloque de servidor. Si no sabes tocar Nginx, no improvises.

¿Se puede mover wp-config.php fuera de la raíz?

Existe la posibilidad de mover wp-config.php a un nivel superior al directorio público en determinadas configuraciones. Es una medida avanzada de seguridad que busca evitar exposición directa del archivo.

Pero no siempre es posible, no siempre está permitido por el hosting y no siempre merece la pena si no sabes bien cómo está montado el servidor.

En una web gestionada por profesionales puede valorarse. Para un usuario normal, suelen ser más importantes estas prioridades:

• Hosting seguro.
• Contraseñas fuertes.
• Actualizaciones.
• Copias de seguridad.
• Permisos correctos.
• No instalar plugins pirata.
• Controlar accesos.

¿Qué permisos debe tener wp-config.php?

Los permisos pueden variar según hosting y configuración del servidor. En muchos entornos, los archivos de WordPress usan permisos tipo 644, pero para wp-config.php a veces se usan permisos más restrictivos si el servidor lo permite.

No hay que cambiar permisos al azar. Si los dejas demasiado abiertos, reduces seguridad. Si los dejas demasiado cerrados, WordPress o el servidor pueden no leer el archivo correctamente.

Si tienes dudas, consulta con el soporte del hosting o con quien mantenga tu web.

wp-config.php en desarrollo, staging y producción

Una buena práctica en proyectos profesionales es no tratar igual una web en desarrollo que una web publicada.

En desarrollo puedes necesitar:

• Debug activo.
• Logs más detallados.
• Configuraciones temporales.
• Conexión a base de datos local.
• URLs de prueba.

En producción, en cambio, conviene:

• No mostrar errores en pantalla.
• Usar credenciales reales y seguras.
• Mantener permisos adecuados.
• No dejar configuraciones temporales.
• Controlar actualizaciones y backups.

Si usas entornos de staging, revisa bien que no se mezclen datos de base de datos, URLs, correos o configuraciones entre entornos.

Cuándo pedir ayuda profesional

Editar wp-config.php puede ser sencillo si solo tienes que cambiar un valor claro. Pero también puede complicarse mucho si hay errores, migraciones o configuraciones avanzadas.

Te conviene pedir ayuda si:

• La web muestra error de conexión con la base de datos.
• No puedes acceder al panel.
• Has cambiado wp-config.php y la web se ha caído.
• Estás migrando WordPress a otro hosting.
• Quieres activar debug pero no sabes leer los errores.
• Tienes problemas de memoria o actualizaciones.
• Sospechas de hackeo o código extraño.
• La web tiene WooCommerce o genera negocio.

En ideaWeb podemos ayudarte con mantenimiento, revisión técnica, migraciones, errores de WordPress y ajustes de configuración. Puedes ver nuestro servicio de mantenimiento WordPress.

Preguntas frecuentes sobre wp-config.php

¿Qué es wp-config.php?

wp-config.php es el archivo principal de configuración de WordPress. Contiene datos de conexión con la base de datos, claves de seguridad, prefijo de tablas y otros ajustes importantes.

¿Dónde está wp-config.php?

Normalmente está en la raíz de la instalación de WordPress, junto a carpetas como wp-admin, wp-content y wp-includes. En cPanel suele estar en public_html y en Plesk suele estar en httpdocs.

¿Para qué sirve wp-config.php?

Sirve para conectar WordPress con la base de datos y definir ajustes esenciales de configuración, seguridad, debug, memoria, URL, cron, caché y otros parámetros avanzados.

¿Puedo editar wp-config.php?

Sí, pero debes hacerlo con copia de seguridad y cuidado. Un error de sintaxis o un dato incorrecto puede hacer que WordPress deje de funcionar.

¿Qué diferencia hay entre wp-config.php y wp-config-sample.php?

wp-config-sample.php es una plantilla de ejemplo. wp-config.php es el archivo real que usa tu instalación de WordPress con tus datos de configuración.

¿Qué hago si no existe wp-config.php?

Comprueba que estás en la carpeta correcta. Si estás haciendo una instalación manual, puedes crear wp-config.php a partir de wp-config-sample.php y completar los datos de base de datos.

¿Qué es DB_NAME en wp-config.php?

DB_NAME indica el nombre de la base de datos que utiliza WordPress. Debe coincidir exactamente con la base de datos creada en el hosting.

¿Qué es DB_HOST?

DB_HOST indica el servidor de base de datos. En muchos hostings es localhost, pero en otros puede ser una ruta o servidor específico proporcionado por el hosting.

¿Qué es WP_DEBUG?

WP_DEBUG es una constante que activa el modo depuración de WordPress. Sirve para detectar errores, pero no conviene mostrar errores en pantalla en una web pública.

¿Puedo cambiar la URL de WordPress desde wp-config.php?

Sí. Puedes definir WP_HOME y WP_SITEURL desde wp-config.php, aunque debes hacerlo con cuidado para no provocar redirecciones incorrectas.

¿Es seguro cambiar el prefijo de tablas desde wp-config.php?

En una instalación nueva sí puede definirse otro prefijo. En una web ya creada no basta con cambiar la línea $table_prefix; habría que renombrar tablas y revisar datos internos.

¿Qué permisos debe tener wp-config.php?

Depende del servidor. En muchos hostings puede funcionar con 644, pero algunos entornos permiten permisos más restrictivos. No cambies permisos sin saber si el servidor podrá leer el archivo.

¿Puedo borrar wp-config-sample.php?

En una web ya instalada, wp-config-sample.php no suele ser necesario para el funcionamiento diario. Aun así, borrarlo no sustituye ninguna medida real de seguridad.

¿wp-config.php puede romper mi web?

Sí. Si introduces datos incorrectos, errores de sintaxis o configuraciones incompatibles, WordPress puede dejar de cargar correctamente.