WordPressで作ったサイトは、公開した後も「維持するための作業」が必要です。ただ、何を、どのくらいの頻度でやればよいのかは、意外と整理されていません。

この記事では、WordPressを安全に保つための基本を「更新」「バックアップ」「権限」の3つに分けて整理します。ログインまわりの不正アクセス対策は別の記事で扱っているため、ここでは日々の運用で見落とされやすい点に絞ります。

WordPressの保守とは

WordPressの保守とは、サイトを公開し続けるために、定期的に行う確認・管理作業の総称です。サイトの見た目を変える作業ではなく、「今の状態を安全に保つ」ための作業を指します。

保守を怠ると、次のような状態になりやすくなります。

  • 古いバージョンの弱点を突かれ、不正アクセスを受ける
  • 更新に失敗した時に、元に戻せない
  • 退職者や外注先が、いつまでも管理画面に入れる状態が残る

こうしたリスクは、更新・バックアップ・権限の3つを定期的に見ることで、大きく減らせます。保守という言葉の意味や契約の範囲については、「保守契約」とは？ホームページの保守で何をしてもらえるのかで解説しています。

柱1：更新を止めない

WordPress本体、テーマ、プラグインには、定期的に更新が公開されます。更新には機能追加だけでなく、見つかった弱点（脆弱性）を修正する役割もあるため、長く放置するほどリスクが高まります。

見直しのポイント

  • 更新通知を溜めない：管理画面の「更新」に通知が何件も残っている状態は、危険信号です
  • 更新が止まったプラグインに注意する：長期間更新されていないプラグインは、弱点が修正されないまま残ります。代わりのプラグインへの切り替えや、そもそも不要でないかを検討します
  • 使っていないプラグイン・テーマは削除する：無効化しているだけのものも、ファイルはサーバー上に残っています
  • 更新の前にバックアップを取る：更新でサイトが崩れた時に、戻せる状態にしておきます

具体的な更新の順番や、更新後の確認項目はWordPress本体・プラグインを安全に更新する手順にまとめています。

柱2：バックアップを「取れて、戻せる」状態にする

バックアップは、取っていることだけでは十分ではありません。次の3点を確認します。

  • 取得の頻度：更新や記事の追加が多いサイトほど、頻度を高くします
  • 保管場所：サーバーの中だけに置かず、別の場所にも保存します
  • 復元の手順：いざという時に、誰がどのように戻すのかを把握しておきます

取り方はWordPressのバックアップを定期的に取る方法、戻し方はWordPressのバックアップから復元する方法で詳しく解説しています。

柱3：権限を整理する

3つ目の「権限」は、更新やバックアップに比べて見落とされがちです。管理画面に誰が、どの範囲まで入れるのかを定期的に見直します。

WordPressのユーザー権限の種類

WordPressには、ユーザーごとに次のような権限（ロール）を割り当てられます。

権限できることの目安
管理者サイトのすべての設定・更新・ユーザー管理
編集者自分以外のものも含め、記事・ページの公開と管理
投稿者自分の記事の作成・公開
寄稿者自分の記事の下書きの作成（公開はできない）
購読者閲覧のみ（管理画面ではプロフィールの編集程度）

権限を見直す時のポイント

  • 管理者は必要最小限にする：記事の更新だけをする人には、管理者権限は不要です。編集者や投稿者で足ります
  • 1人1アカウントにする：ひとつのIDとパスワードを複数人で使い回すと、誰が何をしたのかが分からなくなります
  • 退職者・契約を終えた外注先のアカウントを残さない：退職や契約終了のタイミングで、アカウントの削除または権限の引き下げを行います
  • 使っていないアカウントがないか確認する：過去の制作会社が作ったアカウントや、テスト用のアカウントが残っていることがあります
  • 管理者のメールアドレスを最新にする：パスワードの再設定メールが届く先が、古いアドレスのままになっていると、いざという時に困ります

退職者のメールやアカウントの扱いについては、退職した社員の会社メールアドレスはどうする？削除・引き継ぎの手順も参考になります。管理画面のIDやパスワードの保管・共有の考え方は、管理画面のログイン情報を安全に保管・共有するには？にまとめています。

ログインページの保護や二段階認証などの対策は、WordPressの不正ログイン対策｜今すぐできるセキュリティ設定をご覧ください。

見直しの頻度の目安

すべてを毎日行う必要はありません。次のように、頻度を決めておくと続けやすくなります。

頻度確認すること
月に1回更新通知の確認と適用（更新前にバックアップ）、バックアップが取れているかの確認
3か月に1回使っていないプラグイン・テーマの整理、ユーザー一覧の確認
年に1回復元テスト、管理者アカウントの棚卸し、サーバー・ドメインの契約内容の確認

契約の更新漏れを防ぐ方法は、ドメイン・サーバーの更新を忘れないための管理術も参考になります。

よくある質問

Q. 更新は自動更新にしておけば、何もしなくて大丈夫ですか？

A. 自動更新は便利ですが、更新後にサイトが崩れていても気づけない場合があります。自動更新を使う場合でも、月に一度はサイトを実際に開いて表示や問い合わせフォームの動作を確認することをおすすめします。

Q. プラグインの更新をしたら、サイトが崩れてしまいました。どうすればよいですか？

A. まず、更新したプラグインを無効化できるかを試し、それでも直らない場合は、更新前のバックアップから戻します。バックアップがない場合は、お早めに専門家へご相談ください。

Q. 管理者権限は、何人までなら問題ありませんか？

A. 人数の決まりはありませんが、「本当に必要な人だけ」が基本です。記事の更新だけを行う人は編集者や投稿者にし、管理者は設定や更新を担う1〜2名程度に絞る運用が一般的です。

Q. 制作会社が作ったアカウントは、削除してよいのでしょうか？

A. 保守を継続して任せている場合は、削除するとその作業に支障が出ることがあります。契約状況を確認したうえで、不要であれば削除する、継続するなら権限の範囲だけ確認する、という順番で進めてください。

まとめ

  • WordPressの保守の基本は、更新・バックアップ・権限の3つ
  • 更新は溜めず、更新前には必ずバックアップを取る
  • バックアップは、別の場所にも保存し、戻せることまで確認する
  • 管理者権限は最小限にし、1人1アカウントで運用する
  • 退職者や外注先のアカウントは、契約終了のタイミングで整理する
  • 月次・3か月・年次の目安を決め、続けられる形にする

「どこから手を付ければよいか分からない」「担当者がいなくなって誰も管理できていない」という場合は、Web GearのWebザイルで日々の管理についてご相談いただけます。トラブルが起きてしまった後のご相談は、Webレスキューをご覧ください。