WordPressの更新通知がたまっている。制作会社との契約が終わり、誰が安全を確認しているか分からない。まずは今の状況を点検し、更新・確認・復元を続けられる体制をつくるところから始めましょう。
この記事を見るべき方
- 自社のWordPressを誰が管理しているか曖昧になっている方
- 保守契約の見直しや、更新の再開を検討している方
WordPressのセキュリティ対策は、何から始めるべき？
最初に行うのは、セキュリティプラグインを増やすことではなく、更新状況・管理権限・復元できるバックアップを確認することです。 この3点の担当が曖昧だと、問題を見つけても対応が止まります。「制作を頼んだ会社が見ているはず」と考える前に、現在の契約で何が実施されているかを確かめましょう。
ただし、知らないページが増えた、別サイトへ転送される、管理者が勝手に追加された、といった兆候がある場合は通常の点検とは別です。むやみに削除や上書きをする前に、サーバー会社・保守担当へ連絡し、ログやバックアップの保全、被害の切り分けを依頼してください。
この記事では、侵入方法の解説ではなく、企業のWeb担当者が「確認すること」と「専門担当へ任せること」を整理します。完全な安全を保証する手順ではありませんが、管理の空白を見つけるためのチェックリストとして使えます。
小さな企業サイトでも、管理を止めてはいけない理由
売上や知名度だけで、攻撃対象になるかどうかは決まりません。公開されたサイトは外部からアクセスでき、古い機能や漏れた認証情報が悪用される可能性があります。問い合わせを受けるだけのサイトでも、改ざん、迷惑メールの送信、検索結果への不正ページ混入などが起きれば、顧客への説明や復旧が必要になります。
WordPress公式も、セキュリティを「リスクの排除」ではなく「リスクを減らす取り組み」と説明しています。更新、アクセス制限、バックアップなどを組み合わせる考え方が基本です。出典：WordPress公式「Hardening WordPress」
サーバー会社が設備を管理していても、サイトのテーマ・プラグイン・編集アカウントまで、すべてを確認する契約とは限りません。自社と各委託先の担当範囲を確かめることが出発点です。
まず確認したい7項目と、担当者へ聞くこと
確認項目 | 担当者へ聞くこと | 確認後に残すもの |
|---|---|---|
本体・テーマ・プラグイン | 最終更新日と、更新できない理由は？ | バージョン一覧・未対応項目 |
PHP・サーバー | サポート状況と更新窓口は？ | 契約先・更新担当・確認日 |
管理アカウント | 退職者や旧制作会社の権限は残っている？ | 利用者と権限の一覧 |
バックアップ | 何を、何世代、どこに保存している？ | 保存対象・保存先・復元手順 |
フォーム・外部連携 | 送信内容やAPIの接続情報はどこにある？ | 保存先と管理担当の整理 |
監視・通知 | 異常時に誰へ連絡が来る？ | 通知先・連絡順序 |
不要な機能 | 使っていない機能・テストページはある？ | 残す理由・停止や削除の判断 |
一度に全部を直す必要はありません。各項目を「確認済み」「要対応」「不明」に分け、業務への影響が大きいものから進めます。既知の脆弱性が放置されている、管理者が不明、バックアップが一度も確認されていない、といった状態は優先して相談したい項目です。
PHPはWordPress本体とは別に確認が必要です。サーバー管理画面で切り替えられる場合でも、互換性の検証を省いてよいわけではありません。PHPの更新が必要かを確認する手順も併せて確認してください。
更新は「押す作業」ではなく、確認までを一組にする
更新の目的は、画面の通知を消すことではありません。必要な修正を適用し、問い合わせ・予約・購入といった業務が正常に続く状態にすることです。
更新前：戻せる状態と、確かめる機能を決める
バックアップ、変更対象、作業時間、確認項目、問題が起きた場合の連絡先を決めます。長期間更新していないサイトや独自機能があるサイトは、可能な範囲で検証環境を使い、本番と同じ条件で確認します。検証環境だけ古いPHPを使っている場合などは、確認結果をそのまま本番に当てはめられません。
更新後：見た目だけで判断しない
トップページが表示されても、メール送信や検索、予約などの機能が止まっていることがあります。確認項目はサイトの役割に合わせて選びます。次は企業サイトを想定した点検例です。
- お問い合わせ：入力・確認・完了・通知メール・自動返信まで届くか
- 投稿更新：画像を追加し、下書き保存と公開ができるか
- スマートフォン：メニュー、フォーム、電話などの主要導線が使えるか
- 外部連携：予約システムやCRMへ必要な情報が届くか
- 記録：更新した対象、結果、未対応の問題を残したか
WordPress公式の更新手順でも、事前のバックアップとテーマ・プラグインの確認が案内されています。更新を急ぐ必要がある場合ほど、確認と復旧の担当を明確にしておきます。出典：WordPress公式「Updating WordPress」
バックアップは「ある」より「戻せる」が大切
WordPressの復旧には、記事などが入るデータベースと、画像・テーマなどのファイルが関わります。どちらか一方だけでは、必要な状態を再現できない場合があります。出典：WordPress公式「Backups」
保守担当には、次のように具体的に聞くと、備えの実態を確認できます。
- サイトが壊れた場合、誰が復元作業を始めるのか。
- いつの時点まで戻せるか。その間の問い合わせや注文はどう扱うか。
- 復元手順を検証したことがあるか。直近の確認日はいつか。
- サーバーへログインできない場合でも、バックアップへアクセスできるか。
更新の少ない会社案内サイトと、注文が入り続けるECでは、許容できるデータ損失が異なります。「毎日保存しているから十分」と固定せず、止められる時間と失ってはいけない情報から保存間隔を決めましょう。
社内で行うこと・保守会社へ任せること
保守を外注しても、業務上の判断まで自動的に移るわけではありません。たとえば「問い合わせを止めてよい時間」「退職者の権限を外すタイミング」「フォームで集める情報」は、社内の判断と共有が必要です。
社内で決めること | 保守担当へ依頼すること |
|---|---|
更新を避けたい営業時間や繁忙期 | 更新の影響調査・検証・作業計画 |
現在の担当者と、利用が終了したアカウント | 権限の整理・認証設定の確認 |
正常に動くべき問い合わせや予約の流れ | 更新後の動作確認・結果報告 |
障害時の連絡先・優先する業務 | バックアップ状況の確認・復元準備 |
保存が必要な情報と保存期間 | フォームや連携先の管理状況の整理 |
社内にWeb担当者がいない場合は、作業の外注と、判断を相談できる窓口の両方が必要になることがあります。Web担当代行サービスでは、契約先や必要な対応を整理する段階から相談できます。
相談例：更新通知がたまり、触るのが怖くなっている
ここからは実績紹介ではなく、依頼範囲を考えるための例です。数年前に公開したWordPressサイトで、制作会社との契約が終わり、担当者は記事投稿しか行っていないケースを想定します。
この場合、最初から一括更新を依頼するより、①構成と権限の把握、②バックアップ・復元可否の確認、③更新できない理由の調査、④対応順序の決定、の順で範囲を整理すると、見積もりの前提が揃います。更新後は、実際のフォーム送信まで確認してもらうところを納品条件に含めます。
独自改修や提供終了のプラグインが原因で更新できない場合、保守だけでは解消できず、部分改修が必要になることもあります。その判断はWordPressの改修費用と、作り直すかの判断基準で詳しく整理しています。
よくある質問
セキュリティプラグインを入れれば保守は不要ですか？
不要にはなりません。ログイン保護や検知を補助する機能があっても、更新判断、アカウント管理、復元、業務の動作確認まで代わりに完了するわけではありません。重複した機能を増やす前に、今の設定と運用を確認しましょう。
自動更新にしておけば十分ですか？
自動更新は有効な手段ですが、更新失敗や機能への影響を誰が確認するかは別に決めます。個別に検証が必要な機能がある場合は、対象ごとに方法を選びます。「全部手動」「全部自動」と一律に決めるより、重要度に応じた運用が必要です。
他社が制作したサイトも相談できますか？
スターウィーブでは、他社制作のサイトについても、まず現在の構成と管理状況を確認するところからご相談いただけます。契約・権限・独自機能によって対応範囲は変わるため、URLと分かる範囲の状況をお知らせください。初回の問い合わせにパスワードを記載する必要はありません。
「誰が、何を確認するか」を決めるところから
WordPressのセキュリティ対策を続けるには、ツールだけでなく、更新・検証・復元・連絡の担当が必要です。今の保守契約と上のチェック表を照らし合わせ、空白になっている項目を一つずつ埋めていきましょう。
依頼範囲を確認したい方は保守運用・運用代行の内容へ。サイト全体の情報の流れも見直したい方は、企業サイトの情報漏洩対策へお進みください。
公式情報の確認日：2026年11月11日。具体的な更新方法や対応範囲は、利用環境と契約に合わせて判断してください。
