WordPress保守の基本｜更新・バックアップ・セキュリティ対策の進め方
WordPressは便利な反面、放置すると不具合や改ざんのリスクが高まります。本体やプラグインの更新、バックアップ、セキュリティ対策の基本と、社内と外部の分担の考え方を解説します。
WordPressは世界中で広く使われているCMS（コンテンツ管理システム）で、中小企業のサイトでも多く採用されています。管理画面から誰でも更新できる手軽さが魅力ですが、その一方で、利用者が多いぶん攻撃の標的にもなりやすいという側面があります。
「制作会社に作ってもらってから、一度も更新していない」「管理画面に更新の通知が出ているけれど、押してよいのかわからない」。こうした状態は、サイトの改ざんや表示崩れのリスクを抱えたままの運用といえます。
この記事では、WordPressの保守で押さえるべき3つの柱である「更新」「バックアップ」「セキュリティ対策」について、基本の考え方と具体的な進め方を解説します。社内で対応する範囲と、専門家に任せる範囲の線引きもあわせて紹介します。
なぜWordPressの保守が必要なのか
WordPressのサイトは、大きく分けて次の3つの要素で動いています。
- WordPress本体：サイトの基本機能を提供するプログラム
- テーマ：サイトのデザインやレイアウトを決めるファイル群
- プラグイン：問い合わせフォームやSEO設定など、機能を追加する部品
これらはそれぞれ開発者によって定期的に更新され、不具合の修正やセキュリティ上の弱点（脆弱性）への対策が行われています。更新しないまま放置すると、すでに知られている弱点を突かれてサイトが改ざんされたり、不正なプログラムを埋め込まれたりするおそれがあります。
また、サーバー側のPHP（WordPressを動かすプログラム言語）のバージョンも古いままにしておくと、サポートが終了してしまう場合があります。保守は「何も起きないようにするための作業」であり、何も起きていないときこそ続けることが大切です。
更新作業の進め方
更新は大切ですが、何も考えずにすべて更新すると、プラグイン同士の相性などで表示が崩れたり、機能が動かなくなったりすることがあります。安全に更新するための手順は次のとおりです。
- バックアップを取る：更新前に必ずサイト全体のバックアップを取得します。
- 更新内容を確認する：管理画面の更新一覧で、どの本体・テーマ・プラグインに更新があるかを確認します。大きなバージョンアップの場合は、変更点の説明にも目を通します。
- 可能ならテスト環境で試す：本番と同じ内容のテスト環境（ステージング環境）があれば、先にそこで更新して動作を確かめます。
- 本番環境で更新する：プラグイン、テーマ、本体の順に、一つずつ更新するとトラブル時に原因を特定しやすくなります。
- 動作を確認する：トップページ、主要なページ、問い合わせフォームの送信などを確認します。
- 記録を残す：更新日、更新したもの、確認結果を記録します。
更新の頻度は、月に1回程度の定期更新を基本とし、重大な脆弱性が公表されたときは早めに対応するのが目安です。テーマを直接カスタマイズしている場合、テーマの更新で変更が消えてしまうことがあるため、制作会社に構成を確認しておきましょう。
バックアップの基本
バックアップは、トラブルが起きたときにサイトを元の状態に戻すための保険です。WordPressのバックアップでは、次の2種類のデータを両方保存する必要があります。
| データの種類 | 中身 | 注意点 |
|---|---|---|
| ファイル | 本体、テーマ、プラグイン、アップロードした画像など | 画像が多いと容量が大きくなる |
| データベース | 記事の本文、ページ内容、設定情報など | 更新頻度が高く、こまめな取得が必要 |
バックアップの方法には、サーバー会社が提供する自動バックアップ機能、バックアップ用のプラグイン、制作会社による手動取得などがあります。どの方法でも、次の3点を確認してください。
- 取得の頻度：更新の多いサイトほど頻繁に取ります。週1回から毎日程度が目安です。
- 保管場所：サーバーと同じ場所だけでなく、別の場所にも保管しておくと、サーバー自体の障害にも備えられます。
- 復元の手順：いざというときに戻せなければ意味がありません。復元の方法と担当者を事前に確認しておきます。
セキュリティ対策のチェックリスト
更新とバックアップに加えて、日頃から次のような対策を取っておくと、被害のリスクを下げられます。
- 管理画面のログインパスワードは、推測されにくい長いものにしているか
- 管理者アカウントを必要最小限にし、退職者のアカウントを削除しているか
- ユーザー名に「admin」など推測されやすい名前を使っていないか
- ログイン時の二段階認証や、ログイン試行回数の制限を設定しているか
- 使っていないプラグインやテーマを削除しているか
- 長期間更新されていないプラグインを使い続けていないか
- サイトの通信がSSL（暗号化通信）で保護されているか
- サーバーやWordPressのログイン情報を、安全な方法で管理しているか
セキュリティ用のプラグインを導入する方法もありますが、設定を誤るとログインできなくなるなど別のトラブルを招くことがあります。導入する場合は、制作会社など詳しい人に相談してから進めてください。
AIを保守作業に活用する
AIは、保守作業の理解を助ける相談相手として役立ちます。
- 「WordPressの管理画面に以下の更新通知が出ています。更新前に確認すべき点を、初心者にもわかるように説明してください」
- 「プラグイン更新後にこのエラーメッセージが表示されました。考えられる原因と、まず確認すべきことを教えてください」
ただし、AIの回答は一般論であり、自社のサイトの構成までは把握していません。サーバーの設定変更やファイルの直接編集など、影響の大きい操作をAIの回答だけを頼りに行うのは避けてください。エラーメッセージを貼り付ける際は、パスワードやサーバーの情報が含まれていないかも確認しましょう。
社内と外部の分担を決める
WordPressの保守をすべて社内で行うのは、専門知識のある人がいない会社では負担が大きくなります。一般的な分担の目安は次のとおりです。
- 社内で対応しやすい作業：記事やページの更新、表示の確認、アカウントの管理、問い合わせフォームのテスト送信
- 外部に任せたほうが安全な作業：本体・プラグインの更新と動作確認、バックアップの設定と復元、PHPのバージョンアップ、改ざんなどの緊急対応
保守を外部に委託する場合は、作業範囲、対応の頻度、緊急時の連絡方法、作業報告の形式を契約で明確にしておきましょう。費用は作業範囲によって大きく変わるため、複数の会社から内容を比べて検討するのがおすすめです。
まとめ
WordPressの保守は、更新、バックアップ、セキュリティ対策の3つを継続することが基本です。更新前には必ずバックアップを取り、一つずつ更新して動作を確認する。この手順を守るだけでも、トラブルの多くは防げます。
まずは管理画面にログインし、更新の通知がいくつ出ているか、最後にバックアップが取られたのはいつかを確認してください。どちらもわからない場合は、今週中に制作会社やサーバー会社に問い合わせてみましょう。