2026年 第8回 WordPressを使う際の注意点と運用リスク

「作ったら終わり」ではない、
AI時代のWebサイト管理

Webサイトは、公開した瞬間がゴールではない

公開後には、更新、アカウント管理、バックアップ、契約管理など、継続して行う作業があります。見た目に変化がなくても、管理が不要になったわけではありません。

この授業では、WordPressを安心して使い続けるために、どのような注意点があるのかを学びます。

特に大切なのは、次の3つです。

そして、それらを「誰が、いつ、どのように行うか」まで考えます。

この授業の到達目標

• サイト公開後に必要な作業・費用・責任を知る
• 不正アクセスのリスクと、AIによる変化を理解する
• 更新・認証・バックアップの重要性を理解する
• 導入前に「誰が、どう管理するか」を考える

あなたならどうする？
サイト管理の3つの確認問題

最初に、サイト管理について3つの問題です。

正しいと思ったら○、違うと思ったら×を、頭の中で考えてください。今は正解が分からなくても構いません。授業の最後に、もう一度確認します。

20秒ほどで考えてみましょう。

「見えている部分」だけでは判断できない

店舗を想像してください。

店内がきれいで、照明もついています。しかし、裏口の鍵が壊れ、合鍵を誰が持っているかも分かりません。

この店を「きれいだから安全」と判断できるでしょうか。

Webサイトも同じです。

ページが表示されることは大切ですが、それだけでは、更新状況、管理者アカウント、バックアップの状態までは分かりません。

「表示される」と「安全に管理されている」は、別の話です。

サイトの管理では、ページの見た目だけでなく、次のような点も確認する必要があります。

• 本体・テーマ・プラグインは更新されているか
• 誰が管理画面にログインできる状態か
• バックアップが保存され、復旧に使えるか

「サイトが見られるから大丈夫」で終わらせず、その裏側の管理にも目を向ける。
それが、この授業の出発点です。

公開後に必要な作業・費用・責任

制作費だけでは終わらない

サイトを作るときは、デザインや制作費に目が向きやすくなります。

しかし、運用では次の項目も確認する必要があります。

• サーバーやドメインの契約・更新
• 本体・テーマ・プラグインの更新
• 表示やフォームなどの動作確認
• アカウントと権限の管理
• バックアップと復旧の準備
• トラブル時の調査や対応

費用がかからない作業でも、担当する人の時間は必要です。

自分で対応するのか、外部に依頼するのか。どちらの場合も、担当と対応範囲を決めておきます。

「制作した人」と「管理する人」は同じとは限らない

制作を依頼したからといって、その後の更新や復旧まで、すべて契約に含まれているとは限りません。

サーバー会社が担当する範囲と、サイト運営者が担当する範囲も確認が必要です。WordPress公式のセキュリティ資料でも、この責任範囲の理解が重要とされています。［1］

「誰かがやってくれるはず」を残さないことが、運用の第一歩です。

30秒チェック：この計画に足りないものは？

次は、架空の店舗サイトの計画です。

• 制作担当：決まっている
• 公開日：決まっている
• デザイン：決まっている
• 公開後の更新担当：未定
• バックアップの確認担当：未定
• トラブル時の連絡先：未定

何が問題でしょうか。

答えは、公開後の管理体制が決まっていないことです。

公開日だけでなく、公開後の担当者まで決めて、運用計画にしましょう。

更新の注意点：
「怖いから更新しない」でよい？

更新は、見た目や機能を変えるためだけではない

ソフトウェアには、後から安全上の欠陥が見つかることがあります。このような欠陥を「脆弱性」と呼びます。

更新には、こうした問題を修正する役割もあります。

WordPressでは、本体だけでなく、テーマやプラグインも管理対象です。古い状態を放置すると、すでに知られている欠陥を悪用されるおそれがあります。［1］

「更新したら不具合が出そう」という不安

更新によって、表示や機能に影響が出ないか心配になることもあるでしょう。

だからといって、更新を止めたままにするのではなく、確認と復旧の準備を含めた手順を用意します。

基本の流れは、次のとおりです。

1. 更新内容を確認する
2. バックアップを取る
3. 更新する
4. 表示や主要な機能を確認する

重要なサイトでは、可能な範囲で検証用の環境を使い、先に確認することも考えます。

並べ替え問題

次の4つを、実施する順に並べてください。

• A：更新する
• B：更新後の動作を確認する
• C：更新内容を確認する
• D：バックアップを取る

20秒、考えてみましょう。

答え：C → D → A → B

更新ボタンを押すことだけが、更新作業ではありません。

更新後、どこを見る？

「トップページが表示されたから終了」では、確認が足りない場合があります。

そのサイトで重要な機能を、あらかじめリストにしておきましょう。

• 主要なページを表示できるか
• メニューやリンクが機能するか
• 問い合わせフォームを送信できるか
• ログインや記事編集ができるか
• スマートフォンでも確認したか

不要なプラグインは整理する

管理するものが増えれば、確認する対象も増えます。

使っていないものを残し続けるのではなく、本当に必要かを見直します。削除するときは、ほかの機能への影響や、保存データの扱いも確認してください。

更新は「押して終わり」ではなく、「備えて、実施して、確かめる」作業です。

不正アクセスと、AIによる変化

「小さなサイトだから大丈夫」とは限らない

不正アクセスというと、攻撃者が特定の企業を選び、画面を見ながら侵入する姿を想像するかもしれません。

しかし、攻撃には自動化されたものもあります。運営者が「目立たないサイトだから」と考えていても、それだけで安全とは判断できません。［1］

AIによって何が変わるのか

英国の国家サイバーセキュリティセンター（NCSC）は、AIが次のような活動を支援していると評価しています。

• 攻撃対象に関する情報収集
• ソフトウェアの脆弱性の調査
• 脆弱性を悪用するための準備
• なりすましなど、人をだます攻撃

また、AIによって既知の脆弱性を悪用する能力が高まり、修正までの猶予が短くなると見込んでいます。［3］

ここで大切なのは、必要以上に怖がることではありません。

攻撃の一部が効率化されるなら、運営側も「後で対応する」を減らす必要があるということです。

誤解しないでおきたいこと

• AIを使った攻撃は、WordPressだけの問題ではありません
• 自動化された攻撃が、すべてAIによるものとは限りません
• AIを使えば、どんなサイトにも必ず侵入できるわけではありません

「AIだから特別な対策だけが必要」と考えるのではなく、更新や認証などの基本対策を確実に続けます。

対応を選ぼう：このメール、どうする？

次は授業用の架空メールです。

あなたのサイトに重大な問題が見つかりました。
本日中に、以下のリンクから管理者情報を確認してください。
対応しない場合、サイトが停止する可能性があります。

あなたなら、どうしますか。

• A：急いでリンクを開き、ログインする
• B：普段使っている管理画面から、状況を確認する
• C：契約先や管理担当者に、別の連絡手段で確認する

基本となる対応は、BやCです。

メールの見た目だけで判断せず、普段のアクセス経路や、確認済みの連絡先を使いましょう。

不自然な日本語がないことや、ロゴが入っていることだけでは、本物と判断できません。

認証の注意点：
2段階認証を基本にする

パスワードだけに頼らない

この授業では、管理者アカウントの2段階認証を標準とする運用方針で考えます。

パスワードを長くすることも大切ですが、それだけに頼らず、追加の確認を組み合わせます。

例えば、パスワードを入力した後に、認証アプリなどによる確認を行う方法です。WordPress公式のセキュリティ資料でも、2段階認証が対策として紹介されています。［1］

なお、厳密には「2段階認証」と「多要素認証」は同じ意味ではありません。この授業では、パスワードに加えて、手元の端末など異なる種類の要素で確認する方式を基本として扱います。

設定すれば、それで完成？

もう一つ、考えてみてください。

2段階認証を設定した翌日、認証に使っていたスマートフォンが故障しました。

ログインできるでしょうか。

このような場面に備え、設定時に次の点を確認します。

• 実際にログインできるか
• 復旧コードなどの代替手段があるか
• 復旧に必要な情報を安全に保管しているか
• 機種変更の際に必要な手順は何か

2段階認証は、「設定」と「復旧手段の準備」をセットで行います。

アカウントの権限も見直す

認証を強くしても、必要以上に強い権限を配っていては、管理上の問題が残ります。

• 記事を投稿する人
• サイト全体を保守する人
• 一時的に作業する外部担当者

それぞれに、どの権限が必要でしょうか。

「面倒だから全員を管理者にする」のではなく、業務に必要な範囲の権限を与えます。退職や契約終了の際は、アカウントを見直します。［1］

自分の中で確認

次の3つに答えられるでしょうか。

• 管理者アカウントは、誰が使っていますか
• 2段階認証は設定されていますか
• 認証端末を失った場合の対応は決まっていますか

実際のパスワードや復旧コードを、授業中に発表・提出する必要はありません。

---

セキュリティとバックアップはセット

鍵とバックアップは役割が違う

セキュリティ対策は、不正アクセスや被害のリスクを減らすために行います。

バックアップは、障害や被害が起きたときに、サイトを復旧するために用意します。

つまり、次のように役割が違います。

• セキュリティ対策：被害を防ぐための備え
• バックアップ：失われたり壊れたりした状態から戻すための備え

バックアップがあっても、不正アクセスそのものを防ぐことはできません。一方で、対策をしていても、トラブルへの備えは必要です。［1］［2］

「守る」と「復元」。両方を用意しましょう。

定期的なバックアップが必要（プラグイン活用）

• バックアップをとる
  • プラグインで自動化
    • 「Updraft plus」、「BackWPup」、レンサバのバックアップ他
  • バックアップがちゃんと取れているか定期的に確認

バックアップで決める5つのこと

① 何を保存するか

WordPressでは、サイトのファイルとデータベースの両方を考える必要があります。

画像などのファイルだけを保存しても、記事などの情報を含むデータベースがなければ、元どおりに復旧できないおそれがあります。［2］

② どれくらいの頻度で保存するか

「何日分の更新が失われると困るか」から考えます。

例えば、1週間に一度のバックアップでは、次のバックアップまでの間に追加した内容が失われる可能性があります。

③ どこに保存するか

サイトとバックアップが同時に失われないよう、保存先を考えます。

保存しているつもりでも、サイトと一緒に削除されたり、利用できなくなったりしては、復旧に使えません。

④ 過去の状態をいくつ残すか

最新の1回分だけでは、問題が起きる前の状態に戻せない場合があります。

異常に気づくまでに時間がかかることも想定して、過去の状態を残します。

⑤ 誰が、どう復旧するか

バックアップの保存場所を知っている人が一人だけでは、その人が不在のときに困ります。

復旧担当者、必要な情報、手順を確認し、可能なら検証用環境で復旧テストを行います。［2］

30秒チェック：このバックアップで安心？

次の状態には、どんな問題があるでしょうか。

毎日、自動バックアップを取っています。
ただし、保存先は分かりません。
成功したかも確認していません。
復旧したことは一度もありません。

「毎日」という頻度だけでは、十分かどうかを判断できません。

自動で動くことと、正常に保存され、復旧に使えることは別です。

バックアップの合格ライン

覚えておきたいのは、この一文です。

バックアップは、「取れている」だけでなく、「必要な状態に戻せる」ことまで確認する。

導入前に「誰が、どう管理するか」を決める

ここまでの内容を、運用計画に落とし込みましょう。

次の項目について、担当者や確認方法を書いてください。

まだ実際のサイトを持っていない場合は、架空の店舗サイトを想定してください。

管理体制チェックシート

契約・費用

• サーバーとドメインの契約を管理する人：
• 契約更新の時期を確認する方法：
• 運用費用を確認する人：

更新

• 本体・テーマ・プラグインを更新する人：
• 更新状況を確認するタイミング：
• 更新前のバックアップ方法：
• 更新後の動作確認項目：

認証

• 管理者アカウントを把握している人：
• 2段階認証の設定状況：
• 認証端末を失った場合の対応：
• 退職・契約終了時のアカウント見直し方法：

バックアップ・復旧

• バックアップする対象：
• 保存頻度：
• 保存先：
• 過去の状態を残す期間や回数：
• 正常に保存できたかを確認する人：
• 復旧を担当・依頼する先：

引き継ぎ

• 担当者が不在になった場合の連絡先：
• 必要な情報と手順を保管する場所：

「未定」があること自体より、放置することが問題

今すぐ、すべて埋められなくても構いません。

大切なのは、分からない項目を見つけ、確認先や担当者を決めることです。

導入前に考えるべきなのは、「作れるか」だけではなく、「管理し続けられるか」です。

最初の3問に、もう一度答えてみよう

第1問

サイトが正常に表示されていれば、安全に運用できていると判断できる。

答え：×

表示だけでは、更新状況やアカウント、バックアップの状態までは判断できません。

第2問

毎日バックアップを取っていれば、不正アクセスへの対策は不要である。

答え：×

バックアップは復旧の備えです。不正アクセスのリスクを減らす対策も必要です。

第3問

2段階認証を設定すれば、その後のアカウント管理は不要である。

答え：×

権限の管理、退職者のアカウントの見直し、認証端末の紛失への備えなども必要です。

AIを使う攻撃が話題になっても、基本を飛ばしてよいわけではありません。

まずは、自分たちのサイトについて、次の3つに答えられる状態を目指しましょう。

最後に更新したのは、いつですか。

管理者の2段階認証は、設定されていますか。

今日サイトが使えなくなったら、誰が、何を使って戻しますか。

技術的な留意点

テーマの選定に注意（信頼性・更新頻度）

プラグインの互換性に注意（更新時の不具合）

• テーマとプラグイン、プラグインとプラグインの相性
  • バージョンアップにより不具合が出る場合がある
    • テスト環境であらかじめバージョンアップして正しく動作するかテスト
      • All-in-one WP Migrationでエクスポート、Localにインポートして、本番環境とまったく同じサイトを手元に再現しておく

サーバー性能に依存（表示速度・安定性）

• 「KUSANAGI」…激速なWordPress環境（エックスサーバー、さくらVPSなど）

運用面の課題

表示速度の最適化（画像圧縮・キャッシュ）

• 動的（アクセスのたびにDBから記事取得）のため、ページの読み込み速度が遅い
  • キャッシュ機能で改善できる
    • ページキャッシュ、ブラウザキャッシュ、オブジェクトキャッシュ、データベースキャッシュ、Minify（余計なコメントや改行を除去して少しでもデータ容量を軽くすること）
    • プラグイン
      • WP Super Cache / WP Fastest Cache / Autoptimize / W3 Fastest Cache
    • レンサバのコンパネのキャッシュ機能
  • CDN、画像の最適化、他
  • プラグインのインストールし過ぎ…見直してみる

https://imagecompressor.com/ja

コメント欄などにスパムが届く可能性があるため、対策が必要

• 脆弱性対策情報データベース検索： https://jvndb.jvn.jp/search/index.php?mode=_vulnerability_search_IA_VulnSearch&lang=ja&keyword=wordpress&vendor=&product=&datePublicFromYear=2024&datePublicFromMonth=01&datePublicToYear=&datePublicToMonth=&dateLastPublishedFromYear=&dateLastPublishedFromMonth=&dateLastPublishedToYear=&dateLastPublishedToMonth=&cwe=&searchProductId=  

---

ミニクイズ
満点取れるまでチャレンジしてみよう！