WordPressサイト納品後の運用ガイド

本体・テーマ・プラグイン・PHP・セキュリティをどう守り続けるか

対象：当社からWordPressサイトをお引渡しさせていただいたお客様

このたびはウェブロードにWebサイト制作をお任せいただき、誠にありがとうございます。

こちらは、納品後にお客様ご自身（またはご担当者様）に最低限知っておいていただきたい運用ポイントを、できるだけ平易にまとめたものです。お困りの際は、いつでも弊社サポート窓口までご相談ください。

WordPressは世界のWebサイトの約41.9%で利用されている世界標準のCMSですが、裏を返せば攻撃者から最も狙われやすいCMSでもあります。納品時点で安全に作り込んだサイトも、何も手を入れずに放置すれば、半年〜1年で確実にセキュリティリスクが高まっていきます。

1. なぜ「納品後の保守」が必要なのか

WordPressサイトは、大きく以下の4つの層から構成されています。

層	内容	更新責任
① サーバー / PHP	サイトが動く土台。レンタルサーバー側のPHPバージョンなど	サーバー会社 + 運用者
② WordPress本体（コア）	CMSの中核	運用者
③ テーマ	デザイン・レイアウトを担うファイル群	運用者
④ プラグイン	お問い合わせフォームやSEO等の追加機能	運用者

このうち②〜④の更新管理は、原則としてサイト所有者（=お客様）の責任領域となります。

脆弱性を放置すると、不正アクセス・サイト改ざん・情報漏えいなどの被害に直結します。

逆に言えば、この4つを正しくアップデートし続けるだけで、ほとんどの脆弱性は防げます。

2. WordPress本体（コア）の更新

2-1. 現行バージョンと推奨方針

2026年7月時点の最新メジャーバージョンは WordPress 7.0.2（2026年7月18日リリース）です。古いバージョンには公式サポートが基本的に提供されないため、定期的なバージョンアップが必須です。

2-2. アップデートの種類と推奨対応

• マイナーアップデート（例：6.9 → 6.9.1） バグ修正・セキュリティ修正が中心。原則、自動更新のままにし、速やかに適用することを推奨します。
• メジャーアップデート（例：6.9 → 7.0） 新機能や仕様変更を含むため、リリース直後の即時適用は避け、1〜2週間程度様子を見てから適用するのが安全です。
• テーマ・プラグインとの互換性確認、可能であればステージング（テスト）環境での事前検証を行ってください。

2-3. 更新前に必ず行うこと

1. バックアップの取得（後述の第6章参照）
2. プラグインを一旦すべて無効化、または最低限のものに絞る
3. テーマ・主要プラグインがそのバージョンに対応しているか確認
4. 更新後、トップページ・お問い合わせフォーム・管理画面など主要動線の動作確認

3. テーマの更新

• 公式テーマ・市販テーマは、配布元から更新が提供された際に管理画面から更新できます。
• ウェブロードでカスタマイズしたテーマ・子テーマは、原則として自動更新の対象外です。修正が必要な場合は弊社までご相談ください。
• functions.phpへの独自追記がある場合、本体やPHPバージョンアップにより動作しなくなることがあります。アップデート後は必ず表示確認をお願いいたします。

---

4. プラグインの更新

4-1. 基本方針

プラグインはWordPressにおける脆弱性の最大の発生源です。次の原則を守ってください。

• 更新通知が出たら、原則すみやかに更新（特にセキュリティ系・フォーム系）
• 使っていないプラグインは無効化ではなく "削除"。残しておくと脆弱性の温床になります
• 長期間更新が止まっているプラグインは置き換えを検討

4-2. 更新時のおすすめ手順

1. 事前にバックアップを取得
2. 一度に全部まとめて更新せず、関連性のあるものを数個ずつ更新
3. 不具合発生時は、無効化→再有効化の二分探索で原因プラグインを特定
4. 復旧できない場合はバックアップから戻す、または旧バージョンZIPで切り戻し

4-3. 自動更新について

プラグインのマイナー更新は自動更新を有効にしておくと、セキュリティ修正の取りこぼしを防げます。ただし、ECや会員機能など業務影響の大きいプラグインは手動更新を推奨します。

5. サーバーのPHPバージョン更新

5-1. なぜPHPを更新するのか

WordPressはPHPで動いており、PHP自体にも約4年でサポート終了（EOL）が訪れます。サポート期限の切れたPHPはセキュリティ修正が提供されず、極めて危険な状態になります。

5-2. 各PHPバージョンのサポート期限

PHPバージョン	サポート期限
PHP 8.1	2025年12月31日（サポート終了済）
PHP 8.2	2026年12月31日
PHP 8.3	2027年12月31日
PHP 8.4	2028年12月31日

5-3. 推奨バージョン

2026年6月時点では、WordPress公式が推奨するPHP 8.3以上での運用が基本方針です。

安定性重視ならPHP 8.3、長期運用を見据えるならPHP 8.4が現実的な選択肢となります。

5-4. PHPアップデートの注意点

• 多くのレンタルサーバーでは、管理画面からPHPバージョンを切り替えられます。
• 切り替えた瞬間に画面が真っ白（500エラー）になる可能性があります。古いプラグインや独自コードが新しいPHPで動かないためです。
• 可能であればステージング環境で先に検証し、本番反映してください。
• ご不安な場合は、弊社で切替作業を代行いたします。

6. バックアップ　すべての保守の前提

更新作業中のトラブル時、バックアップがなければ復旧できません。次の3点を必ず実施してください。

1. 定期自動バックアップ：プラグイン（UpdraftPlus、BackWPup等）またはサーバーの自動バックアップ機能を有効化
2. 更新作業の直前には手動バックアップを必ず取得
3. バックアップファイルはサーバー外（PCやクラウドストレージ）にも保存

バックアップ対象は「WordPressのファイル一式 + データベース」の2つの揃いで初めて完全復元が可能です。

7. セキュリティ対策のチェックリスト

更新管理に加えて、以下も実施しておくと安心です。

• SSL（https化）が常時有効になっている
• 管理画面のログインユーザー名が admin や wordpress ではない
• パスワードは推測されにくい長く複雑なものに設定
• 二段階認証を導入
• ログインURLの変更（WPS Hide Login等）
• ログイン試行回数の制限（Limit Login Attempts等）
• セキュリティプラグイン（CloudSecure WP Security、SiteGuard WP Plugin、Wordfence等）の導入
• 改ざん検知の仕組み（プラグインまたは外部サービス）を導入
• 管理者権限ユーザーは必要最小限に絞る
• 退職者・元担当者のアカウントが残っていないか定期確認

8. 推奨の運用サイクル（おすすめスケジュール）

頻度	やること
毎週	管理画面にログインし、更新通知の有無を確認・適用
毎月	全プラグイン・テーマの一括点検、バックアップが正常に取得できているか確認
四半期ごと	WordPress本体のメジャーバージョン状況とPHPバージョンの確認
半年〜1年ごと	サーバーOS・PHPの大きな移行、未使用プラグインの棚卸し、パスワード変更

9. 「自分で運用するのは不安」というお客様へ

ここまで読んで、

• 「毎週ログインして更新確認なんて、現実的にできない」
• 「アップデートで壊れたら自分では戻せない」
• 「PHPのバージョン切替なんて怖くて触れない」

と感じられた方は、迷わず弊社の保守運用プランのご利用をご検討ください。

保守運用プランでは、本書に書かれている内容をすべて弊社の技術者が代行いたします。具体的には、

• WordPress本体・テーマ・プラグインの定期アップデート
• 更新前のバックアップとステージング検証
• 月次・週次のバックアップ管理
• PHPバージョンアップグレード対応
• 改ざん検知・セキュリティ監視
• 不具合発生時の緊急復旧対応

など、サイトを安全に長期運用するための一連の作業をお任せいただけます。

ご質問・お見積もり依頼は、いつでも担当者または下記サポート窓口までお気軽にご連絡ください。

弊社での保守管理をご希望される方は、下記ページをご参照ください。