「WordPressの更新通知がずっと溜まったままになっている」
「プラグインが古いままだと危ない、と聞いた気がする」
「更新ボタンを押したらサイトが壊れると聞いて、怖くて触れなかった」――。
WordPressでホームページを運用している中小企業の担当者から、よく聞く悩みです。更新が大事なことは分かっている。しかし、更新をサボってきた「罪悪感」だけが溜まり、いまさら触りづらくなっている――。そんな状態は珍しくありません。
先に結論を言うと、WordPressは「更新し続ける」ことを前提とした仕組みです。更新を放置することは、セキュリティリスクを積み上げているのと同じことになります。ただし、闇雲に更新ボタンを押すのも危険で、「バックアップ→更新→表示確認」の順番が基本です。この記事では、放置のリスク、定期的にやるべきこと、そして自社での運用と外注の考え方を整理します。
WordPressの更新を放置すると、何が起きるのか
WordPressは、本体（コア）と、テーマ、プラグイン（機能を追加する部品）で構成されています。このうち特に危険なのが、プラグインの更新漏れです。プラグインの不具合（脆弱性）は、開発元が発見次第、修正版を配布してくれます。しかし、更新しなければ、その脆弱性は「公開されたまま」の状態になり、攻撃の対象になります。
放置によって起きやすい被害は、次のようなものです。
- サイトの改ざん：表示中のページに、見えないスパムリンクや別サイトへの誘導が仕込まれる
- フィッシングページの設置：実在のサイトに似せた偽ページが、自分の知らない間に設置される
- 管理画面からの情報流出：メールアドレスや顧客情報が漏洩するリスク
- 検索での警告表示：Googleに「危険なサイト」と判定され、検索結果やブラウザに警告が表示される（場合によっては検索から除外される）
一度侵害されると、復旧には多大な時間と費用がかかります。さらに、お客様からの信頼を失うダメージは、費用では測りにくいものです。
定期的にやるべきこと
WordPressの運用で、月1回程度は行いたい作業は次のとおりです。
・バックアップを取る（更新作業の前に必ず）
・本体・テーマ・プラグインの更新を確認し、適用する
・更新後、主要ページの表示をひととおり確認する（トップ、下層、フォーム、ブログ記事）
・使っていないプラグイン・テーマを削除する
・管理画面のユーザー（退職者のアカウントなど）と、パスワードの強度を見直す
特に大切なのが、「表示確認」です。更新によって、レイアウトの崩れやフォームの不具合が起きることがあります。更新直後に確認すれば、原因の切り分けも簡単です。
「更新が怖い」を解消する3つの方法
更新をためらう理由の多くは、「更新したらサイトが壊れるかもしれない」という不安です。この不安への対処法は、主に次の3つです。
| 方法 | 概要 | 向いている会社 |
|---|---|---|
| 自社で運用する | 月1回の更新作業を、社内の担当者が行う。コストはほぼゼロだが、手間と知識が必要 | ITに詳しい担当者いて、更新を社内で完結したい |
| ステージング環境を使う | 本番サイトの複製（テスト用）で更新を試し、問題なければ本番へ反映。安全だが、環境構築が必要 | サイトが業務上重要で、手抜きできない場合 |
| 保守を外注する | 月額で更新・監視・バックアップを任せる。費用はかかるが、担当者の手間がゼロになる | 担当者が不在、または更新をずっと先送りしてきた |
「更新をずっとサボってきた」という会社は、そもそも運用の体制が整っていない可能性が高いので、外注してまず正常な状態に戻すのが現実的です。
保守を外注するときのチェックポイント
保守運用を外注する場合、契約前に次の点を確認しておきましょう。
- バックアップの頻度と、保存先（本番サーバーだけに保存していないか）
- 更新後の表示確認を、どの範囲まで行ってくれるか
- セキュリティ対策（WAFやログ監視、不正アクセス検知）の範囲
- 障害が起きたときの対応範囲と、連絡手段・連絡可能な時間帯
- 報告の方法（毎月、何をしたかの報告があるか）
「更新だけしてもらって終わり」の保守だと、いざというときに対応が遅れることがあります。報告の形まで含めて、契約前に確認しておくと安心です。
更新をサボってしまったサイトの立て直し手順
「すでに何年も更新していない」という場合、いきなり更新ボタンを押すのはおすすめしません。古い状態からの更新では、不具合が出る可能性が高いためです。立て直しは、次の順番で進めます。
- 現状の点検：WordPress・プラグインのバージョン、PHPのバージョン、サーバー環境を確認する
- 完全バックアップ：サイトのファイルとデータベースの両方を取得する
- まず本体から更新：プラグインより先に、WordPress本体を順番に上げていく
- プラグインを1つずつ更新：都度表示を確認し、壊れたら原因の切り分けをする
- ユーザー・パスワードの見直し：退職者のアカウント削除、パスワード変更
- 以後の運用ルールを決める：月1回の更新日を決めてカレンダーに入れる
放置期間が長いほど、手順を間違えたときの復旧が難しくなります。自力での対応が不安な場合や、更新中にサイトが壊れてしまった場合は、無理に触らず、WordPressの更新・修復を扱っている制作会社に相談する方が結果的に早く済みます。
あわせて確認したい、セキュリティの基本設定
更新運用とセットで、次のような基本設定も見直しておきたいところです。
- ログインパスワードの強化（使い回しパスワードの禁止）
- ログイン画面への不正アクセス対策（アクセス制限やログイン試行の制限）
- SSL（https）化の確認
- 定期的なバックアップと、保存先の分離
- 不要なプラグイン・テーマの削除（使っていないものも危険源になる）
セキュリティ対策は、一度やれば完璧になるものではありません。「更新」と「設定の見直し」を、同じタイミングで回していくのが現実的な運用です。
プラグインは「減らす」のが基本
WordPressのセキュリティと安定運用で、意外と見落とされるのが「プラグインの数」です。プラグインは機能を足してくれる便利な部品ですが、増やせば増やすほど、次のようなリスクが積み上がります。
- 更新が止まったプラグインが、脆弱性の温床になる
- プラグイン同士の干渉で、表示崩れや不具合が起きやすくなる
- 表示速度が落ち、訪問者の離脱につながる
選ぶときの目安は、「その機能が本当に必要か」「最終更新が近年か」「対応バージョンが最新か」「多くのサイトで使われているか」の4点です。特に、開発が止まっているプラグインは、代替手段を探すか、その機能を思い切って外す判断も大事です。
バックアップは「復元できるか」までがセット
バックアップでよくあるのが、「取っているつもり」の落とし穴です。次のような点を確認しておきましょう。
- ファイルとデータベースの両方が取れているか（片方だけでは完全に戻せない）
- バックアップの保存先が、本番サーバーと分かれているか（同じサーバーに置くと、障害時に一緒に消える）
- 定期的に「復元テスト」をしているか（取っただけでは、実際に戻せるかは分からない）
- 取得頻度が、更新頻度に見合っているか
「バックアップは取っているが、復元できるか確認したことがない」というのは、よくあるパターンです。年に1回でも復元テストをしておくと、いざというときの安心感がまったく違います。
WordPressは「育てながら」使うもの
WordPressは、正しく更新し続ければ、長く使い続けられる優秀なCMSです。逆に言えば、更新の手間を「捨てる」選択肢はなく、それを自社で担うか、外部に任せるかだけが選択肢になります。
サーバー・ドメインの管理と同様に、サイトを「資産」として維持するための基本ラインが、この更新運用です。もし更新がずっと止まっている、または更新でサイトが壊れるのが怖くて放置しているという場合は、WordPressの更新・保守を中心に運用支援を行っている会社に相談するのがおすすめです。まずは現状の点検から始めてもらえば、何から手を付ければよいかが見えてきます。
執筆者プロフィール
株式会社エスエムティ WEBディレクター 平山 純一
みやぎ産業振興機構登録専門家。
IT業界・WEB業界に20年余従事。様々なWebサイトの企画立案・設計業務、進行管理などを主とするディレクション、コンサルティング業務を担当。ECサイト関連では運用・保守業務他キャンペーン企画等も手がける。仙台・宮城の中小企業の「強み」をWEBで可視化し、成果につなげる支援を得意とする。
