WordPressの更新を放置するリスク｜中小企業が最低限やるべき管理項目
こんにちは！岡山のホームページ制作会社きびだんごです。
ホームページを作ったあと、WordPressの管理画面に一度もログインしていない。そんな会社は珍しくありません。表示は普通にできているし、問い合わせも時々来る。だから問題ないように見えます。ところが更新を放置したサイトは、ある日とつぜん真っ白になったり、知らないうちに海外向けの宣伝ページを勝手に追加されたりします。この記事では、放置で実際に起きることと、自社でできる管理・外注したほうがいい管理の線引きを整理します。
そもそもWordPressの「更新」とは何を指すのか
WordPressは、本体・テーマ・プラグインという3つの部品でできています。更新とは、この3つをそれぞれ新しいバージョンに入れ替える作業のことです。
- WordPress本体：サイトの土台になるソフト。年に数回、大きな更新があります
- テーマ：見た目のデザインを決める部品
- プラグイン：問い合わせフォームやSEO設定など、機能を追加する部品
さらに、これらが動いているサーバー側のPHP（サイトを動かすプログラムの言語）にもバージョンがあり、こちらも古いままだと動作が止まることがあります。管理画面の更新ボタンだけでは完結しない部分がある、という点は押さえておいてください。
更新が配布される理由の多くは、不具合の修正とセキュリティ上の穴（脆弱性）をふさぐためです。つまり「新しい機能がほしくないから更新しない」という判断は成り立ちません。穴がふさがれないまま残り続けることになります。
更新を放置すると実際に何が起きるか
1.改ざんされて別の内容を表示される
いちばん深刻なのがこれです。古いプラグインの脆弱性は公開情報になっているため、自動プログラムが世界中のサイトを機械的に探して回ります。狙い撃ちされるというより、条件に当てはまるサイトが順番に引っかかる、というイメージに近いです。
侵入されると、見覚えのないページが大量に作られたり、トップページから別サイトへ自動で飛ばされたりします。やっかいなのは、パソコンから見ると正常で、スマホや検索結果からのアクセスだけ転送されるといった巧妙な仕込みがあることです。社内の誰も気づかないまま数カ月経つ、ということが起こります。
2.検索結果に警告が出て 信用を落とす
改ざんが検知されると、検索結果に「このサイトは第三者によって不正に変更された可能性があります」といった表示が出ることがあります。ブラウザが赤い警告画面を出す場合もあります。取引先や求職者がその画面を見たときの印象は、説明するまでもありません。復旧しても、警告の解除や検索順位の回復には時間がかかります。
3.問い合わせフォームが静かに壊れる
サーバー側の仕様変更や、メール送信の規定変更によって、フォームの送信内容が届かなくなることがあります。画面上は「送信完了」と出るのに、社内には何も届かない。これが最悪のパターンです。問い合わせが減ったと感じていたら、実はフォームが半年前から機能していなかった、という相談は実際にあります。
問い合わせが来ない理由はフォームの不具合だけではありませんが、原因を切り分ける順番については問い合わせが来ないホームページの原因チェックリストでも整理しています。
4.久しぶりの更新で画面が崩れる
更新を長く止めていたサイトほど、いざ更新したときに壊れやすくなります。本体とテーマとプラグインのバージョン差が開きすぎて、噛み合わなくなるためです。こまめに更新していれば数分で終わる作業が、数日がかりの修復作業に変わります。放置は作業を先送りしているのではなく、将来の費用を増やしている状態だと考えてください。
5.使っていないプラグインが入口になる
停止したまま残っているプラグインも、ファイル自体はサーバー上に存在します。種類によっては、停止中でも侵入の入口になり得ます。使わないものは停止ではなく削除する、という習慣が必要です。
中小企業が最低限やるべき管理項目
専任の担当者がいない会社でも、ここまではやっておきたいという最低ラインを挙げます。
| 項目 | 頻度の目安 | 内容 |
|---|---|---|
| バックアップの確認 | 毎日〜週1回（自動） | サーバーの自動バックアップ機能が動いているか確認する |
| プラグイン・テーマの更新 | 月1回 | バックアップを取ってから実行し、更新後に表示を確認する |
| WordPress本体の更新 | 随時（大型更新は様子を見る） | 小さな修正版はすぐ、大型版は不具合情報が落ち着いてから |
| 問い合わせテスト送信 | 月1回 | 自分で送信し、社内メールに届くか確かめる |
| 管理者パスワードの見直し | 年1回 | 使い回しをやめ、不要な管理者アカウントを削除する |
| SSL証明書の有効期限 | 年1回 | 切れると「保護されていない通信」と表示される |
| ドメイン・サーバーの更新期限 | 年1回 | 支払い忘れでサイトが消えるのが最も多い事故 |
意外に思われるかもしれませんが、実務でいちばん多いトラブルは、技術的な攻撃ではなくドメインの更新忘れです。担当者が退職し、登録メールアドレスが使われなくなって通知に気づかない。これだけでサイトもメールも止まります。契約情報を社内の誰が管理しているか、今日のうちに確認しておく価値があります。
更新作業の進め方
自社で更新する場合の手順は次のとおりです。順番を守るだけで事故の確率は下がります。
- 作業前にバックアップを取る（サーバー側の機能かバックアップ用プラグインで）
- プラグインは一度に全部ではなく、数個ずつ更新する
- 更新のたびにトップページと下層ページ、スマホ表示を目視で確認する
- 問い合わせフォームからテスト送信する
- 崩れた場合はどのプラグインの直後かを記録しておく
自動更新をすべてオンにすれば楽ですが、更新直後にレイアウトが崩れても誰も気づかない、という別のリスクが生まれます。セキュリティ関連の小さな修正は自動、見た目や機能に関わるものは手動で確認、という使い分けが現実的です。
自社でやる範囲と外注する範囲の線引き
すべてを自社で抱える必要はありません。判断の基準は「壊れたときに自力で戻せるかどうか」です。
| 自社でできること | 外注を検討したいこと |
|---|---|
| お知らせやブログの投稿 | WordPress本体・PHPのバージョン更新 |
| 画像やテキストの差し替え | 更新で崩れた場合の原因切り分けと復旧 |
| 問い合わせのテスト送信 | 改ざん被害からの復旧と再発防止 |
| ドメイン・サーバーの契約管理 | バックアップの取得設定と復元テスト |
| 表示崩れの発見と報告 | サーバー移転やSSLの設定変更 |
外注する場合は保守契約という形が一般的です。月額の費用は作業範囲によって幅があり、更新作業とバックアップだけの軽いものから、障害対応や内容の更新代行まで含むものまであります。契約前に「何が含まれて何が別料金か」「障害時の連絡先と対応時間」を文書で確認してください。契約の考え方はホームページの「保守」契約とはでも解説しています。
更新作業だけでなく、記事の追加やSNS、広告まで含めて社外に任せたい場合はまるごとWEB運用担当者のページで、どこまでを外部チームが担えるかを確認できます。費用や進め方の全体像は料金・進め方にまとめています。
長く放置したサイトは 直すより作り直すほうが安いこともある
5年以上更新していないサイトの場合、更新を再開しようとすると、使っているテーマが配布終了していたり、必要なプラグインが新しいWordPressに対応していなかったりします。こうなると、復旧作業の見積もりが作り直しの費用に近づくことがあります。
スマホ表示が崩れている、問い合わせ導線が今の商売に合っていない、といった事情が重なっているなら、保守の再開よりリニューアルを検討したほうが結果的に安くつく場合があります。判断の目安はホームページのリニューアル時期の判断基準を参考にしてください。現状がどちらに当たるか分からないときは、無料サイト診断で今のサイトの状態を見てもらうところから始めるのが早いです。
よくある質問
更新すると表示が崩れそうで怖いのですが やらないという選択はありますか
更新しないという選択は、セキュリティの穴を開けたままにすることと同じなので、おすすめできません。怖いのはもっともですが、対処法は「更新しない」ではなく「バックアップを取ってから更新する」です。戻せる状態さえ作っておけば、崩れても元に戻せます。どうしても不安なら、本番と同じ複製環境で先に試す方法もあります。
うちのような小さな会社のサイトでも狙われますか
会社の規模や知名度は関係ありません。多くの攻撃は人が選んで仕掛けるものではなく、プログラムが自動で条件に合うサイトを探して回るものだからです。むしろ管理が手薄なサイトのほうが条件に合致しやすく、迷惑メールの踏み台や別サイトへの誘導に使われることがあります。
制作会社と連絡が取れず ログイン情報も分かりません
よくある状況です。まずはドメインとサーバーの契約者が自社になっているかを確認してください。この2つを自社で押さえていれば、管理画面のパスワードが分からなくても、別の会社が引き継いで対応できる可能性が高くなります。逆に契約が制作会社名義のままだと、引き継ぎに時間がかかります。今のうちに契約書と更新通知メールの宛先を確認しておくことをおすすめします。