「ホームページの保守管理」と聞いても、具体的に何をしているのかは見えにくいものです。制作会社から保守の提案を受けて、「毎月お金を払って、何をしてもらえるのだろう」と思った方もいるのではないでしょうか。
WordPressの保守管理を一言でいうと、更新を止めずに続け、更新で何かが壊れていないかを確かめ、壊れたときに戻せるようにしておくこと です。
この記事では、Cruwがお客様のWordPressサイトの保守で実際に行っていることを紹介します。
- WordPressの保守管理でやることの一覧
- Cruwが行っている保守の中身（更新のあとの確認、脆弱性のチェック、期限の見張り、バックアップ）
- 自社でWordPressを管理するときのチェックリスト
結論：WordPressの保守管理でやること
WordPressのサイトを安全に使い続けるために、保守でやることは次のとおりです。
| やること | 内容 | しないと起きること |
|---|---|---|
| 1. 更新 | WordPress本体・プラグイン・テーマを新しい版にする | 公開された弱点（脆弱性）を突かれる |
| 2. 更新のあとの確認 | 表示が崩れていないか、フォームが届くかを確かめる | 崩れたまま、問い合わせが届かないまま気づかない |
| 3. 脆弱性のチェック | PHP・WordPressの版が、弱点の見つかった古い版でないか確かめる | 古い版のまま使い続けてしまう |
| 4. サイトが開けるかと、期限の見張り | サイトが開けるか、SSL証明書・ドメインの期限が近づいていないか | 突然サイトが開けなくなる、ブラウザに警告が出る |
| 5. バックアップ | データベースとファイルを定期的に取り、別の場所に保管する | 改ざんや不具合のときに元に戻せない |
| 6. ログインの守り | ログインの保護、使っていない入口を閉じる | パスワードの総当たりで乗っ取られる |
このうち、手間がかかるのに見落とされやすいのが 2の「更新のあとの確認」 です。WordPressの自動更新には、プラグインの更新でサイトが動かなくなるほどのエラーが出たときに、元の版に戻す仕組みがあります。ただ、「画面が崩れていないか」「フォームが届くか」までは確かめてくれません。
保守をしないと、何が起きるか
更新を止めると、古い弱点が残り続ける
WordPressやプラグインの弱点を突く攻撃は、特定の会社を狙うのではなく、プログラムが自動で、古い版のままのサイトを探して行われます。会社の規模に関係なく、更新していないサイトほど狙われやすくなります。
自動更新に任せきりだと、崩れても気づかない
反対に、自動更新をオンにして放っておくと、更新は進みますが、プラグインどうしの相性などで表示が崩れたり、お問い合わせフォームが送れなくなったりしても、気づけないことがあります。更新の結果を知らせるメールは届きますが、「更新しました」という知らせだけでは、サイトが無事かどうかまではわかりません。
特に困るのがフォームです。画面では「送信しました」と出ていても、実際にはメールが届いていない、ということがあります。問い合わせが来ないのは「たまたま」なのか、フォームが壊れているのかは、サイトを見ているだけではわかりません。Contact Form 7 で送信できなくなる原因については、「メッセージの送信に失敗しました」と出る原因と対処法でも紹介しています。
期限切れは、ある日突然やってくる
SSL証明書（https で表示するための証明書）やドメインには期限があります。多くは自動で更新されますが、支払い方法の期限切れや設定の変更で、自動更新が止まっていることがあります。気づいたときには、サイトが開けない、ブラウザに警告が出る、という状態になってしまいます。
Cruwの保守で行っていること
Cruwでは、自社で開発した保守管理ツール を使って、お客様のサイトの確認を自動で行っています。人の目で毎日すべてのサイトを見て回るのは難しいため、機械に任せられる確認は自動にし、問題が見つかったときや、人の確認が必要なときに、Cruwの担当者に知らせが届くようにしています。
1. WordPress・プラグインは、止めずに更新する
WordPress本体やプラグインは、自動で更新しています。「崩れるのがこわいから更新しない」ではなく、更新は続けて、そのあとの確認をしっかり行う という考え方です。
2. 更新のあと、PCとスマホの画面を撮って比べる
更新が行われたことを保守管理ツールが見つけると、多くの場合は数分のうちに、サイトの主なページを パソコンとスマートフォンの2つの画面幅 で撮影し、正常なときに撮っておいた画面と比べます。あわせて、次のような機械的なチェックも行います。
- ページがエラーになっていないか
- CSS・JavaScript・画像の読み込みに失敗していないか
- 画面に PHP のエラーが出ていないか
- 横にはみ出して、スマホで横スクロールが出ていないか
- 真っ白なページになっていないか
更新がない日も、毎日決まった時間に同じ確認をしています。
画面を比べるときは、スライダーや動画のように もともと動いている部分は比較から外す など、誤った知らせが出ないように工夫しています。また、お客様がご自身で記事やページを直したときの変化と、更新によって崩れたときの変化を見分けられるようにしています。更新と関係のない変化のたびに知らせが届いていては、本当に大事な知らせを見落としてしまうためです。
3. お問い合わせフォームは、実際に送って届くかまで確かめる
更新があったときは、画面の確認に加えて、お問い合わせフォームに実際に入力して送信し、メールが届いたかどうかまで 確かめます。
- フォームが「送信完了」になったか
- 完了のメッセージやサンクスページが表示されたか
- WordPressがメールを送れたか
- メールが実際に届いたか
ファイルの添付が必須のフォームなど、自動では試せないものもありますが、多くのお問い合わせフォームはこの方法で確かめられます。送信するときは、お問い合わせ内容の欄に、テストであることがわかる文面を入れています。また、フォームのテストは 毎日は行わず、更新があったときに行います。毎日送ると、お客様の担当者のもとに、毎日テストのメールが届いてしまうためです。
4. PHP・WordPressのバージョンを、脆弱性の情報と照らし合わせる
サイトで動いている PHP と WordPress のバージョンを記録し、公開されているセキュリティの情報と定期的に照らし合わせています。
- PHP：使っている版より新しい セキュリティ修正版 が出ていないか、その系列（8.1 など）のサポートが終わっていないか
- WordPress：使っている版が、弱点の見つかった古い版になっていないか
PHPは、WordPressとは違い、サーバーの設定で版が決まるため、WordPressの自動更新では新しくなりません。2026年10月にPHPの緊急の脆弱性が発表されたときは、保守しているサイトを基本的にメンテナンス画面に切り替え、サイトごとに対応を進めました（このときの対応は、【PHPの緊急脆弱性】WordPressのサイトを持つ会社が今すぐ確認することで紹介しています）。いまは、バージョンの照らし合わせを自動で行い、同じような発表があったときに、対象のサイトがすぐにわかるようにしています。
5. サイトが開けるか、SSL証明書・ドメインの期限を見張る
ページが開ける状態かどうかに加えて、SSL証明書とドメインの有効期限 を確かめています。期限が近づいても更新されていないときは、切れる前に知らせが届くので、自動更新が止まっていないかを先に確認できます。
6. バックアップを毎日取り、サイトとは別の場所に保管する
| 対象 | 頻度 | 中身 |
|---|---|---|
| データベース | 毎日 | 記事・固定ページ・設定など |
| ソース（ファイル） | 週1回 | WordPress本体・テーマ・プラグイン・アップロードした画像など |
バックアップは、サイトと同じサーバーではなく、別の場所に暗号化して保管 しています。サイトと同じサーバーに置いたままだと、サーバーの故障や改ざんのときに、バックアップもいっしょに失われるおそれがあるためです。
また、共用のレンタルサーバーでは、バックアップの作成でサーバーに負荷がかかると、サイトの表示が遅くなることがあります。そのため、サイトごとに決めた時間帯の中で、サーバーが混んでいないときを選んで 取るようにしています。
7. ログインの入口を絞る
保守をお任せいただいているサイトには、セキュリティプラグインの SiteGuard WP Plugin を入れ、ログインの保護を行っています。使っていなければ XML-RPC を止め、システムによっては管理画面に入れるIPアドレスを制限します。
ログインまわりの対策や、個人情報をサイトにためないための見直しは、中小企業のホームページで今日からできる情報漏洩対策でくわしく紹介しています。
自社でWordPressを管理するときのチェックリスト
保守を外に頼まず、自社で管理している場合も、次のことを決まった間隔で確かめておくと安心です。
| 間隔 | 確かめること |
|---|---|
| 更新のたび | トップページ・主なページを、パソコンとスマホで開いて崩れていないか見る |
| 更新のたび | お問い合わせフォームから実際に送信し、メールが届くか確かめる |
| 毎月 | 管理画面の「ダッシュボード」→「更新」で、古いままのプラグイン・テーマがないか見る |
| 毎月 | 停止中のプラグイン、使っていないユーザーが残っていないか見る |
| 3か月ごと | PHPのバージョンが古くなっていないか見る（WordPressの「ツール」→「サイトヘルス」→「情報」の「サーバー」で確認できる） |
| 3か月ごと | バックアップがどこに、いつの分まであるか、戻し方がわかるか確かめる |
| 年に1回 | ドメインの期限と、登録しているクレジットカードなど支払い方法の期限を確かめる。SSL証明書が自動で更新される設定になっているかも見る |
手で確かめるときにいちばん抜けやすいのは、フォームの送信テスト です。画面の見た目は毎日目にしますが、フォームは自分で送らない限り、壊れていても気づけません。
よくある質問
WordPressの自動更新は、オンにしたほうがいいですか？
基本的にはおすすめです。更新を止めると、弱点が見つかった古い版のまま使い続けることになるためです。ただし、更新で表示や動作に不具合が出ることもあるため、更新のあとに確認する仕組み と、すぐに戻せる バックアップ をセットにしておくことが大切です。
サーバー会社の自動バックアップがあれば、十分ですか？
サーバー会社のバックアップは、心強い備えの一つです。ただ、何日分残るのか、戻すのに申し込みや費用が必要か、サイトの一部だけ戻せるかは、サーバー会社やプランによって違います。いざというときに慌てないよう、内容を一度確かめておきましょう。Cruwの保守では、サーバー会社のバックアップとは別に、サイトとは別の場所にバックアップを保管しています。
更新でサイトが崩れたら、どうするのですか？
まず、どの更新で崩れたのかを確かめます。Cruwの保守管理ツールは、確認のたびにWordPress・プラグイン・テーマのバージョンを記録しているので、崩れる前と後で何が変わったかがわかります。原因のプラグインを直すか、前の版に戻し、必要であればバックアップから元の状態に戻します。
まとめ
- WordPressの保守管理は、「更新を続ける」「更新のあとに確かめる」「戻せるようにしておく」の3つが柱です
- 自動更新だけでは、表示の崩れやフォームの不具合に気づけません。特にフォームは、実際に送ってみないとわかりません
- PHPのバージョン、SSL証明書やドメインの期限など、WordPressの外にも確かめることがあります
ホームページは作ったら終わりではなく、公開したあとも手入れを続けていくものです。Cruwでは、長野県上田市を拠点に、ホームページ制作から、公開後の更新・保守までお手伝いしています。「更新が止まったままになっている」「フォームがちゃんと届いているか不安」といったご相談も、お問い合わせからお気軽にどうぞ。
