WordPress(ワードプレス)サイトの保守管理とは？【2023年度版】

WordPress（ワードプレス）は2023年7月現在、世界で圧倒的な支持を得ているオープンソースのブログソフトウエアであり、CMS（コンテンツ管理システム）です。

元々はブログソフトウエアとして開発されたCMSとしては、Movable Type（ムーバブル・タイプ）が先行してシェアを有していました。日本でも2008年ごろまでは、「CMSと言えばMovable Typeでしょう」という制作会社さんが多かったという印象です（あくまで筆者の記憶上の主観的な印象です）。

しかしながら、世界ではそれより早くWordPressが主流となってきており、W3Techsによれば、本記事を改訂している2023年7月19日時点で、世界中のWebサイトの約43.1％がWordPressで構築されているとのことです（グラフ1参照）。

なお、同じくW3Techsによれば、CMSというマーケットにおいて、WordPressは63.1%のシェアを有しているとのことですので（グラフ2参照）、ShopifyやWixの追い上げも目立ちますが、いまだ圧倒的な支持を得ているCMSであると言ってよいでしょう。

当社は2012年の創業以来、WordPressを多く利用してWebサイトを制作しておりますが、その理由としては、当社代表を含む創業メンバーが、次の理由から「WordPressが日本でもトップシェアを奪う」と確信してノウハウの蓄積を行ってきたからになります。

Webサイトを管理するCMSにも色々ありますが、日本で多く使用されているMovable Typeをはじめとして、基本的には初期ライセンス費用やメンテナンスライセンス費用がかかることが通常です。
これに対し、WordPressは完全無料のオープンソースのソフトウエアであるためCMS自体のライセンス取得・更新に費用が掛かりません。
WordPressは、世界中の多数の専門家が、日夜、無償で改善・開発・その他の運営業務を継続してくださっており、そのお陰で私たちは無料で高品質なCMSを利用することが出来ます。

WordPressには、テーマと呼ばれるWebサイトのデザイン・機能がセットになったパッケージが多数存在し、これを簡単に利用することができます。
このテーマには、無料のWordPress公式ディレクトリーのテーマと企業や個人のエンジニアが販売している有料のテーマが存在しますが、これらのテーマをそのまま利用するか、テーマにカスタマイズをすることで、一からデザインすることなく（ケースによってはほとんどHTML,CSSをコーディングすることなく）、Webサイトのデザイン並びに基本的なHTML,CSSが生成できてしまいます。
これにより、デザイン工数とコーディング工数を削減することができます。

WordPressには、プラグインと呼ばれる様々な追加機能が多数存在し、これを簡単に利用することができます。
このプラグインも、無料で利用できるものが数多く揃っていますが、企業や個人のエンジニアが販売している有料のプラグインも存在します。
これらのプラグインを利用することで、様々な追加機能を実装することができるため、各種追加機能の開発・実装工数を削減することができます。

他社様にて制作・開発されたWebサイト、Webシステムをお引き受けする際に、かなりの確率で脆弱性が発見されますが、規模の小さなWebシステムにおいては、スクラッチ開発（独自に開発する手法）のケースで最も高確率で致命的な脆弱性が見つかっています。
これに対し、WordPressでサイトが構築されている場合にはWordPress本体、テーマ、プラグインで基本的な機能が実装されているケースが多いため、WordPress本体（コアファイル）、テーマ、プラグインを適切にバージョンアップさえすればほとんどの脆弱性に対応することができます。むしろCMS側がセキュリティ対策を実施してくれるため、エンジニアがケアレスミスで脆弱性を組み込む確率は低いと言ってよいでしょう。
これは、貢献者と呼ばれる世界中の専門家の皆さんと、テーマ、プラグインの開発関係者の皆さんが、日夜迅速な対応をしてくれているからに他なりません。
これにより、セキュリティー対策にかかる初期費用を大幅に削減することができます。

上記のように、WordPressは世界で最も有名かつ利用されているCMSであることから、サイバー攻撃の対象として狙われやすいことが知られています。
また、テーマやプラグインにも脆弱性が見つかることが多く、有名なプラグインを狙った攻撃も数多く報告されています。
そういった意味において、WordPressはサイバーセキュリティ面での問題を抱えていると言えます。

一方で、誤解のないようにしたいのは、WordPress＝セキュリティが弱いとは限らないということです。

Webサイトの脆弱性は、基本的には、「Webサイトを構築するエンジニアの知識不足やケアレスミスにより設計・実装段階で組み込まれたもの」と「使用しているソフトウェアに組み込まれていたもの」の2種類に分けることができますが、WordPressでサイトが構築されている場合にはWordPress本体、テーマ、プラグインで基本的な機能が実装されているケースが多いため、むしろWebサイトを構築するエンジニアがケアレスミスで脆弱性を組み込む確率は低いと言えます。

また、WordPressに関する脆弱性が見つかっても、貢献者と呼ばれる世界中の専門家やテーマ・プラグインの開発者が日夜迅速な対応をしてくれていることから、バージョンアップをしっかりと実施していれば、使用しているソフトウェアに組み込まれていた脆弱性にも迅速に対応することが可能です。

このように、WordPressで構築されたWebサイトは、WordPress本体やテーマ、プラグインのバージョンアップを適切に実施すれば、サイバーセキュリティの問題をクリアしていくことができますが、このバージョンアップを含めたトラブル予防の実施や、実際にトラブルが発生した場合の対応については専門的な知見が必要になることが多いのも事実です。

そのため、WordPressの保守管理は必要であると考えています。

WordPressの保守管理の主な業務は、WordPressサイト（テーマやプラグインを含む）やミドルウェア、OSのバージョンアップを適切に実施することで、WordPressサイトの脆弱性を潰し、サイバー攻撃を受けにくくする業務の他、WAF（Web Application Firewall）の設定・管理を通してサイバー攻撃をリアルタイムで検出し対策をする業務、バックアップからの復旧などサイバー攻撃を通してしまった場合に被害を少なくするための準備・リカバリー業務などがあります。

各業務の概要は次の通りです。

つまり、基礎となるソフトウェアのバージョンアップを実施すると、それに依存するソフトウェアが正常に挙動しなくなるということが多々起こるため、実際の保守管理の現場では、これらの問題をエンジニアが一つ一つ解決していくことになります。
その為、WordPress並びにテーマ・プラグインに対する深い知見を有しているWeb制作会社が、保守管理業務の担い手としては適任となります。

一方で、従来のWeb制作会社が保守管理としてお金を頂いていた「サーバー」「ドメイン」「SSL/TLS証明書」の更新代行業務については、WordPressサイトの保守管理業務から除外されるようになってきました。
その理由としては、サーバーやドメイン、SSLの契約更新は、基本的には企業が直接サーバー会社、ドメイン会社と契約し更新していくことが企業の資産管理、契約管理の観点からも重要であるという認識が一般化してきたこと、更新の作業も低頻度(数か月～数年に1度)かつ簡単な作業であることが多いことから企業の担当者でも対応可能であること、等が理由であると推察されます。

また、WordPressサイトの場合、全てのページを管理画面から更新できるようにカスタマイズするケースは多くはありません。
その為、更新の頻度が低いページについてはコンテンツの更新補助が保守管理の内容として求められるケースも多いと感じます。

更に、表示速度の高速化などの各種ユーザー体験(UX)改善業務も保守管理に求められる時代となってきています。
ただし、表示速度の高速化については、フロントエンド・バックエンドともに深い知見が必要な為、担当するWeb制作会社によって対応能力に差が出てくる領域となります。

WordPressサイトの保守管理費用は、作業範囲にどこまで含まれているかによって変わってきます。
その為、WordPressサイトの保守管理を依頼する際には、「どこまでやってもらえるのか」という点をしっかりと確認することが重要です。

また、WordPressサイトのセキュリティ対策についても、①WordPressでWebサイトを構築した際にどこまで保守管理・運用を考慮して実装されているか、②定期的にバージョンアップがなされているか、によって保守管理の費用は大きく変わってきます。

例えば、①WordPressサイトを構築する際に、最新のPHPを使用し、サードパーティ製のテーマは使用せず、プラグインは必要最小限度の数個のみを使用する等、バージョンアップがやり易いように実装されているケースで、②毎月ある程度保守管理されている場合には、月に数時間程度でバージョンアップが完了するケースもあります。
こういうケースでは1ヶ月に数千円～2万円程度でWordPressサイトの保守管理を請けてくれるところもあるでしょう。

一方で、①PHPが古く、サードパーティ製のテーマを使用しており、プラグインが10以上インストールされていて、②数年程バージョンアップを実施していないようなケースでは、毎月の保守管理費用が数万円かかることもありえます。
こういった場合には、保守を開始する前に、保守コストができるだけかからないサイト構成に修正してしまう方が、結果としてコスト削減につながり、かつセキュリティ対策としても良いケースがあります。

このように、WordPressで構築されたWebサイトのケースでは、WordPress本体だけでなく、PHP、テーマ、プラグインのバージョンと脆弱性の状況について、現状を把握することが大切です。

WordPress本体並びにPHPのバージョンによる脆弱性については、当社が公開している無料のチェックツール（Webセキュリティ保守.com）にて、是非確認してみてください。

また、よろしければ当社の「Webサイト・ホームページの保守運用サービス」のページもご覧ください。

以上のように、WordPressは圧倒的に優れたCMSであって、世界№1シェアを誇るからこそ外部からの攻撃が増加し、その結果対策も必要になっているという状況には、WordPressを十数年追いかけ続けてきた当社からしますと、思うところはありますが、いずれにしましても「もはやWordPressサイトは専門の保守チームと共に運営していくべき技術体系になった」と考えております（今後は、ローコストでWebサイトを制作・運用する層は、いわゆるローコード・ノーコード系の技術で実装される世の中になると予測しています）。

そうなると、当社の役割は、WordPressサイトの保守を最適なコストでサポートさせていただくことになると考えておりますが、本記事でも一部ご説明させていただいたように、勉強せねばならないことが時間経過と共に増えて行く状況でして…日々の業務でも大変なのに新しいことを適宜マスターしていけるわけはないのです（心の叫び！）。

皆さんの利用されているWeb制作会社さんも、日々時間に追われている中で可能な範囲で努力されておられると思いますので、やさしい目をもってWeb制作会社さんに接して頂けますと幸いです。