WordPress（ワードプレス）サイトの保守が必要な理由と注意点 ～WordPressのメリットとデメリットへの対策～

なぜ、今更“WordPressサイトの保守”なのかといいますと、2020年5月からですが、他社様が制作されたWordPressサイトの保守を引き継いでほしいといったご相談が増えてきているからになります。
大抵の理由は、「今までお願いしていた制作会社さんが解散になった」とか「突然担当者に連絡がとりにくくなった」「エンジニアの人員が足りず対応できないと言われた」といった企業サイドからのご相談が多いのですが、一方で「解散することになった」あるいは「事業縮小で赤字の保守事業をサービス停止することになったので引き受けてほしい」というようにWeb制作会社さんサイドからのご相談も増えてきていると感じます。
これまでも月に1～3件ほどご相談がありましたが、コロナ禍の特に2020年5月以降は、週に3～10件ほどのご相談があるといった状態で、特に一定の規模を有する企業様からWordPress＋AWSという組み合わせでのご相談が急増している印象があります。

また、WordPress＋AWSという組み合わせでのご相談が増えている点については、そもそもWordPress＋AWSという組み合わせが多いことに、（もちろんダメではありませんが）当社としては若干の戸惑いを感じている状態です。
詳細は後述いたしますが、例えば、当社にてAWSをクライアントにお勧めするケースは、【アクセス負荷の急激な増大に対応する可能性がある】とか【将来的にWebサービスの柔軟な拡張性が求められる】場合なのですが、こういった案件ではCMSとしてWordPressをお薦めするのは避ける傾向にあるからです。

そこで、本記事においては、WordPressサイトを当社にて引継がせていただく際に、当社より説明をさせていただく事項と、引き継ぎをする側から見た確認事項等をできるだけ基本的な事項からお伝えできるように努めたいと思います。

WordPress（ワードプレス）は2020年8月末現在、世界で圧倒的な支持を得ているオープンソースのブログソフトウエアであり、CMS（コンテンツ管理システム）です。
元々はブログソフトウエアとして開発されたCMSとしては、Movable Type（ムーバブル・タイプ）が先行してシェアを有していました。日本でも2008年ごろまでは、「CMSと言えばMovable Typeでしょう」という制作会社さんが多かったという印象です（あくまで筆者の記憶上の主観的な印象です）。
しかしながら、世界ではそれより早くWordPressが主流となってきており、W3Techsによれば、本記事を記載している2020年8月31日時点で、世界中のWebサイトの約38.2％がWordPressで構築されているとのことです（グラフ1参照）。当社の記録によれば、2年前である2018年の春に確認した際には30.7%でしたので、この2年間でも凄まじい勢いでシェアが増えていることがわかります。
なお、同じくW3Techsによれば、CMSというマーケットにおいて、WordPressは63.5%のシェアを有しているとのことですので（グラフ2参照）、もはや圧倒的な支持を得ているCMSであると言ってよいでしょう。

当社は2012年の創業以来、WordPressを多く利用してWebサイトを制作しておりますが、その理由としては、当社代表を含む創業メンバーが、2008年頃から「WordPressが日本でもシェアトップを奪う」と確信してノウハウの蓄積を行ってきたからになります。
現在はケースによってお薦めするCMSを使い分けておりますし、静的サイトジェネレーター（SSG）を含めた各種最新技術も実践に耐えられるレベルに日々洗練されてきておりますが、まだしばらくはCMSの世界トップシェアはWordPressのままであると考えております。

ここで誤解を少なくすべく付言すると、当社代表は、Movable Typeの静的なコードを生成するという根本思想が大好きですし（それが高じて、2018年よりいわゆる静的サイトジェネレーターのノウハウの蓄積を進めています）、優秀なCMSであることは間違いないと思います。

ただ、当社代表の好みはどうでもよいとして、WordPressが圧倒的なシェアを有するようになった根本的な原因について、私見を述べれば、WordPressは、オープンソースのCMSであるがゆえに、CMS自体が完全無料であるだけでなく、様々なテーマやプラグインなどが豊富に開発されており、その結果、「初期費用を抑えながら、一定レベル以上の高品質なWebサイトの制作、管理システムの開発、運用を実現できる」ということになるかと思います。

WordPressのメリットを丁寧に説明しようとすれば、かなりのテキスト量となってしまう為、ここでは「WordPressを利用するとどうして初期費用を抑えることが出来るのか」について、一般的なWeb制作会社の観点からポイントだけ解説していきたいと思います。

このように、WordPressは、（これをサポートされているコミュニティーも含めて）非常に優秀なCMSであり、そうであるがゆえに世界で圧倒的なシェアを占めているわけですが、一方で動的なCMSであることから、Webサイトの表示速度が遅くなり易いという構造上の弱点があります。

ここでいう「動的なCMS」とは、ユーザーがアクセスをした時の情報に基づいて、リアルタイムでWebページを生成するCMSのことを指します。

すなわち、Webサーバー内に最初から完全なHTMLファイルが存在するわけではなく、①ユーザーがWebサーバーにアクセス（リクエスト）をすると、②CMSの方でDBサーバーにコンテンツデータを渡すよう指示を出し（クエリ送信）、③DBサーバーからコンテンツデータを送ってもらった上で、④ユーザーがブラウザで入力したデータや、Webサーバー内に元からある更新頻度の低いファイルと組み合わせて、⑤HTMLファイルを作成して、ブラウザへ送信します。

これに対し「静的なCMS」とは、Webサーバー内に最初から完全なHTMLファイルが存在させる手法で、①ユーザーがWebサーバーにアクセス（リクエスト）をすると、②Webサーバーが要求されたデータをそのままブラウザに送信し、表示します。
※この静的なCMSと静的サイトジェネレーター（SSG）の違いもあるため、それぞれの流れを（かなり）単純化してまとめた図を作成してみました。

前述のように、WordPressでは、テーマと呼ばれるWebサイトのデザイン・機能がセットになったパッケージを利用することで、デザイン・コーディングの工数を削減することができます。
このテーマも公式のものを利用・カスタマイズされている分には、お引き受け時に問題が生じることはあまりないのですが、いわゆるサードパーティ製の有料テーマを利用されている場合、後ほど運用段階での拡張性で課題が生じるケースがあります。

有料テーマは機能が豊富ですし、高度にパッケージ化されていることから、有料テーマで想定されている挙動・機能を実装するには非常に適していると言えます。

しかしながら、有料テーマで想定されていない挙動や機能を実装しようとすると、逆に「できるけど、一から作るより時間がかかる」といった問題がしばしば起こります。パッケージとして完成されているがゆえに、想定外の改修が難しくなるということですね。
引継ぎ後に、担当者の方から「前の制作会社さんに修正を依頼したら、『WordPressなのでできません』と回答された。『WordPressのメリットは拡張性』だと最初に説明を受けていたのに…」といったお話をたまに聞きますが、大抵は有料テーマとの関係かプラグインの関係であるケースが多いと感じます。
『WordPressなのでできません』というのは、おそらくは「できるだけど、工数がかかりすぎるので予算内ではできない」という意味で回答されたのかなといつも推測しています。
また、『WordPressのメリットは拡張性』というのはおそらくは初期構築段階で簡単に機能を追加できるという意味で使用されていたのではないかなと思います。それが運用段階で当初の想定外の機能を追加しようとすると逆に工数がかかる場合があるということで…言葉の使い方って難しいですね。

また、何かトラブルが生じたときに、それが有料テーマに原因があるのか、それともWeb制作会社のカスタマイズに原因があるのかといった原因の切り分けと責任範囲の線引きが難しくなるというデメリットもあります。

テーマやプラグインは、開発関係者の皆さんによる日々の尽力によって、通常はWordPress本体（コアファイル）のバージョンアップに対応させる形で随時更新がなされています。

しかしながら、テーマやプラグインの更新が止まってしまうことがある点をリスクとして認識しておく必要があります。
このテーマやプラグインの更新が止まってしまうことにより、WordPress本体のバージョンアップを行うと、テーマやプラグインが正常に挙動しないということがわりとよく起こります。

WordPressは世界で最も有名かつ利用されているCMSであることから、攻撃を受けやすいのも事実です。

その為、まずはWordPress特有の仕様に対する対策をしておく必要があります。
特に、WordPress本体（コアファイル）とテーマ、プラグインのバージョンアップを適切に実施することが非常に重要になります。

なお、大抵の対策はWebサイト制作後でも実装が可能なのですが、テーマとプラグインについては、Webサイト制作時にメンテナンス（バージョンアップ）を念頭に置かずに構築されていると対応が難しくなる場合があります。
例えば、テーマやプラグインの更新が止まってしまったことで、WordPress本体のバージョンアップを行うとそのテーマやプラグインの挙動がおかしくなってしまい、その結果WordPress本体のバージョンアップを実施できなくなり、脆弱性が発生する…等のトラブルが起こりえます。

このように、WordPressには多くのメリットがあると同時に、WordPressサイトを保守・運用していく際には、いくつか気をつけておくとよいポイントがありますので、既に運用段階に入っているWordPressサイトの保守についてご相談をいただきましても、なかなかスムーズにお引き受けできないケースがあります。
そこで、（あくまでも当社の経験上ではありますが）お引き受け時に慎重にならざるを得ないケースについて、以下記載させていただきます。

①WordPress高速化の限界に近付いているケース

ユーザー参加型のWebサイト（投稿系コンテンツがあるサイト）などがWordPressで制作・開発されており、サービスの成長（ユーザー数の増加によるアクセス負荷増加）に従って速度が追い付かないようになり、既にKUSANAGIやKinstaといったWordPress高速化パッケージサービスを使うことで、なんとかサービスとして成り立たせている状態で、お引き受けの相談をうけるケースがあります。
ほとんどが、サービスの成長による影響についてそれほど慎重に検討することなく、あるいは速度の問題は認識しておられても初期費用を抑えるためにWordPressで開発してしまったケースなのですが、前述のようにWordPressである以上速度問題を解決することは容易ではありません。
特に、既に表示速度を劇的に改善できるKUSANAGIのようなサービスを使っていてギリギリの状態となっていると、それ以外の表示速度の改善を実施したとしても延命処置にしかならないという状態ですので、なんとか打てる手を打ってサービスを持たせている間に、将来のユーザー数の増加によるアクセス負荷増加に対応できるWebアプリケーションを開発するという地獄モードに突入することになります（新しいアプリケーションを当社が開発するケースも地獄ですが、そこは別の会社に依頼済みで、そこまでの間WordPressサイトを持たせてほしいという、当社的に報われないご相談も稀にあったりします。流石によほどのことが無い限りお引き受けできないのですが…）。
このような、そもそも開発技術の選択がミスマッチを起こしているケースは、非常にお引き受けしにくいといえます。

②WordPressの拡張面での課題に直面しているケース

前述のように、有料テーマや使用されていたり、Webサイトの重要部分がプラグインで実装されている場合には、当該有料テーマ・プラグインが想定している運用については非常に強みを有しますが、想定外の機能追加、表現の実装をしようとすると一気に難易度があがるケースがあります。
そして、制作を担当された会社様ではなく、当社のような会社にWebサイトの引き受けをご相談されるケースでは、えてして想定外の機能追加、表現の実装をしようとしたら、「現在のWeb制作会社から『WordPressなのでできない』と言われた」とか、「初期費用と比較したら多額すぎるのではないか」と感じるお見積りが出てきた、というケースだったりします。
こちらも、結局は運用時のことを想定していないか、していても優先順位を間違えて技術選択をしてしまったケースであると言えるかもしれません。
しかしながら、WordPressと有料テーマ・プラグインの組み合わせにより初期費用を抑えるというメリットを優先された以上、有料テーマ・プラグインが想定していない機能拡張に関しては、諦めるかコストが高くなることをご理解いただかないといけないため、結局は当社でもそのようにご説明させていただいております。
一方で、上記のデメリットについてはご理解をいただいた上で、ご相談を頂く場合には、「ご利用になっている有料テーマ・プラグイン」と「実現したいこと」によって解決策が変わって参りますので、ご相談をお受けしながら検討させていただくという形になります。

③セキュリティー上の問題があるケース

WordPress特有の仕様に対する対応がなされていない場合も、場合によってはお引き受けし難いケースに該当します。
これまでも、お引き受け前調査をさせていただいている間に、そもそも既に侵入されていることが判明する（それまでオーナーサイドでは気が付いていない）というケースも複数ありました。その経験上、侵入済みのWebサイトのほぼ全てで2年以上WordPress本体やプラグインの更新が止まっていましたので、こういうケースは引き受け側としては要注意となります（逆は必ずしも真ならずで、WordPress本体やプラグインの更新が2年以上止まっていれば侵入されているということではありませんのでご注意ください。ただし、侵入される確率は格段に上昇するというのが当社の認識です）。

既に侵入されてしまっている場合、あるいはお引き受け後対策を実施する前に侵入されてしまった場合、新しいサーバーを用意するかサーバーを初期化して、確実に侵入されていなかったと思われるときのソースコードで復旧させる手法が基本となります（ソースコードのバックアップ体制が重要になります）。

実際のところ、WordPress特有の仕様に対する対応がしっかりとなされているケースでは、クライアントサイドでもセキュリティーに対する意識が高い傾向にありますので、こういったケースではそれほど問題なくお引き受け作業に入れます。
しかしながら、WordPress特有の仕様に対する対応があまりなされていないケースでは、当社の場合、お引き受け時に2人日程度を限度として、セキュリティー上の問題点を簡易的にチェックさせて頂いた上で、お引き受けをさせていただいても問題がなさそうかを判断させていただいております。

④AWSなどのクラウドサーバーを利用しているケース

WordPressサイトなのにAWSなどのクラウドサーバーを利用しているケースも、軽々にお引き受けし難いケースにあたります。

本記事の最初に記載させていただきましたように、当社としてはWordPress＋AWSという組み合わせでのご相談が増加していることに、技術的なミスマッチを感じています。

例えば、当社がサーバーにAWSをお薦めする典型例その１は、Webサイトへのアクセス負荷が急激に増大する可能性がある場合なのですが、前述のように、WordPressは元々速度が遅いCMSであり高速化の限界は他技術より早く訪れる傾向にあることから、アクセス負荷増大の原因が（シーズン限定のものではなく）Webサービスの成長にあって、負荷の継続的な増加が予想される場合には、そもそもWordPress以外の技術体系で実装すべきであったということになる傾向にあります。この場合は、経験上お引き受け後苦戦するケースが多い為、お引き受け時に慎重になります。

また、当社がサーバーにAWSをお薦めする典型例その2は、柔軟な機能追加が予想されるような本格的なWebアプリケーションの場合なのですが、前述のように、WordPressに有料テーマが使われていたり、あるいは重要な機能がプラグインで実装されていたりすると、柔軟な拡張が困難であるケースが多いことから、同様にWordPress以外の技術体系で実装すべきであったということになる傾向があります。この場合も、お引き受け後やはり苦戦するケースがありうるため、お引き受け時には慎重になります。

なお、こういった技術的なミスマッチ以外に、純粋に共用レンタルサーバーとAWSのようなクラウドサーバーとの役割分担の違いに関する問題もあります。
具体的には、サーバー会社がどこまで責任をもって面倒を見てくれるのかという部分が大分異なります。
共用レンタルサーバーでは通常、サーバー・OS・ミドルウエアがパッケージで提供されるので、サーバーチューニングやOS、ミドルウエアへの干渉もほとんどできませんが、逆に言えばサーバー・OS・ミドルウエアの保守についてサーバー会社が面倒をみてくれます。つまり、情報システム部門やWeb制作会社が保守をすべき対象は基本的にはWebアプリケーション（Webサイト・WordPress等）のみとなります。
一方で、AWSのようなクラウドサーバーの場合、提供されるのは仮想サーバーのみで、提供されるプラットフォーム内でどのようなサーバー構成にするかもユーザー次第ですし、OS、ミドルウエアの選択や干渉も基本的には可能です。逆に言えば、OS・ミドルウエアについてはユーザー側でメンテナンスとセキュリティー対策をしないといけません。特にPHPを使われているケースでは、かなり短めのスパンでセキュリティーサポートが切れますので（PHP7.2でさえ2020年11月20日で切れます）、単なるバージョンアップによるメンテナンスだけでは足りず、WAFなどで可能な限りガードしておくことが重要になります。
つまり、AWSの場合、AWS自体に関するナレッジを有しているだけでなく、OS・ミドルウエアに対するメンテナンス（バージョンアップ）やセキュリティー対策についても実施していく必要がありますので、これらに対応できる体制・リソースがないとお引き受けし難いという問題があります。

当社の場合ですと、上記のような点についてヒアリングをさせて頂いて、当社でも技術的にお引き受けさせていただけそうなケースで、かつ当社に対応できるリソースがある場合には、クライアントの情報システム部門やインフラを管理されているベンダーの方々との役割分担表を作成し、慎重に対応させていただく形になります。

⑤他のシステムやアプリと連動しているケース

最後に、例えばWordPressサイトが基幹システムとAPIを通じて連動しているとか、androidやiosアプリと連動している（ハイブリッドアプリ）場合には、基幹システム側の保守担当者とやり取りが発生する上に、モバイルアプリのメンテナンスも必要となるケースが多く、要求されるスキル、ナレッジが更に広く、高度になってきます。
こうなると、基幹システムやアプリが、どのような言語、フレームワークで開発されているかなども関係してきますので、当社においても応相談となってしまいます。

以上のように、WordPressは圧倒的に優れたCMSであって、世界№1シェアを誇るからこそ外部からの攻撃が増加し、その結果対策も必要になっているという状況には、WordPressを10年以上追いかけ続けてきた当社からしますと、思うところはありますが、いずれにしましても「もはやWordPressサイトは専門の保守チームと共に運営していくべき技術体系になった」と考えております（今後は、ローコストでWebサイトを制作・運用する層は、いわゆるローコード・ノーコード系の技術で実装される世の中になると予測しています）。

そうなると、当社の役割は、WordPressサイトの保守を最適なコストでサポートさせていただくことになると考えておりますが、本記事でも一部ご説明させていただいたように、勉強せねばならないことが時間経過と共に増えて行く状況でして…日々の業務でも大変なのに新しいことを適宜マスターしていけるわけはないのです（心の叫び！）。

皆さんの利用されているWeb制作会社さんも、日々時間に追われている中で可能な範囲で努力されておられると思いますので、やさしい目をもってWeb制作会社さんに接して頂けますと幸いです。