WordPressの保守とは？企業が押さえるべき業務・体制・費用と委託先の選び方

WordPressの保守とは、サイトを安全かつ正常に動かし続けるための業務です。具体的には、WordPress本体・プラグイン・テーマの更新、セキュリティ対策、バックアップ、障害が起きたときの対応などが含まれます。

よく似た言葉に「運用」があります。両者の違いは次のとおりです。

実際の現場では、保守と運用は重なる部分も多くあります。ただし、外部に依頼するときや社内で役割を決めるときは、両者を分けて考えると「どこまでを誰が担うのか」を整理しやすくなります。

WordPressに保守が欠かせない理由は、主に次の3つです。

1. 利用者が多く、攻撃の対象になりやすい

WordPressは世界中で広く使われているオープンソースのCMSです。利用者が多いため、脆弱性が見つかると多くのサイトがまとめて狙われます。

2. 本体・プラグイン・テーマが頻繁に更新される

セキュリティ上の問題や不具合を直すため、更新は日常的に配布されます。更新を放置すると、すでに知られている脆弱性を突かれるおそれがあります。

3. プラグインの組み合わせで不具合が起きる
WordPressは、プラグインで機能を追加して使うのが一般的です。その分、更新のたびにプラグイン同士やテーマとの相性で表示崩れや動作不良が起きることがあります。

保守を怠ると、次のようなトラブルにつながります。
・サイトの改ざんや乗っ取り、不正なページへの誘導
・表示崩れやサイトの停止による、問い合わせ・商談機会の損失
・検索エンジンからの警告表示や、検索順位の低下
・情報漏えいによる企業の信用低下
・被害が起きた後の調査・復旧にかかる費用と時間

保守は、問題が起きていないときには必要性を感じにくい業務です。しかし、被害が起きてから対応すると、保守を続けるよりも大きな手間と費用がかかります。「保険」のように、日ごろから備えておくことが大切です。

WordPressの保守業務は種類が多く、一覧で並べるだけでは全体像をつかみにくいものです。そこで本記事では、保守業務を次の3つの層に分けて整理します。

層ごとに必要なスキルが違うため、「誰に任せるのが適切か」も層ごとに変わります。この考え方は、後半の「自社で保守するか、外注するか」の判断でも使います。

インフラ層は、WordPressが動くサーバーまわりの保守です。
・サーバーの稼働監視と、障害が起きたときの対応
・OSやWebサーバー、データベースなどミドルウェアの更新
・SSL証明書とドメインの契約更新
・ファイルとデータベースのバックアップ取得、復元できるかの確認

共用のレンタルサーバーでは、事業者が多くを担うのが一般的です。一方、VPSやクラウドで構築している場合は、利用者側の作業が大きく増えます。

WordPress層は、WordPressそのものの保守です。
・WordPress本体・プラグイン・テーマの更新と、更新後の動作確認
・更新前にテスト環境で検証すること
・サーバーのPHPバージョンへの対応
・ユーザーアカウントと権限の管理

更新は「とりあえず実行する」ではなく、事前の検証と、問題が起きたときに戻せる準備をしてから行うことが大切です。

コンテンツ運用層は、サイトの中身に近い部分の保守です。
・ページや記事の更新
・お問い合わせフォームが正しく送信されるかの確認
・スマートフォンを含む表示の確認

この層は、サイトの内容を理解している社内の担当者が担うことが多い領域です。

セキュリティ対策とトラブル対応は、3つの層すべてにかかわります。
・脆弱性情報の確認と、該当する場合の対応
・WAFなどによる攻撃の遮断、不正ログイン対策
・表示が遅い・つながらないといった障害の原因の切り分けと復旧

たとえば「サイトが重い」というトラブルでも、原因がプラグイン（WordPress層）にあるのか、サーバーの処理能力（インフラ層）にあるのかで、対応する人も方法も変わります。

なお、保守作業の具体的な一覧と、日次・週次・月次などの頻度は、次の記事でチェックリストにまとめています。

・外注費がかからず、費用を抑えやすい
・社内で判断できるため、対応が早い
・サイトの構成や運用の知見が社内にたまる

デメリット

・WordPressには公式のサポート窓口がなく、問題は自分たちで調べて解決する必要がある
・脆弱性や更新の情報を追い続ける手間がかかる
・担当者に依存しやすく、異動や退職で保守が止まるおそれがある

・専門知識を持つ担当者に任せられる
・障害が起きたときに、原因調査や復旧を依頼できる
・社内の担当者が本来の業務に集中できる

デメリット

・保守費用がかかる
・社内に知見がたまりにくい
・依頼してから反映されるまでに時間がかかることがある

自社で保守するか外注するかは、次の4つの軸で考えると判断しやすくなります。

保守は「全部社内でやる」か「全部外注する」かの二択ではありません。3つの層ごとに任せ先を分けると、費用と手間のバランスを取りやすくなります。

インフラ層は専門性が高い一方で、サイトごとの違いが小さい領域です。そのため、基盤側の仕組みとして任せやすい部分です。反対に、コンテンツ運用層はサイトの内容を理解している社内の担当者が担うほうが効率的です。

WordPressを含むホームページ保守の費用は、月額で数千円から数万円まで幅があります。中小企業のコーポレートサイトの場合、価格帯ごとに含まれる範囲はおおむね次のとおりです。

保守費用は、主に次の要因で変わります。

対応範囲：更新作業だけか、障害時の復旧まで含むか
対応時間：平日の日中のみか、夜間・休日も対応するか
サイトの規模：ページ数、プラグインの数、カスタマイズの量
サーバーの構成：レンタルサーバーか、クラウドで個別に構築しているか

見積もりを比べるときは、金額だけでなく「その金額で何が含まれているか」を確認することが大切です。

保守契約の金額以外にも、次のような費用がかかります。

・サーバーの利用料
・SSL証明書の費用（サーバーによっては無料で提供）
・有料プラグインや有料テーマのライセンス費用
・障害が起きたときのスポット対応費

特に注意したいのが、保守費用とサーバー代の重なりです。サーバー側でバックアップやセキュリティ対策が標準になっていれば、保守契約で同じ作業に費用を払う必要はありません。保守費用はサーバー代と合わせた合計で比べることをおすすめします。

WordPressの保守を外部に任せる場合、委託先は大きく3種類に分けられます。

どれか1つを選ぶ必要はありません。前の章で紹介した「層ごとに任せ先を分ける」考え方で、組み合わせて使うこともできます。

委託先を選ぶときは、次の点を確認しましょう。
・対応範囲：更新、バックアップ、セキュリティ対策、障害時の復旧のどこまでが含まれるか
・障害時の対応：連絡してから対応が始まるまでの時間、対応する時間帯
・技術の範囲：WordPressだけでなく、サーバーやPHPの問題にも対応できるか
・報告：作業内容の報告があるか
・契約条件：契約期間、解約条件、追加費用が発生する条件

保守を続けるうえで負担になりやすいのは、「人が気づいて、人が作業する」ことを前提にした体制です。担当者が忙しい時期や不在のときに、更新やバックアップの確認が止まってしまいます。

そこで有効なのが、インフラ層とセキュリティを、サーバー側の仕組みとして標準化する方法です。WAFやDDoS対策、SSL、バックアップ、ミドルウェアのパッチ管理を基盤に任せれば、社内や制作会社が担う作業をWordPress層とコンテンツ運用層に絞れます。

NHNテコラスの「WP-Chorus」は、企業向けのWordPressクラウドホスティングです。インフラの設計・運用、パッチ管理、バックアップをNHNテコラスがまとめて管理します。

主な機能は次のとおりです。

・WAF：「攻撃遮断くん」のエンジンを搭載
・DDoS対策：全プランで標準提供
・SSL証明書：自動で適用
・CDN（Amazon CloudFront）：全プランで標準提供
・自動バックアップ：全プランで標準提供
・ステージング環境：全プランで標準提供。管理コンソールから本番環境を複製できる
・ミドルウェアのパッチ管理：NHNテコラスが対応
・二要素認証：標準で利用できる

料金は月額固定で、予算を立てやすいのも特長です。本番と同じ環境を10日間無料で試せるトライアルも用意されています。

WP-Chorusについて詳細は以下をご覧ください。

基盤側で標準化しても、すべての保守がなくなるわけではありません。次のような作業は、引き続き社内または制作会社が担います。

・プラグインの選定と、更新後の動作確認（ステージング環境で検証）
・ページや記事の更新
・フォームや表示の確認

ただし、インフラやセキュリティの対応から手が離れることで、担当者は本来の業務やサイトの改善に時間を使えるようになります。

更新やバックアップを社内で確実に行えるなら、保守契約がなくても運用はできます。ただし、更新が止まると脆弱性を突かれるリスクが高まり、障害が起きたときにその都度スポットで依頼することになります。社内で対応できる範囲を見極めたうえで判断しましょう。

できます。更新やバックアップは管理画面やプラグインで対応できます。ただし、サーバーやPHPに起因する問題、改ざんからの復旧には専門知識が必要です。自社で対応する層と、外部に任せる層を分けて考えるのがおすすめです。

まず、サーバー・ドメイン・WordPressの管理者アカウントなど、社内で把握している情報を整理しましょう。そのうえで、新しい委託先へ引き継ぎます。引き継ぎで整理すべき情報は、次の記事のチェックリストで確認できます。

作業によって異なります。目安として、表示やバックアップの確認は日次〜週次、本体・プラグインの更新は月次、契約更新や権限の棚卸しは四半期〜年次です。セキュリティ修正の更新は、頻度に関係なく早めに対応しましょう。

WordPressの保守は、サイトを安全・正常に動かし続けるための「守り」の業務です。業務は「インフラ層」「WordPress層」「コンテンツ運用層」の3つに分けて考えると、全体像を整理しやすくなります。

自社で保守するか外注するかは、全部を一律に決める必要はありません。社内の人材、サイトが止まったときの損失、カスタマイズの量、予算を踏まえ、層ごとに任せ先を分けるのが、続けられる保守体制への近道です。

インフラとセキュリティの保守を仕組みで減らしたい場合は、WP-Chorusの資料もあわせてご覧ください。