WordPressの保守運用とは｜やることと費用の決まり方、バックアップを外に置く理由WordPressの保守運用とは｜やることと費用の決まり方、バックアップを外に置く理由

「作ってもらった会社と、もう何年も連絡を取っていない」 「管理画面を開くと更新の案内がたくさん出ているけど、押していいのか分からない」

WordPressのホームページを持っている担当者さんから、よく聞く話です。サイトは表示されている。だから今のところ困ってはいない。でも、このままでいいのかは気になっている。

その感覚は正しいと思います。

WordPressの保守運用でやることを、依頼する側が見積もりで確かめられる形に並べました。更新しないと何が起きるのか、バックアップをサーバー会社の外にも置いたほうがいい理由、保守の費用が何で変わるのかもまとめています。

WordPressの保守運用とは、サイトが止まらないように見張って直すこと

WordPressは、作って公開したら完成、とはいきません。

本体、テーマ（見た目を作っている部品）、プラグイン（あとから足す追加機能）の3つが組み合わさって動いていて、それぞれが別々に新しい版を出します。サーバーの中で動いているPHPというプログラムの言語にも版があり、古い版はいずれサーバー会社が使えなくする。どれか1つが古いままだと、ほかとかみ合わなくなっていきます。

保守運用は、この組み合わせを動く状態に保ち、何か起きたらすぐ気づいて直す仕事です。

ちなみに「保守」と「運用」の言葉の分け方は会社によってばらばらで、記事を書く代行まで「運用」に入れるところもあります。言葉より中身で比べるほうが早い。

保守でやることと、見積もりで確かめること

保守の見積もりを受け取ったら、次の表と見比べてみてください。全部入っていなくても構いません。入っていないものを誰がやるのかが決まっていれば十分です。

データベースは、記事の文章や設定をしまっている場所のこと。画像やテーマなどのファイルとは別の場所にあります。

表の中でとくに抜けやすいのは、更新のあとの確認とフォームの確認の2つです。更新ボタンを押すだけなら1分で終わる。押したあとに主なページを開いて崩れていないか見て、フォームから実際に送ってみる。ここまでやって、はじめて保守と呼べると考えています。

地味な作業です。

WordPressの改ざん・乗っ取りは、更新の遅れから始まる

知られている弱点が、そのまま残る。

WordPressの公式ドキュメント「Hardening WordPress」には、古いバージョンにはセキュリティの更新が提供されないので常に最新にしておくこと、と書かれています。続けて、弱点が見つかって新しい版が出たときには、その弱点を突くのに必要な情報はほぼ確実に公開されていて、古い版はより攻撃を受けやすくなる、とも説明している（出典はWordPress Developer Resources「Hardening WordPress」）。

更新の案内は、裏を返せば弱点の案内でもある。

プラグインについても同じページで、常に更新すること、使っていないプラグインは消すことが案内されています。止めてあるだけのプラグインも、ファイルはサーバーに残っている。

改ざんや乗っ取りに気づきにくい理由

サイトを書き換えられても、見た目が変わらないことがあります。

身に覚えのないページが検索結果に出ている。スマホで開いたときだけ別のサイトに飛ばされる。管理画面に知らない管理者が増えている。こうした形で見つかることがあり、トップページを毎日眺めているだけでは気づけません。だから見張りの仕組みと、Search Console（Googleでの表示を見る無料の道具）のような外からの目が要ります。

本体だけ上げればいい、とはならない

いま私がリニューアルを担当しているWordPressのサイトも、本体が何年も更新されていませんでした。

テーマとプラグインも同じだけ古い。本体だけ最新にすると、画面が崩れたり機能が止まったりするおそれが高く、PHPの版もあわせて上げる必要が出てきます。見積もりには「WordPressの安全化」という項目を立てて、本体とPHPの更新、管理画面のアドレスの移設、フォームのつなぎ直しを入れました。古いWordPressは放っておくほど危なくなるので、判断の期限も見積もりに書いています。

何年も止まったサイトは、毎月の保守では追いつかない。まとめて片づける作業が一度必要になります。その案件の進め方はWordPressのリニューアルに書いたので、ここでは繰り返しません。

バックアップはサーバー会社の外にも置く

2026年10月7日、IDCフロンティアのクラウドサービス「IDCFクラウド」で、ランサムウェア（データを使えなくして身代金を求める攻撃）による障害が起きました。

Impress Watchの報道では、障害は10月7日の3時40分ごろに起き、東日本リージョン1で発生、495の企業や自治体に影響が出ています（出典はImpress Watch「IDCFクラウドにランサムウェア攻撃」）。翌8日の続報では、東日本リージョン1のうち4つのゾーンのデータは取り出しや復元が困難な見通しで、復元は利用者自身が持っているバックアップからのみ可能、という同社の見解が伝えられました（出典はImpress Watch「IDCFクラウドの障害、データは取り出しや復元が困難な見通し」）。

どの会社のサーバーでも起こりうる話です。

同じ場所のバックアップは、同じ障害で一緒に使えなくなる

サーバー会社の管理画面には、自動バックアップの機能が付いていることがよくあります。手軽で助かる機能です。

ただ、その複製がどこに保管されているかは、契約しているサービスの説明を読まないと分かりません。サイトと同じ設備の中に置かれているなら、設備ごと使えなくなったときに複製も一緒に取り出せなくなる、と考えておくのが安全です。

WordPressの公式ドキュメントの「Backups」のページでは、直近のバックアップを何世代か残し、置き場所を分けることがすすめられています。例として挙がっているのは、サーバーに1つ、Google DriveやDropboxのようなクラウドの保存サービスに1つ、手元のパソコンに1つ。サーバー会社もたいていはサーバー全体を複製しているけれど、そこからサイトの複製をもらうには時間がかかる、だから自分のサイトを複製して戻す方法を覚えておくべきだ、とも書かれています（出典はWordPress Developer Resources「Backups」）。

バックアップについて保守の相手に聞くこと

同じページには、WordPressのバックアップはデータベースとファイルの2つがそろってはじめて元に戻せる、とあります。

保守を頼んでいるなら、次の3つを聞いてみてください。

1. データベースとファイルの両方を複製しているか
2. サーバー会社とは別の場所にも置いているか
3. 実際に戻せるかを試したことがあるか

3つ目は見落とされがちです。公式ドキュメントも、自動のバックアップとは別にときどき手動でも取り、仕組みが動いていることを確かめるようすすめています。複製があっても戻せなければ意味がない。

WordPressの保守費用は、4つの条件で変わる

保守の月額は、会社ごとにばらばら。

公開されている相場の金額は、調べる元によって幅が広く、何が含まれているかもそろっていません。なので、ここでは金額ではなく、金額が何で変わるかを書きます。見積もりを2社以上で比べるときは、この4つが書いてあるかを見てください。

同じ月額でも、左の列だけの保守と右の列までやる保守では、何かあったときの差が大きい。差が出るのは、壊れた日です。安い保守を選ぶなら、右の列のうち何を自分たちでやるかを決めておけば困りません。

もう1つ、毎月の費用はサーバー代とドメイン代とは別に出てくることが多いので、全部足した金額で考えます。リニューアルの記事でも書きましたが、制作費が安くても月々の保守が高ければ数年で逆転する。

何年も止まっていたサイトは、保守の前に一度まとめて直す

月額の保守は、毎月少しずつ新しい版にしていく前提で組まれています。

何年分もの更新がたまったサイトは、まず一度まとめて新しくする作業が必要になり、これは月額とは別の見積もりになるのがふつうです。保守の相談をしたら、最初に別の金額が出てきた。それは上乗せというより、たまっていた分の片づけです。

自分でやるか、保守を頼むか

社内でできる人がいるなら、自分でやるのも十分あり。

分かれ目は、更新したあとに画面が崩れたとき、自分で元に戻せるかどうか。戻せるなら自分でやれる。戻せないなら、更新ボタンを押す役だけ社内でやっても、困ったときに頼る先が要ります。

そこだけ見てください。

自分でやるなら、少なくとも次のことは決まった日にやってください。

• 管理画面の「ダッシュボード」から「更新」を開き、案内が出ていないか見る
• 更新の前にバックアップを取り、1つはサーバーの外に保存する
• 更新したらトップページ、問い合わせのページ、よく見られるページを開いて確かめる
• フォームから自分宛てに送って、メールが届くか見る
• 使っていないプラグインとテーマを消す
• ドメインの更新期限と、支払いのクレジットカードの期限を控えておく

フォームの送信を成果として数える方法は、結果の出るホームページの作り方でGA4のキーイベントから説明しています。届いているかの確認と、数えられているかの確認は、一緒にやると手間が減る。

作った会社と連絡が取れないときに、最初にやること

保守を頼むか決める前に、まず持ち物を確かめます。

話はそこからです。

WordPressの管理画面、サーバー、ドメインの3つに、自分たちでログインできるかどうか。ここがそろっていれば、保守の相手を替えることも、自分でやることもできます。

逆に、ドメインやサーバーが作った会社の名義で契約されていて、ログインの情報も手元にないと、新しい保守の相手は作業を始められません。名義を移してもらうところからになる。名義の考え方はホームページ制作をフリーランスに依頼するメリットで、止まったときに困らないための備えとして書いています。

確かめる順番は、ドメイン、サーバー、管理画面。

ドメインは期限が切れるとサイトもメールも止まるので、最初に契約先と名義を調べてください。請求書やカード明細に、ドメインやサーバーの会社名が残っていることがあります。手がかりがそれしかなくても、新しく頼む相手と一緒にたどっていけます。

保守に入る前に確かめておくこと

最後に、保守を頼むか自分でやるかを決める前のチェックリストです。

• WordPressの管理画面、サーバー、ドメインに、自分たちでログインできる
• ドメインとサーバーの契約の名義がこちらになっている
• 本体とプラグインに、更新の案内がどれくらい出ているかを見た
• サイトと会社のメールが同じサーバーにあるかを確かめた
• バックアップがあるか、どこにあるかを知っている
• 問い合わせフォームから送って、届くことを確かめた
• 見積もりに、更新後の確認、バックアップの置き場所、復旧、修正の時間が書いてある

全部にチェックが付かなくても大丈夫です。付かなかった項目が、保守の相手と最初に話すことになります。

私は、WordPressの本体とPHPの更新、サーバーとドメインやメールの切り替え、作り直しまでを一人で通して見ています。何年も止まっているサイトの片づけから、毎月の保守、リニューアルするかどうかの相談まで。保守の中身と料金はホームページ保守のページに、すでに改ざんや乗っ取りに遭っている場合は乗っ取り・改ざん復旧のページにまとめています。ご相談はお問い合わせからどうぞ。