レノワード企画 
WordPressで作ったホームページの管理画面に更新の通知がたまり、このまま放置してよいのか迷っていないでしょうか。制作会社から保守契約の提案が届き、費用が妥当なのか判断できずにいる方もいるでしょう。
この記事では、WordPressの保守で必要になる5つの作業と、社内で担える範囲を解説します。壊さずに更新する手順と放置したサイトの立て直し方、保守会社の料金の例もあわせて紹介します。
この記事を読めば、社内でできる作業と任せる作業の線を引き、自社に合った保守の形と予算を決められるでしょう。
※本記事は2026年10月時点の情報をもとに作成しています。
WordPressの保守とは
WordPressの保守は、公開したサイトを安全な状態で動かし続けるための作業です。WordPressは新しく見つかるセキュリティの問題に対応するため定期的に更新されており、公式に積極的なサポートがあるのは最新版だけです。
ここでは、保守と運用の言葉の違いと、保守を怠ったときに起こりうる被害を見ていきましょう。
保守と運用の違い
この記事では、WordPressの本体やプラグインを更新し、バックアップを取って不具合や攻撃に備える作業を「保守」と呼びます。お知らせの投稿や写真の差し替えのように、サイトの中身を日々動かす作業は「運用」として分けて考えます。
保守に含まれる作業は依頼先によって違うため、契約の前に作業の中身を項目ごとに見ておくと安心です。たとえば、記事の執筆や写真撮影を保守の料金に含めず、別途見積もりとしている保守会社の例もあります。サイトの中身の更新まで任せたい場合は、運用の作業も料金に入っているかを聞いておくと、契約後の行き違いを防げます。
保守を怠ったときの被害
ウェブサイトは動いているように見えても、時間がたつにつれて安全性が下がっていきます。公開したあとに脆弱性（プログラムの弱点）が見つかり、攻撃される危険が高まるためです。
脆弱性を悪用されると、情報の流出やサイトの改ざんが起こる場合があります。IPA（情報処理推進機構）が注意を促すとおり、ウェブサイトは企業の規模や知名度に関係なく攻撃の対象です。
構築したあとにメンテナンスをしていないサイトで、構築に使ったソフトウェアが古いままだと、脆弱性が残っている場合があります。JPCERT/CC（国内のセキュリティ事故に対応する機関）は2017年の注意喚起で、改ざんや情報の窃取が起きるとサービスの停止や顧客への補償など、事業に直結する影響を受けうると伝えています。
WordPress保守の5つの作業
本記事では、WordPressの保守で続けたい作業を5つに分けて整理します。どれも一度きりでは終わらず、サイトを公開している間は繰り返しが前提です。
ここでは、それぞれの作業の目的と頻度の目安を解説します。
本体・プラグイン・テーマの更新
WordPress公式は、サイトを安全に保つため、プラグインとテーマを常に最新版に更新するよう勧めています。使っていないプラグインは、残しておかずにサイトから削除するのが公式の手引きの考え方です。
更新が必要な理由は数字にも表れています。WordPressの脆弱性を調べているセキュリティ企業のPatchstackの調査では、2025年に新たに見つかったWordPress関連の脆弱性11,334件のうち、91％がプラグインでした。
JPCERT/CCが2017年の注意喚起で示した目安では、プラグインなどを含む製品が最新版かどうかの確認は、数週間〜1か月に1回程度です。管理画面に更新の通知がたまっているなら、この頻度で見直す習慣をつけましょう。
関連記事：インスタの埋め込み方法｜コードの取得から表示されない時の対処まで解説
PHPのバージョン更新
PHPは、サーバーで動くプログラムの言語で、WordPressはこのPHPで動いています。WordPress公式が推奨するPHPは、2026年10月時点で8.3以上です。
WordPress 7.0以降は、PHP 7.4以上でも動きます。ただし、7.4などの古いバージョンはPHPのサポート期限（EOL）を過ぎており、修正されない脆弱性にさらされるおそれがあります。
サポート中のバージョンにも期限があり、PHP 8.2のセキュリティサポートの期限は2026年12月31日です。サーバーの管理画面でPHPのバージョンを確かめ、8.2以下なら更新の計画を立てておきましょう。
データのバックアップ
WordPressのバックアップは、データベースとファイルの両方をそろえて初めて、サイトを元どおりに戻せます。データベースには投稿やコメントが入り、ファイルには本体・プラグイン・テーマ・画像などが含まれます。
頻度の目安は、投稿の少ない小さなサイトで週1回、投稿の多いサイトで毎日です。保管するときは、少なくとも直近3〜5個のバックアップを、サーバー・クラウド・手元のパソコンのように別々の場所に分けて置きます。
侵入に気づくのが遅れたときに頼りになるのも、定期的なバックアップです。公式のセキュリティの手引きは、5月1日に侵入されて12日に気づいた場合でも、毎週バックアップを取っていれば、侵入前のバックアップを立て直しに使えるとしています。
改ざんや停止の監視
監視は、サイトの異常に早く気づくための作業です。WordPress公式のセキュリティの手引きは、防御だけで侵入を防ぎきれるとは限らないため、ファイルの変更や追加を見張る侵入の検知が重要だとしています。JPCERT/CCの2017年の注意喚起では、サーバー上のファイルが改ざんされていないかの確認は1週間に1回程度が目安です。
サイトが表示されなくなる停止に気づく方法もあります。たとえば、WordPress向けの拡張機能のJetpackには、5分ごとにサイトを確かめて止まったら通知する無料の機能があります。改ざんの監視とは別の仕組みなので、どちらを誰が担うかを決めておきましょう。
不正アクセスへの対策
管理画面のパスワードが守るのは、サイトの中身だけではありません。管理者アカウントを乗っ取られると、サーバー全体を危険にさらす不正なプログラムを入れられるおそれがあるためです。
パスワードを総当たりで試す攻撃への対策として、公式の手引きは次のような項目を挙げています。
- 使い回さない強いパスワード
- 管理者全員の二段階認証
- ログイン試行回数の制限
- ユーザー名に「admin」を使わない
パスワードには、会社名やサイト名を並べ替えたものや辞書にある単語を使わないよう、公式は注意を促しています。管理者のアカウントも、公式の手引きにならって必要な人の分だけに絞りましょう。
WordPressの保守は自分でできる？
保守の作業には、管理画面のボタン操作で済むものと、サーバー上のファイルを直接扱うものがあります。作業ごとに難しさが違うため、すべてを社内で抱える必要はありません。
ここでは、社内で担える作業と専門家に任せたい作業を分け、外注に切り替える目安も紹介します。
自分で担いやすい作業
社内で担えるのは、WordPressの管理画面やサーバーの管理画面の操作で完結する作業です。本体の更新は管理画面の「更新」画面でボタンを押すだけで進み、公式もこの1クリックの更新は多くのサーバーで動くとしています。
次の作業は、操作する場所と頻度の目安がわかれば社内で回せます。
| 作業 | 操作する場所 | 頻度の目安 |
|---|---|---|
| プラグインなどの更新確認 | 管理画面の「更新」 | 数週間〜1か月に1回 |
| バックアップ | サーバーやプラグイン | 週1回〜毎日 |
| PHPのバージョンの切り替え | サーバーの管理画面 | サポート期限の前 |
PHPのバージョンは、多くのサーバー会社が利用者自身で変えられるようにしています。レンタルサーバーのエックスサーバーの場合は、サーバーパネルの「PHP Ver.切替」からドメインごとにバージョンを選べます。ただし、テーマやプラグインが新しいPHPで動くとは限らないため、切り替える前にバックアップを取り、本体・テーマ・プラグインを更新して互換性を確かめておきましょう。
専門家に任せたい作業
サーバー上のファイルを直接扱う作業は、手順が多く、消してはいけないファイルもあるため、専門家に任せたほうが安全です。管理画面を使わずに手動で更新する場合は、公式の手順で13の段階があり、wp-config.phpやwp-contentフォルダを消さないといった注意がいります。
ほかに任せたい作業は、次のとおりです。
- PHPの互換性の問題の解消
- 改ざんや感染からの復旧
- ファイルの書き込み権限の設定
改ざんからの復旧は、ウイルスを駆除するだけでは終わりません。IPAは、脆弱性を悪用するウイルスは駆除やファイルの復旧だけでは再感染する場合があるとして、脆弱性を直して原因から解決するよう呼びかけています。
外注に切り替える目安
外注に切り替えるかは、社内で担える作業量と、サイトが抱えるリスクの大きさで判断します。IPAは、顧客の個人情報を預かるサイトや入力フォームがあるサイトを、脆弱性対策が特に強く望まれるケースに含めています。
次のどれかに当てはまるなら、外注や併用を考える目安になるでしょう。
- 更新後の確認まで手が回らない
- 問い合わせや予約のフォームがある
- 顧客の個人情報を預かっている
- 長く更新が止まっている
すべてを任せず、更新の確認は社内、復旧は外部のように分担する方法もあります。その場合は、IPAが勧めるとおり、社内のセキュリティの担当者と委託先の作業範囲や責任範囲をはっきりさせておきましょう。
WordPressを壊さずに更新する手順
更新でサイトが崩れるのを防ぐには、作業の前後に確かめる手順を決めておきましょう。手順がそろっていれば、担当者が替わっても同じ確認ができます。
ここでは、バックアップから不具合が出たときの戻し方まで、4つの段階に分けて解説します。
更新前にバックアップを取る
WordPress公式の更新手順でも、最初の作業はサイトのバックアップです。問題が起きても、取っておいたバックアップから更新前の状態へ戻せます。
更新前に取ったサイト全体とデータベースのバックアップがなければ、本体を古いバージョンに戻すのはほぼ不可能です。サーバーに自動のバックアップがあっても、更新の直前に手動で取っておくと、戻したい時点をはっきりさせられます。プラグインやテーマの自動更新を有効にする前にも、元のバージョンに戻せる状態を整えておくよう公式の手引きは勧めています。
テスト環境で動作を試す
テスト環境（ステージング環境）は、本番のサイトを複製した練習用のサイトです。WordPress公式の学習サイトは、ステージングで更新やプラグインを試すやり方を、安全なサイト運営の最善の方法と位置づけています。
公式が示すテスト環境の作り方は、次の3つです。
- ステージング用のプラグイン
- サーバー会社の機能
- 手元のパソコンへの複製
エックスサーバー社のWordPress専用サーバーでは、テスト環境を1サイトにつき1つ作れます。本番と同期されるのはwp-content内のファイルとデータベースで、WordPress本体とPHPのバージョンは同期されない点に注意しましょう。
更新後に表示と動作を確かめる
更新が終わったら、管理画面の「ツール」→「サイトヘルス」を開き、重大な問題が出ていないかを確かめましょう。サイトヘルスでは、自動更新が動いていない、PHPが古い、更新待ちのプラグインがあるといった問題を確認できます。
サイトヘルスが示すのは設定や環境の問題なので、ページの見た目は実際に開いて確かめる必要があります。目で見ておきたい点は、次のとおりです。
- トップページの表示
- 問い合わせフォームの送信
- スマートフォンでの表示
- 管理画面へのログイン
フォームは表示だけでなく、テスト送信をして届くかまで試しておきましょう。確認した日と結果を記録しておくと、次の更新で比べられます。
不具合が出たら元に戻す
更新後に表示が崩れたりエラーが出たりしたら、まず標準以外のプラグインをすべて停止し、1つずつ有効に戻して原因を探します。原因が特定できれば、そのプラグインを止めたまま作者に問い合わせましょう。
自動で元に戻る仕組みもありますが、対象は限られます。WordPress 6.3からは、管理画面から手動でプラグイン・テーマを更新し、途中で失敗したときは元のバージョンへ戻ります。6.6から加わったのは、プラグインの自動更新のあとにトップページでPHPの致命的なエラーを見つけた場合だけ、そのプラグインを元のバージョンへ戻す仕組みです。
本体を古いバージョンに戻すのは、公式でも通常は勧めていません。戻す場合は、最初の手順で取ったバックアップからサイト全体とデータベースを復元します。
放置したWordPressの保守を再開する手順
長く更新していないサイトは、いきなり更新ボタンを押すより、状況を調べてから順に更新するほうが安全です。IPAの手引きも、運用中のサイトの対策状況の把握を出発点にしています。
ここでは、放置したサイトの保守を再開する手順を3つの段階で解説します。
現在のバージョンを調べる
最初の作業は、いま使っているWordPressとPHPのバージョンの確認です。IPAも、使っているソフトウェアの名前やバージョンを控えておくよう勧めています。
WordPressのバージョンは、管理画面の「ツール」→「サイトヘルス」→「情報」タブの「WordPress」の欄で確かめられます。PHPのバージョンが載っているのは、同じ「情報」タブの「サーバー」の欄です。
調べたバージョンは、WordPressなら最新版の7.1.2、PHPなら公式が推奨する8.3以上と比べましょう。7.1.2は、重大な脆弱性を直すセキュリティ更新として2026年9月22日に公開されました。
「情報」タブには有効なテーマとプラグインの一覧もあるため、あわせて控えておくと次の手順で役立ちます。
段階を分けて更新する
筆者がWebディレクターをしていた頃も、クライアントの多くのWordPressが更新も保守もされず、何年も放置されていました。公式は、メジャー版を2つより多くまたいで上げるときは、衝突を避けてデータベースが壊れる危険を下げるため、段階を分けた更新の検討を促しています。一方で、適切なバックアップがあれば、最新版まで1回で上げても構わないとしています。
PHPを上げる順番にも注意が必要です。公式の対応表（2026年8月19日時点）では、WordPress 6.7〜6.8はPHP 8.5に対応していません。6.4〜6.6はPHP 8.4と8.5に、6.3以前（表に載っている4.7まで）はPHP 8.3以上に対応していません。
PHPを上げる前の手順として、公式は次の4つを挙げています。
- バックアップ
- 本体・テーマ・プラグインの更新
- 互換性の確認
- 見つかった互換性の問題の解消
4つ目の解消は、テーマやプラグインの開発者に調べてもらい、応じてもらえなければWordPress.orgで似た機能のものを探して替える手順です。本体が古いままPHPだけを先に上げず、本体から順に新しくしていきましょう。
手に負えなければ専門家に頼む
調べた結果、バージョンの差が大きい場合やPHPの互換性の問題が解けない場合は、無理をせず専門家に頼みましょう。IPAの手引きも、自社で対処できないときはウェブサイトやセキュリティの専門家への相談を呼びかけています。
すぐに直せないなら、サイトを一時的に止めるのも選択肢の一つです。保守会社によっては、長く更新が止まっていたサイトの初回の作業が別料金になります。
保守会社のワンピクセル（.one pixel）では、長い間更新が止まっていたサイトで本体やPHPのバージョンを引き上げる作業が要る場合、その作業は「初回に別途お見積り」です。依頼する前に、初回の費用を見積もりで確かめておきましょう。
WordPress保守の費用相場
保守の費用は、依頼先と対応範囲によって大きく変わります。金額だけで比べると、必要な作業が含まれない契約を選んでしまうおそれもあるでしょう。
ここでは、保守会社が公式サイトで公開している料金をもとに、金額の幅と料金で変わる範囲を見ていきます。
保守会社の月額料金の例
WordPressの保守を請け負う会社のうち、6社が公式サイトで公開している月額料金は次のとおりです（2026年10月時点）。
| 保守会社 | 月額料金 |
|---|---|
| ワンピクセル | 5,500〜16,500円（税込） |
| ハイファイブクリエイト | 8,800円（税込）から |
| WP KEEPER | 22,000円・44,000円（税込） |
| Webの相談所 | 30,000円から |
| クロジカサーバー管理 | 39,600円（税込）から |
| Unitea | 55,000円（税込）から |
6社の最も安いプランの月額を並べると、5,500円から55,000円まで10倍の開きがあります。55,000円は上限ではありません。Uniteaの場合、サーバーの障害対応まで含むプランは月額110,000円からで、金額はサイトの開発規模によって変わるとしています。
初期費用の幅も大きく、無料の会社から50,000円以上かかる会社までさまざまです。
料金で変わる対応範囲
同じ会社でも、料金のプランによって対応範囲が変わります。たとえば、ワンピクセルの料金表では、上位のプランほど含まれる作業が増えます。
| 項目 | ライト | スタンダード | プラス |
|---|---|---|---|
| 月額（税込） | 5,500円 | 8,250円 | 16,500円 |
| 月次の作業報告 | なし | なし | あり |
| バックアップからの復元 | 別途見積もり | 年1回まで無料 | 回数制限なし |
| 原因調査を伴う復旧 | 別途見積もり | 別途見積もり | 年3時間まで込み |
WP KEEPERも、手動のアップデートやマルウェアのスキャンと駆除、電話サポートを上位のプロフェッショナルプランにだけ含めています。ワンピクセルの例では、安いプランほど報告が付かず、復旧が別途見積もりになるため、何かあったときの費用まで見込んで比べましょう。
月額料金に含まれない費用
保守の月額料金とは別に、作業ごとに費用がかかる場合があります。ワンピクセルでは、次のような作業を別途見積もりとしています。
- 新規ページの追加
- デザインの作り直し
- サイトの引っ越し（サーバー移転）
- マルウェア感染からの復旧
マルウェアの復旧に実費がかかる例もあります。保守会社のハイファイブクリエイトでは、マルウェア感染時の調査・除去・復旧はサポート費用の範囲内です。
ただし、通常の範囲を超える場合は、外部のサービス（Sucuri）の利用料として2万7,000円程度（2022年時点）の実費がかかるとしています。Uniteaの場合、バージョンアップで起きた不具合への対応と検証環境の構築は別途見積もりです。
月額の安さだけで決めず、別料金になる作業の一覧を契約前に受け取っておきましょう。
WordPress保守の依頼先の選び方
保守を外部に任せるなら、料金だけでなく契約の中身まで比べて選びたいところです。IPAの手引きも、セキュリティについて委託先と約束した事項は文書に残し、相手が担う対策の作業範囲を確認するよう勧めています。
ここでは、契約の前に見ておきたい4つの点を紹介します。
作業範囲を書面で確かめる
保守の契約では、どの作業が月額に含まれ、どの作業が別料金かを書面で確かめましょう。同じ「保守」でも、会社によって含まれる作業は異なります。
PHPの更新を例にとると、WP KEEPERでは都度見積もりのオプションです。Webの相談所では、WordPressの推奨環境が変わった場合などに対応するサーバー保守として、サービス内容に入っています。
押さえておきたい項目は、次のとおりです。
- 更新する対象と頻度
- バックアップの頻度と保管期間
- 不具合が出たときの対応
- 別料金になる作業
口頭の説明で済ませず、見積書や契約書に項目として記載してもらうと、あとの食い違いを防げます。
関連記事：ホームページ制作会社の選び方7基準｜費用相場と契約の注意点も解説
緊急時の対応時間を確かめる
サイトが止まったときにすぐ動いてもらえるかは、契約している会社の対応時間で決まります。ワンピクセルの電話・メールサポートは平日9時〜18時で、時間外・休日の緊急対応は別途見積もりです。
WP KEEPERはサイトの稼働を24時間365日監視していますが、復旧などの人の対応は営業時間内です。ハイファイブクリエイトでは、メールの受付は24時間365日でも、サポート時間は月曜日から金曜日の11時〜17時（祝日・年末年始・夏季休暇を除く）に限られます。Webの相談所は、課題への一次返信を原則2営業日以内としています。
監視や受付が24時間でも、人が動くのは営業時間内という会社があるため、受付と対応の時間を分けて確認しておきましょう。
作業報告の有無を確かめる
作業報告があれば、毎月払っている保守費で何をしてもらったかがわかります。報告の有無や頻度も、会社やプランによって異なります。
ワンピクセルで月次の作業報告が付くのは、上位のプラスプランだけです。WP KEEPERは問題や実施した改善策を定期的に報告するとしており、Webの相談所は課題ごとの報告です。クロジカサーバー管理は、対応内容によって「対応完了した」と報告します。
報告がない契約だと、更新やバックアップが実施されているかを利用者側で確かめにくくなります。報告の頻度と、更新したバージョンやバックアップの日付が載るかを、契約前に尋ねておきましょう。
契約期間と解約条件を確かめる
契約期間と解約の条件も、会社による違いが大きい項目です。ワンピクセルは契約が月単位で最低契約期間を設けておらず、合わないと感じたら翌月末で終了できるとしています。
ハイファイブクリエイトも、いつでも解約できると案内しています。一方、クロジカサーバー管理は最低契約期間が1年間で、解約は解約希望月の前月20日までにメールで連絡する決まりです。
料金が安くても、合わなかったときにすぐやめられるかで負担は変わるため、申し込みの前に最低契約期間と解約の連絡期限を比べておきましょう。最低契約期間の途中でやめた場合の費用も、契約書で確かめておけば、あとで慌てずに済みます。
関連記事：ホームページサブスクと買い切り型の違いとは？費用や選び方を解説
WordPress保守でよくある質問
自動更新やサーバーのバックアップがあれば、保守の手間をどこまで減らせるのかは気になるところです。他社が作ったサイトを引き継げるかも、相談の前に知っておきたい点です。
最後に、WordPressの保守でよく出る3つの疑問にお答えします。
自動更新にすれば保守はいらない？
自動更新を有効にしても、保守がいらなくなるわけではありません。本体の自動更新の初期設定は、5.6より前に作ったサイトではマイナー版と翻訳だけで、メジャー版まで自動になるのは5.6以降に新しく入れたサイトです（バージョン管理の仕組みを検知した場合を除く）。プラグインとテーマは、重大な脆弱性への特別な対応を除き、初期設定では自動更新されません。
自動更新はWordPressの予約実行の仕組み（Cron）に頼るため、サーバーや環境によってはうまく動かない場合があります。2026年7月にIPAが本体の脆弱性について注意を呼びかけた際も、自動更新が効いていない可能性があるとして、管理画面でバージョンを確かめるよう求めていました。
他社が作ったサイトも保守を頼める？
他社が作ったサイトの保守を受ける会社はあります。ただし、中身を把握するところから始まるため、受け付けるプランを限っている会社もあります。
ワンピクセルでは、他社制作のサイトは原則として上位のプラスプランでの受付です。クロジカサーバー管理は、管理者権限を受け取ってから、セキュリティ対策やバージョンが最新かを調べる流れを案内しています。Uniteaも他社が開発したWordPressの保守を受けており、エディトデザインには他社制作のサイト向けのプランがあります。
相談の前に、管理画面のIDとパスワード、契約しているサーバー会社の名前を手元にそろえておくと安心です。
サーバーのバックアップだけで足りる？
サーバー会社のバックアップだけに頼らず、サイト側でもバックアップを取っておくほうが安全です。公式の手引きは、多くのサーバー会社がサーバー全体を保存していても取り寄せに時間がかかるため、利用者自身が保存と復元の方法を身につける必要があるとしています。
エックスサーバーの場合、全プラン標準で1日1回バックアップを取り、Web・メールとデータベースを過去14日分保持しています。一部の古いサーバーはWeb・メールの保持期間が過去7日間で、テーブル数が1,000を超えるデータベースなどはバックアップの対象外です。ただし、同社も確実な保全は保証しておらず、利用者側のバックアップを強く勧める立場です。
サーバーによっては、さくらのレンタルサーバのように利用開始の操作が要る場合もあります。直近3〜5個を別々の場所に置く公式の目安にならい、手元やクラウドにも保存しておきましょう。
WordPressの保守について解説しました
この記事では、WordPressの保守を更新・PHPの管理・バックアップ・監視・不正アクセスへの対策の5つの作業に分けて整理しました。管理画面で済む更新やバックアップの確認は社内で担い、手動の更新や改ざんからの復旧は専門家に任せると、負担を抑えながら安全を保てるでしょう。
まずは管理画面の「サイトヘルス」で、いま使っているWordPressとPHPのバージョンを調べるところから始めましょう。そのうえで、保守会社の料金や対応範囲、契約期間を比べると、自社に合う保守の形を決められます。
社内での更新が難しい場合や、長く放置したサイトをどこから直せばよいか迷う場合は、作り直しも含めて『レノワード企画』へご相談ください。
参考サイト