WordPressの保守管理とは？作業内容・費用相場・依頼先の選び方

WordPressの保守管理とは、公開後のWordPressサイトを安全に、正常に動かし続けるための継続的な作業です。中心になるのは、①本体・テーマ・プラグインの更新と動作確認 ②バックアップ ③監視 ④ログインとアカウントの管理 ⑤PHP・サーバー環境の管理 ⑥障害・改ざん時の対応の6つです。

費用は「どこまでの作業を含むか」で大きく変わります。そのため保守会社を比べるときは、月額の安さよりも先に作業範囲・対応のレベル・緊急時の扱いが契約書に書かれているかを確認してください。当社が保守しているサイトでも、更新作業が契約範囲に入っていなかったサイトでは、本体やプラグインが最新でない状態がありました。

この記事では、保守管理の作業内容、費用が変わるポイント、依頼先の選び方を順に解説します。WordPressのセキュリティ対策の全体像は、WordPressのセキュリティ対策ガイドにまとめています。

WordPressの保守管理とは？「運用」との違い

WordPressの保守管理は、サイトの土台（ソフトウェア・サーバー・アカウント）を守る作業です。お知らせの更新や記事の追加など「中身」を扱う運用（更新代行）とは目的が異なります。両方をまとめて「保守」と呼ぶ会社もあるため、言葉ではなく作業の中身で確認することが大切です。

見落とされやすいのが、レンタルサーバーとの役割の境目です。WordPress.orgの公式ドキュメント「Hardening WordPress」は、ホスティング会社はサーバーのインフラを管理する一方で、利用者がインストールしたアプリケーションには責任を負わないと説明しています。つまり、サーバー代を払っていても、WordPress本体やプラグインの管理は利用者側の仕事として残ります。

IPA（情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」でも、サービス事業者の作業範囲とセキュリティ対策を把握したうえで、不足する対策は自組織で対応することを検討するよう求めています。この「不足する部分」を引き受けるのが、WordPressの保守管理です。

なぜWordPressに保守管理が必要なのか

WordPressに継続的な保守が欠かせないのは、修正版の公開ペースが速く、公式に保守されるのが最新版だけだからです。

• セキュリティ修正を含むリリースが頻繁に出る：WordPress.orgのリリース情報を見ると、2026年8月6日の7.0.3から10月6日の7.1.3までの約2か月で、セキュリティ修正を含むリリースが5回公開されています。9月22日の7.1.2は、条件によってはリモートでコードを実行される「重大（critical）」な脆弱性の修正でした。
• 公式に保守されるのは最新版のみ：7.1.3のリリース告知は「最新版のWordPressだけが積極的にサポートされる」と明記しています。古い系列への修正提供はあくまで任意の対応です。
• プラグインとテーマは標準では自動更新されない：WordPress.orgのドキュメントによると、標準で自動更新されるのは本体のマイナーリリースと翻訳ファイルで、プラグインとテーマは特別な場合を除き自動では更新されません。

さらにセキュリティ企業Patchstackの年次レポートでは、大規模に悪用された脆弱性の最初の悪用までの時間（加重中央値）が5時間とされています。誰かが定期的に確認し、更新し、異常に気づける体制がなければ、こうしたスピードには対応できません。

更新を止めた場合に具体的に何が起きるかは、更新が止まったWordPressサイトのリスクで詳しく解説しています。

WordPress保守管理の主な作業内容

保守管理で行う作業は、次の6つに整理できます。保守会社によって含まれる作業が異なるため、見積もりや契約書と照らし合わせる際のチェック表としても使ってください。

① 本体・テーマ・プラグインの更新と動作確認

保守管理の中心となる作業です。更新そのものより大切なのが、更新の前にバックアップを取り、更新の後に主要ページやお問い合わせフォームが動くかを確かめることです。プラグイン同士の相性や古いテーマとの組み合わせで、更新後に表示が崩れることがあるためです。

確認したいのは「本体だけ」なのか「プラグイン・テーマまで」なのかという範囲です。脆弱性の多くはプラグイン側で見つかっているため、本体だけの更新では十分とはいえません。具体的な更新の進め方はWordPressのアップデート管理で解説しています。

② バックアップと復元

WordPress.orgは、データベースを含むデータを定期的にバックアップするよう勧めています。WordPressではファイル（テーマ・プラグイン・画像）とデータベース（記事・設定）の両方が必要です。

保守契約で見落としやすいのは「復元」です。バックアップを取っていても、いざというときに誰が・どこまで戻すのかが決まっていなければ役に立ちません。取得の頻度・保管先・保管期間とあわせて、復元作業が契約に含まれているかを確認しましょう。設定方法はWordPressのバックアップと復元方法を参考にしてください。

③ 監視（死活監視・改ざんチェック・目視巡回）

改ざんは、管理者が普段どおりサイトを見ていても気づけないことがあります。保守管理では、サイトが表示されているかの死活監視、ファイルの変更検知、Google Search Consoleの「セキュリティの問題」レポートの確認などを組み合わせます。

ツールによる自動監視だけでなく、人が実際にサイトを見て回る目視の巡回も有効です。後述する当社の事例も、定期巡回で改ざんを見つけたケースでした。

④ ログインとアカウントの管理

管理画面に入られると、サイトは自由に書き換えられてしまいます。保守管理では、管理者アカウントの数と持ち主を把握し、退職者や以前の委託先のアカウントを削除し、権限を必要最小限に絞り、二段階認証を設定します。

アカウントの発行・削除は、社員の入退社と連動するため自社と保守会社の連携が必要な作業です。「退職したら保守会社に連絡する」といったルールまで決めておきましょう。

⑤ PHP・サーバー環境の管理

WordPressを動かすプログラム言語PHPにも、サポート期限があります。WordPress.orgはPHP 8.3以上を推奨しており、PHP公式サイトによるとPHP 8.2のセキュリティサポートは2026年12月31日で終了します（2026年10月時点）。

PHPの切り替えは、古いテーマやプラグインが新しいPHPに対応していないと表示エラーの原因になります。そのため、事前の動作確認を含めて保守会社に任せられるかどうかが、費用にも関わるポイントになります。

⑥ 障害・改ざん時の対応

どれだけ対策しても、被害を完全には防げません。WordPress.orgのドキュメントも「予防だけでは不十分で、ハッキングされることもある」としています。改ざんやマルウェア感染が起きたときに、原因調査・復旧・再発防止までを保守の範囲で対応するのか、別料金なのかは、契約時に必ず確認しておきたい項目です。感染したときの具体的な手順はWordPressのマルウェア感染・改ざんからの復旧手順で解説しています。

WordPress保守管理の費用相場と、金額が変わるポイント

WordPressの保守費用は、作業範囲・対応スピード・サイトの規模で大きく変わります。執筆時点（2026年10月）で、公的機関や業界団体による「WordPress保守費用の相場」の調査は確認できませんでした。各社のプランは含まれる作業がそろっていないため、月額の数字だけを並べて比べても、安いのか高いのかは判断できません。

金額を比べる前に、次の項目で見積もりの中身をそろえてください。

逆にいえば、月額が安いプランには、これらの作業が含まれていない可能性があります。「保守」という名前でも、実際にはサーバー契約の管理だけというケースもあるため、含まれない作業の一覧も出してもらうと比較しやすくなります。

参考：アイエムワークスの保守プラン

比較の目安として、当社のWeb保守サービスのプランを紹介します（2026年10月時点、Web保守サービスの掲載内容）。

新規ページの作成や大規模な改修、機能追加は別途お見積もりです。休業日（土日祝日・年末年始など）は原則対応しておらず、営業時間外の緊急対応は事前のご相談が必要です。また、セキュリティ対策は被害を完全に防ぐことを保証するものではなく、リスクを下げるための施策です。

この表のように、同じ「保守」でも、プランによってセキュリティ強化や定期巡回が含まれるかどうかが変わります。他社と比べるときも、月額だけでなく、こうした項目の有無をそろえて見てください。

保守管理は自社でできる？依頼したほうがよいケース

社内にWordPressに詳しい担当者がいて、更新後の不具合にも対応できるなら、自社で保守することもできます。ただし保守は「一度やれば終わり」ではなく、担当者の異動や退職で止まりやすい作業です。次の表で、自社の状況に近いほうを確認してください。

自社で対応する場合でも、改ざん時の調査・復旧だけはスポットで頼める先を決めておくと安心です。

WordPress保守管理の依頼先の選び方｜契約前に確認したい8つのポイント

依頼先を選ぶときに最も大切なのは、作業範囲とセキュリティ対策のレベルが書面で明確になっているかです。担当者の印象や月額だけで決めず、次の8点を確認しましょう。

1. 作業範囲が書面で明確か：更新の対象（本体・テーマ・プラグイン）と、含まれない作業が書かれているか
2. 更新の頻度と、更新後の動作確認があるか：緊急のセキュリティ修正が出たときに、定期作業を待たずに対応するか
3. バックアップの頻度・保管先・保管期間と、復元作業の扱い
4. 監視の方法と頻度：自動監視だけか、目視の巡回もあるか
5. 改ざん・障害時の対応範囲と費用：定額に含まれるのか、別料金ならいくらか
6. アカウント管理のルール：管理者アカウントを誰が発行・削除するか、ID共有をしないか
7. 報告の形式：何をした・何が見つかったという報告を定期的に受けられるか
8. 解約・乗り換え時の引き継ぎ：ログイン情報、サーバー・ドメインの契約名義、バックアップデータを返してもらえるか

依頼先の種類ごとの特徴は、次のとおりです。どれが優れているというより、自社のサイトと体制に合うかで選びます。

アイエムワークスが保守・引き継ぎの現場で見てきたこと

ここでは、当社がWordPressサイトの保守や、他社からの引き継ぎを担当するなかで実際に見てきた状況を紹介します。数値は担当者への聞き取りにもとづく概数です（2026年10月時点）。

保守契約があっても、約3割は更新が止まっていた

当社が保守しているサイトのうち、CMS本体やプラグインが最新でなかったサイトが約3割ありました。いずれも、更新作業が保守契約の範囲に含まれていなかったサイトです。

保守契約を結んでいると「更新もしてもらえている」と考えがちですが、契約の範囲が更新作業を含まなければ、更新は誰の仕事にもなりません。契約書の作業範囲を一度確認し、更新が含まれていなければ、自社で行うのか、範囲を広げるのかを決めておく必要があります。

保守会社を切り替えるときに見つかるアカウントの問題

他社からWordPressサイトの保守を引き継ぐと、次のようなアカウントが見つかることがあります。

• 退職したスタッフや、以前の制作会社・保守会社のアカウントが残っている
• 1つのIDを複数人で共有している
• 管理者権限を持つアカウントが必要以上に多い
• 誰のものかわからないアカウントがある

当社では引き継ぎの際、不要なアカウントをお客様に確認したうえで削除し、IDの共有をやめ、管理者権限を絞り、パスワードの変更と二段階認証の設定を行います。最後に「誰が・どの権限で使うか」をまとめたアカウント台帳を作り、お客様と共有しています。

保守会社を乗り換えるときは、前の会社のアカウントを削除するところまでが引き継ぎです。ログイン画面の守り方はWordPressのログイン画面を守る方法で解説しています。

定期巡回で見つかった改ざん事例

当社が復旧を担当した改ざん事例です。お客様の特定を避けるため、業種は伏せています。

この事例では、保守の一環として行っていた目視の巡回が発見のきっかけになりました。一方で、復旧には約2週間かかっています。監視で早く気づくことと、アカウント管理で入口を塞ぐことは、どちらも保守管理の大切な役割です。

当社の定期巡回で確認していること

この事例を見つけた定期巡回では、次のような点を確認しています。頻度や項目はサイトによって異なりますが、基本は月1回です。

• サイトを目視で確認し、表示崩れや改ざんがないかを見る
• お問い合わせフォームからテスト送信する
• Search Consoleで、警告やセキュリティの問題が出ていないかを確認する
• 監視ツールの通知（サイトの停止や改ざんの検知など）を確認する

自動の監視ツールだけでは、見た目の小さな書き換えやフォームの不具合に気づけないことがあります。保守会社を比べるときは、「監視ツールを入れている」だけでなく、人の目で確認する巡回があるかどうかも聞いてみてください。

担当者のコメント

断言はできませんが、サイトが改ざんされる例として多いのは、パスワードの使い回しと、古いバージョンのまま放置されたサイトです。保守契約を結んでいる場合は、セキュリティ対策がどのレベルまで含まれているかを確認してみてください。

まとめ｜WordPressの保守管理は「作業範囲」で選ぶ

• WordPressの保守管理は、更新と動作確認・バックアップ・監視・アカウント管理・PHP/サーバー環境・障害対応の6つで構成される、サイトの土台を守る継続作業です。
• レンタルサーバーを使っていても、WordPress本体やプラグインの管理は利用者側の責任として残ります（WordPress.org）。
• 費用は作業範囲・対応スピード・サイト規模で変わります。月額だけで比べず、含まれる作業と含まれない作業をそろえて比較しましょう。
• 依頼先を選ぶときは、作業範囲、更新後の動作確認、バックアップと復元、改ざん時の対応と費用、アカウント管理、解約時の引き継ぎを書面で確認します。
• 当社の保守先でも、更新が契約範囲外のサイトの約3割で本体やプラグインが最新ではありませんでした。今の契約に何が含まれているかを確かめることから始めてください。

参考資料・出典

• WordPress.org「Hardening WordPress」（Advanced Administration Handbook） https://developer.wordpress.org/advanced-administration/security/hardening/
• WordPress.org「Upgrading WordPress」（Advanced Administration Handbook） https://developer.wordpress.org/advanced-administration/upgrade/upgrading/
• WordPress.org「Releases」（リリース情報一覧） https://wordpress.org/news/category/releases/
• WordPress.org「WordPress 7.1.3 Maintenance and Security Release」2026年10月6日 https://wordpress.org/news/2026/10/wordpress-7-1-3-maintenance-and-security-release/
• WordPress.org「WordPress 7.1.2 Release」2026年9月22日 https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
• WordPress.org「Requirements」 https://wordpress.org/about/requirements/
• PHP「Supported Versions」（2026年10月9日確認） https://www.php.net/supported-versions.php
• Patchstack「State of WordPress Security in 2026」（ページ表記の更新日：2026年2月25日） https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
• IPA（情報処理推進機構）「安全なウェブサイトの運用管理に向けての20ヶ条 〜セキュリティ対策のチェックポイント〜」（最終更新日：2019年3月6日） https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

【免責】本記事は一般的な情報提供を目的としており、個別のサイト環境や契約に対する技術的・法的助言ではありません。保守契約の内容は各社の契約書で確認してください。掲載している数値・バージョン情報は【確認日：2026年10月9日】時点のものです。