第599回：次もWordPressでいいのか？中小企業が保守体制と更新内容から考える選び方

Podcastを今すぐここで聞く

ラウンドナップWebコンサルティングの中山陽平です。今回は、中小企業が次のサイト更新でもWordPressを選ぶべきか、その判断材料をお伝えします。いま使っている方にも、これから自分たちで更新できるサイトを作りたい方にも、一度考えていただきたい話です。

WordPressを悪く言いたいわけではありません。私自身、かなり古いバージョンから使っています。あくまで、皆さんが安全に運用し、事故に遭わないためにはどう考えたらいいかという観点です。

「いまWordPressだから、次も」で決めない

昔はMovable Typeが先行していた時期もありました。私の記憶では、途中でライセンスが有料になったこともあって、無料で使えるWordPressへ移る流れがありました。プラグインもどんどん充実して、いまでは自分たちでインストールするCMS（Content Management System、コンテンツ管理システム）として、事実上WordPressがまず候補になる状況だと感じています。

WordPressは、Web制作の仕事を本当に変えたツールです。手作業でページやプログラムを作っていたところから、オンラインの管理画面で更新し、プラグインで機能を増やせるようになりました。自社でWebサイトを運用する敷居を、ものすごく下げてくれた。これからも素晴らしいツールであり続けると思います。

ただ、すでにWordPressで作っていると、リニューアルでも「次もWordPressでやりましょう」となりがちです。データを移しやすいですし、制作会社にとっても基本的な作り方になっています。そこで一度、うちの管理体制で、これからも使い続けて大丈夫なのかと立ち止まってほしいんですね。

システムの管理をサービス側へ任せるSaaS（Software as a Service）型もあります。WordPressにもそうしたサービスがありますし、WixやStudioなども候補です。私たちも最近は、保守を外部へ任せる費用や社内の体制を考えると、サービス側がメンテナンスするものをベースにした方がいいのではと提案するケースが増えています。

参照：WordPress.com：WordPress.comとWordPress.orgの違い、AWS：SaaSとは

便利さと引き換えに、何を管理しているか確認する

2026年8月6日にWordPress 7.0.3、6日後の8月12日に7.0.4が公開されました。どちらもセキュリティ修正を含む更新です。こうした短い間隔での更新を見ると、作った後も管理を続ける必要があると、改めて感じます。

参照：WordPress.org：7.0.3リリース、WordPress.org：7.0.4リリース

編集注：7.0.4で修正されたのは、ImagickとGhostscriptを使用するサイトで、認証済みの投稿者以上の権限から悪意あるファイルをアップロードすると、遠隔でコードを実行され得る脆弱性です。「権限があまりないところでも」という説明には、この条件が付きます。また、公式発表では自動バックグラウンド更新に対応したサイトが順次更新されると案内されており、すべてのサイトへの強制更新を意味しません。

参照：WordPress.org：7.0.4の修正内容と自動更新の案内

WordPressはPHP（PHP: Hypertext Preprocessor）を使って作られていて、きちんと更新しないと危険だという話は昔からあります。そこへAI（Artificial Intelligence、人工知能）を使う攻撃が加わり、攻撃の準備や実行を進めやすくなっています。従来の管理負担と同じつもりでいていいのかというのが、今回考えていただきたいところです。

参照：Google Threat Intelligence Group：AIを利用した脆弱性攻撃などの調査

これまでは、WordPressのメリットが大きいので、管理が必要だというデメリットをきちんとカバーできればおすすめですよ、と私たちもお伝えしてきました。ところが私は、そのデメリットの部分が、かなり大きくなってきていると感じています。WordPress側も修正や更新の案内をしています。それでも私は、対応が現実的に追いついていないと感じています。

問い合わせ情報がサイト内に残っていないか

管理体制と合わせて見てほしいのが、サイトの中にある個人情報です。問い合わせフォームは、メールで通知するだけのものもあれば、問い合わせ内容をデータベースへ保存するものもあります。Contact Form 7と組み合わせて使うFlamingoなどが、その例です。

参照：Contact Form 7：Flamingoによる送信メッセージの保存

会員など、一般の利用者がログインして使うサービスがあれば、ユーザー情報自体も個人情報になります。表に見えるページだけではないんです。WordPressは、放っておくと本当に危険の塊になってしまうという意識は持っていただきたいと思います。

私も去年だけで、うちのお客様以外を含めると、3、4件ぐらい緊急の復旧相談を受けました。悪意あるものを仕込まれてしまったケースなどです。もっと多くのサイトを制作している会社なら、さらに相談を受けているのではないでしょうか。これは本当に身近な危険なんです。

本体が安全でも、プラグインは別に見なければならない

プラグインの充実は、WordPressを使う大きな理由です。以前なら開発を頼む必要があった機能を、ほぼ無料で分かりやすく追加できる。管理画面に広告が出ることはあっても、低い費用でいろいろな機能を実装できるのは、大きな魅力です。

ただ、メンテナンスが止まっていたり、脆弱性を十分に確認していなかったりするものもあります。管理画面で検索して見つけた海外のプラグインが、実はもうあまり更新されていなかった、ということもある。本体だけでなく、入れたプラグインも管理しなければなりません。

参照：WordPress.org：セキュリティと継続的な更新

自動更新はしてくれますが、更新によって表示や機能が崩れるケースもあります。中小企業で専任担当者を置くのは、なかなか現実的ではありませんよね。すぐ対応してくれる保守会社が付いているならいいのですが、その体制には費用がかかります。

保守する側も責任を負います。私の感覚では、きちんとやるなら安くても月3万円ぐらい。うちでも、コンサルティングに加えて保守までとなると、最低限で月3万〜5万円ぐらいはかかります。安く引き受ければ済む作業ではないんです。

お知らせの更新だけなら、WordPress以外も考える

その費用と手間に対して、自社ではWordPressの機能をどれぐらい使っているでしょうか。お知らせを更新するためだけで、重要な固定ページは結局、外部の制作会社と一緒に直している。そういう場合は、それならWordPressでなくてもいいですよねという話になります。

年に数回のお知らせやキャンペーン情報、件数、人数、残り枠など、一部だけを変えたいのであれば、必要な箇所だけ更新できるように作る方法もあります。更新したい箇所に合ったものを作った方が、管理しやすく、使いやすくなる場合もあります。WordPress以外という選択肢も考えていいと思います。

編集注：ここで比べているのは、自社が継続して保守する範囲と、その負担です。別のツールへ移れば危険がなくなる、という意味ではありません。WordPressの公式セキュリティ案内も、どのシステムでも安全の維持には継続的な作業が必要だと説明しています。

参照：WordPress.org：システムの安全を維持するための考え方

拡張性が必要で保守できるなら、WordPressが向いている

WordPressのよさは、外部との連携や独自機能を組み込みやすいところです。SaaS型には「ここまでしかできません」という限界がありますが、WordPressはやろうと思えば本当にいろいろできます。うちでもかなりカスタマイズして納品しています。自由度が必要なら、WordPressはやはり有力です。

大量のデータを入れたい、データベースのように使いたい、自分たちで機能を追加していきたい。そういう用途では、SaaS型だと難しい場合があります。ただし、重要なプラグインは、できれば有料版を含めて、きちんとメンテナンスされるものを選んだ方がいいと思います。素性や保守状況の分からないものを安易に入れないことです。

データを外部のSaaSへ預けるのが、自社の規約上難しい場合もあります。その場合は、国内のサーバーでWordPressを動かす形が選択肢になります。必要な拡張性があり、社内の担当者や制作会社が継続して保守できるなら、これからもWordPressをベースに考えるのがいいと思います。

編集注：国内サーバーなら自動的に規約上問題がなくなる、ということではありません。実際に自社の規約や契約に合うかどうかは、個別に確認する必要があります。ここでは、データの置き場所を自分たちで選ぶという選択肢を示しています。

更新がシンプルで担当者がいないなら、SaaS型を候補にする

更新するのはニュースやお知らせぐらいで、固定ページも頻繁には変えない。社内に担当者がおらず、外部へ保守を依頼する費用もいまは難しい。しばらく放置する期間もある。こういう会社には、サービス側が管理するSaaS型が向いているのではないかと思います。

私がいま候補に挙げるなら、Wixかなという気はしています。サポートがあり、機能も多く、管理画面には少し癖がありますが、費用も抑えやすい。多くの中小企業は、実はこちらに当てはまるのではないでしょうか。リニューアルの相談で、うちから候補に出すこともあります。

これは広告でも、特定の会社との提携を理由にした紹介でもありません。そのときにいいものがあれば、別のサービスをご紹介すると思います。WordPressの保守費用と、サービスへ月額を払う方法を比べて、後者の方がいいじゃないかとなるケースがある、ということです。

AstroやEmDashは、開発が分かる会社が小さく試す

ネットでは、AstroやCloudflareのEmDashについて、「すごくいい」「WordPressからあっという間に乗り換えた」という話を見かけます。でも、エクスポートしてインポートすれば終わり、というほど簡単ではありません。仕組みにも癖があります。

これは私の見方ですが、発信する側が開発会社だったり、仕事上その技術を勧める立場だったりすることもあります。また、サイトからの売上を厳しく見ているわけではない人の感想もあると思います。自社と同じ条件で使った話なのかは、分けて受け取った方がいいです。

開発をある程度理解していて、新しいものを使いたい会社なら選択肢になります。私もCloudflareのサービスはたくさん使っていますし、優れていると思います。ただ、一般の中小企業が次の主力サイトに選ぶには、まだ早いと私は考えています。少なくとも、もう少し分かりやすくならないと難しいです。

表示はとても速いですし、情報の構成をプログラムで作れる。AIとの