WordPressの保守を、社内の誰かが「ついでに」見ている。そんな状態のまま、何年も運用しているサイトは少なくありません。
「前任者が辞めてから、サーバーのログイン情報がどこにあるかわからない」
「クライアントから保守も頼まれたが、正直、社内で抱えきれない」
この記事では、WordPress保守を自社で回すか、外注するかの判断基準を整理します。
先に結論をお伝えすると、境界線は「作業の量」では決まりません。判断の軸は次の2つです。
- そのサイトが止まったり改ざんされたりしたとき、どれだけ困るか
- トラブルが起きたとき、社内で元の状態に戻せる体制があるか
影響が小さいサイトなら、自動更新・バックアップ・監視を組み合わせた自社運用で十分なこともあります。逆に、問い合わせや売上に直結するサイトほど、外部の専門家の手を借りる価値が大きくなります。
この記事でわかること：
- WordPress保守で実際に発生する作業と、自社対応が難しくなるポイント
- 自社対応・部分外注・包括外注の比較（外注のデメリットも含めて）
- サイトの重要度別に見た、自社で回せる条件と外注を検討すべきサイン
- 制作会社・代理店がクライアントの保守を外注するときの注意点
- 契約前に確認したい項目
1. WordPress保守の中身と、後回しにしたときのリスク
保守で発生する作業の全体像
「保守」とひとことで言っても、中身はいくつかの作業に分かれます。作業ごとに難易度が大きく違うため、まずは分解して考えるのが近道です。
| 作業 | 目安の頻度 | 必要なスキル | 自社対応の難易度 |
|---|---|---|---|
| 記事・画像などのコンテンツ更新 | 随時 | 管理画面の操作 | 低 |
| バックアップの取得・保管 | 日次〜週次 | プラグイン・サーバー設定 | 低〜中 |
| WordPress本体・プラグインの更新 | 随時 | 更新前の確認・切り戻し | 中 |
| PHP・データベースのバージョン対応 | 期限の確認は年1回以上、移行は数年ごと | サーバー設定・互換性の確認 | 中〜高 |
| 不具合・表示崩れの原因調査と修正 | 突発 | PHP・JavaScript・CSS | 高 |
| 改ざん・マルウェア感染時の対応 | 突発 | サーバー・セキュリティ | 高 |
※頻度・難易度は一般的な目安です。サイトの構成や使用プラグインによって変わります。
表の上半分は、手順を決めておけば社内でも回しやすい作業です。つまずきやすいのは下半分。頻度は低いのに、起きたときは急を要し、専門知識がないと原因にたどり着けない領域です。
脆弱性の数字をどう読むか
WordPressは、W3Techsの調査において全Webサイトの約4割（2026年9月時点で40.2%）で使われていると推計されています。利用者が多い分、攻撃者にとっても狙う価値のある対象です。
WordPressのセキュリティ企業Patchstackの「State of WordPress Security in 2026」によると、2025年にWordPress関連で新たに報告された脆弱性は11,334件で、前年から42%増えました。報告件数のうち91%がプラグイン、9%がテーマで、WordPress本体（コア）はごくわずかです。
ただし、これは「見つかった件数」の内訳です。11,334件すべてが同じ危険度ではなく、同レポートで高リスクとされたのは約17%でした。自社サイトで使っているプラグインに、危険度の高い脆弱性があるかどうかが大切です。
一方で、見逃せない数字もあります。同レポートでは、脆弱性の46%は、公開された時点で開発者の修正版が出ていなかったとされています。つまり「更新ボタンを押す」だけでは守れない場面があり、そのプラグインを一時停止する、代わりのプラグインに入れ替えるといった判断が必要になることもあります。
また、特に悪用が集中した脆弱性については、情報公開（防御ルールの配信）から最初の攻撃が観測されるまでの時間が、攻撃量で重み付けした中央値で約5時間だったと報告されています。すべての脆弱性に当てはまる数字ではありませんが、深刻な脆弱性は「月に1回まとめて更新」では間に合わない場合がある、という目安にはなります。
自動更新でカバーできる範囲
WordPressには自動更新の仕組みがあります。公式ドキュメントによると、本体のマイナー（セキュリティ）リリースは初期設定で自動更新され、WordPress 5.6以降の新規インストールではメジャーリリースも自動更新が標準です（それ以前から使っているサイトは設定次第）。プラグインとテーマは、WordPress 5.5以降で個別に自動更新を有効化できます。
影響の小さいサイトなら、「自動更新＋別の場所に保管したバックアップ」は現実的な基本対策です。ただし、自動更新にも限界があります。
- 更新でプラグイン同士の相性問題が起き、表示や機能が止まることがある
- 修正版が出ていない脆弱性には効かない
- 更新が失敗していても、誰かが確認しないと気づけない
自動更新は「作業を減らす仕組み」であって、「確認しなくてよい仕組み」ではない、と考えておくのが安全です。
PHPのサポート期限と、更新以外のセキュリティ
自社保守で抜けやすいのが、サーバー側のPHPバージョンです。PHP公式のサポート表では、PHP 8.2のセキュリティサポートは2026年12月31日で終了します。WordPress公式は推奨環境としてPHP 8.3以上を挙げています。
PHPを上げると、古いテーマや開発が止まったプラグインが動かなくなることがあります。PHPの更新は、サーバーの管理画面で設定を切り替えるだけで済む作業と、テーマやプラグインのコードの書き換えが必要な作業に分かれます。どちらになるかは事前に影響を調べてみないとわからず、後者は工数が大きく膨らむこともあります。
また、セキュリティは更新だけで完結しません。WordPress公式のハードニング資料でも、多層的な対策が挙げられています。最低限、次の点は保守の範囲として意識しておきましょう。
- 管理者アカウントの多要素認証（MFA）
- 担当者ごとの個別アカウント（IDの使い回しをしない）と、退職者アカウントの削除
- 使っていないプラグインの削除、使用中テーマと予備のテーマ（障害の切り分け用の標準テーマなど）以外の削除
2. 【比較表】自社対応・部分外注・包括外注の違い
保守の選択肢は「全部自社」か「全部外注」の二択ではありません。定型作業は自社、専門作業は外注という「部分外注」も選択肢の一つです。
| 比較項目 | 自社対応 | 部分外注（ハイブリッド） | 包括外注 |
|---|---|---|---|
| 外注費 | 原則なし | 低〜中 | 中〜高 |
| その他の費用 | 担当者の工数、監視ツール、バックアップ、検証環境、教育 | 社内担当の工数と一部ツール | 社内の窓口・確認の工数 |
| 社内の工数 | 大きい | 中程度 | 小さい（窓口・確認・承認は残る） |
| 不具合時の対応 | 担当者のスキル次第 | 範囲内の作業は外注先、範囲外は要相談 | 契約範囲内は外注先。範囲外は別見積もりのことも |
| ノウハウの社内蓄積 | 貯まる | 一部貯まる | 貯まりにくい |
| 属人化のリスク | 社内担当者に集中 | 分散する | 外注先への依存が生まれる |
| 小さな修正の即応性 | 高い | 作業内容による | 依頼・確認の手間がかかる |
| 主なデメリット | 対応漏れ・担当者の負担 | 責任の境界があいまいになりやすい | 費用の継続発生・値上げや担当変更の影響 |
| 向いている企業 | 社内に技術者がいる／止まっても影響が小さい | Web担当者はいるが開発者はいない | Web専任者がいない／止まると影響が大きい |
料金は、低価格帯の更新代行サービスから月額数万円のプランまで幅があります。これは業界で統一された相場ではなく、サイトの構成や対応範囲によって大きく変わります。各社の公開料金を見ると、次のような例があります。
- 初期調査費を別途設定している（公開料金の一例では2万円〜20万円、月額は1万円〜8万円とする事業者もある）
- 障害発生時のデータ復元やマルウェア駆除は、調査後に別見積もり
- PHP更新やカスタマイズは都度見積もり
- 作業・サポートの対応時間は平日日中のみ
安いプランは「定期更新とバックアップ」まで、不具合の原因調査や修正は別料金という構成が珍しくありません。比較するときは月額だけでなく、「何が含まれ、何が別料金か」「トラブル時にいくらかかりうるか」まで並べて検討しましょう。
WordPressの保守について、自社で回すか外注するか迷っている段階でもご相談いただけます。
3. 境界線はここ：サイトの重要度と社内体制で判断する
まず「止まったら・改ざんされたら何が起きるか」を書き出す
最初に確認したいのは、社内のスキルよりもサイトの重要度です。重要度は「止まったときの影響」だけでなく、「改ざんされたときの影響」「個人情報などを持っているか」も含めて考えます。
会社案内サイトでも、改ざんされて不正なページや転送を仕込まれれば、閲覧者や取引先に被害が及び、会社の信用も傷つきます。そのうえで、次の3点を書き出してみてください。
- 何時間まで止まっていても許容できるか： 会社案内サイトなら翌営業日でも困らないが、ECや予約サイトは数時間でも損失が出る
- どこまでのデータを失ってもよいか： 前日のバックアップに戻して問題ないか。注文・会員・問い合わせデータは失えないか
- 夜間・休日も動いている必要があるか： 平日日中だけの対応で足りるか
| サイトの重要度 | 例 | 現実的な選択肢 |
|---|---|---|
| 低 | 停止時の影響が小さく、個人情報や取引データを持たない会社案内サイト | 自動更新＋外部バックアップ＋死活・改ざん監視＋異常時の依頼先の確保 |
| 中 | 問い合わせフォームのあるコーポレートサイト、オウンドメディア | 部分外注、または体制の整った自社対応 |
| 高 | EC、予約、会員サイト | 外注でも社内に責任者を置き、対応時間や復旧目標を契約で決める |
※あくまで目安です。同じ種類のサイトでも、事業への影響度によって変わります。
大切なのは、外注しても「必ず当日中に直る」わけではないことです。原因が複雑な不具合や感染被害は、専門家でも調査に日数がかかることがあります。だからこそ、どのサイトにも「目標の時間内に戻せることを確認したバックアップ」が欠かせません。
自社で回すための条件
重要度が低〜中のサイトであれば、次の3つが揃っていれば自社対応は十分に現実的です。
- 復元を試したことのあるバックアップ： 取得だけでなく、実際に戻せることを確認している。WordPress公式も、複数の世代を別々の場所に保管することを勧めています
- 更新前の手順と切り戻し手順が書面になっている： 担当者が不在でも、手順書を見れば別の人が対応できる
- 保守の時間が業務として確保されている： 「手が空いたらやる」ではなく、担当業務として割り当てられている
重要度が高いサイトの場合は、さらに次の2点が加わります。
- 検証環境で更新を試してから反映できる： ただし本番データをコピーする場合は、アクセス制限やメール送信の停止など、検証環境自体の管理も必要
- 原因を切り分けられる技術者が社内にいる、または緊急時にすぐ頼める依頼先がある
外注を検討したいサイン
次の項目に当てはまる数が多く、かつサイトの重要度が高いほど、外注を検討する価値があります。
- 管理画面の「更新があります」の通知を、怖くて溜めたままにしている
- 過去に更新で表示が崩れ、元に戻すのに苦労した
- バックアップはあるが、復元方法を誰も知らない
- サーバーやドメインのログイン情報の所在があいまい
- 使っているPHPのバージョンをすぐに答えられない
- Web担当者が本業と兼務で、保守の時間を確保できていない
- 制作した会社と連絡が取れない、または保守を断られた
コストは「年間の総額」で比べる
自社対応は外部コストが0円に見えますが、社内の人件費がかかっています。比較するときは、年間の総額で並べるのがおすすめです。
自社対応の年間コスト ＝ 作業時間の人件費 ＋ 学習・ツール・検証環境の費用 ＋（障害の発生確率 × 発生時の損失）外注の年間コスト ＝ 月額費用 ＋ 初期調査費 ＋ 範囲外の追加作業 ＋ 社内の窓口工数 ＋（障害の発生確率 × 発生時の損失）
たとえば、人件費ベースで時間あたり3,000円の担当者が月4時間を保守に使うと、定常作業だけで年間約14万円相当です（あくまで試算例）。障害の損失は、最大の被害額をそのまま足すのではなく、起きる可能性を掛けて見積もるのがポイントです。
外注しても障害の可能性はゼロにはなりません。止まったときの損失が大きいサイトほど、監視体制・初動の時間・復旧の目標が契約に明記された外部サービスを利用する価値は大きくなります。ただし、外注しただけで発見や復旧が早くなるとは限りません。月1回の点検のみ、平日日中のみ、復旧は別見積もりという契約なら、社内で対応するより遅くなることもあります。反対に、損失が小さいサイトなら、自社対応のほうが合理的なこともあります。
部分外注は「責任の境界」を先に決める
多くの企業は、自社対応と外注の中間にいるはずです。その場合、難易度の高い作業から外に出す部分外注が現実的です。
| 作業 | 自社で担当 | 外注先で担当 |
|---|---|---|
| 記事・お知らせの更新 | ○ | − |
| バックアップ | 取得状況の確認 | 取得・保管・復元 |
| 本体・プラグインの更新 | − | ○ |
| PHPのバージョンアップ | − | ○（事前調査を含む） |
| 表示崩れ・エラーの調査と修正 | 発見時の連絡 | ○ |
※分担は一例です。
ただし部分外注には、不具合の原因が自社の操作なのか、外注先の作業なのか切り分けにくいという落とし穴があります。「原因が契約範囲外と判断されて、調査費が追加でかかった」とならないよう、次の点を事前に決めておきましょう。
- 自社がプラグインを追加・変更するときは、事前に外注先へ共有する
- 双方の作業日時と内容を記録に残す
- 不具合の原因が自社側か外注先側かを切り分ける一次調査が月額に含まれるのか、調査の段階から有償になるのかを契約で確認する
4. 制作会社・代理店の場合：クライアントの保守をどう抱えるか
ここからは、Web制作会社・代理店の方に向けた内容です。
保守を「ついで」で引き受けると起きること
サイトを納品したあと、クライアントから保守を頼まれるのはよくある流れです。継続収益になる一方で、対象サイトが増えるほど、更新作業や突発対応が新規案件の制作スケジュールを圧迫します。他社が制作したサイトを引き継ぐ場合は、構成の把握だけでも時間がかかります。
ホワイトラベル（自社名義）で外注するという選択
選択肢の一つが、クライアント対応は自社で行い、技術作業だけを外注するホワイトラベル型の外注です。窓口と関係性は自社で持ったまま、更新や修正の工数を社外に切り出せます。
一般的な流れは、クライアント → 貴社 → 外注先 → 貴社 → クライアントです。
ただし、注意点もはっきりあります。
- 再委託の可否を確認する： クライアントとの契約に、再委託の禁止や事前承諾の条件がないか確認します。保守契約が準委任にあたる場合は、契約内容に加えて民法の復委任に関する規定（644条の2・656条）も問題になることがあります。契約の種類や条項によって結論が異なるため、重要な案件では専門家に確認しましょう
- 秘密保持と個人情報の取り扱いを揃える： 外注先が本番データに触れる場合、クライアントとの約束と同じ水準の取り決めが必要です。個人データの取り扱いを再委託する場合、個人情報保護委員会のQ&Aでは、委託先は最初の委託者の許諾を得たうえで再委託先を監督すべきとされています
- 伝言ゲームで初動が遅れる： 窓口が一段増える分、緊急時は遅くなりがちです。障害時に限り、貴社の担当者を交えて外注先の技術者が直接やり取りするなど、例外ルールを決めておくと安心です
- 品質がそのまま貴社の評価になる： 報告形式や動作確認の範囲まで、事前にすり合わせておきましょう
保守対象が多いなら「専任リソース」という考え方も
保守対象のサイトが数十件規模に増えている場合は、サイトごとの月額契約ではなく、オフショア開発などで外部のエンジニアを一定期間確保し、保守と日常の制作業務をまとめて任せる方法もあります（いわゆるラボ型）。固定費になる分、作業量がある程度見込める場合に向いています。契約前には、最低契約期間、月間の稼働時間、担当者が交代するときの扱い、使い切れなかった時間の扱い、緊急対応の可否を確認しておきましょう。
コーディングコネクションでも、制作会社・代理店様向けに、貴社名義でご提供いただけるWordPress保守プランと、ラボ型のプランをご用意しています。保守では、クライアント様への窓口は貴社に一元化し、当社は技術面の裏方を担います。月次レポートも、そのままクライアント様へ提出できる形式でお渡しします。
WordPress専用の保守プランもございますので、まずはお気軽にお問い合わせください。
5. 失敗しない外注先の選び方：契約前の確認項目
契約前に確認したい7つのポイント
- 月額に含まれる範囲と別料金の項目： 不具合の原因調査、復元、マルウェア除去、PHP更新は含まれるか。作業時間の上限はあるか
- 対応時間の中身： 受付時間、最初の返答までの時間、復旧の目標時間を分けて確認する。「24時間監視」は「24時間、人が復旧対応する」という意味とは限らない
- 動作確認の範囲： トップページを見るだけか。フォームの送信テスト、スマートフォン表示、EC・予約機能まで確認するか
- バックアップの中身： 頻度、保存する世代数、サーバーとは別の場所への保管、復元テストの有無
- 検証環境の扱い： 本番データを使う場合のアクセス制限や、メール・決済の誤作動防止策
- 契約上の責任： 免責範囲、秘密保持、個人情報の取り扱い、再委託の有無
- 解約時の引き継ぎ： 最低契約期間、データやアカウントの返却、有料プラグインのライセンス名義
権限は「渡し方」まで決めておく
サーバー・ドメイン・WordPressのオーナー権限や契約名義は自社で保持するのが基本です。外注先には共有IDを渡すのではなく、担当者ごとのアカウントを必要な権限だけで発行し、多要素認証（MFA）を設定しましょう。契約終了時にアカウントを削除できるようにしておけば、切り替えもスムーズです。
外注を始めたあとも、月次レポートには目を通し、サイトの変更予定は事前に共有する。最低限の状況把握を続けることが、外注先との連携をスムーズにし、将来の選択肢も残します。
6. WordPress保守の外注に関するよくある質問
Q. 小規模なサイトでも保守は必要ですか？
必要です。ただし、必要な保守の水準はサイトによって違います。攻撃の多くはサイトの規模に関係なく行われますが、止まっても影響が小さいサイトなら、自動更新・外部バックアップ・必要時のスポット依頼の組み合わせで十分な場合もあります。
Q. 自動更新をオンにしておけば、保守は不要ですか？
自動更新は有効な基本対策ですが、それだけでは十分とは言えません。相性問題による不具合、修正版のない脆弱性、更新の失敗に気づくためには、更新後に正常に動いているかを確認する仕組みが別途必要です。
Q. 他社が制作したサイトでも保守を外注できますか？
対応している保守会社は少なくありません。ただし最初にサイトの構成を調べる必要があるため、初期調査の期間や費用がかかる場合があります。サーバーやドメインのログイン情報を確認しておくと、相談がスムーズです。
Q. サーバー会社の保守サービスと何が違いますか？
レンタルサーバー会社のサービスは、多くの場合、サーバー側（機器、OS、ネットワーク）の管理が中心です。WordPress本体やプラグインの更新、テーマの不具合修正といったサイトの中身の保守は、基本的に利用者側の責任範囲です。サービスの内容はサーバー会社ごとに異なるため、契約内容を確認しましょう。
Q. 外注から自社対応に戻すことはできますか？
できます。その際に困らないよう、外注中も権限は自社で持ち、月次レポートで作業内容を把握しておくことをおすすめします。
7. まとめ：サイトの重要度と「戻せる体制」で決める
WordPress保守を自社で回すか外注するかは、作業量ではなく、サイトが止まったときの影響と、トラブル時に元へ戻せる体制があるかで判断します。
この記事のまとめ
- コンテンツ更新やバックアップ取得は自社でも回しやすい。難しいのは不具合調査や感染時の対応
- 2025年に報告された脆弱性の91%はプラグイン。46%は公開時点で修正版がなく、更新だけでは守れない場面もある
- 重要度は「止まったとき」「改ざんされたとき」「個人情報を持っているか」の3つで考える
- 影響の小さいサイトなら「自動更新＋外部バックアップ＋監視」を軸にした自社運用も現実的
- 重要度が高いサイトほど、監視・初動・復旧目標が明記された外部サービスの価値は大きい。ただし外注しただけで早くなるとは限らず、契約内容の確認が必要
- 部分外注は、責任の境界と一次調査の費用の扱いを先に決める
- 制作会社・代理店のホワイトラベル外注は、再委託の可否と緊急時の連絡ルールを確認してから
- 料金は月額だけでなく、別料金の項目と年間の総額で比べる
保守は、トラブルが起きていないときほど後回しにされがちです。何も起きていない今のうちに、自社サイトの重要度と体制を一度点検しておくことをおすすめします。
コーディングコネクションでは、WordPress専用の保守プランをご用意しています。「今の体制で足りているか見てほしい」「クライアントの保守を任せられる先を探している」といった段階でも構いません。WordPressでのお困りごとやご依頼など、お気軽にご相談ください。
コーディングコネクションのサービス詳細はこちら
