どんな危険がある？
WordPressは、ホームページを作成・更新できる仕組みです。飲食店のメニュー紹介、クリニックのお知らせ、企業のブログなど、さまざまなサイトで使われています。
問い合わせフォームや予約機能を追加する「プラグイン」、デザインを決める「テーマ」などを組み合わせて使います。本体・プラグイン・テーマに脆弱性が見つかると、対策されていないサイトが不正アクセスを受ける可能性があります。
例えば、古い予約フォームのプラグインが悪用され、ホームページを改ざんされたり、保存されている個人情報が流出したりするおそれがあります。WordPressをサーバーで動かすPHPというソフトウェアの保守も必要です。
どうすれば防げる？
- 更新前に、バックアップと復元方法を確認する。
WordPressのファイルとデータベースの両方を対象にします。取得日時、保存先、復元する担当者を確認し、必要なときに戻せる状態にします。予約・注文データがある場合は、復元で新しい受付情報を失わないよう管理会社と手順を決めてください。
- WordPress本体の更新状況を確認する。
管理画面の「ダッシュボード → 更新」で確認します。長期間更新していない場合や大きなバージョン変更では、一度に全部を変更せず、管理会社や公式手順で互換性と更新の順番を確認します。
- プラグインの更新状況と対応情報を確認する。
「プラグイン → インストール済みプラグイン」で名称・バージョン・更新通知を確認します。有料製品や制作会社から提供されたものは、契約・ライセンスと公式の更新方法も確認してください。
- テーマも更新する。
「外観 → テーマ」や「ダッシュボード → 更新」で、使っているテーマを確認します。独自の改修がある場合は、更新で変更が失われないか、制作会社に確認してから進めます。
- PHPのバージョンとサポート状況を確認する。
「ツール → サイトヘルス → 情報 → サーバー」を開き、「PHPバージョン」を確認します。PHP公式のサポート状況と、利用中のWordPress・テーマ・プラグインの対応を確認し、サーバー会社が提供する修正版の適用状況も確認します。
- 自動更新と、成功・失敗の通知先を確認する。
プラグインごとの自動更新設定や、テーマの自動更新設定を確認します。有効にして終わらせず、通知が現在の担当者へ届くことと、失敗した場合の対応を決めます。
- 使っていないものと、保守が終わったものを整理する。
不要なプラグインやテーマは削除を検討します。停止中でも、デザインやほかの機能に必要な場合があります。必要性や保存データへの影響が分からなければ、削除前に管理会社へ確認してください。
- 更新後に、見た目だけでなく実際の動作を確認する。
パソコン・スマホでの表示、管理画面へのログイン、問い合わせフォームの送信と受信、予約の流れなど、使っている機能を確認します。予約・決済などの本番処理は、運用で認められたテスト方法に従います。
自分で管理していない場合は、WordPress本体・テーマ・プラグイン・PHP・バックアップのうち、誰がどこまで対応する契約かを確認します。「制作してもらったので、その後の更新も含まれる」とは限りません。
PHPは「サイトヘルス」の画面から変更できません。サーバー会社の管理画面や保守窓口で対応します。「いちばん新しい版へ切り替える」だけで済ませず、互換性・検証・戻し方を確認してください。
具体的な手順は、必要な項目を開いて確認してください。
詳しく見るPHPのバージョンを確認し、更新が必要か調べる
PHPはWordPressをサーバーで動かすためのソフトウェアです。WordPress本体を更新しただけで、PHPも更新されるとは限りません。
権限や管理方法によってメニューが見えない場合があります。項目が見つからない場合や、判断に迷う場合は、サーバー会社や管理会社へ確認してください。
- 管理画面で現在のPHPバージョンを見る。
「ツール → サイトヘルス → 情報」を開き、「サーバー」の項目を展開します。「PHPバージョン」に表示される数字を控えます。この画面は情報の確認用です。
- 公式のサポート期限と、サーバー会社の保守状況を確認する。
下のPHP公式ページで、使用中の系列がサポートされているかを確認します。表にあるActive supportは通常の保守、Security fixes onlyはセキュリティ修正のみの期間、End of lifeは公式の保守終了を示します。細かな修正版の提供・適用状況や提供元独自の保守は、サーバー会社へ確認します。
- WordPress・テーマ・プラグインとの対応を確認する。
WordPress公式の動作要件に加え、使っているテーマやプラグインの公式情報も確認します。PHPが新しくても、古いプラグインが対応していなければ機能が動かなくなる場合があります。
- 変更する前に、検証と戻し方を決める。
利用できる場合は検証用のサイトで確認し、バックアップと連絡先を準備します。PHPの切り替えはサーバー会社の管理画面などで行うため、自分で変更できない場合は管理会社へ依頼します。
詳しく見る更新ボタンを押す前に確認すること
更新は必要ですが、更新の順番や互換性を確認しないまま本番サイトを一括変更すると、問題が起きたときに対応しにくくなります。特に数年ぶりの更新や、PHPも変える場合は、先に管理会社へ相談します。
- 対象と現在のバージョンを控える。
WordPress本体、使っているテーマ、プラグインの名称・バージョンと、変更する対象を確認します。
- バックアップ、担当者、連絡先を確認する。
バックアップを実際に取得できているか、どの時点に戻せるか、誰が復元するかを確認します。忙しい時間帯や、すぐに確認できる人がいない状態で重要な変更を始めないようにします。
- 公式の対応情報と更新手順を確認する。
必要に応じて検証用サイトで試し、管理会社や公式案内に沿った順番で進めます。個別に更新できる場合は、対象ごとに結果を確認し、変更内容を記録します。
- 自動更新の設定も把握する。
「プラグイン → インストール済みプラグイン」の自動更新の欄や、テーマの詳細で確認します。ホスティング側で管理される場合もあるので、設定が見つからない場合は提供元へ確認します。
詳しく見るバックアップは何を保存し、どう戻す？
WordPressのバックアップは、ファイルとデータベースの両方を確認します。画像・テーマ・プラグインなどのファイルと、記事・設定・保存された情報などのデータが、復元に必要になります。
- 保存対象と取得日時を確認する。
サーバー会社や利用中のバックアップ機能が、ファイルとデータベースのどこまで保存しているかを確認します。
- 保管先と復元操作の担当者を確認する。
「バックアップはある」と聞くだけでなく、いつの状態へ戻せるか、復元を誰に頼むか、必要な手続きがあるかまで確認します。
- 予約や注文のデータをどう守るか決める。
バックアップ時点へ戻すと、それ以降の情報が失われる場合があります。予約・注文などを受け付けているサイトは、復元方法と受付データの扱いを管理会社と決めておきます。
公式の説明・操作手順
詳しく見る更新後は、どの画面・機能を確認する？
更新した記録を残し、利用者が使う画面を実際に確認します。見た目に変化がなくても、フォームの送信や通知メールなどだけが動かなくなる場合があります。
- パソコンとスマホで公開ページを見る。
トップページ、よく見られるページ、メニューやボタン、画像の表示を確認します。
- 問い合わせフォームを、運用で決めた方法でテストする。
自分が管理するテスト用メールアドレスなどを使い、入力・送信完了・担当者への通知・返信まで確認します。実在の顧客情報をテストに使わないようにします。
- 予約・会員・決済など、利用している機能を確認する。
本番の予約枠や課金を勝手に発生させず、サービスが用意するテスト方法や、事前に決めた手順に従います。
- 問題があれば、変更内容と症状を伝える。
更新した対象、変更した時刻、動かなくなった機能、表示されたエラーなどを記録し、管理会社へ連絡します。自己判断で変更や復元を繰り返さず、予約・注文データへの影響も確認してください。
公式の説明・操作手順
詳しく見る制作会社・管理会社に確認しておきたいこと
契約書や保守の案内を見ながら、次の範囲を確認しておくと、更新が止まったときや不具合が出たときに動きやすくなります。確認内容を控え、担当者が変わっても分かるようにしておきましょう。
- 何を更新する契約か。
WordPress本体、プラグイン、テーマ、PHPのうち、どこまでを誰が担当するか確認します。
- 自動更新と通知を誰が確認するか。
成功・失敗の通知先、保守終了や脆弱性の連絡を受けた場合の対応を確認します。定期点検日があっても、重要な注意喚起は次回まで放置しないよう対応を相談します。
- バックアップと復元を誰が行うか。
取得間隔、保存期間、保存先、復元の担当者と、予約・注文データの扱いを確認します。
- 不具合が出たときは、どこへ連絡するか。
連絡先と対応範囲を確認します。管理者アカウントのパスワードをメールで送るなどせず、契約先が案内する安全な方法でやり取りします。
自分でできるチェックリスト
確認済み 0 / 9
確認の進み具合を示すものです。すべて確認しても、安全を保証するものではありません。チェックはこのページを開いている間だけ有効です。
機能がない場合や分からない項目は、無理にチェックせず、サービスの提供元や運用担当者に確認してください。