WordPressのユーザー権限：管理者・編集者などの違いと、制作会社に渡す権限

WordPressのユーザー権限（WordPressでは「権限グループ」と呼びます）は、標準で5つです。「管理者」はサイトのすべての機能、「編集者」は他の人の分も含めた投稿と固定ページの公開・編集、「投稿者」は自分の投稿の公開、「寄稿者」は自分の投稿を書いて保存するところまで（公開はできません）、「購読者」は自分のプロフィールの管理だけができます（2026年10月時点のWordPress.orgの説明による）。

渡す目安は、「頼む作業に足りる中で、いちばん弱いもの」です。管理者は社内の人が2人で持ちます。記事や固定ページの更新を頼む運用の会社には編集者、記事を書く外部のライターには寄稿者か投稿者を渡します。テーマやプラグインを触る制作会社に管理者を渡すのは、その作業のあいだだけにします。

辞めた人や前の業者のアカウントは、「ユーザー」の一覧から削除します。そのとき「コンテンツをどうするか」を聞かれたら、社内の人に引き継ぐ方を選んでください。「すべて削除」を選ぶと、その人の投稿と固定ページはゴミ箱へ移り、その人がアップロードした画像などは、標準の設定ではゴミ箱を通らずにファイルごと消えます。

この記事では、5つの権限グループでできること、相手ごとの渡し方、追加・変更・削除の手順、残ったアカウントの整理の仕方を順に書きます。考え方は、サーチコンソールのユーザー追加と権限付与、GA4の権限付与とユーザー追加、Googleビジネスプロフィールの管理者追加と同じです。

5つの権限グループでできること・できないこと

WordPress.orgの説明「ユーザーの種類と権限」（英語版は Roles and Capabilities）と、そこに並ぶ権限の一覧を、会社のサイトの運営で関係するところに絞ってまとめると次のとおりです。複数のサイトを一つのWordPressで動かす「マルチサイト」には、さらに上の「特権管理者」がありますが、会社のサイトが一つなら気にしなくてかまいません。

やりたいことから、要る権限グループを引く

実際に迷うのは「この作業を頼むには、どこまで要るか」です。権限の一覧から、それぞれの作業に最低限要る権限グループを引くと次のようになります。上の権限グループは、下の権限グループができることをすべてできます。

渡す前に知っておきたい3つのこと

寄稿者は、画像を入れられません。寄稿者の権限には、ファイルのアップロードが含まれていません。記事に写真や図を入れるのは、社内の人が公開前に行うことになります。ライターに画像まで入れてもらいたいなら投稿者にしますが、投稿者は自分で公開もできるので、「公開は社内で行う」という取り決めとセットにします。また寄稿者は、記事が公開されたあとは、その記事を自分で直せません。

投稿者は、自分の公開済みの記事を削除できます。権限の一覧で、投稿者には公開済みの投稿の削除が含まれています。削除された記事は、標準の設定では30日間ゴミ箱に残り、「投稿」の一覧の「ゴミ箱」から戻せます。人が辞めるときは、記事の持ち主を社内の人に移しておくと安心です（手順は後の章）。

編集者と管理者は、記事にHTMLやJavaScript（ページの中で動くプログラム）をそのまま書けます。WordPress.orgの説明では、この権限（unfiltered_html）はマルチサイトでない場合の管理者と編集者が持ち、信頼できない人に与えると、悪意のあるコードや崩れたコードが投稿されるおそれがあるとされています。編集者は「記事を直すだけの権限」と思われがちですが、渡すのは信頼できる相手に限ります。

誰にどの権限グループを渡すか

決め方は、Search ConsoleやGA4のときと同じく「その人に何をしてもらうか」です。足りる中でいちばん弱いものにしておけば、外し忘れたときの困りごとが小さく済みます。

制作会社から「管理者でないと作業できない」と言われることがあります。プラグインの追加や更新、メニュー、テーマの設定は管理者にしかできないので、作業の中身によってはそのとおりです。そのうえで、作業が終わったら編集者に下げるか、削除する、と最初に決めておきます。いつ外すかを決めずに渡すと、契約が終わったあとも管理者のアカウントが残ります。

外部のライターを寄稿者にすると、記事は「レビュー待ち」や下書きで止まり、社内の人が読んでから公開する流れになります。当社も自社のサイトの記事は、下書きで保存したものを、人が読者の側から読んで確かめてから公開しています。誰が最後に確かめるかを決めておけば、権限グループの選び方も迷いません。

一人に一つのアカウントを作る

小さな会社では、一つの管理者のアカウントを社内と制作会社で使い回していることがあります。この形だと、誰かが辞めたときにその人だけを外せず、パスワードを変えると全員が困ります。また、WordPressの「リビジョン」（記事や固定ページの過去の版）には、その版を保存したユーザーの名前が残りますが、全員が同じアカウントなら誰が変えたのか分かりません。当社は、差し替える前の版にリビジョンから戻せるようにしてから作業していますが、戻すかどうかを判断するときにも「誰がいつ変えたか」が手がかりになります。手間でも、人ごとにアカウントを作ってください。

AIからWordPressを操作する仕組みを入れる場合も同じで、どのユーザーの権限で動くのかを確かめておきます。当社のやり方はClaudeでWordPressのホームページを作る方法に書いています。

ユーザーを追加する手順

ユーザーを追加できるのは管理者だけです。画面の名前は、当社が2026年10月に日本語の管理画面で見た表示です（版によって少し違うことがあります）。

1. 管理者のアカウントでログインし、左のメニューの「ユーザー」→「ユーザーを追加」を開きます。「このサイトに追加する新規ユーザーを作成します。」と書かれた画面です。
2. 「ユーザー名 (必須)」を入れます。ログインに使う名前で、追加したあとは変えられません。
3. 「メール (必須)」に相手のメールアドレスを入れます。ほかのユーザーと同じアドレスは使えません。
4. 「名」「姓」「サイト」の欄は空でもかまいません。「パスワード」は、「パスワードを生成」で作られる強いものをそのまま使います。
5. 「ユーザーに通知を送信」（新規ユーザーにアカウントに関するメールを送信します）にチェックが入っていることを確かめます。相手に、アカウントの案内のメールが届きます。
6. 「権限グループ」で、前の章の目安から選びます（購読者・寄稿者・投稿者・編集者・管理者）。
7. 画面のいちばん下にある追加のボタンを押します。
8. 相手にログインしてもらい、左のメニューに頼んだ作業の項目が出ているかを確かめてもらいます。

ユーザー名は、作成者ごとの記事一覧のページのURLなどに使われることがあります。本名そのままや「admin」のような推測しやすい名前は避け、記事に出す名前は、プロフィールの「ブログ上の表示名」で別に決めます。ログインまわりの守り方はWordPressのセキュリティ対策にまとめています。

「設定」→「一般」の2つの項目も見ておく

「設定」→「一般」には、ユーザーの登録に関わる項目が2つあります。一つは「メンバーシップ」の「だれでもユーザー登録ができるようにする」です。会員制のサイトでなければ、チェックは外しておきます。もう一つは「新規ユーザーのデフォルト権限グループ」です。WordPress.orgの説明では、この権限グループは、自分で登録した人にも、管理画面から追加した人にも最初に付きます。登録を受け付けているのに、ここが管理者になっていると、誰でも管理者として登録できてしまいます。会社のサイトなら「購読者」にしておけば足ります。

権限グループを変える手順

1. 一人だけ変えるなら、「ユーザー」の一覧で相手の名前を押し、編集画面の「権限グループ」を選び直して、下の「ユーザーを更新」を押します。
2. まとめて変えるなら、一覧で対象の人にチェックを入れ、一覧の上の「権限グループを変更」から新しい権限グループを選び、「変更」を押します。

自分の権限グループを、ユーザーを管理できない権限グループに下げることはできません。このため、最後の管理者が自分を編集者に下げてしまい、誰も人を管理できなくなる、ということは起きません。

ユーザーを削除する手順と、投稿の引き継ぎ

1. 「ユーザー」の一覧で、削除する人の行にマウスを乗せ、「削除」を押します。複数の人なら、チェックを入れて一覧の上の一括操作から「削除」を選びます。
2. その人が投稿などを持っていると、「このユーザーが所有するコンテンツをどうしますか」という意味の質問が出ます。「すべてのコンテンツを別のユーザーのものにする」側を選び、引き継ぐ社内の人を選びます（表示の言い回しは版によって違います）。
3. 「削除を実行」を押します。

どちらを選んだかで、残るものが大きく変わります。WordPress本体のプログラムの動きを確かめた結果は次のとおりです。

注意したいのはメディアです。WordPressの標準の設定では、メディアのゴミ箱が使われない（MEDIA_TRASH が false）ため、「すべて削除」を選ぶと、その人がアップロードした画像はすぐにファイルごと消えます。ほかの人の記事や固定ページがその画像を使っていれば、そこから画像が抜け落ちます。制作会社がサイトを作った場合、画像の多くが制作会社のアカウントでアップロードされていることがあります。迷ったら、引き継ぐ方を選んでください。

引き継ぐと、記事の作成者がその人に変わります。作成者の名前を記事に表示するテーマなら、表示も変わります。引き継ぎ先は、記事の内容に責任を持てる社内の人にしておくのが自然です。なお、今ログインしている自分自身は削除できません。

辞めた人・前の業者のアカウントを整理する

アカウントが残っていれば、辞めたあとも、契約が終わったあともログインできます。パスワードを変えるだけでは足りない点に注意してください。ログイン画面の「パスワードをお忘れですか ?」から、登録されているメールアドレスあてに再設定のリンクが送られるので、メールアドレスが相手のもののままなら、相手は自分でパスワードを設定し直せます。外すなら削除します。

1. 「ユーザー」の一覧の上にある「管理者」「編集者」などの絞り込みで、強い権限を持つ人から見ます。
2. 辞めた人、契約の終わった業者、誰のものか分からないアカウントを書き出します。
3. 前の章の手順で、社内の人に引き継いで削除します。みんなで使い回していたアカウントは、一人ずつのアカウントを作ってから削除します。
4. 「設定」→「一般」の「管理者メールアドレス」を確かめます。WordPress.orgの説明では、このアドレスにはコメントの承認、ユーザーの登録、更新、リカバリーモードや重大なエラーなどの知らせが届きます。前の業者や辞めた人のアドレスなら、会社で持ち続けるアドレスに変えます。変えると新しいアドレスに確認のメールが届き、そのリンクを押すまでは古いアドレスが使われ続けます。
5. ユーザーを削除せずに残す場合（権限を下げて残すなど）は、その人の編集画面の「アプリケーションパスワード」の欄を見て、要らないものを取り消します。まとめて取り消すなら「すべてのアプリケーションパスワードを取り消す」です。アプリケーションパスワードは、外部の仕組みがWordPressにつなぐための鍵です。管理画面へのログインには使えませんが、そのユーザーの権限の範囲で、外からの操作に使えます。あわせて同じ画面の「セッション」の欄で、ほかの端末に残っているログイン状態も切っておきます（自分のプロフィールでは「他のすべての場所でログアウト」というボタンです）。
6. 問い合わせフォームの通知が、辞めた人や業者のアドレスに届く設定のままになっていないかを見ます。確かめ方はWordPressのお問い合わせフォームにあります。

管理者メールアドレスは見落とされやすい項目です。サイトが「重大なエラー」で止まったとき、立て直すためのリンクがこのアドレスに届きます。その場面での手順はWordPressが真っ白・重大なエラーと出たときに書いています。

人が辞めたときや業者が替わるときは、WordPressだけでなく、Search Console、GA4、Googleビジネスプロフィール、サーバーやドメインの管理画面も一緒に見直すと、外し忘れが減ります。どこに何を確かめるかはホームページを引き継ぐ前に、名義の問題はドメインの名義が制作会社のままにあります。

覚えのない管理者がいたら

社内でも取引先でもない管理者のアカウントがあったら、放っておかないでください。不正なログインで作られたアカウントの可能性もあります。削除して終わりにせず、ほかの管理者のパスワードの変更、プラグインやテーマの更新の状況の確認まで進めます。進め方はWordPressのセキュリティ対策にまとめています。

放っておいてよい状態と、直す状態

今の「ユーザー」の一覧を開いて、次の表と見比べてください。判断は当社の見立てです。

管理者が業者だけで、その業者と連絡がつかない場合は、WordPressの画面からは人を加えられません。サーバーの管理画面に入れる人の手を借りることになるので、サーバーとドメインの契約が誰の名義かを先に確かめてください。

権限の整理から頼みたいとき

当社は、ホームページの運営に加わり、問い合わせが来るまでを引き受けています。権限について当社が勧めるのは、管理者は御社の側に残し、外の会社には作業に要る権限だけを渡す形です。前の業者から引き継いだサイトで、誰のアカウントがどの権限で残っているのか分からない、という段階からでも相談するからお知らせください。保守として何を任せるかの線引きはWordPressの保守とはにも書いています。

参考にした公式の説明

• WordPress.org「ユーザーの種類と権限」
• WordPress.org「Roles and Capabilities」（権限の一覧）
• WordPress.org「Users Screen」（ユーザーの一覧と削除）
• WordPress.org「Settings General Screen」（管理者メールアドレス、既定の権限グループ）
• WordPress Developer Resources「Application Passwords」
• wp_delete_user()、wp_delete_attachment()、wp_initial_constants()（WordPress開発者リファレンス。ユーザー削除時の投稿とメディアの扱い）
• WordPress Developer Resources「wp-config.php」（ゴミ箱の保存日数の既定値）

いずれも2026年10月8日に内容を確かめました。管理画面の表示名は、WordPressの版や言語の設定によって少し違うことがあります。