WordPressの保守とは：やること・頻度・自社でやるか頼むかの判断

WordPressの保守とは、サイトを「今と同じように、安全に動かし続ける」ための作業です。中身は5つに分けられます。①本体・テーマ・プラグインの更新、②バックアップ、③表示やフォームの監視、④止まったときの障害対応、⑤文言の差し替えなどの軽微な修正。頻度の目安は、セキュリティの更新は出たらその日のうちに、それ以外の更新と確認は週に1回、ユーザーやプラグインの見直しは3か月に1回です。

自社でやるか外に頼むかの分かれ目は、更新で表示が崩れたときに、バックアップから元に戻せる人が社内にいるかどうかです。いなければ、少なくとも更新と障害対応は頼むほうが安全です。なお、保守は問い合わせを増やすための仕事（当社が「運営」と呼んでいる仕事）とは別物です。保守の費用の相場はホームページの保守費用の相場にまとめているので、この記事では金額は扱いません。

保守でやる5つの作業

作業	中身	止めると起きること
更新	本体・テーマ・プラグイン・PHPを新しい版に	直されたはずの脆弱性が残る
バックアップ	ファイルとデータベースの控えを別の場所に	壊れたとき・乗っ取られたときに戻せない
監視	表示されているか、フォームが届くか、警告が出ていないか	止まっていても気づかない
障害対応	表示されない・エラーが出る原因を調べて戻す	止まったままになる
軽微な修正	文言や写真の差し替え、表示崩れの手直し	情報が古いまま残る

このうち、保守の中心は上の4つです。どれも、うまくいっているあいだは外から何も見えません。何も起きないことが成果なので、「今月は何をしてもらったのか」が分かりにくい仕事でもあります。

5つめの軽微な修正は、保守に含める会社と、更新代行として別に数える会社があります。どこまでを「軽微」とするかで揉めやすいところで、頼み方はホームページの更新代行と修正、改善は別の仕事に書きました。

どのくらいの頻度でやるか（当社の目安）

保守の頻度に、公式に決まった日数はありません。目安を決めるために、まず更新がどのくらいの間隔で来るかを見ておきます。WordPress.orgのリリースの一覧では、2026年5月20日の7.0から10月6日の7.1.3まで、最新の版を追うと本体だけで9回の更新が出ています。そのうち6回（7.0.2、7.0.3、7.0.4、7.1.1、7.1.2、7.1.3）は、セキュリティの修正を含む版でした。ここにプラグインとテーマの更新が加わります。

IPAの「ウェブサイト運営のファーストステップ」は、脆弱性の情報が公開されたら速やかにソフトウェアを更新することが大切だと書いています。WordPress.orgも、深刻な修正の版では「すぐに更新を」と呼びかけています。これを踏まえた当社の目安が次の表です。サイトの作りや、問い合わせフォーム・予約などの止められない機能があるかで変わります。

作業	頻度の目安
セキュリティの修正を含む更新	出たらその日のうち
そのほかの更新	週に1回まとめて
更新後の表示とフォームの確認	更新のたび
バックアップ	毎日（自動）と、更新の直前
バックアップから戻せるかの確認	年に1〜2回
表示されているかの監視	常時（自動の監視の道具で）
ユーザー・プラグインの見直し	3か月に1回
PHP・サーバー・ドメイン・SSLの確認	年に1回と、期限の前

「セキュリティの更新はその日のうち」が厳しく見えるかもしれません。ただ、WordPress.orgの手引きは、修正された脆弱性の詳しい内容はたいてい公開されるので、更新していないサイトほど攻撃しやすくなると説明しています。修正版が出た日から、攻撃の手がかりも出回り始めると考えると、週に1回の作業日まで待つのは長すぎます。本体の小さな修正は初期設定で自動で当たり、プラグインとテーマも一つずつ自動更新にできます（どれを自動にするかの分け方はWordPressのアップデート手順）。自動更新の成功・失敗の知らせは管理者のメールアドレスに届くので、そのメールを読む人を決めておけば、「その日のうち」は現実的な目安になります。

ユーザーとプラグインの見直しは、人の出入りやページの作り直しのたびに増えるものを減らす作業です。辞めた人や以前の制作会社の管理者アカウント、試しに入れて止めたままのプラグインを消します。理由と手順はWordPressのセキュリティ対策：小さな会社がまずやる8つに書きました。

更新のあとに確かめること

更新そのものは、ボタン一つで終わることも多い作業です。保守の質に差が出るのは、その前後です。WordPress.orgの更新の説明も、更新の前にバックアップを取るよう勧め、プラグインの更新でも問題が起きることがあるとしています。当社が勧めるのは、更新のたびに、主なページの表示（パソコンとスマートフォンの両方）、問い合わせフォームからの実際の送信とメールの着信、管理画面の編集画面、「ツール」→「サイトヘルス」の4つを確かめることです。フォームは、壊れても外からは気づかれにくい場所です。順番と見方の詳しい説明はWordPressのアップデート手順にあります。

当社のサイトも、問い合わせフォームはContact Form 7というプラグインで動いています。見た目に関わる変更を反映するときは、AIにブラウザを動かさせて320〜1920pxのいくつかの画面幅で撮影し、横のはみ出しやエラーがないかを確かめてから反映しています。固定ページの作り直しの前には、WordPressの「リビジョン」（過去の版の記録）から差し替え前の版に戻せるようにしてから作業しました。リビジョンで戻せるのは記事や固定ページの中身だけで、プラグインや設定の変更は戻せないので、そちらはバックアップで備えます。

更新のあとに画面が真っ白になった、「重大なエラー」が出た、「メンテナンス中」の表示（日本語の言い回しは版によって違います）のまま戻らない、といったときの対処は、WordPressが真っ白・重大なエラーが出たときとWordPressのメンテナンスモードの解除にあります。

自社でやるか、頼むか：分かれ目は「戻せる人」がいるか

保守を自社で回せるのは、次の4つがそろっている場合です。

週に一度、管理画面を見て更新を当てる担当を決められる。
更新で崩れたとき、バックアップから戻す手順を、社内の誰かが一度試している。
プラグインが少なく、予約・決済・会員などの止められない仕組みがない。
サーバーとドメインの契約、WordPressの管理者アカウントを自社で持っている。

一つでも欠けるなら、全部を自社でやるのは避けたほうが無難です。とくに2つめが大事です。更新を当てる作業は誰でもできますが、壊れたときに戻せないと、問い合わせフォームが止まったまま何日も過ぎることになります。そもそも会社のホームページにWordPressが向くかどうかは、会社のホームページにWordPressはやめた方がいいのか：向く会社・向かない会社に書いています。

形	自社でやること	頼むこと
全部自社	更新、バックアップ、監視、障害対応、修正	なし
分担	自動更新のメールの確認、フォームの送信テスト、文言の修正	本体の大きな更新、PHPの更新、障害対応
全部頼む	契約と報告の確認	5つの作業すべて

頼む場合も、責任まで外に出せるわけではありません。IPAの「ウェブサイト運営のファーストステップ」は、構築や運用を外部に委託していても、安全を確保していなかったとして運営者の責任が問われる、と書いています。また、委託先が対応できるのは契約の範囲内に限られ、保守の契約がなければ、基本的には運営者自身が問題に対処しなければならない、としています。頼むなら、何を頼んだかを契約で決めておくことが前提になります。

自社でやる場合の、週に1回の作業の流れ

自社で回すと決めたら、作業日を週に1日決めて、次の順に進めます。慣れれば短い時間で終わる作業ですが、続けるには「誰が、何曜日に」を決めておくことが一番効きます。

この1週間に届いた自動更新のメールを開き、失敗の知らせがないかを見る。
「ダッシュボード」→「更新」で、残っている更新を見る。プラグインの「変更履歴」に、セキュリティの修正と書かれていないかも確かめる。
バックアップが直近の日付で取れているかを、サーバーの管理画面かバックアップ用のプラグインで確かめる。取り方はWordPressのバックアップ方法にあります。
残っている更新を当てる。問い合わせフォームなど止められない機能のプラグインは、一つずつ当てて、そのたびに動きを見る。
上の章「更新のあとに確かめること」の4つを見る。
作業した日、当てた更新、気づいたことを、記録に1行ずつ残す。何かあったとき、いつから起きたかをたどれるようにするためです。

月に一度はSearch Consoleの「セキュリティの問題」レポートを、3か月に一度は「ユーザー一覧」の管理者と停止中のプラグイン、入っているプラグインのWordPress.orgのページ（公開停止や「テストされていません」の警告が出ていないか）を見ます。見方はWordPressの脆弱性とはに書きました。

保守を頼むときに、契約で確かめること

「サイト保守一式」とだけ書かれた契約では、何をしてもらえるかが分かりません。IPAの資料も、納入後に見つかった脆弱性への対応を取り決めていなければ、対応してもらえないか、有償になる可能性があると書いています。次の項目を、契約書か、少なくともメールに残る形で確かめます。

更新：対象は本体・テーマ・プラグイン・PHPのどこまでか。頻度はどのくらいか。セキュリティの修正は何日以内に当てるか。
更新後の確認：表示とフォームの送信まで見るか。結果をどう知らせてくれるか。
バックアップ：どこに、何日分を残すか。戻すときの手順と、かかる時間。
監視：何を見ているか。止まったら誰に、どうやって連絡が来るか。
障害対応：受付の時間と、元に戻すまでの目安。自社が入れたプラグインが原因の場合も対応するか。
脆弱性：使っているプラグインに脆弱性が見つかったときの対応が、保守に含まれるか、別料金か。
軽微な修正：月に何回、何時間まで含まれるか。
権限と名義：自社にもWordPressの管理者アカウントが一つあるか。ドメインとサーバーは自社の名義か（ドメインの名義が制作会社のまま）。
報告：月に一度、何をして何が起きたかを知らせてくれるか。

このうち、障害対応と脆弱性の扱いは、料金表の上では同じに見える会社どうしでも差が出やすいところです。月額の相場と、サーバー代などの実費を引いて手間代を出す計算はホームページの保守費用の相場で説明しています。

保守と運営の違い：保守では問い合わせは増えない

「保守を頼んでいるのに、問い合わせが増えない」と感じているなら、それは保守の手抜きとは限りません。そもそも保守には、問い合わせを増やすための仕事が含まれていないことが多いからです。

	保守	運営
目的	今と同じように動かし続ける	問い合わせを増やす
物差し	止まらない、壊れない	問い合わせの件数
中身	更新、バックアップ、監視、復旧	何を載せるかを決め、書き直し、数字を見る
判断する人	決まった手順で回せる	毎月、何を変えるかを決める人が要る

保守は、運営の土台です。土台がないと運営はできませんが、土台を厚くしても、問い合わせの数は動きにくいままです。この違いと、保守の契約を見直すときの考え方は保守費を払っても問い合わせが増えないのは、保守と運営が別の仕事だからに詳しく書きました。いま問い合わせがどのくらい来ているかを先に数えておくと、どちらに手を入れるべきかが決めやすくなります（問い合わせの数え方）。

当社が引き受けている形

当社の仕事は、保守ではなく、ホームページの運営に加わって問い合わせが来るところまでを見ることです。ただ、保守の土台がなければ運営はできないので、ご相談の際は、いまの保守の契約と分担もあわせて伺います。当社自身のサイトでも、記事やページの作成にはAIを使いますが、公開は人が読んで明示に了承してから行い、差し替えたページはリビジョンから前の版に戻せるようにしています。

いまの保守の契約で足りているのか、それとも足りないのは「何を載せるか」を決める人なのか、判断がつかない段階でも構いません。相談するから、いまのサイトと契約の状況をお知らせください。進め方は進め方に載せています。

参考にした公式の説明

※内容は2026年10月8日に各公式の説明で確かめたものです。頻度の目安は当社の考えで、サイトの作りによって変わります。