WordPress保守代行は必要？専門家に聞いた判断基準とよくあるトラブル

正直なところ2年くらい前までは、WordPressの保守は「やっておいたほうがいいけど、そんなに緊急性はない」と、保守サービスを提供する側としても考えていました。

それがここ最近、状況がかなり変わった実感があります。

ハッキングにかかるコストが、AIの急速な進化によって大きく下がってきているんですね。

攻撃のためのプログラムをAIで生成したり、ターゲットとなるサイトのリストアップにもAIが使われたりと、あらゆる工程で効率化が進んでいます。

その結果、大企業や大規模サイトだけでなく、いわゆる“普通の会社のホームページ”も含めて、総当たり的に狙われる状況になってきています。

実際に、弊社へ寄せられるご相談の中でも「以前であればおそらく対象になっていなかっただろうな」という企業さんのサイトが被害に遭う事例が、明らかに増えています。

こうした傾向を見ると、今後も状況が良くなるというよりは、むしろリスクはさらに広がっていく可能性が高いと考えています。

なので、何かトラブルが起きてからではなく、できるだけ早い段階で対策をしておく、という考え方が重要になってきていると感じています。

個人事業主の方から中小企業さんまで、またNPOや学校などと幅広いのですが、ボリュームゾーンとしては、従業員10名～数十名くらいの規模の会社さんです。

このくらいの規模ですと「何かあるとリスクは大きいものの、専任のWeb担当を配置するほどではない」というケースが多くて、管理が手薄になりやすいフェーズなんですね。

残念ながら、実際にトラブルが起きてからのご相談が多いです。

例えば、ハッキング被害に遭ってしまったとか、WordPressを更新したら表示がおかしくなったとかの状態で、いわば駆け込み寺のような形でご連絡をいただきます。

Web担当者がいるというよりは、「ちょっとパソコンが得意」な従業員さんが、本業の合間に管理している会社さんが多くて、何かトラブルが起きたタイミングでご相談いただくことが多いですね。

最近多いのは、やはりWordPressのハッキング被害ですね。

その中でも深刻なのは、一つのサーバーの中で複数のサイトを運用していて、そのうちの一つが侵入され、同じサーバー内にある他のサイトにも被害が広がってしまうケースです。

例えば5サイト運用している場合、本来であれば1サイトだけ復旧すれば済むところが、5サイトすべて復旧しなければいけなくなります。

さらに、復旧作業もハードルが上がります。

1サイトだけなら集中的に修復できますが、複数サイトが同時に改ざんされている場合、1つ直してもすぐ再侵入されてしまうこともあるため、同時に対応する必要が出てくるんですね。

現実的には、新しいサーバーを契約していただき、安全な状態に戻せたサイトから順に移転していく、という大掛かりな対応が必要になります。

大きく分けると、おもな原因は3つくらいあります。

1つは、IDやパスワードが簡単すぎるケースですね。
これは昔からある原因ですが、最近はさすがに減ってきていると思います。

2つ目は、WordPress本体やプラグインのバージョンが古いまま放置されているケースです。
いわゆる脆弱性が残っていて、そこを侵入経路とされてしまうんですね。

実際に、インフラ系やセキュリティ系の会社さんが発表されている統計などを見ても、WordPress本体やプラグインの更新不足が原因になっていることはかなり多いようです。

3つ目は、ログイン周りのセキュリティ対策が弱いケースです。

WordPressは初期状態だと決まったログインURLになるので、まず変更しておくことが有効です。

さらに、仮にログイン画面にアクセスされたあとに、どれだけログインしにくい状態にしているかが重要になります。

• ログイン試行回数の制限がない
• 画像認証がない
• IP制限をかけていない

といった状態だと、総当たり攻撃(*)で突破されてしまうことがあります。
*パスワードを機械的に何度も試す攻撃

そうですね。

自社管理でWordPress本体、プラグインが綺麗にメンテナンスされている会社さんは、ほとんど見たことがないくらい、少ないと思います。

実は、どちらのケースもあってですね。

自社で管理している場合は、トラブルが起きたときに「まあ、このWordPressの状態だと、そうなりますよね…」というケースも多いのですが、制作会社が入っている場合でも、トラブルが起きてしまうことは少なくありません。

というのも、制作と保守は本来、まったく別の業務なんですね。

ただ、クライアント側からすると「サイトを作れるなら、そのまま管理もできるでしょ？」と、その違いが分かりにくい部分があります。

そして制作会社側も「作った手前、なんとなく管理も任されている」という形で、”なあなあ”に続いていることが多い印象です。

そうなると、どこまで対応してくれるのか？トラブルが起きたときの責任は誰が持つのか？といった点が、曖昧になりがちなんですね。

結果、問題が起きたときに制作会社では対応しきれず、クライアントから、あるいは制作会社から直接ご相談いただくことも多いです。

そうですね。
クライアントさんから直接ご相談いただく場合もありますが、制作会社さんから「バトンタッチしてほしい」という形でご依頼、ご紹介いただくこともあります。

引き継ぎが技術的に複雑な場合もありますが、そうした際は弊社側でサポートしたり、制作会社さんと直接やり取りさせていただくことで、解決できることが多いです。

ただ、難航することは、正直けっこうありますね。

制作会社さんがサイトを手放したがらないケースです。

「このサイトは自分たちが作ったものだから、こちらの所有物です」
「引き継ぐ場合は違約金や解約金が発生します」
といった形で、スムーズに移行できないことが、実は一定数あります。

法律的な話になるので難しい部分もあるのですが、例えば制作費を支払っていたとしても、必ずしもサイトの著作権や所有権がクライアント側にあるとは限らない、という話も弁護士さんに聞きました。

実際には、契約書にどう書かれているかによって判断されることが多く、契約内容によっては、制作会社側に権利が残る場合もあると聞いています。

クライアント側としては「お金を払っているのだから、自社のもの」と考えるのが一般的だと思うのですが、法律上はそう単純ではないこともあり、現場ではトラブルになりやすいポイントなんですね。

はい、そこも大きなポイントです。

サーバーやドメインが制作会社名義で契約されている場合、それらも含めて「サイト一式」として扱われることがあり、引き継ぎの際に費用が発生したり、場合によってはスムーズに移管できないこともあります。

そうですね。

もちろん、すべての制作会社さんがそうというわけではありませんが、契約内容や管理の形によっては、自由に移管できない状態になってしまうこともあります。

なので弊社で保守をお受けする際には、サーバーやドメインは、必ずクライアント様名義で契約・管理していただく形を基本としています。

そのほうが、将来的に別の会社に切り替える場合でもスムーズですし、仮に弊社に何かあった場合でも、運用を継続できるようにするためです。

契約によって縛るのではなく、良いと思ってくださるクライアントさんに長く利用いただきたい、というスタンスで運営しています。

まず、サーバーやドメイン、SSLの「契約管理」については、基本的にはクライアントさま側で行っていただくケースが多いです。

最近は自動更新もできますので、そこまで負担は大きくありません。

保守業務として行うのは、技術的な領域ですね。

WordPressはサーバー上で動いているシステムなので、安定して運用するためには、WordPressの管理画面だけでなく、サーバーの設定や環境も含めて見ていく必要があります。

例えばPHPのバージョンを更新したり、データベースのアップデート、WAFの設定を調整したりといった対応があります。

※PHP：WordPressが動作するための基盤となるプログラム
※WAF：不正アクセスを防ぐセキュリティ機能

ドメイン周りでいうと、DNSの設定（レコード設定）を調整することもあります。

最近だと、メールのセキュリティ対策も重要になっていて、SPFやDKIMといった設定を行うことで、なりすましメールを防ぐ対応なども増えています。
※DKIM：送信元の正当性を証明するメール認証の仕組み

SSLについては、無料のものを使っている場合は自動更新が多いのですが、まれに更新が外れてしまって手動対応が必要になることもありますし、有料SSLの場合は更新作業が発生することもあります。

はい、一番安価なライトプランではメンテナンス自体が含まれていませんが、スタンダードプラン以上であれば、こういったサーバーやドメイン周りも含めて、基本的には対応させていただいています。

そうですね。その形が一番トラブルも少なく、長期的にも安心して運用できると思います。

コストパフォーマンスについては、事業者さんごとに最適なラインが変わってくると思います。

弊社で一つの目安として考えているのは、やはり事業規模です。

例えば個人事業主さんや、従業員数が数十名ほどの企業さんの場合、リスクはあるものの、24時間365日対応の死活監視に加えて、スタッフが常駐する保守対応に、毎月20万～30万円かけるのは現実的ではありません。

逆に上場企業さんのように、コーポレートサイトが停止すると株価や信用に影響が出るような規模になると、年間で数百万円かけてでもリスク対策をする価値があります。

つまり「何がコスパが良いか」は、その会社の規模や、サイトが事業にどれだけ貢献しているかによって変わるということです。

そうですね。
損失と費用のバランスで考える、という視点は分かりやすいと思います。

保守というのは、いわば保険に近いものなんですね。
保険も、必要以上にかければ良いというものではなく、年齢や健康状態、家族構成などによって最適な保障が変わりますよね。

WordPressサイトの保守も同じで、事業規模や、サイトが売上にどれだけ貢献しているか、問い合わせや集客への影響、止まったときの損失の大きさ。
こういった点を踏まえて、どこまで対策するかを考えるのが良いと思います。

はい、規模に関わらず、押さえておきたいポイントはあります。

まずは死活監視ですね。
サイトが止まっていないかを常に確認しておくこと。

それと、バックアップです。

バックアップで重要なのは、WordPressが置いてある本番サーバーにバックアップデータを同居させず、別の独立した環境に保存しておくことです。

バックアップを分離しておくことで、万一サーバー自体にトラブルが起きた場合でも、確実に復旧できる状態を保つことができます。

ホームページを事業で使っている以上、最低限の死活監視とバックアップについては、規模に関わらず、基本的にはどの会社さんでもやっておいた方がいい対策だと思います。

• 死活監視をしているか？
• バックアップをどう取っているか？

この2つです。

死活監視というのは、サイトが正常に表示されているかを常に確認する仕組みで、これがないと、サイトが止まっていても誰も気づかないということが起きてしまいます。

それからバックアップについても、WordPressが置いてあるサーバーの中に保存しているだけでは不十分で、必ず別の独立した環境にバックアップを取っているかどうかが重要です。

この2つができていないと、トラブルが起きたときに復旧できない可能性が出てきますので、最低限確認していただきたいポイントです。

もう一つ大事なのは、問題が起きたときにどういう体制で対応するのか、という業務フローです。

例えば死活監視をしていても、アラートが鳴ったときの体制が機能していないと、監視している意味がなくなってしまいます。

しっかり体制が整っている会社であれば、「こういうアラートが上がって、こういうチームが確認して、この担当が復旧対応を行います」といった流れを、具体的に説明できるはずです。

逆にそこが曖昧な場合は、実際にはそこまで体制が整っていない可能性もありますね。

保守会社について調べてみると、保守を専門にやっている会社はそれほど多くなくて、制作会社が付帯サービスとして保守業務を行なっていることが多い印象です。

私自身も、以前に制作会社でディレクターをしていたことがあるので理解はできるのですが、制作がメインの会社だと、どうしても保守にリソースを割きづらいんですね。

制作案件の優先度が高くなりやすく、保守案件は後回しになってしまうことも現場では起こりがちです。

また、保守を事業としてしっかり位置づけていない場合、料金設定や体制も曖昧なまま対応していることもあります。

保守会社の見極めで一つおすすめなのは、「保守契約は現在、何件くらい管理していますか？」と聞いてみることです。

しっかり事業として保守をやっている会社であれば、ある程度の件数をリアルタイムで管理しているはずです。

逆に明確な返答がなかったり、5〜10件程度と少ない場合は、保守業務は手薄である可能性もあります。

もちろん会社の規模にもよりますが、実績がある会社であれば保守業務がきちんと事業として成り立っていて、体制も整っていることが多いですね。

「保守は無料でやります」という制作会社さんは、やめておいた方がいいと思います。

制作の流れでなんとなく管理しているとか、困ったら連絡ください、くらいの曖昧な状態になっていることも見受けられます。

業務として対応する以上は、対価が発生するのは当たり前のことですし、そこが「ちょっとした管理ならやりますよ」といったような状態だと、あとあとトラブルになることも少なくありません。

地元の繋がり、「ちょっと作ってよ」といった流れで制作して、そのまま何となく管理が続いているようなパターンに多い印象です。

弊社は「サイト引越し屋さん」というサービス名で、WordPressを中心としたサイト移転の専門サービスを提供しています。

• レンタルサーバー間の移転
• 他CMSからWordPressへの移行
• ブログサービスからWordPressへの移行

といったように、既存サイトを別の環境へ安全に移す作業全般です。

• メールサーバーの移転
• 独自ドメインの移管
• DNS設定
• WordPressのバージョンアップ
• WordPressのテーマ変更
• セキュリティ対応

など、WordPressに関わる周辺作業も一括して対応しています。

そして今回のテーマでもあるWordPress保守については、移転後の管理をご相談いただくことが多かったこともあり、現在は保守のみの契約にも対応しています。

引越しから保守まで、まとめて対応できるのが弊社の特徴になります。

保守サービスは2022年からになります。

もともとはサイト移転のご依頼が中心だったのですが、サービスを続けていく中で「移転したあとも見てもらえませんか」というご相談を多くいただくようになりました。

ただ当時は、案件数や人員の問題もあって、自信を持って保守を提供できる体制が整っていなかったんですね。

需要があるのは分かっていたのですが、片手間でやるのは良くないと思っていて、体制が整うまではあえてサービス化していませんでした。

その後、人員も増えて対応体制が整ったタイミングで、責任を持って提供できると判断し、正式に保守サービスを開始しました。

そうですね。
サーバー移転をきっかけに、その後の管理もお願いしたいというご相談は以前から多くて、そうしたお声に応える形でサービス化しました。

一番大きいのは、長年の運用の中で体制や仕組みを整えてきたことですね。

もともと弊社はサーバー移転の案件を数多く対応してきたのですが、毎月多くの案件を、ミスなく、安全に、納期通りに進める必要がありました。

その中で、案件管理の仕組みやチーム内のコミュニケーション方法、作業体制などを、少しずつ改善しながら効率化してきました。

その積み重ねによって、品質を落とさずに安定してサービスを提供できる体制が整ったので、現在の価格帯でも事業として成り立つ形になっています。

そうですね。基本的にはメール・電話・ビデオ会議など、オンラインでの対応が中心になります。

その中で、対面がいいとおっしゃるお客様については、実際の心情としては「相手のことがよく分からないのが不安」というケースが多いんですね。

ですので、電話やビデオ会議でしっかりコミュニケーションを取ることや、丁寧に状況をご説明することを大切にしています。

結果、「対面でなくても、きちんと対応してもらえそうなので安心しました」と言っていただくことも多いです。

オリジナルテーマだからお断りした、というケースはこれまで一度もありません。
かなり複雑な作りのサイトでも、内容を確認したうえでお受けしています。

ただ例外として、WordPressの中にEC機能を組み込んでいるサイトは、状況によってお受けできないことがあります。
万一WordPressが攻撃を受けたとき、ECサイトの場合は特にリスクが大きくなるためです。

ECについてはShopifyやBASEのような専用サービスを使う方が、安全に運用できることが多いと思います。

圧倒的に多いのは、スタンダードプランですね。

ライトプランでも死活監視や障害時の対応は行えますが、WordPress本体やプラグイン、サーバー側の設定などのメンテナンスは含まれていません。

WordPressは定期的にアップデートが行われる仕組みなので、月次メンテナンスをしない状態が続くと、どうしてもハッキングのリスクが上がってしまいます。

また、メンテナンスをしっかり行っておくことで、表示速度の低下や、SEOへの悪影響を防ぐといったメリットもあります。

セキュリティ対策だけでなく、サイトを正常な状態で運用し続けるという意味でも、スタンダードプランを選ばれるクライアントさんが多いですね。

プレミアムプランは、軽微な修正対応まで含まれているプランなので、日常的に更新や修正が発生するクライアントさんに向いています。

ほとんど更新をしていないクライアントさんの場合は、そこまで必要ないと判断されて、スタンダードプランを選ばれることも多いですね。

ただ、この機会にお伝えしたいこととして、「新しい情報がまったく更新されていないサイトは、あまり良い状態とは言えない」と思っています。

例えば取引先やお客様がサイトを訪問したときに、情報が何年も更新されていないと「この会社は今もちゃんと動いているのかな」と不安に思われてしまうこともあります。

小さなお知らせを定期的に更新するだけでも、見る側の安心感は大きく変わります。

はい、契約期間内でのプラン切り替えは可能です。

弊社の場合は月単位でプラン変更ができるので、普段はスタンダードプランで運用して、更新が多い期間だけプレミアムプランにするといった使い方もできます。

必要なときだけ上位プランにすることで、コストを抑えながら安全に運用することもできますので、その点も安心していただける部分かなと思います。

そうですね。
サービス内容や対応範囲が、中小企業さんの規模に合う形になっていると思います。

例えば大企業の場合ですと、専用サーバーやクラウド環境を使っていたり、24時間365日の対応を求められたりと、必要になる保守のレベルがかなり高くなることがあります。

弊社でも監視は行っていますが、障害対応は営業時間内が基本になりますので、常時待機が必要なような体制までは、現状の価格帯では難しい部分があります。

そのため、大企業さんからすると「料金は安いけれど、必要な対応範囲を満たしていない」と感じられることもあり、実際にご相談をいただいても、正直にお伝えして、結果ご依頼には至らなかったこともありました。

結果として、「専任担当を雇うほどではないけれど、ホームページはしっかり運用したい」という中小企業さんに一番合っているサービスになっていると思います。

まずは、弊社の公式サイトからご相談をいただいて、現在の状況をヒアリングさせていただくところから始まります。

• ハッキングされたので復旧したい
• 今は問題ないが将来が不安
• 自社管理しているがアップデートが怖い

など、お客様ごとに状況が違いますので、まずはどういった課題を抱えているかを詳しくお聞きします。

そのうえで、「この状態であればこのプランがおすすめです」といった形で、最適なプランをご提案させていただきます。

内容にご同意いただければご契約となり、その後、WordPressの保守対応を開始するという流れになります。

そうですね…。
初期費用が発生したのは過去に1〜2件あったほどで、非常に稀な事例だったと思います。

ひとつは、テーマが原因でした。
何年も前に開発が終了しているテーマをお使いで、最新のWordPressやPHPに対応しておらず、バージョンアップができない状態だったんですね。

新しいプラグインも入れられず、メンテナンス自体ができない状況でしたので、見た目はできるだけ変えずにテーマを変更する、ほぼリニューアルに近い作業が必要になりました。

その場合、プレミアムプランに含まれている「既存コンテンツの修正対応」の範疇を超えてしまうため、スポット対応として作業を行ったあとに、保守をスタートする形になりました。

もうひとつは、サーバー環境がかなり古い状態でした。

PHPも7.3までしか対応していないような古いホスティングサービスで、先にサーバー移転が必要だったんですね。

その場合は、弊社のサーバー移転サービスをご依頼いただいたあとに、保守を開始する形になりました。

そうですね。
WordPressのバージョンがとても古いなどの場合は、保守の月額費用の中で対応しています。

正直なところ、内容によっては初月が赤字になることもあります。
ただ、一度環境を整えてしまえば、その後の工数は落ち着きますので。

長いお付き合いを前提に考えていますから、最初に少し手間がかかっても、全体として安定した運用ができる状態を作ることを大事にしています。

最初にお話しした通りですが、ここ数年におけるAIの普及で、WordPressを取り巻く状況はかなり変わってきていて、以前よりも規模に関係なくサイトが狙われやすくなっていると感じています。

実際にご相談をいただく中でも、「まさか自分たちのサイトが対象になるとは思わなかった」というケースは本当に増えています。

そういう意味では、何か起きてから対応するというより、問題が起きる前に最低限の対策をしておくという考え方が、これからは大事になってくると思います。

もう一つお伝えしたいのは、保守というのは長くお付き合いするものなので、料金やサービス内容だけでなく、相談しやすいか、きちんと話を聞いてくれるか、安心して任せられるか、といった部分も大切だということです。

弊社としては、ホームページの文章だけでは分からない部分も含めて、安心してご相談いただける体制を整えているつもりですので、少しでも不安があれば、まずは気軽にご相談いただければ嬉しいです。