WordPressの運用方法｜
毎月やること

WordPressの運用方法を毎月に落とすと、作業は三つに分かれます。公開中のプログラムを新しい版へ寄せる更新、ファイルとデータベースを別の場所へ残すバックアップ、管理画面へ入れる人を見直すユーザー確認です。この三つを同じ週にまとめると、どれを先にしたか後から辿れます。ばらばらに触ると、表示が崩れたときに「更新のせいなのか、権限を変えたせいなのか」が分かりません。

毎月の起点は、管理画面のダッシュボードです。更新通知の数、サイトヘルスの警告、最後にログインした日時、コメントやフォームの未処理を先に見ます。通知が多いほど急いで全部押したくなりますが、先に現状のスクショかメモを残します。トップ、下層の代表ページ、問い合わせフォーム、管理画面の投稿一覧の四つを残しておくと、更新後の見比べが速くなります。

サーバーのディスク残量とPHPの版も、同じ日に一度だけ確認します。残量が少ないとバックアップが途中で止まり、PHPが古いと本体の更新が選べなくなります。レンタルサーバーのコントロールパネルに版と残量が出ていることが多いです。数字を記録しておけば、来月「急に更新できなくなった」ときの比較になります。

更新

更新の対象は本体、プラグイン、テーマの三つです。管理画面の「更新」に並ぶ項目を、名前と現在の版、提供元の最終更新日まで控えます。捨てたはずのプラグインが無効のまま残っていると、更新対象に出続けます。無効でもファイルはサーバーに残るので、使っていないものは削除の判断を別枠で残します。削除そのものは、バックアップのあとです。

更新を押す前に、そのプラグインやテーマが今のPHPと本体の版で動くかを、配布元の説明で確認します。説明に「この本体以上」と書いてあるのに、自分の本体がそれより古い場合は、プラグイン側を先に上げると管理画面が開けなくなることがあります。逆に本体だけ先に上げると、古いプラグインが管理画面を止めることもあります。どちらの失敗も、バックアップがあれば戻せます。順番の決め方は次の章に分けます。

更新後は、公開面と管理面を同じ順で見ます。トップのスライダーやメニュー、下層の表組み、フォームの送信テスト、管理画面の投稿編集、メディアのアップロードです。キャッシュ系のプラグインが入っている場合は、確認の前にキャッシュを消します。消さないと、直った画面と古い画面が混ざって見えます。確認で崩れていたら、それ以上の更新は止めて、バックアップからの戻しを先にします。

バックアップ

バックアップは、更新の前と、大きな記事追加の前に取ります。毎月の運用では、更新作業の週に必ず一代残す、と決めておくと漏れません。サーバー付属のバックアップだけに頼ると、同じ障害でバックアップも消えることがあります。可能なら、サーバーの外へファイルとデータベースを写します。取り方の手順はWordPressバックアップの取り方に分けて書いています。

残す世代は、最低でも直近と、その前の成功分の二つです。一つだけだと、気づかずに壊れた状態を上書きして残すことがあります。日付、対象（ファイルかデータベースか両方か）、保存先、復元の試しをしたかをメモします。復元の試しは毎月でなくてよいです。四半期に一度、テスト用の場所へ戻せるか確認するだけで、本番の失敗が減ります。

バックアップの成功を、ジョブが「完了」と出しただけで信用しないでください。ファイルサイズが極端に小さい、データベースの書き出しが数キロバイトしかない、保存先のフォルダが空、といった失敗はよくあります。書き出した日付とサイズを、前回の記録と並べます。半分以下になっていたら、中身を開いてテーブルやwp-contentが入っているかを見ます。

ユーザー確認

ユーザー確認は、誰が管理者で入れるかを毎月見ることです。制作が終わったあとに、制作会社の担当、アルバイト、昔の委託先のアカウントが残ることがあります。管理者権限の人数は、実際に更新する人だけに寄せます。投稿だけする人は「編集者」や「投稿者」へ下げます。使っていないアカウントは、バックアップのあとで削除するか、ログインできない状態にします。

確認する項目は、ユーザー名、メールアドレス、権限、最終ログイン、二段階認証の有無です。最終ログインが出ない環境では、メールアドレスが今も届く宛先かを先に見ます。届かない宛先の管理者アカウントは、パスワード再設定もできません。自分の予備アドレスを別の管理者に付けるか、サーバーのデータベースからメールを直す必要が出ます。ここは失敗しやすいので、自信がなければ触る前に記録だけ残します。

アプリケーションパスワードや、外部サービス連携用の接続もユーザー確認に含めます。連携を止めたあとにキーが残っていると、管理画面の外から投稿やユーザー操作が残ります。使っていない連携は切り、残す連携は発行日をメモします。ユーザー名がadminのまま、パスワードが使い回し、という状態は、更新より先に直した方が被害は小さくなります。ログインURLの変え方はログインURL変更にあります。

更新の順番を固定すると、壊れ方が再現しやすくなります。サイト当番が自分で進めるときに勧める順は、バックアップ、プラグイン、テーマ、本体です。本体を最後にする理由は、本体の版が変わるとプラグイン側の互換表示が変わり、先に本体だけ上げると管理画面が白くなる事故が起きやすいからです。ただし本体に緊急の修正が出ている週は、バックアップの直後に本体を先にします。緊急かどうかは、配布元の更新説明に「セキュリティ」と書かれているかで判断します。

プラグインは、一度に全部上げない方が切り分けやすいです。セキュリティとバックアップに関わるもの、フォーム、会員や決済、表示を変えるもの、の順で一塊ずつ上げます。一塊ごとに公開面を見ます。決済や予約が入っているサイトは、テスト送信やテスト予約まで含めます。失敗した塊だけ戻せば、他は新しい版のまま残せます。全部まとめて上げると、どれが原因か分からず、全部戻すことになります。

テーマの更新は、子テーマを使っているかどうかを先に確認します。親テーマだけを更新すると、子テーマの上書きは残りやすいです。親テーマを直接いじっているサイトは、更新でカスタムが消えます。カスタムの場所が分からない場合は、テーマ更新をその月は見送って、ファイルの差分を別日に確認します。見送りも運用です。無理に新しい版へ寄せない判断を、記録に残します。

本体の更新は、メジャーとマイナーを分けて考えます。マイナーは不具合とセキュリティの修正が中心です。メジャーは管理画面の操作やブロックの扱いが変わることがあります。メジャーを当てる月は、プラグインとテーマの互換を長めに見ます。PHPの版が本体の要求より古い場合は、本体より先にPHPを上げる相談になります。PHPを上げると古いプラグインが止まることもあるので、ここはサーバー操作とWordPress操作を同じ日に混ぜない方が安全です。

更新を止める判断も順番の一部です。配布元の更新が一年以上止まっている、今の本体で「互換なし」と出ている、有料プラグインの契約が切れて更新ファイルが来ない、といった場合は、上げない理由を残します。放置してよいという意味ではありません。代替のプラグインを探すか、機能を読み込まない形へ寄せるか、保守側へ渡す材料になります。止めた項目は、翌月のユーザー確認と同じ一覧で見ます。

運用保守としてのバックアップは、取る作業と、戻せる状態を保つ作業の二つです。取るだけだと、保存先の権限が変わっていた、容量が溢れて上書きに失敗していた、暗号の鍵を忘れて開けない、といったことに月末まで気づきません。毎月の運用では、取った事実、保存先、サイズ、復元手順の所在を同じメモに残します。復元手順がサーバー会社のヘルプのまま放置されていると、夜間に戻れません。

対象はファイルとデータベースです。ファイルは、少なくとも wp-content と wp-config.php と、公開直下の設定ファイルです。テーマのカスタム、アップロードした画像、必須プラグインの設定ファイルは wp-content に集まります。データベースには投稿、ユーザー、設定、フォームの受信が入ります。ファイルだけ戻しても投稿が古く、データベースだけ戻しても画像が欠けます。毎月の一代は、両方を同じ日付で残します。

保存先は、公開しているサーバーとは別が原則です。同じサーバーの隣のフォルダだけだと、誤削除とディスク障害で同時に消えます。手元の暗号化ディスク、別アカウントのオブジェクトストレージ、サーバー会社の別領域のうち、自分が開ける場所を一つ決めます。複数に置く場合も、どれが正本かを決めます。正本が二つあると、戻すときに新しい方を捨ててしまうことがあります。

自動バックアップを入れている場合でも、毎月一度は手動の確認を残します。自動は、失敗を通知しない設定のまま動き続けることがあります。管理画面のジョブ履歴、保存先の最新日付、サイズを見ます。プラグインで取る方法の選び方はバックアッププラグインに分けています。プラグインに頼らない取り方は、バックアップ記事の手動の章を使います。

サイト当番のWordPress保守では、ファイルとデータベースを日次で別領域に残し、世代を管理します。自分で毎月一代だけ残しているサイトは、その習慣を止めずに、日次を足すかどうかを後から決められます。日次が必要かどうかは、投稿の頻度と、壊れたときに何日分まで戻せればよいかで分かれます。お知らせを週に数本出すサイトと、年に数回しか触らないサイトでは、同じ「毎月」でも足りる密度が違います。

毎月の運用に載せるセキュリティは、新しい製品を足すことより、今ある入口を閉じることです。管理画面のログイン、ユーザー権限、本体とプラグインの更新遅れ、残っている無効プラグイン、です。設定の細かい手順は管理画面のセキュリティ対策に分けます。ここでは、毎月の点検でどこを見ればよいかだけを固定します。

最初に見るのは、管理画面へ入れる経路です。ログインURLが初期のままか、失敗が続いたあとに制限があるか、管理者の人数は何人かを書きます。次に、サイトヘルスと更新画面の警告です。警告を全部その場で消そうとせず、今月直すものと来月へ送るものを分けます。PHPの古い警告は、更新の順番と同時に扱わないと管理画面が止まります。

公開面では、見知らぬリダイレクト、見知らぬ管理者ユーザー、テーマに覚えのないスクリプト、検索結果での警告がないかを見ます。兆候の切り分けと、触ってはいけない範囲は改ざんの検知にあります。怪しいファイルを自分で消して公開を続ける判断は、バックアップと隔離のあとです。先に消すと、原因の場所が分からなくなります。

死活の監視は、毎月の作業とは周期が違います。サイト当番ではサーバーの死活を全プランで24時間365日、1秒単位で見ます。マルウェアと改ざんの常時監視はスタンダード月額17,800円以上です。兆候が出たあとは、自動で決めた手順を走らせつつ、人が本当に問題かを見てから先へ進めます。毎月の手動点検は、この常時の監視の代わりではありません。手動は、更新と権限のように、人の判断が必要な項目を残すための時間です。

セキュリティの作業を外注へ出すときも、ランキングで業者を並べる必要はありません。今の制作会社との関係を残したまま、更新と監視だけを渡す形でも回ります。渡す材料は、ユーザー一覧、更新の遅れ、バックアップの有無、サーバーとDNSの名義です。材料が揃っていると、見積もりの前に「どこから入るか」が決まります。

運用費用は、サーバー代と、人の作業時間と、止まってから直す費用に分かれます。サーバー代は毎月ほぼ固定です。人の作業時間は、更新と確認に半日かかる月と、通知が少なく30分で終わる月があります。止まってから直す費用は、自分の営業が止まった時間と、緊急の復旧です。サイト当番の緊急対応は税別29,800円からです。月額の内訳比較は料金ページにあります。ここ以外の金額は作りません。

自分で毎月回す場合の費用は、作業時間の合計です。更新の確認、バックアップの検証、ユーザー確認、表示チェックを一度も飛ばさないと、慣れても1サイトあたり1時間前後は残ります。プラグインが多い、子テーマの差分がある、フォームが複数ある、といった条件で伸びます。時間を金に換算する必要はありません。その時間が毎月確保できるかが、自分運用を続ける条件です。

月額保守へ寄せる場合、サイト当番のWordPressはスタンダード月額17,800円（税別）が基本枠です。更新が少ないサイトはライト月額8,800円から、止められないサイトや複数サイトはプレミアム月額34,800円です。ライトでも死活は24時間365日、1秒単位です。マルウェアの常時監視はスタンダード以上です。料金を比較するときは、更新代行の件数、バックアップの密度、監視の対象が月額に入っているかを見ます。入っていない作業を後から足すと、月額の意味が変わります。

スポットだけで運用する方法もあります。引っ越しは税別19,800円から、WordPressの手前に配信を置く作業は税別14,800円からです。スポットは、今困っている一点を先に終わらせる向きです。毎月の更新とユーザー確認までスポットで頼むと、依頼のたびに経緯を説明する時間が残ります。記録が残っていないサイトほど、スポットの前に現状のメモを作った方が安く済みます。

費用の見直しは、更新の件数と、止められない時間帯で行います。お知らせを月に3件まで差し替えるだけなら、スタンダードの更新代行枠で足りることが多いです。予約が昼に止まるサイトは、監視の密度と優先対応の方が効きます。プレミアムは緊急を月額側で優先します。どの枠にするかは、今のサイトの止め方を見てから決めます。先に高い枠を選ぶ必要はありません。

運用方法は、一度決めたら一年同じ、にはなりません。プラグインが増えた、担当が変わった、PHPのサポート期限が近づいた、問い合わせの経路が変わった、といった変化で、毎月の三つだけでは足りなくなります。見直しの起点は、先月の記録です。更新に何分かかったか、見送りは何か、バックアップのサイズは前回と比べてどうか、ユーザーは増減したかを並べます。

見直す対象は、手順、担当、権限、保存先、連絡先です。手順が長いのに誰も読んでいないなら、毎月やる三つだけに戻します。担当が一人に寄っているなら、予備の管理者を一人足します。権限が広い人が増えているなら、その月のユーザー確認を厚くします。保存先が同じサーバーのままなら、外へ写す月を決めます。連絡先が個人の携帯だけなら、共用のメールへ寄せます。

見直しでやりがちな失敗は、新しいプラグインを足して運用を楽にしようとすることです。キャッシュ、セキュリティ、バックアップ、SEOのプラグインを同時に足すと、更新の対象が増え、毎月の時間が戻ってきます。足す前に、今の手順のどこが時間を食っているかを書きます。確認の手順が長いだけなら、チェックリストを短くする方が先です。バックアップが失敗しているなら、プラグインを足す前に保存先と容量を見ます。

半年に一度は、使っていないプラグインとテーマを消す見直しを入れます。無効のまま残っていると、脆弱性の対象が減りません。消す前にバックアップを取り、消した名前を記録します。親テーマを消す、必須プラグインを消す、といった操作は見直しの対象外です。分からない名前は、配布元と有効化日を調べてから残すか消すかを決めます。調べても分からないものは、その月は残して、翌月の記録に「要確認」と書きます。

制作会社が残っているサイトは、運用の境界を見直します。デザインの改修は制作側、更新と監視は運用側、という分け方が残ると、両方に同じ管理者権限が残ります。権限が残る理由を毎月確認し、作業が終わったアカウントは下げます。境界が曖昧なままだと、更新で壊れたときにどちらが戻すかが決まりません。戻す手順を持っている側を、運用の主担当にします。

記録は、美しい報告書である必要はありません。日付、やったこと、見送り、結果、次に見ること、の五行で足ります。ツールは、共有できるメモか表で十分です。管理画面の中だけに残すと、管理画面が開けない日に記録も消えませんが、開けない日に読めません。公開していない場所へ、同じ内容を残します。

残すと後が楽な項目は、本体とPHPの版、有効プラグインの名前と版、テーマ名、バックアップの日付とサイズと保存先、管理者の人数、確認したURL、フォームのテスト結果です。スクショは、崩れたとき用にトップとフォームだけで足ります。全部の画面を残すと、翌月見る気が減ります。必要な画面だけを、ファイル名に日付を付けて置きます。

見送りの記録は、実施の記録より後で効きます。テーマ更新を止めた理由、プラグインを上げなかった理由、ユーザーを消さなかった理由を一行で残します。理由がない見送りは、翌月「なぜ残っているのか」から始まります。理由があれば、本体の版が上がった月に再評価できます。脆弱性の照合が必要になったときも、見送り一覧がそのまま材料になります。

障害の記録は、毎月の運用記録とは分けます。起きた時刻、最初に見た画面、触った操作、戻した世代、公開を止めたかどうか、です。同じファイルに混ぜると、毎月の作業と緊急の作業が後から区別できません。緊急のあとは、通常の毎月へ戻る日付を決めます。戻る前に、同じ障害が再発しないよう、ユーザー確認か更新の順番のどちらを変えるかを一行足します。

記録を残す人と、実際に更新する人が違う場合は、操作の可否を記録側に書きます。サーバーへ入れる、データベースを書き出せる、管理画面の管理者である、DNSを触れる、は別の鍵です。鍵を持っていない人が「バックアップ済み」と書くと、実体がありません。鍵の所在を四半期に一度確認します。担当が変わった月は、ユーザー確認を厚くし、古い鍵を閉じます。

自分で難しいと感じる時点は、だいたい決まっています。更新のあと管理画面が開かない、バックアップのサイズが毎月違う、管理者アカウントの所在が分からない、PHPを上げないと本体が更新できない、制作会社と連絡がつかない、です。この段階で新しいプラグインを足すと、入口が増えます。先に現状の公開URL、管理画面の有無、最後に成功したバックアップの日付を書き出します。

更新で壊れるのが怖い、毎月の時間を確保できない、複数サイトを同じ順で回せない、といった場合は、自分で全部を抱える必要はありません。サイト当番のWordPress保守は、本体とプラグインとテーマを確認したうえで更新し、日次バックアップと死活監視を同じ窓口で回します。スタンダード月額17,800円（税別）が基本枠です。更新の少ないサイトはライト月額8,800円から選べます。

渡す前に揃えるものは、公開URL、管理者で入れるかどうか、サーバーの契約名義、今の記録の有無です。記録がなくても見られます。あると、見送りの理由とユーザーの経緯が残り、初月の更新が速くなります。制作との関係を残したまま、更新と監視だけを渡す形も使えます。権限は必要な範囲だけを共有します。

すでに表示がおかしい、ログインできない、改ざんの警告が出ている、という状態は、毎月の運用の話ではありません。ログインの切り分けはログインできないとき、改ざんの応急は改ざん記事、感染後の隔離はハッキング記事へ分けています。月額の監視と、起きたあとの緊急は別です。緊急は税別29,800円からです。人が問題かを見てから進めます。