WordPressを安全に運用するための、毎月の確認事項

01

「更新」は3つに分類できます

WordPressのサイトで「更新」と言うとき、実は種類の違うものが混ざっています。どれも放っておくとサイトが止まったり、危険にさらされたりしますが、確かめる場所も、担当する人も違います。まず、何の更新なのかを分けておきます。

この3つを、誰が見守っているのかが決まっていれば、毎月の確認は短い時間で済みます。以下、分類ごとに確かめることを整理します。

02

サイトの更新は、確かめてから、滞らせずに行います

WordPress本体、プラグイン、テーマの更新には、新しい機能のほか、見つかった問題の修正が含まれます。特にセキュリティの修正は、公開されたその日から、まだ更新していないサイトを狙う動きが出てくることがあります。

WordPressには、自動で更新する仕組みがあります。自動更新を有効にしておくと、多くの修正は出てすぐに反映されます。ただし、サーバーの設定やプラグインとの相性で止まっていることもあるため、更新されているかは確かめます。

大きな更新（メジャーアップデート）は、出てすぐには更新せず、不具合の報告がないか、安定した版であることが確かめられるまで、数週間見送ることもあります。これは慎重な判断です。ただし、数か月にわたって更新が放置されているなら、きちんと管理されているとは言えず、サイトはセキュリティの危険にさらされたままになります。

更新の前にはバックアップを取り、更新の後には、主なページやフォームが正しく動くかを確かめます。

03

PHPやデータベースも、古いままにしません

PHPやデータベースにも、版ごとにサポートの期間があります。期間が終わった版は、問題が見つかっても修正されません。WordPress本体を最新にしていても、PHPが古いままでは、サイト全体としては安全とは言えません。

PHPの版を上げると、古い書き方のテーマやプラグイン、独自に作った機能が動かなくなることがあります。そのため、版を上げる前に動作を確かめ、必要なら手直しをしてから切り替えます。手直しに手間がかかる場合は、その範囲と費用を確かめたうえで進めます。

04

契約と証明書の期限を見守ります

ドメインとサーバーの契約には、期限があります。更新を忘れると、サイトが表示されなくなるだけでなく、そのドメインのメールも届かなくなります。SSL（URLが「https」で始まる、通信を守る仕組み）の証明書にも期限があり、切れるとブラウザに警告が出ます。

多くのレンタルサーバーでは、SSLは自動で更新されますが、ドメインの設定を変えたときなどに止まることがあります。管理を任せている場合は、誰が期限を見守っているかを確かめておきます。

05

任せていても、更新されているかを確かめます

更新を制作会社や保守の担当者に任せている場合も、任せきりにはしません。保守を任せている場合、管理画面に更新のお知らせが表示されないよう、あえて設定されていることもあります。「お知らせが出ていないから大丈夫」とは限らないので、注意が必要です。

ときどき、WordPress本体と主なプラグインの今の版、最後に更新した日、PHPの版、見送っている更新があればその理由を尋ねてみてください。きちんと管理している担当者なら、すぐに答えられるはずです。数週間の見送りには理由があることが多いですが、数か月たっても更新されていないなら、理由を確かめます。

予約や会員の仕組みなど、独自に作った機能の多いサイトでは、その機能は、特定の版のWordPressやPHPで動くことを確かめて作られています。更新が滞っているということは、作った側が自分たちの書いたコードを、新しい版に合わせて保守できていないということでもあります。大きな更新で手直しに手間がかかり、保守とは別に費用がかかる場合も、説明を受けたうえで、放置せずに対応してもらいます。

• WordPress本体、主なプラグイン、テーマの今の版
• 最後に更新した日
• PHPとデータベースの版
• 見送っている更新と、その理由

06

定期的にバックアップを取るようにします

どの分類の更新でも、うまくいかなかったときに戻せることが前提です。バックアップは、取ってあるだけでなく、そこから元に戻せることが大切です。どこに、どのくらいの間隔で、何世代分を残しているか。サイトのファイル（wp-content フォルダの中の、テーマ、プラグイン、アップロードした画像など）とデータベースの両方が含まれているか。一度は確かめておきます。

レンタルサーバーの多くには、自動でバックアップを取る機能があります。保守を任せている場合は、バックアップの取り方と、戻すときの手順を、担当者に確かめておきます。

07

アカウントを見直し、使っていないプラグインやテーマは削除します

管理画面の「ユーザー」の一覧に、退職した人や、作業が終わった人のアカウントが残っていないかを確かめます。見覚えのない管理者のアカウントがあれば、不正に作られた可能性があるので、すぐに確かめます。アカウントは人ごとに分け、パスワードは推測されにくいものにします。編集の権限では、ユーザーの一覧は見られないため、その場合は管理者の権限を持つ担当者に見直しを頼みます。

有効にしていないプラグインやテーマも、サイトの中に残っていれば、問題が見つかったときの入口になりえます。試しに入れたまま使っていないもの、開発や更新が長く止まっているものは、削除します。

08

問い合わせフォームが届くかを確かめます

問い合わせフォームは、届かなくなっても気づきにくいものです。更新のあとや、月に一度、自分でテストの送信をして、通知のメールが届くかを確かめます。

09

自分で確かめることと、任せることを分けます

これらをすべて自分で行う必要はありません。日々の更新は自分で行い、更新の作業やバックアップ、不具合への対応は保守として任せる、という分け方もできます。大切なのは、誰が何を確かめるかを決めて、確かめない項目を残さないことです。

10

Harmony Webの保守では

ここまでは、誰に保守を任せる場合も確かめておきたいことでした。Harmony Webで保守をお引き受けしている場合は、次のように進めています。

11

何から確かめればよいか分からないときは

長く更新していない、誰が保守をしているのか分からない、という場合は、まず今の状態を確かめるところから始めます。WordPressとPHPの版、使っているプラグイン、バックアップの有無が分かれば、何を先に直すべきかが見えてきます。

毎月の確認を任せたい、一度今の状態を見てほしい、というご相談もお受けしています。