ホームページの保守は、必要だと私は考えています。作って終わりにせず、保守管理までお願いするのがいい、という考えです。
一般的な話としての例外は、社内にエンジニアや Web 制作のプロがいて、トラブルが起きたときも対応を進めてくれる場合です。それなら保守は頼まず、ホームページを買い切りにする形でいいと思います。もっとも、そこまでの人が社内にいれば、そもそも制作を外に頼まないでしょうが。
これから AI を使える人が増えるので、自分たちで見られるのでは、と迷うところかもしれません。ただ、他人が作ったコードの保守管理ほど大変なものはありません。そこに時間を割くくらいなら、依頼した方がいいと考えています。
この記事では、保守で何をするのか、保守をしないと何が起きるのかを書きます。2026年11月時点の内容です。
ホームページの保守では、何をしてもらえる？
保守の中身は制作会社ごとに違います。Basiy の保守の場合は、こうなっています。
- WordPress 本体・テーマ・プラグインの更新
- 定期バックアップと復旧対応
- 障害が起きたときの一次対応
- 軽微なテキスト・画像の修正（月2箇所まで）
- サーバー・ドメインの更新に関するご相談
月額は15,000円（税別）で、Googleマップの運用代行（MEO）とあわせてご契約の場合は10,000円（税別）です。制作費とあわせた全体の見方は、ホームページ制作の費用は何で変わる？ページ数のほかに差が出るところにも書いています。
プラグインは機能を足す部品、テーマはサイトの見た目の土台です。どちらも WordPress の本体とは別に更新が出るので、更新の対象は3種類になります。Basiy では、更新の手間とセキュリティの面から、プラグインは極力入れないように作っています。
更新を確かめるときに大事だと考えているのは、プラグインの更新の頻度、WordPress のバージョン、PHP のバージョン、そして定期のバックアップです。
保守をしないと、更新は誰がやる？
Basiy では、保守なしの契約はしていません。ここからは、もし保守をしない場合はどうなるか、という前提で書きます。
保守をしない場合、更新は自分でやることになります。
WordPress.org の公式の記載では、公式にサポートされるのは最新版だけです。古い版にも修正を反映することはありますが、それはセキュリティチームの好意による対応と書かれています。
自動更新の仕組みはありますが、全部が自動で済むわけではありません。WordPress.org のドキュメントによると、WordPress 5.6 以降では、本体のマイナー更新とメジャー更新は既定で自動です。一方、プラグインとテーマの自動更新は、既定では動きません。WordPress.org の判断で、重大な脆弱性を直すときなど特別な場合に限られます。つまり、プラグインとテーマの更新は、誰かが管理画面を開いて確かめる必要があります。
更新の前にはバックアップも必要です。WordPress.org のドキュメントには、更新の前にサイト全体とデータベースのバックアップがないと、元に戻すのはほぼ不可能だと書かれています。IPA（情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」も、CMS などの脆弱性対策を定期的に行うことを求めています。あわせて、更新するとそれまで動いていた Web アプリが正常に動かなくなることがあるので、更新の前にテストが必要だとも書いています。
更新して、壊れていないかを確かめて、壊れていたらバックアップから戻す。保守をしない場合は、この一連の作業を自分でやるか、何か起きてからそのつど頼むかになります。
更新を止めると、何が危ない？
WordPress 本体の脆弱性は、実際に起きています。IPA は2026年7月22日、WordPress の脆弱性対策について注意喚起を出しました。2つの脆弱性を組み合わせると、管理者権限などがなくても、遠隔でコードを実行される可能性があるという内容です。WordPress.org は影響を受ける版に自動更新を有効にしており、IPA は、ダッシュボードで更新されているかを確認し、更新されていなければ手動での更新を検討するよう求めています。
PHP も同じです。PHP は、WordPress を動かしている言語です。PHP の公式では、各版は積極サポート2年とセキュリティ修正のみの2年、あわせて4年で、その後はサポート終了です。2026年11月時点の現行の表では、次の期限になっています。
- PHP 8.2: セキュリティ修正が2026年12月31日まで
- PHP 8.3: 2027年12月31日まで
- PHP 8.4: 2028年12月31日まで
- PHP 8.5: 2029年12月31日まで
この表は現在サポート中の版だけです。サポートが終わった版は別の表にあり、PHP 8.1 は2025年12月31日で終了しています（php.net の End of Life の表による）。
2026年10月21日、IPA は PHP のセキュリティリリースの公開予定を事前に知らせました。サポートが終わった古い PHP を使い続けているサイトも見受けられること、攻撃は極めて短い時間で行われるおそれがあること、公開されたらすぐに適用できるよう準備しておくことを求めています。
Basiy でも、9月の後半は WordPress 本体、10月の後半は PHP と、緊急の脆弱性の知らせが続きました。自社サイトの WordPress 本体は自動更新で修正版になり、PHP はサーバー会社が修正版に上げてくれるのを待ちました。詳しくは、WordPressはやめた方がいい？自社サイトをCloudflareに移して出した答えに書いています。
サポートが終わった版には、新しい脆弱性が見つかっても修正が出ません。サポート中の版でも、修正が出たあとに更新しなければ、古いままです。
保守をしないでトラブルになったら、費用はいくらかかる？
保守をしないサイトで何か起きてから制作会社や復旧の業者に頼むと、そのつどの見積もりになります。WordPress の復旧を請け負っている会社の目安では、乗っ取りの復旧費用は、軽度で5万円〜15万円、中度で15万円〜40万円、重度で40万円〜100万円超です（ファーストネットジャパン「WordPress乗っ取りの復旧方法と費用」、2026年10月29日更新）。被害の範囲や、正常なバックアップがあるかどうかで変わるとも書かれています。
そのつどの見積もりで、しかも脆弱性への対応となると、1回の対応で、毎月の保守の金額の2倍は軽く超えると私は見ています。そして、それは妥当な金額だと思います。
Basiy は保守なしの契約をしていないので、もし保守のないサイトの相談を受けるとしたら、緊急や特急の扱いになります。いまの通常の作業や営業の時間を削って対応することになるので、見積もると大変な金額になります。やりたくない、というのが正直な気持ちです。
1本目の記事にも書きましたが、𝕏 では、保守に入っていなかった方が、保守の範囲の外なので対応にきちんと費用が請求された、という話が流れていました。
静的なサイトにすれば、保守はいらない？
Basiy の自社サイトは静的なサイトに移しましたが、静的なページにしたからといって、セキュリティのリスクが完全になくなるわけではありません。たとえばお問い合わせフォームです。さくらインターネットのコラム（2023年1月更新）では、フォームのメールアドレス欄に他人のアドレスを入れ、本文にフィッシングサイトや広告のリンクを入れて送信し、自動返信の仕組みを使ってメールを送らせる手口が紹介されています。プログラムで何千、何万件と自動で実行され、フォームを置いているだけのサイトのサーバーから、大量のメールが送られることになります。Basiy でも、移す少し前にこの手口を目の前で見ていて、前のサイトのフォームの設定を直しました（WordPressはやめた方がいい？自社サイトをCloudflareに移して出した答え）。
AI の市場が盛り上がるのにあわせて、脆弱性やセキュリティへの対応は、これからも常に求められると考えています。
それを、本業を抱えた社長やスタッフ、パートの方が対応できるでしょうか？対応してもらったとして、何かあったときの責任は誰が持つのでしょうか？普段は勉強する時間もないのに、急に対応できるでしょうか？このあたりを天秤にかけると、毎月の保守を頼んだ方がいいと私は考えています。
保守を契約する前に、何を確かめればいい？
保守の月額は、金額だけで比べると中身の差が見えません。契約の前に、次の点を聞いてみてください。
- 更新の対象に、プラグインとテーマが入っているか
- プラグインをどのくらい使う作りか
- バックアップを、どのくらいの間隔で、どこに保管するか
- 障害が起きたとき、どこまで対応してもらえるか（一次対応なのか、復旧まで含むのか）
- 軽微な修正は、月に何箇所までか
- サーバーとドメインは、誰の名義で契約するか
最後のサーバーとドメインは、保守の話から少し外れますが、見落としやすいところです。Basiy では、どちらもお客様の名義で契約していただき、費用もお客様の負担です。保守の中には、更新に関するご相談が入っています。
Basiy の保守の月額と中身は、ホームページ制作のページの料金にまとめています。
まとめ
- ホームページの保守は必要。社内にエンジニアや Web 制作のプロがいて、トラブルにも対応できるなら、買い切りでもいい
- WordPress は最新版だけが公式にサポートされ、PHP は版ごとに期限がある。更新を止めたサイトは、修正が出ても古いまま残る
- 本体の自動更新は既定で動くが、プラグインとテーマの更新は既定では動かない。バックアップがなければ、更新で壊れたときに元へ戻すのはほぼ不可能
- 保守をしないでトラブルになると、そのつどの見積もりになり、毎月の保守の金額より高く見積もられることがある
- 静的なサイトでも、セキュリティのリスクは無くならない
- 契約の前に、更新の対象、プラグインの使い方、バックアップの間隔、障害時の範囲、軽微な修正の回数、サーバーとドメインの名義を確かめる
