ホームページ管理の実務ガイド｜自社でやるべき更新・セキュリティ対策・バックアップと、外注に切り替える判断基準

「ホームページの管理は総務の担当者が片手間で見ている」「WordPressの更新通知が出ているけれど、押してよいのかわからない」「バックアップがどこにあるのか、誰も把握していない」。大阪の中小企業でホームページの相談を受けていると、こうした状況によく出会います。

 

ホームページは公開した時点で完成ではなく、サーバーやドメインの契約、ソフトウェアの更新、データの保全といった管理を続けて、はじめて安全に動き続けます。この記事では、自社でホームページを管理している担当者、万が一のトラブルに備えておきたい担当者、リニューアルを検討している担当者に向けて、管理業務の全体像と、自社でやる場合の具体的な作業、外注に切り替える判断基準を整理します。

 

なお、更新しないまま放置した場合のリスクはホームページを更新しないとどうなる？SEO・AI時代のリスクと対策で、アクセス解析や集客の運用はホームページは作って終わりじゃない！公開後にやるべき運用3選で解説しています。ここでは、サイトを安全に動かし続けるための「技術的な管理」に絞ってお伝えします。

ホームページ管理（保守管理）とは：4つの領域

ホームページの保守管理とは、サイトが正しく表示され、安全な状態で動き続けるようにするための継続的な作業の総称です。ページの内容を増やしたり、集客を改善したりする「運用」とは目的が異なります。運用が「サイトを育てる仕事」だとすれば、保守管理は「サイトが壊れないように土台を守る仕事」です。

保守管理の作業は、大きく次の4つの領域に分けられます。

 

この4つは互いにつながっています。たとえばWordPressの更新は、作業前にバックアップがあって初めて安心して実行できますし、バックアップは復旧手順が確認できていなければ役に立ちません。どれか1つだけを丁寧にやっても、管理としては不十分です。この記事では、この4領域を前提に話を進めます。

2026年、ホームページ管理の手間が増えている理由

「数年前に作ったサイトだが、特に何もしなくても動いている」という会社も多いと思います。ただ、ここ1〜2年で、何もしないことのリスクは大きくなっています。理由は大きく3つあります。

PHPのサポート期限と脆弱性への対応

WordPressは、サーバー上のPHPというプログラム言語の上で動いています。PHPは各バージョンにサポート期限があり、PHP 8.1はすでに2025年12月末でサポートが終了しました。PHP 8.2も2026年12月31日でセキュリティ修正の提供が終わります。期限を過ぎてもサイトはそのまま表示されますが、新しい脆弱性が見つかっても公式の修正は出ません。

2026年10月には、PHPに深刻な脆弱性が公表され、サポート中のバージョンに修正版が提供されました。当社でも自社サイトのPHPとWordPressを最新版に更新しています。こうした対応は、サーバーのPHPを誰が更新する立場なのかを把握していないと、そもそも着手できません。

SSL証明書の有効期間の短縮

URLを「https」で表示するためのSSL証明書は、業界団体の決定によって有効期間が段階的に短くなっています。2026年3月15日以降に発行される証明書の最大有効期間は200日になり、2027年3月からは100日、2029年3月からは47日へと短縮される予定です。

これまで年1回だった更新が、年2回、年4回と増えていきます。レンタルサーバーの無料SSLのように自動更新される仕組みであれば大きな問題はありませんが、有料の証明書を手作業で更新している場合は、更新漏れで「この接続は安全ではありません」という警告が出るおそれがあります。自社のSSLが自動更新かどうかは、今のうちに確認しておきましょう。

WordPressの更新頻度と組み合わせの問題

WordPressは本体だけでなく、テーマやプラグインもそれぞれ別の開発者が更新しています。1つを更新すると、別のプラグインと相性が合わずに表示が崩れたり、問い合わせフォームが動かなくなったりすることがあります。更新を怠れば脆弱性が残り、更新すれば不具合のリスクがある。この板挟みが、自社管理の担当者を最も悩ませる点です。

自社で管理する場合にやること：頻度別チェックリスト

自社でホームページを管理する場合、作業を頻度ごとに整理しておくと抜け漏れを防げます。以下は、一般的な中小企業のWordPressサイトを想定した目安です。サイトの規模や機能によって調整してください。

週に1回程度

• トップページと主要ページが正しく表示されるかを、パソコンとスマートフォンで確認する
• 問い合わせフォームからテスト送信し、通知メールが届くかを確認する
• WordPress管理画面で、本体・テーマ・プラグインの更新通知が出ていないかを確認する

問い合わせフォームの確認は特に重要です。フォームが止まっていても、サイトの見た目は普段どおりなので、問い合わせが来ないことに気づくまで時間がかかります。

月に1回程度

• バックアップを取得したうえで、溜まった更新を適用し、表示とフォームを再確認する
• 使っていないプラグインやテーマが残っていないかを確認し、不要なものは削除する
• 管理画面にログインできるユーザーの一覧を見て、退職者や外部業者のアカウントが残っていないかを確認する
• Google Search Consoleで、セキュリティの問題やエラーの通知が出ていないかを確認する

年に1〜2回程度

• ドメイン・サーバーの契約期限、支払い方法（登録しているクレジットカードの期限を含む）を確認する
• サーバーのPHPバージョンが、サポート期間内のものかを確認する
• SSL証明書の更新方法（自動か手動か）と次回期限を確認する
• 管理に関わるID・パスワード・契約情報の一覧を更新し、社内の複数人が把握できる状態にする
• バックアップから実際に復元できるかを、テスト環境などで確認する

年1回の確認で見落とされやすいのが、支払いに使っているクレジットカードの有効期限です。カードの更新に伴って自動決済が失敗し、ドメインの契約が切れてしまうケースは珍しくありません。ドメインとサーバーの仕組みそのものについては、【初心者向け】ドメイン・サーバーとは？で解説しています。

セキュリティ対策の基本：更新・アカウント・権限

ホームページのセキュリティ対策というと、専用ツールの導入を思い浮かべるかもしれません。しかし、中小企業のWordPressサイトで被害につながりやすいのは、多くの場合、基本的な対策の抜けです。まずは次の3つの観点で、現状を点検してください。

1. ソフトウェアを最新の状態に保つ

WordPress本体、テーマ、プラグイン、PHPのいずれかに古いバージョンが残っていると、公開済みの脆弱性を狙った攻撃の対象になりえます。攻撃の多くは、特定の会社を狙ったものではなく、脆弱なサイトを機械的に探して自動で行われます。「うちのような小さな会社は狙われない」という考えは通用しません。

更新が止まったプラグインにも注意が必要です。開発者が更新をやめたプラグインは、脆弱性が見つかっても修正されません。最終更新日が長く空いているものは、代替のプラグインへの切り替えを検討しましょう。

2. ログイン情報とアカウントを管理する

• 管理画面のパスワードは、推測されにくい長いものにし、他のサービスと使い回さない
• 可能であれば、ログイン時の2段階認証を設定する
• 1つのアカウントを複数人で共有せず、担当者ごとにアカウントを分ける
• 退職者や契約が終わった外部業者のアカウントは、速やかに削除する

3. 権限を必要最小限にする

WordPressには、管理者・編集者・投稿者といった権限の段階があります。ブログを書くだけの担当者に管理者権限を与える必要はありません。権限を絞っておけば、万が一アカウントが乗っ取られた場合でも、被害の範囲を小さくできます。サーバーのコントロールパネルやFTPの情報も同様に、知っている人を限定しておきましょう。

ここで挙げた対策は、どれも被害を「ゼロにする」ものではなく、「起こりにくくする」ものです。だからこそ、次に説明するバックアップと組み合わせて考える必要があります。

サイトバックアップの考え方：何を、いつ、どこに、どう戻すか

バックアップは、侵入や改ざんを防ぐための対策ではありません。不具合や誤操作、被害が起きたあとに、サイトを正常な状態に戻すための手段です。「バックアップがあるから大丈夫」ではなく、「戻せる状態を用意してあるか」で考えることが大切です。

何を：ファイルとデータベースの両方

WordPressのサイトは、画像やテーマなどの「ファイル」と、記事の本文や設定が保存された「データベース」の2つで成り立っています。片方だけを保存していても、サイトは元に戻りません。プラグインなどでバックアップを取っている場合は、両方が対象になっているかを確認しましょう。

いつ：定期取得に加え、作業の直前に

定期的な取得に加えて重要なのが、WordPressの更新やデザインの修正など、サイトに手を入れる直前のバックアップです。作業後に不具合が出ても、作業前の状態に戻せば、すぐに元の表示を取り戻せます。当社でも、管理しているサイトの修正や更新を行う際にバックアップを取得してから作業に入っています。

更新頻度の高いサイトほど、取得の間隔は短くする必要があります。毎日のようにブログや施工事例を追加しているサイトで、1か月前のバックアップしかなければ、その間に追加した内容は失われます。

どこに：サイトと同じ場所だけに置かない

バックアップをサイトと同じサーバーの中だけに置いていると、サーバー自体の障害や、サイト全体が改ざんされた場合に、バックアップも一緒に使えなくなるおそれがあります。サーバーとは別の場所にも保存しておくのが基本です。関西では南海トラフ地震などの広域災害も想定されているため、保存先を物理的に分けておく考え方は、事業継続の観点でも意味があります。

どう戻す：復元手順を一度は試しておく

最も見落とされやすいのが、復元の確認です。バックアップのファイルは存在していても、いざ戻そうとしたら手順がわからない、ファイルが壊れていた、ということが起こりえます。少なくとも年に1回は、テスト環境などで実際に復元できるかを確かめておくと安心です。

レンタルサーバーの自動バックアップとの関係

多くのレンタルサーバーには自動バックアップの機能があります。便利な機能ですが、保存される期間、復元できる範囲、復元に費用がかかるかどうかは、サーバー会社やプランによって異なります。「サーバー会社がやってくれているはず」と思い込まず、契約しているプランの内容を一度確認しておきましょう。

トラブルが起きたときの初動

どれだけ備えていても、トラブルを完全に避けることはできません。慌てずに対応できるよう、よくある症状ごとに最初の動きを決めておきましょう。

 

改ざんが疑われる場合は、自己判断でファイルを削除したり、被害前のバックアップをすぐに上書きしたりするのは避けましょう。侵入の経路がふさがれていなければ、復元しても同じ被害を繰り返すおそれがあるためです。原因の調査と復旧は、サイトの構成を把握している専門家に任せるのが安全です。

いずれの場合も、「誰に連絡すればよいか」が決まっていることが初動の速さを左右します。サーバー会社、ドメインの管理会社、制作会社の連絡先を一覧にして、担当者以外も見られる場所に保管しておきましょう。

自社管理の限界と、外注に切り替える判断基準

ここまでの作業を自社で無理なく続けられるのであれば、自社管理は十分に成り立ちます。ページ数が少なく、更新の頻度も低いサイトであれば、外注しなくても管理できるケースはあります。一方で、次のような状況に当てはまる場合は、外注を検討するタイミングです。

 

判断の軸は「担当者が管理できるかどうか」だけではありません。「その担当者がいなくなっても管理が続くかどうか」も含めて考えることが大切です。自社で制作するか依頼するかの判断については、ホームページ制作会社に依頼するメリットと、自作との違いも参考にしてください。

保守管理を外注するときの確認ポイント

保守管理を外部に依頼する場合、「保守」という言葉の範囲は会社によって大きく異なります。契約前に、次の点を確認しておきましょう。

1. 作業の範囲：サーバー監視だけなのか、WordPressやプラグインの更新、文言や画像の修正まで含まれるのか
2. バックアップの取り方：取得のタイミング、保存期間、保存場所、復元を依頼したときの費用
3. トラブル時の対応：連絡の窓口、対応できる曜日と時間帯、改ざん時の調査や復旧が含まれるか
4. 契約の名義：ドメインやサーバーが誰の名義で契約されているか、解約時に引き継げるか
5. 報告の方法：どんな作業をいつ行ったかを、記録として共有してもらえるか

特に契約の名義は、後から問題になりやすい点です。ドメインが制作会社の名義のままだと、契約を見直したいときに手続きが複雑になることがあります。自社の資産として管理できる状態かを、必ず確認しておきましょう。

保守費用の相場や、費用を比較するときの見方は、ホームページ制作の費用相場と見積書の読み方の「公開後にかかる費用」で詳しく解説しています。月額の金額だけで比べず、含まれる作業の範囲をそろえて比較することが大切です。

リニューアルを検討中なら、保守体制から逆算する

リニューアルを検討しているなら、デザインやページ構成と同じくらい、公開後の管理体制を先に決めておくことをおすすめします。制作の段階で決めておけば、管理しやすいサイトの作り方を選べるためです。

• 誰が日々の更新をするか：社内で更新するなら、更新しやすい画面の作りが必要になる
• 誰が技術的な管理をするか：自社か外注かで、使うプラグインの数や構成を変える
• 契約情報をどう引き継ぐか：ドメインやサーバーを自社名義にするか、制作会社に管理を任せるか
• 管理の手順を残すか：ID・パスワードの一覧や、更新手順のマニュアルを納品物に含めるか

プラグインを多く入れたサイトは、機能が豊富な反面、更新のたびに相性を確認する手間が増えます。自社で管理するつもりなら、必要な機能に絞った構成にしておくほうが、長く安全に使えます。今のサイトがリニューアルの時期にあるかどうかは、リニューアルするべき！？「危険信号」チェックリスト10選で確認できます。

大阪の中小企業で起きやすい管理の課題

当社は大阪・南船場を拠点に、大阪府内を中心とした関西の企業のホームページ制作と管理に携わってきました。その中で、管理にまつわる相談には共通する傾向があります。

 

1つ目は、担当者が他業務と兼務していることです。東大阪や八尾、堺の製造業、市内の設備工事会社や不動産会社など、従業員数十名規模の会社では、ホームページの担当が総務や営業との兼務であることがほとんどです。本業が忙しい時期ほど管理が後回しになり、更新が数か月溜まった状態で相談をいただくことがあります。

 

2つ目は、管理の情報が1人に集中していることです。サイトを立ち上げた担当者が異動や退職をしたあと、サーバーのログイン情報や契約内容が誰にもわからなくなるケースです。この場合、まず契約情報の確認から始めることになり、本来の作業に入るまでに時間がかかります。

 

3つ目は、制作時の会社と今の窓口が一致していないことです。制作した会社との取引がなくなり、サイトの中身を説明できる人がいない状態で、更新や不具合の対応が必要になる場合があります。

 

いずれも、管理の情報を整理し、誰が何をするかを決めておくことで、多くは防げます。外注するかどうかを決める前に、まずは現状の契約と管理の情報を一覧にするところから始めてみてください。

 

当社が対応した管理トラブルの事例

ここまでの内容が実際にどう関わってくるのか、当社がこれまでに対応した事例を3つご紹介します。いずれもお客様が特定されないよう、業種と経緯のみを記載しています。

事例1：ドメインの更新を忘れ、突然サイトが表示されなくなった

8年ほど前、サイトを自社で管理されていたダイビングショップの社長様から、「お客様に『サイトが見られない』と言われて確認したら、何も表示されていない」とご連絡をいただきました。

すぐに調べたところ、ドメインの更新手続きが行われておらず、契約が失効していました（ドメイン：サイトの住所にあたる「〇〇.com」など）。期限が切れると、サーバーにデータが残っていても、そのドメイン（住所）でサイトを開けなくなります。このときは失効から数日（1か月以内）で、更新料を支払えばすぐに元に戻せる期間内だったため、大きな被害にはなりませんでした。

ただし、失効後に復旧できる期間や費用はドメインの種類や管理会社によって異なり、期間を過ぎると同じドメインを取り戻せなくなる場合もあります。 この件をきっかけに、そのショップのサイト管理は当社でお引き受けすることになりました。前述の「年に1〜2回の契約期限の確認」は、こうした事態を防ぐための作業です。

事例2：改ざんが繰り返され、2年前のデータに戻すしかなかった

4年前、当社で制作し、その後はサイトを自社で管理されていた加工会社様で起きた事例です。トップページを開くと、まったく関係のない海外のサイトへ自動的に転送（リダイレクト）される状態になっていました。侵入のきっかけはパスワードの管理にあり、サーバーには、攻撃者が後から何度でも侵入できるようにするための仕掛け（バックドア）が設置されていました。いったんは表示が元に戻ったものの、その後、再び改ざんされています。 問題は、正常な状態のバックアップが社内に残っていなかったことです。手元にあったのは、当社が最後に更新のご依頼を受けた2年前のデータだけでした。結果として、サイトはその時点の状態に戻すことになり、それ以降に追加・変更された新着情報や実績投稿などの内容は作り直しが必要になりました。 パスワードの管理が甘いと侵入を許してしまうこと。改ざんの痕跡を残したまま表示だけを直しても、再び被害に遭うおそれがあること。そして、被害が起きたときにどの時点まで戻せるかは、日頃のバックアップで決まること。自社管理におけるバックアップの重要性がよくわかる事例です。

事例3：改ざんの疑いから、新しいサーバーで即日復旧

当社で管理しているサービス業の企業様のサイトで、不正アクセスによる改ざんの疑いがある事象が起きました。

当社ではすぐに状況を把握しましたが、使用中のサーバーの中で原因を特定してから復旧すると、サイトの停止が長引きます。そこで、新しいサーバーを用意し、バックアップからサイトを復元して切り替えることで、約6時間で復旧しました。 原因は、Google Chromeなどのブラウザに保存されていたログイン情報でした。パソコンがウイルスに感染すると、ブラウザに保存したIDやパスワードが抜き取られるおそれがあります。お客様にはこの点をお伝えし、以後はブラウザへのパスワード保存をやめていただきました。 改ざんされた可能性のあるサーバーをそのまま使い続けず、正常な時点のバックアップを別の環境に戻したことで、短時間での復旧につながりました。事例2との違いは、戻せるバックアップがあったかどうかです。また、復旧とあわせて侵入のきっかけになった原因を取り除いたことで、同じ経路での再発を防ぐ対策もとれました。お客様にも、即日の対応を大変喜んでいただきました。

 

創希のホームページ保守管理

創希では、当社で制作したホームページを中心に、公開後の保守管理をお引き受けしています。サーバー・ドメインの維持管理、バックアップ、WordPressなどのセキュリティ更新、テキストや画像の修正・差し替えのサポートを、まとめてお任せいただけます。

• 修正・更新の前にバックアップを取得：サイトに手を入れる作業の前にバックアップを取り、作業前の状態に戻せるようにしています
• 担当ディレクターが窓口：制作の打合せから公開後の管理まで、同じ担当者が一貫して対応します
• 日常の修正にも対応：「営業時間を変えたい」「写真を差し替えたい」といった依頼も、電話やメールでご相談いただけます

保守管理の費用は、月額8,000円〜を目安としています。サイトの規模や対応範囲によって変わりますので、詳しくはお問い合わせください。サービスの詳細はサポート体制（保守・バックアップ）のページでご案内しています。

よくある質問（FAQ）

Q1. ホームページの「保守管理」と「運用」は何が違いますか？

保守管理は、サーバーやドメインの契約、WordPressの更新、バックアップなど、サイトを安全に動かし続けるための作業です。運用は、記事の追加やアクセス解析、集客の改善など、サイトの成果を伸ばすための作業を指します。どちらも公開後に必要ですが、目的と担当する人のスキルが異なるため、分けて考えると整理しやすくなります。

Q2. WordPressの自動更新を有効にしておけば、保守は不要ですか？

不要にはなりません。自動更新は更新漏れを防ぐのに役立ちますが、更新後に表示が崩れたり、フォームが動かなくなったりしても、自動では気づけません。また、PHPのバージョンやドメイン・サーバーの契約は、WordPressの自動更新の対象外です。自動更新を使う場合も、バックアップと動作確認はあわせて行いましょう。

Q3. バックアップはどのくらいの頻度で取ればよいですか？

サイトの更新頻度に合わせるのが基本です。記事や事例を頻繁に追加するサイトは短い間隔で、ほとんど内容が変わらないサイトは長めの間隔でも構いません。頻度にかかわらず、WordPressの更新や修正作業の直前には必ず取得しておくと、不具合が出たときに作業前の状態へ戻せます。

Q4. レンタルサーバーの自動バックアップがあれば、自社で取る必要はありませんか？

サーバーの自動バックアップは心強い仕組みですが、保存期間や復元できる範囲、復元時の費用はサーバー会社やプランによって異なります。改ざんに気づくのが遅れた場合、正常な時点のデータがすでに保存期間を過ぎていることもあります。契約内容を確認したうえで、必要に応じてサーバーとは別の場所にも保存しておくと安心です。

Q5. 自社のドメインやサーバーの契約内容がわかりません。どうすればよいですか？

まずは、ドメインの更新案内やサーバー会社からの請求メールが、社内の誰に届いているかを確認しましょう。ドメインについては、登録情報を調べるサービスで管理している会社がわかる場合があります。制作会社が契約を代行している場合は、契約名義と更新期限を問い合わせて、一覧にまとめておくことをおすすめします。

Q6. サイトが改ざんされているかどうかは、どうやって気づけますか？

見覚えのないページが検索結果に出ている、サイトを開くと別のサイトに転送される、ブラウザに警告が表示される、といった症状がきっかけになることが多いです。Google Search Consoleに登録していれば、セキュリティの問題として通知が届く場合もあります。定期的にサイトを自分の目で確認し、Search Consoleの通知を見る習慣をつけておきましょう。

Q7. 古いPHPやWordPressのままでも、サイトは表示されています。すぐに対応が必要ですか？

表示されていても、サポートが終わったバージョンでは新しい脆弱性に対する修正が提供されません。すぐに被害が出るとは限りませんが、攻撃の多くは脆弱なサイトを自動で探して行われるため、放置するほどリスクは高まります。ただし、PHPだけを急に上げると、古いテーマやプラグインが動かなくなることがあります。バックアップを取ったうえで、計画的に進めることが大切です。

Q8. 保守管理を外注すると、自社でブログやお知らせを更新できなくなりますか？

多くの場合、日々の更新は自社で行い、技術的な管理を外注するという分担が可能です。ただし、契約によっては管理画面の権限が限られることもあるため、依頼前に「自社で更新したい範囲」を伝えて確認しておきましょう。役割を分けておくと、更新は社内で素早く、技術的な作業は専門家に任せる体制をつくれます。

Q9. 保守管理の費用はどのくらいかかりますか？

対応範囲によって大きく変わります。サーバー監視のみのプランから、更新作業や修正対応まで含むプランまで幅があるため、金額だけで比較せず、含まれる作業を確認することが大切です。創希の保守管理は月額8,000円〜を目安としており、サイトの規模や内容によってお見積もりします。費用の見方はホームページ制作の費用相場と見積書の読み方もご覧ください。

Q10. 大阪以外の会社でも相談できますか？

ご相談いただけます。当社は大阪市中央区南船場を拠点としていますが、オンラインでの面談や打合せにも対応しています。まずは現在のサイトの状況や、管理で困っていることをお聞かせください。

まとめ｜「誰がいなくても戻せる」管理体制をつくる

ホームページの保守管理は、契約・インフラ、ソフトウェア更新、バックアップと復旧、監視と軽微な対応の4つの領域で成り立っています。自社で管理する場合は、週・月・年の頻度で作業を決め、ID・パスワードや契約情報を複数人で把握できる状態にしておくことが基本です。

セキュリティ対策は被害を起こりにくくするもので、バックアップは起きたあとに戻すためのものです。どちらか一方ではなく、両方を組み合わせてはじめて、万が一に備えた管理になります。担当者の負担が大きい、サーバー側の作業に不安がある、リニューアルにあわせて体制を見直したい、という場合は、外注も選択肢に入れてください。

創希株式会社は、大阪・南船場を拠点にホームページの制作から公開後の保守管理まで一貫して対応しています。自社管理の見直しや、保守管理の切り替えについてのご相談は、お気軽にお問い合わせください。

サポート体制（保守・バックアップ）

お問合せ

 

このブログを書いた人

WEB関連に携わって20年越え。
ECサイトの運営からスタート。
ホームページ制作に携わって、15年以上になります。