WordPress保守運用とは？作業範囲・費用相場と内製か外注かの判断基準を解説

WordPressの最新安定版は7.0.2で、2026年7月17日に公開されました。7.0本体のリリースが同年5月20日でしたから、2か月弱の間に7.0.1・7.0.2と2回の修正版が出た計算です。この頻度でセキュリティ修正が降ってくる前提のCMSを、担当者の手が空いたときだけ更新する運用で回し続けるのは無理があります。この記事では、WordPress保守運用の作業範囲を更新・バックアップ・セキュリティ・監視・障害復旧の5領域に分けて定義し、月額料金の相場と見積書で別料金になりやすい項目、そして内製で回る条件と外注に切り替える分岐点を、発注側が社内で説明できる形に整理します。

まとめ：WordPress保守運用の中身は5領域・判断軸は復元できるかどうか

WordPress保守運用とは、公開後のサイトを安全に動かし続けるために継続して行う作業一式を指します。中身は5つ、本体とプラグインの更新、バックアップと復元、セキュリティ対策、死活と表示速度の監視、障害時の復旧対応に分かれます。制作費が「作る」ための一度きりの費用であるのに対し、保守費は「止めない」ための継続費用という位置づけです。「作る」側にあたる新規制作を外注する場合の作業範囲と価格帯は、WordPress制作代行の費用相場と制作会社の選び方で整理しています。

結論を先に示します。委託先を選ぶときに見るべき数字は月額料金ではなく、バックアップから実際に復元した実績があるかどうかの1点です。バックアップを取っているという契約は多い一方、復元手順を定期的に試している会社は限られます。改ざんやデータ消失が起きたときに復元できなければ、それまで払った保守費は成果ゼロになります。

料金は月額5,000円から10万円まで4段階に分かれ、中小企業のコーポレートサイトなら月額1万〜3万円が標準帯でした。ここから外れる見積が来たら、安い側は障害対応が別料金、高い側はコンテンツ更新代行が含まれている、と読むとおおむね当たります。

内製か外注かの分岐は、担当者の技術力ではなく「更新を止めたときに誰が責任を取るか」で決めてください。問い合わせフォームが売上の入口になっているサイト、個人情報を預かるサイト、そして更新担当が1名しかいないサイトは、外注に出す判断が合理的です。

WordPressの保守運用とは何か：作業範囲を5領域に分けて定義する

「保守」という言葉は会社によって指す範囲が違い、見積の比較を難しくしています。まず作業を5領域に分解し、どこまでを契約に含めるかを議論できる状態にします。

WordPressは世界で最も使われているCMSであり、その普及率がそのまま攻撃対象としての大きさになっています。CMSの種類ごとの違いや、そもそもWordPressを選ぶべきかという段階から検討している場合は、CMSの仕組みと種類を発注視点で整理した記事を先に読むと、保守コストの前提が掴めます。

WordPress本体とプラグインの更新で分かれる自動と手動の線引き

更新には自動で降ってくるものと、人が判断して当てるものの2種類があります。本体のマイナーリリース、つまり7.0.1や7.0.2のようなセキュリティ・メンテナンス目的の修正版は、既定で自動更新が有効になっています。ここは放置していても当たる領域です。

問題はメジャーアップデートとプラグインです。7.0のようなメジャー版はテーマやプラグインとの相性で表示崩れや管理画面のエラーを起こすことがあり、検証なしで当てる運用は事故のもとになりました。プラグインも同様で、10本入っていれば月に数回は更新通知が出ます。1本ずつの更新は数十秒で終わりますが、更新後に問い合わせフォームが動くか、レイアウトが崩れていないかを確認する工程まで含めると、10本で30分から1時間の作業量です。

実務で決めておくべき線引きは3つあります。マイナーリリースは自動、プラグインは検証環境で当ててから本番、メジャーアップデートは公開から1〜2か月待って情報が出そろってから当てる、という運用ルールです。メジャー版で何が変わるのかを事前に把握しておきたい担当者は、WordPress 7.0の変更点と安全なアップデート手順で、更新前に確認すべき項目を押さえてください。

バックアップは取得の有無でなく復元手順を試したかで品質が決まる

保守契約の説明で最も差が出るのがバックアップです。「日次でバックアップを取得します」という一文はほぼ全社の見積に入っています。それだけでは品質を判定できません。

確かめるべきは次の4点でした。保管先が本番サーバーと物理的に別か、世代は何世代まで遡れるか、データベースとファイル（アップロード画像・テーマ・プラグイン）の両方を含むか、そして復元手順を実際に試したのはいつか。とくに1つ目が抜けている契約は危険で、同じサーバー上にバックアップを置いているとサーバーごと障害を起こしたときに一緒に失われます。

世代数は最低でも14日分、できれば30日分を推奨します。改ざんは即日で気づけるとは限らず、1週間前に仕込まれたコードに後から気づく事例が珍しくないためです。7日分しか残っていない契約だと、遡った時点で既に改ざん済みのデータしか手元にない、という事態が起こり得ます。

セキュリティ対策と死活監視で保守の当たり外れが分かれる作業領域

セキュリティは更新だけでは足りません。WordPressへの攻撃で多いのは、管理画面へのログイン試行と、公開されているエンドポイントを狙った自動攻撃です。前者には管理画面URLの変更、ログイン試行回数の制限、二要素認証の導入が効きます。後者は、使っていない機能を止める判断が中心になります。

止める判断の代表例が、外部アプリ連携用のエンドポイントの扱いでした。xmlrpc.phpの役割と注意点で整理したとおり、この機能を使っていないサイトでは無効化することで攻撃面をひとつ減らせます。保守会社に「使っていない機能の棚卸しをするか」と聞いて、明確な回答が返ってくるかどうかは力量の判定材料になります。

監視は死活監視・表示速度・SSL証明書の期限という3つを最低ラインとしてください。サイトが落ちてから顧客の連絡で気づく体制では、保守を委託している意味が薄れます。監視の間隔が5分以内か、検知したときの連絡先と一次対応の開始時刻が契約に書かれているかを確認しておきます。

保守を止めたWordPressサイトで起きる事故と復旧費用の実額

保守費を削る判断は、事故が起きるまでは正解に見えます。実際に何が起きて、いくらかかるのかを金額で並べておきます。

未認証RCEのように即日で手を打つ必要がある脆弱性の出方と実例

WordPressの脆弱性で対応の緊急度が最も高いのは、ログインしていない攻撃者がサーバー上でコードを実行できてしまう種類、いわゆる未認証RCEです。2026年7月にはWordPress関連のプラグイン経由で未認証RCEが成立する事例が公表され、影響範囲の広さから短時間での対応が求められました。詳細はwp2shell（CVE-2026-63030・CVE-2026-60137）の仕組みと確認手順にまとめています。

この種の脆弱性で効いてくるのは、修正版が出てから当てるまでの時間です。公表から数時間で自動攻撃が始まる例があり、週明けまで待つ運用では間に合いません。保守を委託する実質的な価値は、この「気づいて当てるまでの時間」を短縮する点にあります。委託先に脆弱性情報の監視体制があるか、緊急時の一次対応を何時間以内に開始するかを、契約前に数字で確認してください。

改ざんとマルウェア感染の復旧費用を年間保守費と並べた損益比較

事故が起きた後の費用を、制作会社が公開している料金表から拾って並べます。

月額2万円の保守契約なら年間24万円です。改ざん1回の復旧費用とほぼ同額で、マルウェア感染なら2年分に相当します。ここに、復旧までサイトが止まる期間の機会損失と、顧客への説明対応の工数が乗ります。BtoBのコーポレートサイトで問い合わせが月10件あるなら、5日の停止で1〜2件の商談機会が消える計算です。

もう一段見落とされやすいのが、検索エンジンからの評価です。改ざんされたサイトはブラウザに警告が表示され、検索結果からの流入が実質ゼロになります。警告の解除には審査が必要で、復旧作業が終わってからさらに数日かかりました。保守費の損益を計算するときは、復旧費用だけでなくこの停止期間の逸失分まで含めて社内に説明すると、判断が通りやすくなります。

WordPress保守サービスの料金体系と見積書の読み解き方

相場を知らずに相見積を取ると、金額だけで判断してしまいます。料金の段階と、その段階ごとに何が入るかを先に押さえてください。

月額5,000円から10万円まで4段階に分かれる保守プランの中身

制作会社各社が公開している料金表を横断すると、月額プランはおおむね4段階に整理できました。

中小企業のコーポレートサイトが選ぶ標準帯は1万〜3万円です。この帯で押さえておきたいのは、監視と軽微な修正が入るかどうかでした。5,000円台のプランは更新作業のみで、サイトが落ちても検知しませんし、表示崩れの修正は都度見積になります。制作会社に更新を丸投げできると誤解したまま契約すると、毎月の請求に追加費用が乗って揉めます。

スポット対応の相場も知っておくと比較の役に立ちます。本体とプラグインの更新のみなら1回5,000〜1万5,000円、バックアップの設定と確認は1回1万〜3万円が目安です。年2回しか更新しないサイトなら、月額契約よりスポットの方が安く収まる計算になります。契約形態そのものの選び方は、システム保守の費用相場と契約形態を発注者視点で整理した記事で扱っているため、社内稟議の前に目を通しておいてください。

見積書で別料金になりやすい障害復旧とPHP更新の扱いを確かめる

月額が安く見える見積は、含まれない作業が多いだけという場合があります。別料金になりやすいのは次の5つでした。

• 障害発生時の復旧作業（月額に含むのは3万円以上のプランが中心）
• 更新後に発生した不具合の修正（更新は含むが修正は別、という切り分け）
• PHPのバージョンアップ対応（サーバー側の更新に伴うコード修正）
• コンテンツの更新代行（文言修正・画像差し替え・新規ページ追加）
• サーバーやドメインの費用（保守費とは別に実費請求されることが多い）

この5つのうち、金額のブレが最も大きいのはPHPのバージョンアップ対応です。WordPressが推奨するPHPは8.3以上で、レンタルサーバー各社も古いPHPの提供を順次終了しています。放置すると本体やプラグインが動かなくなる一方、上げれば古いテーマやプラグインが動作しなくなる可能性があります。数年前に作ったテーマを使っているサイトでは、この対応だけで10万円単位の追加費用が発生した例もありました。見積を取る段階で、現在のPHPバージョンと、上げるときの追加費用の目安を必ず聞いてください。

WordPress保守を内製で回す条件と外注に切り替える分岐点

ここからは判断の話です。すべてのサイトが保守を外注すべきというわけではなく、内製で十分に回る条件があります。

内製でWordPress保守が回る4条件と1つでも欠けたら外注に出す理由

内製で保守を回してよいのは、次の4条件をすべて満たす場合に限ります。

1. 担当者が2名以上いる（1名の休暇・離職で更新が止まらない）
2. プラグインが10本以下で、独自開発の機能を含まない
3. 検証環境（ステージング）があり、本番に直接当てない運用ができる
4. サイト停止が数日続いても事業に直接の損失が出ない

4つのうち1つでも欠けるなら、外注に出す判断が合理的です。理由は単純で、内製の弱点は技術力ではなく継続性にあるためです。詳しい担当者が1名で回している状態は、その人が退職した瞬間にサイトが更新されないまま放置される構造になっています。

2つ目の条件も見落とされがちです。独自開発の機能や作り込んだテーマが入るサイトは、更新で壊れたときに元の設計を理解している人が要ります。プラグイン10本は絶対的な基準ではなく、更新後の確認に1時間かけられるかという作業量の目安として使ってください。

逆に、条件を満たしているのに外注している場合は、契約内容を見直す余地があります。更新とバックアップだけの5,000円プランを漫然と続けるより、スポット契約に切り替えて年2回の更新を依頼し、浮いた費用をコンテンツ制作に回す方が投資対効果は高くなります。

保守の委託先を選ぶときに必ず確かめる5項目と契約書に残す条件

委託先の候補は、サイトを作った制作会社、保守専門のサービス、そして受託開発会社に分かれます。どこを選ぶにせよ、次の5項目は契約前に必ず確認してください。

• バックアップからの復元を実際に試した実績と、その頻度
• 障害検知から一次対応を開始するまでの時間（時間帯別に）
• 作業ログの提出方法と、月次レポートに含まれる項目
• PHPやサーバー更新に伴う改修が月額に含まれるかどうか
• 解約時にデータと管理権限をどう引き渡すか

5つ目を軽視すると、後で身動きが取れなくなります。管理画面の権限を制作会社しか持たない状態で契約を続けると、他社に切り替えるときに引き継ぎ費用を請求される事例があります。契約の時点で、管理者権限とサーバーの契約名義を発注側が保持する条件を明記しておいてください。

1つ目の復元実績は、質問の仕方に工夫が要ります。「復元できますか」と聞けば、全社が「できます」と答えるはずです。「直近で復元を実施したのはいつか、どのサイトで、何分かかったか」と具体的に聞くと、実務の有無が回答の速さに表れます。自社サイトの規模と要件を伝えたうえで妥当な範囲と金額の当たりを取りたい場合は、WordPress保守・メンテナンスの相談窓口で、現在のプラグイン構成と更新頻度を共有するところから始めるのが早い進め方です。

なお、サイトを作った制作会社にそのまま保守を任せる選択は、実装の経緯を知っている点で有利に働きます。ただし制作が本業の会社は障害対応の体制を持たないことがあり、夜間や休日の反応が鈍い場合があります。集客の主力サイトやECを預けるなら、保守を専門にしている委託先を並行して検討してください。

WordPress保守契約を結ぶ前に発注側が決めておく運用ルール

契約書に何を書くかは、発注側が運用方針を決めていないと固まりません。着手前に社内で握っておく事項を挙げます。

PHP8.3とMySQL8.0への追随をどちらが担うかを先に決める

WordPressが公表している推奨要件は、PHP 8.3以上、MariaDB 10.11以上またはMySQL 8.0以上、そしてHTTPSは全インストールで必須です。PHP 7.4やMySQL 5.5でも動作はしますが、これらは提供元のサポートが終了しており、脆弱性の修正が出ない状態に置かれます。

ここで揉めるのが、サーバー側の要件追随を誰が担うかです。レンタルサーバーの管理画面でPHPを切り替える操作自体は数分で終わります。問題は、切り替えた後に古いコードがエラーを出したときの修正で、これを保守費に含めるかどうかは会社によって扱いが違います。契約前に「PHPのバージョン変更に伴う改修は月額に含むか、含まないなら費用の算定方法は何か」を書面で確認しておいてください。

ステージング検証とロールバック手順を契約前に取り決める作業要点

更新作業の事故を減らす仕組みは2つ、検証環境での事前確認と、失敗したときに戻す手順です。ステージング環境を用意するかどうかは費用に直結するため、契約前に方針を決めてください。

判断の基準は、サイトが止まったときの損失額です。問い合わせや採用応募が日常的に入るサイトなら、ステージング環境の維持費（月額数千円程度のサーバー費用）を払っても、更新事故1回の復旧費用より安く収まります。年に数回しか更新しない会社案内サイトなら、更新直前にバックアップを取る運用で代替できます。

ロールバック手順については、「更新前のバックアップを取ってから作業する」「不具合を検知したら1時間以内に更新前の状態へ戻す」という2点を契約に書き込んでおくと、判断で迷う場面が減ります。戻すべきか直すべきかを現場で議論している間にサイトが止まり続ける、という事態を防ぐためです。

サイト移行やリニューアルの時期に保守契約を組み替える判断の境目

保守契約を見直す自然なタイミングは、サーバー移行とサイトリニューアルの2つです。とくにサーバー移行は、現行の構成を棚卸しする機会になります。使っていないプラグインの削除、PHPバージョンの引き上げ、バックアップ体制の作り直しを移行作業とまとめて行えば、個別に依頼するより費用が下がります。

移行そのものの手順や、自力と代行のどちらを選ぶかの判断はWordPress移行（サーバー引っ越し）の手順と注意点にまとめています。移行を機に保守の委託先を変える場合は、移行作業と保守を同じ会社に任せると責任の所在が明確になり、移行直後の不具合対応が速く進みます。

リニューアルの場合は逆で、保守契約を先に切らないでください。旧サイトが公開されている間は更新とバックアップが必要で、リニューアルの制作期間中に旧サイトが改ざんされる事例があります。新サイトの公開日を境に契約を切り替える形にして、空白期間を作らない設計にしておきます。

よくある質問

WordPress保守運用の相談で実際に多い質問を、費用・範囲・自社対応・頻度・委託先の順にまとめました。

WordPress保守の費用相場は月額いくらですか？

月額5,000円から10万円まで幅があり、中小企業のコーポレートサイトなら1万〜3万円が標準帯です。5,000〜1万円のプランは更新とバックアップのみ、1万〜3万円で監視と軽微な修正、3万〜5万円で障害復旧と月次レポート、5万〜10万円でコンテンツ更新代行と改善提案まで含むのが一般的な区分でした。スポット対応なら本体とプラグインの更新1回で5,000〜1万5,000円が目安です。

WordPress保守の作業内容には何が含まれますか？

更新・バックアップ・セキュリティ対策・監視・障害復旧の5領域が基本です。更新は本体とプラグインとテーマ、バックアップは取得だけでなく保管先の分離と復元試験まで、セキュリティはログイン防御と使っていない機能の停止、監視は死活・表示速度・SSL証明書の期限を指します。見積書では、この5領域のどこまでが月額に含まれ、どこから別料金かを1項目ずつ確認してください。

WordPress保守は自社だけでも対応できますか？

担当者が2名以上いる、プラグインが10本以下で独自開発の機能がない、検証環境がある、サイトが数日止まっても事業損失が出ない、という4条件をすべて満たすなら内製で回せます。1つでも欠けるなら外注を検討してください。内製の弱点は技術力ではなく継続性で、詳しい担当者1名に依存した体制はその人の休暇や離職でそのまま停止します。

WordPressの更新はどのくらいの頻度で必要ですか？

本体はメジャーリリースが年数回、セキュリティ目的のマイナーリリースが随時公開されます。2026年は5月20日に7.0、7月9日に7.0.1、7月17日に7.0.2が出ており、2か月弱で2回の修正版が出た計算です。プラグインは本数に比例し、10本入っていれば月に数回の更新通知が出ます。マイナーリリースは自動更新に任せ、メジャー版とプラグインは検証してから当てる運用が現実的です。

保守を委託する会社はどう選べばよいですか？

月額料金ではなく、バックアップからの復元を実際に試した実績で選んでください。「直近の復元はいつ、どのサイトで、何分かかったか」と具体的に聞くと実務の有無が分かります。あわせて、障害検知から一次対応開始までの時間、月次レポートの項目、PHP更新に伴う改修の扱い、解約時のデータと管理権限の引き渡し方法の4点を契約前に書面で確認しておくと、後の食い違いを防げます。

関連記事

• WordPress移行（サーバー引っ越し）の手順と注意点｜自力と代行の判断基準も解説：保守契約を組み替える機会になるサーバー移行の実務をまとめています。
• システム保守とは？運用との違い・費用相場・契約形態を発注者視点で解説：CMSに限らないシステム保守全般の契約形態と費用の考え方を扱っています。
• CMSとは？仕組み・種類・WordPressとヘッドレスの違いと選び方を発注視点で解説：WordPressを選ぶ段階から検討している場合の判断材料になります。
• WordPress 7.0「Armstrong」の新機能・変更点と安全なアップデート手順：メジャーアップデートを当てる前に確認する項目を技術面から解説しています。
• コーポレートサイトとは？目的・役割と「成果が出る」基本構成をWeb制作目線で解説：保守対象となる企業サイトそのものの構成と目的を整理しています。