CMS選定の進め方と選び方｜要件定義の項目と比較チェックリスト【2026年版】

CMS（Content Management System）は、HTMLを書かずに管理画面からページを追加・更新できる仕組みです。仕組みや種類の基本はCMSの仕組み・種類とWordPress・ヘッドレスの違いで解説しているので、この記事では「自社でどのCMSを選ぶか」を決める手順に絞ります。財務分野で使う「キャッシュ・マネジメント・システム」も同じCMSと略されますが、ここで扱うのはWebサイトの管理システムです。

製品の比較表から入ると、機能の多さで選んでしまい、更新担当者が使いこなせない、数年後に保守が切れて作り直す、といった失敗につながります。体制の棚卸しから契約条件の確認まで、選定の順番どおりに進めます。

まとめ：CMS選定の5ステップと契約前に確かめる保守条件

• 製品比較の前に、更新担当者の人数・スキル・更新頻度・承認の段数を書き出す。ここが決まらないまま比較表を作っても判断がつかない。
• 候補はオープンソース・パッケージ・クラウド（SaaS）・ヘッドレスの4分類から絞る。オンプレミスかクラウドかは、サーバーとCMS本体の更新を誰が担うかで決める。
• 比較表には機能の○×だけでなく、保守期限と動作要件を入れる。Drupal 7は2025年1月5日にセキュリティサポートが終わり、WordPressの推奨環境はPHP 8.3以上に上がっている。
• WordPressはCMSを使うサイトの58.6%を占める（W3Techs、2026年10月6日）。一方でWordPress周辺で2025年に見つかった新規脆弱性の91%はプラグイン由来で、プラグインの数と更新責任は要件に書くべき項目。
• データの書き出し方法とURLの引き継ぎ方を契約前に確認する。乗り換えの費用は、導入時に出口を確かめたかどうかで大きく変わる。

以下、5つのステップの順に、各工程で決めることと確認方法を説明します。

CMS選定の5ステップと各工程の成果物

順番は入れ替えません。ステップ1と2を飛ばしてステップ4のデモから入ると、営業担当の見せ方がうまい製品が残ります。

ステップ1：更新担当者・更新頻度・承認段数の棚卸し

その前に、CMSで何を増やしたいか（問い合わせ数・採用応募数・更新本数など）を1つ決め、現状値を控えておきます。導入後に効果を測る基準になります。

そのうえで書き出すのは、サイトを更新する人の人数、HTMLやCSSを触れるかどうか、月に何ページ更新するか、公開前に何人の承認が要るか、の4点です。たとえば「広報2名がお知らせを月10本、部長承認を1段挟む」と「各事業部20名が製品ページを個別に更新し、法務確認を経る」では、必要な権限設定とワークフローがまったく違います。

あわせて現行サイトのページ数、ページの型（お知らせ・製品・事例・採用など）、困っている点を記録します。困りごとが「外注しないと更新できない」なのか「表示が遅い」なのかで、重視する要件が変わるためです。

ステップ2：CMSの要件定義に書く項目と決める担当

要件定義では、機能・非機能・移行の3区分で項目を並べ、項目ごとに決める人を割り当てます。決める人が空欄の項目は、後工程で誰も判断できずに止まります。

各項目は「必須」と「あればよい」に分けます。必須は10項目程度までに絞るのが目安です。多すぎると、どの製品も満点にならず比較が進みません。迷ったら「ないと公開業務が止まるか」で判定します。要件定義全般の進め方はWeb制作の要件定義で決める項目と発注者の作業範囲、制作会社へ提示する文書にまとめる場合はホームページ制作のRFPの記載項目が参考になります。

ステップ3：CMSの種類の絞り込みとオンプレミス・クラウドの分かれ目

要件一覧を手元に置いて種類を絞ります。費用の形と、保守を誰が担うかが分類ごとに違います。

商用パッケージの価格例として、Movable Type ソフトウェア版の通常ライセンスは1インストール・ユーザー数無制限で132,000円（税込、初年度メンテナンス1年付属）です（2026年10月時点）。5年使う場合は、2〜5年目の年間メンテナンス44,000円×4年を足した308,000円（税込）がソフトウェア代で、サーバー費と構築・保守の委託費は別にかかります。クラウド版は月額13,750円（税込）からです。ライセンス代が無料のオープンソースでも、構築と保守を委託すれば年額の費用はかかるため、比較は5年分の総額で行います。

オンプレミスかクラウドかを分ける「更新の担い手」

自社サーバーやレンタルサーバー、IaaSにCMSを置く場合、OS・PHP・データベース・CMS本体・プラグインの更新は自社か委託先の仕事です。SaaS型なら、CMS本体とサーバーの更新は原則ベンダーが行います。ただしMovable Type クラウド版では、OS・ミドルウェアや同じメジャー版内の更新はシックス・アパートが実施する一方、8.xから9.xのようなメジャーバージョンアップは利用者が任意のタイミングで実施する仕組みです。2026年10月時点の最新版も、クラウド版が9.2.1、ソフトウェア版が9.0.9と分かれています。

社内に更新作業を引き受ける人がおらず、委託の予算も取れないなら、オンプレミス型は選ばないほうが安全です。逆に、社内規程でデータの保管場所が決まっている、基幹システムと閉じたネットワークでつなぐ必要がある、といった条件があればオンプレミス型が残ります。IPAの脆弱性対応ガイド（2021年3月）も、構築前に配慮する事項として「自組織のリソースやスキルに応じた運用形態を選定しましょう」と書いています。

ヘッドレスCMSを候補に入れる条件

ヘッドレスCMSは管理画面とAPIだけを持ち、表示部分は自社で作ります。同じ製品情報をWebサイト・アプリ・店頭端末など複数の出口に配信したい、フロントエンド開発者が社内にいる、という2条件がそろうときに候補に入れます。どちらかが欠けると、表示側の開発と保守が重荷になります。同じヘッドレスでも、ContentfulやmicroCMSはSaaS、StrapiはMITライセンスで自社サーバーに置けるオープンソース（自社で運用するなら本体の更新も自社）で、更新を誰が担うかが分かれます。仕組みと主要サービスの違いはヘッドレスCMSと従来型CMSの違い・主要サービス比較、ページをビルド時に生成して配信する構成はSSG（静的サイトジェネレーター）と企業サイト採用の判断基準で扱っています。

シェアで見る代表的なCMSとWordPressの位置づけ

W3Techsの集計（2026年10月6日）から、本記事で触れる主なCMSの割合を抜き出すと次のとおりです（JoomlaとDrupalの間にはTilda・Webflow・Dudaが0.7〜0.8%で入ります）。

WordPressはCMSという仕組みの代表的な製品の1つです（両者の違いはCMSの仕組み・種類とWordPress・ヘッドレスの違いを参照）。シェアが高い製品は、扱える制作会社やテーマ・プラグイン、トラブル時の情報が多いという実利があります。ただしシェアは「自社の要件に合うか」を示す数字ではありません。

ステップ4：デモ・トライアルで確かめる操作

トライアルは機能の有無ではなく、実際の更新担当者が日常業務を再現できるかを見ます。承認機能は製品によって標準か追加購入かが分かれる点にも注意します。たとえばMovable Typeでは公開申請・承認をプラグイン「CheckRelease」で追加し、本体とのセット（ワークフローパック）は253,000円（税込）です。最低限、次の操作を担当者本人に試してもらいます。

• 下書き保存から承認依頼、承認、予約公開までを一通り流す
• 画像の差し替えと、表を含むページの作成
• 権限の低いアカウントで、他部署のページを編集・削除できないことの確認
• 公開前のプレビューがスマートフォン表示でも確認できるか
• 誤って公開したページを過去の版に戻す操作

評価表には「できた・できない」に加えて、担当者が迷った箇所を書き残します。迷った箇所は導入後のマニュアルと研修の範囲になり、運用コストの見積りにも使えます。

ステップ5：契約前に確認する保守期限・動作要件・移行の出口

多くの比較記事は機能・操作性・費用・サポートで比べますが、導入から3〜5年後に効いてくるのは次の3点です。見積りと保守契約を比べる段階で、比較表に列として加えてください。

サポート期限とPHP・データベースの動作要件

オープンソースCMSにも、セキュリティ修正が出る期間があります。Drupal 7は2025年1月5日にバグ修正とセキュリティサポートを終えており、2026年10月時点の安定版はDrupal 11（11.4.8）です。Drupal 12も2026年9月30日にベータ版（12.0.0-beta1）が出ているため、新規構築では11から12への移行手順も確認します。Joomlaも現行はJoomla 6系（6.1.4、2026年9月29日公開）に移っています。商用製品も同じで、Movable Type 8は2027年にテクニカルサポート、2029年にセキュリティサポートが終わると公表されています。選定時は「現行メジャー版か」「次の版への移行手順が公式に用意されているか」を確認します。

WordPressの最新版は7.1.2（2026年9月22日公開）で、公式の推奨環境はPHP 8.3以上、MariaDB 10.11以上またはMySQL 8.0以上です。見積りに含まれるサーバーがこの推奨環境を満たすか、保守契約にPHPやCMS本体のメジャー版上げが含まれるかを契約前に確かめます。WordPressは互換性のためPHP 7.4でも動きますが、公式はこれらの版がすでにサポート終了だと注意しています。推奨の8.3未満で構築すると、PHPのサポート終了に合わせてサーバー移転とセットの改修が必要になりやすくなります。

データの書き出し方法とURLの引き継ぎ

CMSを乗り換えるとき、費用を左右するのは記事データを機械的に取り出せるかどうかです。WordPressは管理画面の「ツール」→「エクスポート」から、投稿・固定ページ・カスタム投稿タイプ・コメント・カスタムフィールド・カテゴリ・タグ・ユーザーをXMLファイル（WXR形式）で書き出せます。SaaS型では、書き出しの形式と範囲を契約前にサポートへ確認し、回答を記録しておきます。

URLの構造を決めるのも、この時点です。移行でURLが変わる場合は、旧URLから新URLへの301リダイレクトを全ページ分用意しないと、検索順位と外部からのリンクを失います。Google検索セントラルのサイト移転ガイドも、301などの恒久的なリダイレクトであればPageRankは失われないとしています。設定方法はリダイレクトの種類と.htaccess・Nginx・PHPでの設定方法、他サービスからWordPressへ移す具体的な手順は他サービスからWordPressへの移行手順と注意点にまとめています。

プラグインの数とセキュリティ更新の責任分界

Patchstackの年次レポート「State of WordPress Security in 2026」によると、2025年にWordPress周辺で見つかった新規脆弱性の91%はプラグイン、9%はテーマで見つかっています。CMS本体よりも、追加した部品の側が攻撃の入口になりやすいということです。

そこで要件定義には「使うプラグインの一覧」「開発が止まったプラグインの代替方針」「脆弱性の公表から修正を当てるまでの期限」を書き、自社と委託先のどちらが担当するかを契約書に明記します。同レポートでは、影響の大きい脆弱性の約半数が24時間以内に悪用され、加重中央値で5時間後に最初の攻撃が来ています。46%の脆弱性は公表時点で開発者の修正が出ていなかったため、更新だけに頼らない対策も契約範囲に入れます。IPAの脆弱性対応ガイドも、構築ツールなどのソフトウェアは可能な限り最新版を使いパッチを当てるよう求め、委託先と約束したセキュリティ要件は文書にして残すよう勧めています。

同ガイドは「悪者は無差別にウェブサイトを狙っています」と書き、企業の規模や知名度に関係なく攻撃されると注意しています。CMSにセキュリティ対策が必要なのはこのためです。管理画面周りの具体例はxmlrpc.phpの無効化で止まる範囲と止まらない範囲、入力フォームの典型的な脆弱性はSQLインジェクションの仕組みと対策で確認できます。

契約前のCMS選定チェックリスト

ステップ5の時点で、候補ごとに次の項目を埋めます。1つでも「不明」が残る候補は、回答を得るまで契約しません。

• 現行メジャー版か、次の版への移行手順が公式にあるか
• サーバーがPHP 8.3以上など、CMSの推奨環境を満たすか
• 保守契約にメジャー版上げとPHP更新が含まれるか
• 使うプラグインの一覧と、開発停止時の代替方針
• 脆弱性の公表から修正適用までの期限と担当
• 記事データの書き出し形式と範囲
• URLを変える場合の301リダイレクトの作成範囲
• 承認段数と権限を標準機能で満たせるか

CMS選定でよくある失敗と導入を見送る判断

選定の失敗は、次の4つの形に分けられます。いずれも契約前に防げるものです。

• 機能の○×表だけで決め、実際の更新担当者がデモを触らないまま契約する
• テンプレートを作り込みすぎて、CMS本体を更新するとレイアウトが崩れるため版上げが止まる
• 保守契約にメジャー版上げとPHP更新が含まれておらず、旧版のまま運用が続く
• 更新が年に数回しかないのにCMSを入れ、更新作業より保守費のほうが大きくなる

最後のケースでは、CMSを入れないのが正解です。10ページ前後の会社案内で、更新が年に数回なら、静的なHTMLかSSGで作り、更新は制作会社にスポットで頼むほうが総額も攻撃面も小さくなります。見送りが妥当になる前提条件はCMSの仕組み・種類とWordPress・ヘッドレスの違いでも整理しています。

規模別の選び方：個人事業主・中小企業・大規模サイト

個人事業主や数名の会社で、更新担当が1人の場合は、サーバー管理が不要なSaaS型か、保守込みのWordPressで足ります。判断の軸は「自分で更新作業を続けられるか」だけです。

中小企業の企業サイトでは、WordPressを選び、構築と保守を同じ制作会社に委託する形が選択肢になります。この場合はステップ5の保守期限とプラグインの責任分界を契約書に落とせるかが、委託先を選ぶ基準になります。制作会社の比べ方はホームページ制作会社の6タイプ比較と目的・予算別の選び方を参照してください。

数十の部署や拠点がページを持つ大規模サイト、多言語サイトでは、権限の細かさ・承認ワークフロー・多言語管理を標準機能で持つ製品から選びます。プラグインを継ぎ足して要件を満たす構成は、版上げのたびに検証範囲が広がるため避けます。

CMS選定に関するよくある質問

CMSのライセンス費用と保守費は5年でどれくらいになりますか？

製品と体制で変わるため、ソフトウェア代と委託費を分けて見積もります。ソフトウェア代の例では、Movable Type ソフトウェア版がライセンス132,000円に2〜5年目の年間メンテナンス44,000円×4年で308,000円（税込）、クラウド版は月額13,750円（税込）からです。WordPressなどのオープンソースはライセンス無料ですが、構築・保守の委託費とサーバー費がかかります。社内に保守の担い手がいない場合は、利用料に更新作業が含まれるSaaS型が5年総額で安くなることもあります。

無料のCMSと有料のCMSはどちらを選ぶべきですか？

ライセンス代だけで比べないでください。無料のオープンソースは、本体・プラグイン・サーバーの更新を自社か委託先が担う前提です。有料の商用パッケージやSaaS型は、その一部をベンダーのメンテナンスや利用料でまかなえます。更新を担う人を社内に置けるなら無料のCMS、置けないなら有料のCMSを軸に比較すると、判断がぶれません。

日本製のCMSにはどのようなものがありますか？

代表例はシックス・アパートのMovable Typeで、ソフトウェア版（2026年10月時点の最新は9.0.9）とクラウド版（同9.2.1）があります。開発元は日本法人で、日本語のサポート窓口を設けています。ノーコード型では国産のSTUDIO、ヘッドレス型では国産のmicroCMSが代表的です。国産かどうかよりも、サポート窓口の対応時間と保守期限を比較表に入れて判断するのが確実です。

CMSにセキュリティ対策が必要なのはなぜですか？

公開されたCMSは、企業の規模や知名度に関係なく、既知の脆弱性を狙った攻撃を自動で受けるためです。Patchstackの調査では、2025年にWordPress周辺で見つかった新規脆弱性の91%がプラグイン由来でした。本体とプラグインを最新に保つ担当と期限を決め、管理画面には二要素認証や接続元の制限をかけます。IPAも構築ツールを可能な限り最新版にし、パッチを当てるよう求めています。

大企業向けのCMSは何を基準に選べばよいですか？

承認ワークフローと権限管理を標準機能で持つかを最初に見ます。DrupalはコアにContent Moderationモジュールを持ち、承認の状態管理を追加モジュールなしで組めます。商用CMSでは承認機能を製品として提供するものを候補にします。ただしCMS利用サイトに占めるシェアはWordPressの58.6%に対してDrupalは0.9%（W3Techs）で、扱える委託先や日本語の情報は限られるため、構築・保守の委託先を確保できるかも同時に確認します。

関連記事

• CMSとは？仕組み・種類・WordPressとヘッドレスの違いと選び方を発注視点で解説
• Web制作の要件定義とは？決める項目・進め方と発注者の作業範囲を解説
• ヘッドレスCMSとは？従来型CMSとの違い・主要サービス比較と選び方【2026年最新】
• 他サービスからWordPressへの移行｜Wix・Jimdo・アメブロ・HTML別の手順と注意点
• ホームページ制作会社のおすすめは？6タイプ比較表と目的・予算別の選び方