--- title: "WordPress保守運用とは：作業範囲・費用相場と内製か外注かの判断基準を解説" url: "https://www.issoh.co.jp/column/details/15799/" published: 2026-07-28 updated: 2026-10-27 categories: ["Webサイト"] publisher: "株式会社一創" --- # WordPress保守運用とは：作業範囲・費用相場と内製か外注かの判断基準を解説 WordPressの最新安定版は7.1で、2026年8月19日に公開されました。同年5月20日の7.0から数えると、7.0.1・7.0.2・7.0.3・7.0.4という4本の修正版を挟んで、3か月で次のメジャー版に切り替わった計算になります。この頻度でセキュリティ修正が降ってくるCMSを、担当者の手が空いたときだけ更新する運用で回し続けるのは無理のある運用です。この記事では、WordPress保守運用の作業範囲を更新・バックアップ・セキュリティ・監視・障害復旧の5領域に分けて定義し、月額料金の相場と見積書で別料金になりやすい項目、自動更新をどこまで許すかの設定値、そして内製で回る条件と外注に切り替える分岐点を、発注側が社内で説明できる形に整理します。 ## まとめ：WordPress保守運用の中身は5領域・判断軸は復元できるかどうか WordPress保守運用とは、公開後のサイトを安全に動かし続けるために継続して行う作業一式を指します。中身は5つ、本体とプラグインの更新、バックアップと復元、セキュリティ対策、死活と表示速度の監視、障害時の復旧対応に分かれます。制作費が「作る」ための一度きりの費用であるのに対し、保守費は「止めない」ための継続費用という位置づけです。「作る」側にあたる新規制作を外注する場合の作業範囲と価格帯は、[WordPress制作代行の費用相場と制作会社の選び方](https://www.issoh.co.jp/column/details/15802/)で整理しています。 結論を先に示します。委託先を選ぶときに見るべき数字は月額料金ではなく、バックアップから実際に復元した実績があるかどうかの1点です。バックアップを取っているという契約は多い一方、復元手順を定期的に試している会社は限られます。改ざんやデータ消失が起きたときに復元できなければ、それまで払った保守費は成果ゼロになります。 料金は月額5,000円から10万円まで4段階に分かれ、中小企業のコーポレートサイトなら月額1万〜3万円が標準帯でした。ここから外れる見積が来たら、安い側は障害対応が別料金、高い側はコンテンツ更新代行が含まれている、と読むとおおむね当たります。 版管理の方針も契約前に握ってください。WordPress公式のリリース一覧は、安全に使えて積極的にサポートされるのは最新シリーズの最新版だけだと明記しています。旧メジャー版に留め置く運用を委託先が提案してきたら、いつ最新シリーズへ上げるのかを日付で答えてもらう必要があります。 内製か外注かの分岐は、担当者の技術力ではなく「更新を止めたときに誰が責任を取るか」で決めてください。問い合わせフォームが売上の入口になっているサイト、個人情報を預かるサイト、そして更新担当が1名しかいないサイトは、外注に出す判断が合理的です。 ## WordPressの保守運用とは何か：作業範囲を5領域に分けて定義する 「保守」という言葉は会社によって指す範囲が違い、見積の比較を難しくしています。まず作業を5領域に分解し、どこまでを契約に含めるかを議論できる状態にします。 WordPressは世界で最も使われているCMSであり、その普及率がそのまま攻撃対象としての大きさになっています。CMSの種類ごとの違いや、そもそもWordPressを選ぶべきかという段階から検討している場合は、[CMSの仕組みと種類を発注視点で整理した記事](https://www.issoh.co.jp/column/details/15425/)を先に読むと、保守コストの前提が掴めます。 | 領域 | 主な作業 | 頻度の目安 | | ------ | --------------- | --------- | | 更新 | 本体・プラグイン・テーマ | 月1〜4回 | | バックアップ | 取得・保管・復元試験 | 日次取得／年1復元 | | セキュリティ | 権限・ログイン防御・改ざん検知 | 常時＋月次点検 | | 監視 | 死活・表示速度・証明書期限 | 常時 | | 障害復旧 | 切り分け・復旧・原因報告 | 発生時 | ### WordPress本体とプラグインの更新で分かれる自動と手動の線引き 更新には自動で降ってくるものと、人が判断して当てるものの2種類があります。本体のマイナーリリース、つまり7.0.1や7.0.2のようなセキュリティ・メンテナンス目的の修正版は、既定で自動更新が有効になっています。ここは放置していても当たる領域です。 問題はメジャーアップデートとプラグインです。7.0や7.1のようなメジャー版はテーマやプラグインとの相性で表示崩れや管理画面のエラーを起こすことがあり、検証なしで当てる運用は事故のもとになりました。プラグインも同様で、10本入っていれば月に数回は更新通知が出ます。1本ずつの更新は数十秒で終わりますが、更新後に問い合わせフォームが動くか、レイアウトが崩れていないかを確認する工程まで含めると、10本で30分から1時間の作業量になります。 実務で決めておくべき線引きは3つあります。マイナーリリースは自動、プラグインは検証環境で当ててから本番、メジャーアップデートは公開から1〜2か月待って情報が出そろってから当てる、という運用ルールです。メジャー版で何が変わるのかを事前に把握しておきたい担当者は、[WordPress 7.0の変更点と安全なアップデート手順](https://www.issoh.co.jp/tech/details/11971/)で、更新前に確認すべき項目を押さえてください。 ### バックアップは取得の有無でなく復元手順を試したかで品質が決まる 保守契約の説明で最も差が出るのがバックアップです。「日次でバックアップを取得します」という一文はほぼ全社の見積に入っています。それだけでは品質を判定できません。 確かめるべきは次の4点でした。保管先が本番サーバーと物理的に別か、世代は何世代まで遡れるか、データベースとファイル（アップロード画像・テーマ・プラグイン）の両方を含むか、そして復元手順を実際に試したのはいつか。とくに1つ目が抜けている契約は危険で、同じサーバー上にバックアップを置いているとサーバーごと障害を起こしたときに一緒に失われます。委託先の説明を自社で確かめられるよう、データベースとファイルの取得順序・世代管理・復元テストのコマンドは[WordPressのバックアップ設計：WP-CLIでの取得・世代管理・復元テストの手順](https://www.issoh.co.jp/tech/details/18612/)で解説しています。 WordPressの管理ドキュメントも、[バックアップの解説ページ](https://developer.wordpress.org/advanced-administration/security/backup/)で、データベースとファイルは別物であり両方を取る必要があること、直近3〜5世代を異なる場所に保管することを示しています。「ファイルを退避した」だけでは投稿本文もコメントも戻せません。委託先の手順書に、この2系統が分けて書かれているかを見てください。 世代数は最低でも14日分、できれば30日分を推奨します。改ざんは即日で気づけるとは限らず、1週間前に仕込まれたコードに後から気づく事例が珍しくないためです。7日分しか残っていない契約だと、遡った時点で既に改ざん済みのデータしか手元にない、という事態が起こり得ます。 ### セキュリティ対策と死活監視で保守の当たり外れが分かれる作業領域 セキュリティは更新だけでは足りません。WordPressへの攻撃で多いのは、管理画面へのログイン試行と、公開されているエンドポイントを狙った自動攻撃です。前者には管理画面URLの変更、ログイン試行回数の制限、二要素認証の導入が効きます。後者は、使っていない機能を止める判断が中心になります。 止める判断の代表例が、外部アプリ連携用のエンドポイントの扱いでした。[xmlrpc.phpの役割と注意点](https://www.issoh.co.jp/column/details/7727/)で整理したとおり、この機能を使っていないサイトでは無効化することで攻撃面をひとつ減らせます。保守会社に「使っていない機能の棚卸しをするか」と聞いて、明確な回答が返ってくるかどうかは力量の判定材料になります。 監視は死活監視・表示速度・SSL証明書の期限という3つを最低ラインとしてください。サイトが落ちてから顧客の連絡で気づく体制では、保守を委託している意味が薄れます。監視の間隔が5分以内か、検知したときの連絡先と一次対応の開始時刻が契約に書かれているかを確認しておきます。表示速度の監視で遅れが見つかったときの原因の切り分けと改善手順は、[WordPressの高速化手順：原因の切り分けとキャッシュ・DB・画像の改善【7.1系対応】](https://www.issoh.co.jp/tech/details/18959/)にまとめています。保守会社に任せる作業を自社でも確かめられるよう、ログイン保護・プラグイン・wp-config.phpの設定とWP-CLIでの点検コマンドは[WordPressセキュリティ対策：攻撃面ごとの設定とWP-CLIでの確認手順](https://www.issoh.co.jp/tech/details/18610/)で解説しています。 ## WordPress7.1公開後に旧メジャー版へ留まる運用の危険と更新方針 保守の議論は費用に流れがちですが、実際に事故を分けるのは「どの版で止まっているか」です。公式が公開しているリリース履歴を使って、更新の間隔と版管理の方針を数字で押さえます。 ### 3か月で修正版4本が出た7.0系のリリース間隔と公式の版管理方針 公式の[リリース一覧](https://wordpress.org/download/releases/)から、直近の公開日を並べます。 | バージョン | 公開日 | 位置づけ | | ----- | ---------- | ----- | | 7.0 | 2026年5月20日 | メジャー版 | | 7.0.1 | 2026年7月9日 | 修正版 | | 7.0.2 | 2026年7月17日 | 修正版 | | 7.0.3 | 2026年8月6日 | 修正版 | | 7.0.4 | 2026年8月12日 | 修正版 | | 7.1 | 2026年8月19日 | メジャー版 | 7月9日から8月12日までの約1か月で4本の修正版が出ています。修正版が出るたびに手作業で当てる前提の契約は、この間隔では回りません。自動更新を切っている環境ほど、この1か月の穴がそのまま露出時間になります。 同じページには、安全に使えて積極的にサポートされるのは最新シリーズの最新版だけだという断り書きが添えられています。ここは立場を明確にします。旧メジャー版に留まる運用は、公式のサポート方針から外れた状態を自覚したうえで選ぶものであって、既定値にしてよい判断ではありません。メジャー版を1〜2か月待つ運用は、待つ期間の終わりを日付で決め、その間は修正版を当て続けることが条件になります。期限を決めずに待つ契約は、単に更新していない状態と区別がつきません。 ### 自動更新の範囲をwp-config.phpの定数で固定する設定と確認手順 「自動更新はどこまで有効か」を口頭の合意で済ませると、担当者が代わった時点で分からなくなります。WordPressは自動更新の範囲を設定ファイルの定数で固定でき、[wp-config.phpのAPIドキュメント](https://developer.wordpress.org/apis/wp-config-php/)に値が定義されています。契約時に決めた方針を、次のようにファイルへ書き残してください。 ``` define( 'WP_AUTO_UPDATE_CORE', 'minor' ); define( 'DISALLOW_FILE_EDIT', true ); define( 'DISALLOW_FILE_MODS', false ); ``` 1行目の `WP_AUTO_UPDATE_CORE` は既定が `'minor'` で、マイナーリリースだけを自動で当てます。`true` にするとメジャー版まで自動になり、`false` にすると本体の自動更新が停止する設定です。2行目はテーマとプラグインのファイル編集画面を閉じる指定で、管理者アカウントが乗っ取られたときにコードを直接書き換えられる経路を塞ぎます。3行目の `DISALLOW_FILE_MODS` を `true` にすると更新とインストールごと止まるため、保守を回す環境では `false` のままにします。 サイト全体の自動更新を止める `AUTOMATIC_UPDATER_DISABLED` が入っていないかも確認してください。制作時の検証用に入れたまま本番へ持ち込まれ、本体の修正版が一度も当たっていない、という構成に出会うことがあります。委託先に現行の値を提出してもらい、契約書の運用ルールと突き合わせるのが確実な進め方です。 ### 更新作業をWP-CLIで再現可能にする委託先の実力確認コマンド 管理画面から手で更新している会社と、コマンドで手順化している会社では、作業ログの精度と再現性が違います。WP-CLIの[plugin updateコマンド](https://developer.wordpress.org/cli/commands/plugin/update/)には事前確認と除外指定が用意されており、次の形で当てる前に差分を出せます。 ``` wp plugin update --all --dry-run wp plugin update --all --exclude=woocommerce wp core update --minor wp db export ``` 1行目の `--dry-run` は更新対象と版の差分を表示するだけで、実際には当てません。作業前にこの出力を発注側へ共有できる委託先なら、何が変わるのかを事前に把握できます。2行目の `--exclude` は、決済や予約のように単独検証が要るプラグインを外して残りをまとめて当てる指定です。3行目はマイナーリリースだけを当てる指定で、メジャー版を待つ運用と組み合わせます。4行目でデータベースを書き出しておけば、更新直前の状態に戻す起点ができます。更新の順番から戻し方までの手順全体は[WordPressのバージョンアップ手順：更新の順番・WP-CLIでの実行・失敗時の戻し方](https://www.issoh.co.jp/tech/details/18962/)で解説しています。 見積を比較する段階で「更新作業はどう実施しますか」と聞き、コマンドか管理画面かを答えてもらってください。管理画面での手作業そのものが悪いわけではなく、月次レポートに「何を何版から何版へ上げたか」が残るかどうかが判定の軸になります。 ## 保守を止めたWordPressサイトで起きる事故と復旧費用の実額 保守費を削る判断は、事故が起きるまでは正解に見えます。実際に何が起きて、いくらかかるのかを金額で並べておきます。 ### 未認証RCEのように即日で手を打つ必要がある脆弱性の出方と実例 WordPressの脆弱性で対応の緊急度が最も高いのは、ログインしていない攻撃者がサーバー上でコードを実行できてしまう種類、いわゆる未認証RCEです。2026年7月にはWordPress関連のプラグイン経由で未認証RCEが成立する事例が公表され、影響範囲の広さから短時間での対応が求められました。詳細は[wp2shell（CVE-2026-63030・CVE-2026-60137）の仕組みと確認手順](https://www.issoh.co.jp/tech/details/15412/)にまとめています。 この種の脆弱性で効いてくるのは、修正版が出てから当てるまでの時間です。公表から数時間で自動攻撃が始まる例があり、週明けまで待つ運用では間に合いません。保守を委託する実質的な価値は、この「気づいて当てるまでの時間」を短縮する点にあります。委託先に脆弱性情報の監視体制があるか、緊急時の一次対応を何時間以内に開始するかを、契約前に数字で確認してください。 ### 改ざんとマルウェア感染の復旧費用を年間保守費と並べた損益比較 事故が起きた後の費用を、制作会社が公開している料金表から拾って並べます。 | 事故の種類 | 復旧費用の目安 | 復旧までの日数 | | ------- | ----------- | ------- | | サイト改ざん | 10万〜30万円 | 2〜5日 | | マルウェア感染 | 15万〜50万円 | 3〜10日 | | データ消失 | 20万〜100万円以上 | 5日〜復旧不能 | 月額2万円の保守契約なら年間24万円です。改ざん1回の復旧費用とほぼ同額で、マルウェア感染なら2年分に相当します。ここに、復旧までサイトが止まる期間の機会損失と、顧客への説明対応の工数が乗ります。BtoBのコーポレートサイトで問い合わせが月10件あるなら、5日の停止で1〜2件の商談機会が消える計算です。 もう一段見落とされやすいのが、検索エンジンからの評価です。改ざんされたサイトはブラウザに警告が表示され、検索結果からの流入が実質ゼロになります。警告の解除には審査が必要で、復旧作業が終わってからさらに数日かかりました。保守費の損益を計算するときは、復旧費用だけでなくこの停止期間の逸失分まで含めて社内に説明すると、判断が通りやすくなります。 ## WordPress保守サービスの料金体系と見積書の読み解き方 相場を知らずに相見積を取ると、金額だけで判断してしまいます。料金の段階と、その段階ごとに何が入るかを先に押さえてください。 ### 月額5,000円から10万円まで4段階に分かれる保守プランの中身 制作会社各社が公開している料金表を横断すると、月額プランはおおむね4段階に整理できました。 | 月額帯 | 含まれる範囲 | 想定するサイト | | --------- | ------------ | ----------- | | 5,000〜1万円 | 更新・バックアップのみ | 小規模・情報発信中心 | | 1万〜3万円 | ＋監視・軽微な修正 | 中小企業のコーポレート | | 3万〜5万円 | ＋障害復旧・月次レポート | 集客・採用の主力サイト | | 5万〜10万円 | ＋更新代行・改善提案 | EC・会員制サービス | 中小企業のコーポレートサイトが選ぶ標準帯は1万〜3万円です。この帯で押さえておきたいのは、監視と軽微な修正が入るかどうかでした。5,000円台のプランは更新作業のみで、サイトが落ちても検知しませんし、表示崩れの修正は都度見積になります。制作会社に更新を丸投げできると誤解したまま契約すると、毎月の請求に追加費用が乗って揉めます。 スポット対応の相場も知っておくと比較の役に立ちます。本体とプラグインの更新のみなら1回5,000〜1万5,000円、バックアップの設定と確認は1回1万〜3万円が目安です。年2回しか更新しないサイトなら、月額契約よりスポットの方が安く収まる計算になります。契約形態そのものの選び方は、[システム保守の費用相場と契約形態を発注者視点で整理した記事](https://www.issoh.co.jp/column/details/13173/)で扱っているため、社内稟議の前に目を通しておいてください。 ### 見積書で別料金になりやすい障害復旧とPHP更新の扱いを確かめる 月額が安く見える見積は、含まれない作業が多いだけという場合があります。別料金になりやすいのは次の5つでした。 - 障害発生時の復旧作業（月額に含むのは3万円以上のプランが中心） - 更新後に発生した不具合の修正（更新は含むが修正は別、という切り分け） - PHPのバージョンアップ対応（サーバー側の更新に伴うコード修正） - コンテンツの更新代行（文言修正・画像差し替え・新規ページ追加） - サーバーやドメインの費用（保守費とは別に実費請求されることが多い） この5つのうち、金額のブレが最も大きいのはPHPのバージョンアップ対応です。WordPressが[公式の動作要件](https://wordpress.org/about/requirements/)で推奨しているのはPHP 8.3以上、データベースはMariaDB 10.11以上またはMySQL 8.0以上、HTTPSは全インストールで必須という条件でした。放置すると本体やプラグインが動かなくなる一方、上げれば古いテーマやプラグインが動作しなくなる可能性があります。数年前に作ったテーマを使っているサイトでは、この対応だけで10万円単位の追加費用が発生した例もありました。見積を取る段階で、現在のPHPバージョンと、上げるときの追加費用の目安を必ず聞いてください。 保守の契約形態や費用の考え方はCMSに限った話ではありません。社内の他システムも含めて体制を組み直すなら、[保守管理と保全・点検の違いを業務範囲から整理した記事](https://www.issoh.co.jp/column/details/17607/)が、稟議で使う言葉の定義を揃えるのに役立ちます。 ## WordPress保守を内製で回す条件と外注に切り替える分岐点 ここからは判断の話です。すべてのサイトが保守を外注すべきというわけではなく、内製で十分に回る条件があります。保守体制を組む前段として、WordPressを使い続けること自体が自社に合うかを確かめたい場合は[WordPressはオワコンか？シェアと保守コストで採用可否を判断する](https://www.issoh.co.jp/column/details/17202/)を先に確認してください。 ### 内製でWordPress保守が回る4条件と1つでも欠けたら外注に出す理由 内製で保守を回してよいのは、次の4条件をすべて満たす場合に限ります。 1. 担当者が2名以上いる（1名の休暇・離職で更新が止まらない） 2. プラグインが10本以下で、独自開発の機能を含まない 3. 検証環境（ステージング）があり、本番に直接当てない運用ができる 4. サイト停止が数日続いても事業に直接の損失が出ない 4つのうち1つでも欠けるなら、外注に出す判断が合理的です。理由は単純で、内製の弱点は技術力ではなく継続性にあるためです。詳しい担当者が1名で回している状態は、その人が退職した瞬間にサイトが更新されないまま放置される構造になっています。 2つ目の条件も見落とされがちです。独自開発の機能や作り込んだテーマが入るサイトは、更新で壊れたときに元の設計を理解している人が要ります。プラグイン10本は絶対的な基準ではなく、更新後の確認に1時間かけられるかという作業量の目安として使ってください。 逆に、条件を満たしているのに外注している場合は、契約内容を見直す余地があります。更新とバックアップだけの5,000円プランを漫然と続けるより、スポット契約に切り替えて年2回の更新を依頼し、浮いた費用をコンテンツ制作に回す方が投資対効果は高くなります。 ### 保守の委託先を選ぶときに必ず確かめる5項目と契約書に残す条件 委託先の候補は、サイトを作った制作会社、保守専門のサービス、そして受託開発会社に分かれます。どこを選ぶにせよ、次の5項目は契約前に必ず確認してください。 - バックアップからの復元を実際に試した実績と、その頻度 - 障害検知から一次対応を開始するまでの時間（時間帯別に） - 作業ログの提出方法と、月次レポートに含まれる項目 - PHPやサーバー更新に伴う改修が月額に含まれるかどうか - 解約時にデータと管理権限をどう引き渡すか 5つ目を軽視すると、後で身動きが取れなくなります。管理画面の権限を制作会社しか持たない状態で契約を続けると、他社に切り替えるときに引き継ぎ費用を請求される事例があります。契約の時点で、管理者権限とサーバーの契約名義を発注側が保持する条件を明記しておいてください。 1つ目の復元実績は、質問の仕方に工夫が要ります。「復元できますか」と聞けば、全社が「できます」と答えるはずです。「直近で復元を実施したのはいつか、どのサイトで、何分かかったか」と具体的に聞くと、実務の有無が回答の速さに表れます。自社サイトの規模と要件を伝えたうえで妥当な範囲と金額の当たりを取りたい場合は、[WordPress保守・メンテナンスの相談窓口](https://www.issoh.co.jp/service/web/wordpress-support/)で、現在のプラグイン構成と更新頻度を共有するところから始めるのが早い進め方です。 なお、サイトを作った制作会社にそのまま保守を任せる選択は、実装の経緯を知っている点で有利に働きます。ただし制作が本業の会社は障害対応の体制を持たないことがあり、夜間や休日の反応が鈍い場合があります。集客の主力サイトやECを預けるなら、保守を専門にしている委託先を並行して検討してください。 ## WordPress保守契約を結ぶ前に発注側が決めておく運用ルール 契約書に何を書くかは、発注側が運用方針を決めていないと固まりません。着手前に社内で握っておく事項を挙げます。 ### PHP8.2のEOLと8.4への移行時期を保守契約のどちらが担うか決める WordPressの推奨要件はPHP 8.3以上ですが、要件を満たしているからといって安心できる状態とは限りません。PHP本体の[サポート期限一覧](https://www.php.net/supported-versions.php)では、各ブランチがアクティブサポート2年とセキュリティ修正2年の計4年で終了します。2026年9月時点のサポート状況を、保守契約での扱いと並べます。 | PHP | セキュリティ修正の終了 | 契約での扱い | | --- | ----------- | ----------- | | 8.2 | 2026年12月31日 | 年内に移行を完了する | | 8.3 | 2027年12月31日 | バグ修正は終了済み | | 8.4 | 2028年12月31日 | 新規契約の既定値にする | | 8.5 | 2029年12月31日 | 検証してから採用する | 8.2で動いているサイトは2026年内が期限です。年末に駆け込むと、レンタルサーバー各社の切り替え作業と検証が重なって費用が上がります。8.3もアクティブサポートが2025年12月31日に終わっており、通常のバグ修正はもう出ません。これから契約を結ぶなら、2028年末まで修正が続く8.4を既定値に置き、年内に上げる日程を保守契約の作業計画へ書き込むのが現実的な進め方でした。 ここで揉めるのが、サーバー側の要件追随を誰が担うかです。レンタルサーバーの管理画面でPHPを切り替える操作自体は数分で終わります。問題は、切り替えた後に古いコードがエラーを出したときの修正で、これを保守費に含めるかどうかは会社によって扱いが違います。契約前に「PHPのバージョン変更に伴う改修は月額に含むか、含まないなら費用の算定方法は何か」を書面で確認しておいてください。社内で版上げを進める場合の作業内容は[WordPressのPHPバージョンアップ手順](https://www.issoh.co.jp/tech/details/18957/)で確認できます。 ### ステージング検証とロールバック手順を契約前に取り決める作業要点 更新作業の事故を減らす仕組みは2つ、検証環境での事前確認と、失敗したときに戻す手順です。ステージング環境を用意するかどうかは費用に直結するため、契約前に方針を決めてください。 判断の基準は、サイトが止まったときの損失額です。問い合わせや採用応募が日常的に入るサイトなら、ステージング環境の維持費（月額数千円程度のサーバー費用）を払っても、更新事故1回の復旧費用より安く収まります。年に数回しか更新しない会社案内サイトなら、更新直前にバックアップを取る運用で代替できます。 ロールバック手順については、「更新前のバックアップを取ってから作業する」「不具合を検知したら1時間以内に更新前の状態へ戻す」という2点を契約に書き込んでおくと、判断で迷う場面が減ります。戻すべきか直すべきかを現場で議論している間にサイトが止まり続ける、という事態を防ぐためです。 ### サイト移行やリニューアルの時期に保守契約を組み替える判断の境目 保守契約を見直す自然なタイミングは、サーバー移行とサイトリニューアルの2つです。とくにサーバー移行は、現行の構成を棚卸しする機会になります。使っていないプラグインの削除、PHPバージョンの引き上げ、バックアップ体制の作り直しを移行作業とまとめて行えば、個別に依頼するより費用が下がります。 移行そのものの手順や、自力と代行のどちらを選ぶかの判断は[WordPress移行（サーバー引っ越し）の手順と注意点](https://www.issoh.co.jp/column/details/15310/)にまとめています。移行を機に保守の委託先を変える場合は、移行作業と保守を同じ会社に任せると責任の所在が明確になり、移行直後の不具合対応が速く進みます。 リニューアルの場合は逆で、保守契約を先に切らないでください。旧サイトが公開されている間は更新とバックアップが必要で、リニューアルの制作期間中に旧サイトが改ざんされる事例があります。新サイトの公開日を境に契約を切り替える形にして、空白期間を作らない設計にしておきます。 ## よくある質問 WordPress保守運用の相談で実際に多い質問を、費用・範囲・自社対応・頻度・委託先の順にまとめました。 ### WordPress保守の費用相場は月額いくらですか？ 月額5,000円から10万円まで幅があり、中小企業のコーポレートサイトなら1万〜3万円が標準帯です。5,000〜1万円のプランは更新とバックアップのみ、1万〜3万円で監視と軽微な修正、3万〜5万円で障害復旧と月次レポート、5万〜10万円でコンテンツ更新代行と改善提案まで含むのが一般的な区分でした。スポット対応なら本体とプラグインの更新1回で5,000〜1万5,000円が目安です。 ### WordPress保守の作業内容には何が含まれますか？ 更新・バックアップ・セキュリティ対策・監視・障害復旧の5領域が基本です。更新は本体とプラグインとテーマ、バックアップは取得だけでなく保管先の分離と復元試験まで、セキュリティはログイン防御と使っていない機能の停止、監視は死活・表示速度・SSL証明書の期限を指します。見積書では、この5領域のどこまでが月額に含まれ、どこから別料金かを1項目ずつ確認してください。 ### WordPress保守は自社だけでも対応できますか？ 担当者が2名以上いる、プラグインが10本以下で独自開発の機能がない、検証環境がある、サイトが数日止まっても事業損失が出ない、という4条件をすべて満たすなら内製で回せます。1つでも欠けるなら外注を検討してください。内製の弱点は技術力ではなく継続性で、詳しい担当者1名に依存した体制はその人の休暇や離職でそのまま停止します。 ### WordPressの更新はどのくらいの頻度で必要ですか？ 本体はメジャーリリースが年数回、セキュリティ目的のマイナーリリースが随時公開されます。2026年は5月20日に7.0が出た後、7月9日から8月12日までに7.0.1から7.0.4まで4本の修正版が続き、8月19日に7.1へ切り替わりました。プラグインは本数に比例し、10本入っていれば月に数回の更新通知が出ます。マイナーリリースは `WP_AUTO_UPDATE_CORE` を `'minor'` にして自動更新へ任せ、メジャー版とプラグインは検証してから当てる運用が現実的です。 ### 保守を委託する会社はどう選べばよいですか？ 月額料金ではなく、バックアップからの復元を実際に試した実績で選んでください。「直近の復元はいつ、どのサイトで、何分かかったか」と具体的に聞くと実務の有無が分かります。あわせて、障害検知から一次対応開始までの時間、月次レポートの項目、PHP更新に伴う改修の扱い、解約時のデータと管理権限の引き渡し方法の4点を契約前に書面で確認しておくと、後の食い違いを防げます。 ## 関連記事 - [WordPress移行（サーバー引っ越し）の手順と注意点｜自力と代行の判断基準も解説](https://www.issoh.co.jp/column/details/15310/)：保守契約を組み替える機会になるサーバー移行の実務をまとめています。 - [システム保守とは？運用との違い・費用相場・契約形態を発注者視点で解説](https://www.issoh.co.jp/column/details/13173/)：CMSに限らないシステム保守全般の契約形態と費用の考え方を扱っています。 - [CMSとは？仕組み・種類・WordPressとヘッドレスの違いと選び方を発注視点で解説](https://www.issoh.co.jp/column/details/15425/)：WordPressを選ぶ段階から検討している場合の判断材料になります。 - [WordPress 7.0「Armstrong」の新機能・変更点と安全なアップデート手順](https://www.issoh.co.jp/tech/details/11971/)：メジャーアップデートを当てる前に確認する項目を技術面から解説しています。 - [保守管理とは？保全・点検との違いと業務範囲・システム化の判断基準](https://www.issoh.co.jp/column/details/17607/)：CMS以外も含めた保守体制の言葉の定義と業務範囲を整理しています。 --- 出典: [WordPress保守運用とは：作業範囲・費用相場と内製か外注かの判断基準を解説]()（株式会社一創）