「ブログを更新してほしいから、アカウントを作って」と頼まれたとき、深く考えずに管理者権限のアカウントを発行していないでしょうか。管理者権限は、プラグインの削除・テーマの変更・他ユーザーの削除・サイトURLの変更まで、すべてが可能な権限です。この記事では、WordPressの5つの権限の違いと、社内での正しい割り当て方を、事故を防ぐ観点から解説します。
記事を書くだけの人に管理者権限は不要
結論から書きます。ブログやお知らせを更新するだけの担当者には「編集者」で十分です。管理者権限を持つのは、サイト全体に責任を持つ人だけに限定してください。
WordPressには5つの権限が用意されている
WordPressは役割ごとに実行できる操作を制限する仕組みを標準で備えています（出典 WordPress.org Roles and Capabilities）。
| 権限 | できること | 割り当てる相手 |
|---|---|---|
| 管理者 | すべての操作（設定変更・プラグイン・ユーザー管理） | サイト責任者と保守担当のみ |
| 編集者 | 全員の記事・固定ページの投稿・編集・削除、コメント管理 | Web担当者、更新責任者 |
| 投稿者 | 自分の記事の投稿・編集・公開、画像アップロード | 各部署のブログ執筆者 |
| 寄稿者 | 自分の記事の作成（公開はできない、画像もアップロード不可） | 外部ライター、承認フローが必要な執筆者 |
| 購読者 | 自分のプロフィール編集のみ | 会員機能を使う場合の一般会員 |
管理者権限で起こりうる事故の範囲
管理者権限を持つ人は、悪意がなくても以下の操作ができてしまいます。
- 使っていないと思ったテーマ（実は親テーマ）を削除してサイトを真っ白にする
- プラグインを削除して問い合わせ履歴ごと消す
- 設定のサイトアドレスを変更して全員をログアウト状態にする
- パーマリンク構造を変更して全URLを404にする
- 他のユーザーを削除し、その人の投稿もまとめて消す
これらはすべて、警告なしまたは形式的な確認だけで実行されます。（管理画面は、専門知識がなくても取り返しのつかない操作ができるように作られています）
編集者権限で記事更新の業務はすべて完結する
編集者に何ができないかを理解すれば、権限を下げても業務が回ることが分かります。
編集者ができること
編集者は、投稿・固定ページの作成から公開・削除まで、コンテンツに関わる操作をすべて実行できます。他人が書いた記事の編集、カテゴリやタグの追加、メディアのアップロード、コメントの承認・削除も可能です。日常のサイト更新業務は、この権限で完結します。
編集者ができないこと
編集者は、プラグインの追加・削除、テーマの変更、ユーザーの追加・削除、サイト全体の設定変更ができません。つまり、サイトが壊れる操作のほとんどが物理的にできない状態になります。これが編集者権限を推奨する理由です。
外部ライターには寄稿者を割り当てる
社外のライターに記事を書いてもらう場合は、寄稿者が適切です。寄稿者は記事を作成できますが公開はできず、社内の編集者が内容を確認してから公開する運用になります。ただし寄稿者は画像をアップロードできないため、画像の挿入は社内側で行う必要があります。
権限を下げると「あの操作ができなくなった」と反発が出ることがあります。しかし、その操作は本来その人が行うべきものではない可能性が高いです。必要になったら都度依頼する運用の方が、事故率は下がります。
管理者アカウントは2つ用意し、それ以上増やさない
管理者の数には最適解があります。1つでは足りず、3つ以上は多すぎます。
管理者が1人だと自分を閉め出したときに詰む
管理者が1アカウントしかない状態で、そのアカウントのパスワードを紛失する、誤って権限を下げる、担当者が突然退職する、といった事態が起きると、誰も管理操作ができなくなります。復旧にはデータベースの直接操作が必要になり、対応できる人を探すところから始まります。
管理者が多いと事故の確率が比例して上がる
管理者が5人いれば、危険な操作ができる人が5人いるということです。しかも誰が何をしたのか追跡できないため、事故発生時の原因特定が困難になります。管理者は社内で1名、保守会社で1名の計2つが実務上の最適解です。
アカウントは必ず個人ごとに発行する
複数人で1つのアカウントを共有すると、誰が何をしたか分からなくなります。また、担当者が変わるたびにパスワードを変更する必要があり、共有先の全員に再通知する手間が発生します。個人ごとにアカウントを発行し、退職時にそのアカウントだけを処理する運用にしてください。
退職・異動時の権限処理を手順化しておく
権限管理で最も事故が多いのが、人の入れ替わりのタイミングです。
ユーザー削除時の投稿の扱いを間違えない
退職者のアカウントを削除すると、WordPressは「このユーザーの投稿をどうするか」を尋ねます。ここで削除を選ぶと、そのユーザーが書いた記事がすべて消えます。必ず「すべての投稿を次のユーザーに割り当てる」を選び、引き継ぎ先を指定してください。（数年分のブログが一瞬で消えた事例があります）
削除せず権限を購読者に下げる方法もある
投稿の紐付けを維持したい場合、アカウントを削除せず権限を購読者に変更する方法があります。ログインしても何もできない状態になり、投稿の著者情報は保たれます。ただしアカウント自体は残るため、パスワードは必ず変更してください。
退職時のチェックリスト
- WordPressのアカウントを削除または購読者に降格する
- 投稿の引き継ぎ先ユーザーを指定する
- その人が管理者だった場合、他に管理者が残っているか確認する
- サーバー・ドメイン管理会社のアカウント権限も確認する
- バックアップ保存先のクラウドアカウントが個人のものでないか確認する
- Google Analytics・Search Consoleの権限も見直す
権限設定と合わせてやっておくべきセキュリティ対策
権限を絞っても、アカウントそのものが奪われれば意味がありません。
ユーザー名にadminを使わない
admin という名前のアカウントは、総当たり攻撃で最初に狙われます。すでに存在する場合は、別名の管理者アカウントを新規作成し、adminのアカウントを削除してください。
投稿者名をログイン名と別にする
WordPressは初期状態で、記事の著者表示にログイン名を使うことがあります。この状態では、記事を見るだけでログイン名が分かってしまいます。プロフィール設定の「ブログ上の表示名」を、ログイン名とは別の名前に変更してください。
二段階認証を管理者アカウントに設定する
管理者アカウントには、二段階認証を設定してください。パスワードが漏洩しても、それだけではログインできない状態になります。Wordfenceなどのセキュリティプラグインで実装できます。IPAも認証の強化を継続的に推奨しています（出典 IPA 情報セキュリティ10大脅威）。
アカウント一覧を年1回棚卸しする
ユーザー一覧を開き、現在も業務で使われているアカウントだけが残っているかを年1回確認してください。実務では、退職者のアカウントが何年も管理者権限のまま残っているサイトが珍しくありません。使われていない管理者アカウントは、放置された合鍵と同じです。
最後に
WordPressの権限設定は、5分で終わる作業でありながら、サイトが壊れる確率を大きく下げます。記事を書く人には編集者、外部ライターには寄稿者、管理者は社内1名と保守担当1名の計2つ。この原則を守るだけで、誤操作による事故のほとんどは物理的に発生しなくなります。
Web管理では、月額1万円からWordPressサイトの運用保守を代行しています。権限設定の見直し、退職者アカウントの棚卸し、セキュリティ強化まで対応可能です。「誰がどの権限を持っているか把握していない」という状態の整理からでも承ります。お気軽にご相談ください。
