自動更新はWordPress本体のマイナー版だけオン プラグインは選んで有効にする

WordPressには、本体・プラグイン・テーマを自動で更新する機能があります。放置による脆弱性を防げる一方、深夜に勝手に更新されて朝サイトが壊れているという事故も起こります。この記事では、どこまで自動化してよいのかという判断基準と、実際の設定方法を整理します。

本体のマイナー更新は自動、それ以外は選別する

結論から書きます。中小企業のサイトであれば、以下の設定が最もバランスが取れています。

推奨する設定

対象	自動更新	理由
WordPress本体のマイナー更新	オン（既定のまま）	セキュリティ修正が中心で影響が小さい
WordPress本体のメジャー更新	オフ	仕様変更を伴い影響が大きい
セキュリティ系プラグイン	オン	修正の緊急度が高い
フォーム・決済系プラグイン	オフ	止まると売上に直結する
デザインに関わるプラグイン	オフ	表示崩れの可能性がある
テーマ	オフ	デザイン全体に影響する

本体のマイナー更新は既定で自動になっている

WordPressは、セキュリティ修正やバグ修正を含むマイナー更新について、既定で自動更新が有効になっています。これは意図的な設計であり、通常はオフにする必要はありません（出典 WordPress Developer Resources Upgrading WordPress）。

メジャー更新は手動で判断する

バージョン番号の1桁目が変わる更新は、機能や仕様の変更を伴います。テーマやプラグインが対応していないと不具合が出るため、バックアップを取ったうえで、確認できる時間帯に手動で実施してください。

プラグインの自動更新は用途で判断する

一括でオンにするのが最も危険です。

止まると困る機能ほど手動にする

問い合わせフォーム、予約システム、決済機能は、動かなくなった時点で機会損失が発生します。しかも表示は正常なのに送信だけ失敗するという、気づきにくい壊れ方をします。これらは必ず手動更新にし、更新後にテスト送信を行ってください。（自動更新で壊れて、数週間気づかなかったという事例があります）

自動更新にしてよいプラグインの条件

• 停止しても致命的な影響が出ない
• 開発が活発で、更新が頻繁に行われている
• 利用者数が多く、不具合が早期に発見される
• サイトの見た目に直接関与しない
• セキュリティ修正の緊急度が高い種類である

設定は個別に切り替えられる

WordPressの管理画面でプラグイン一覧を開くと、各プラグインの行に自動更新を有効化するリンクがあります。一括ではなく、1つずつ判断して設定してください。

2年以上更新されていないプラグインは自動更新以前の問題

自動更新を有効にしても、そもそも開発が止まっているプラグインには更新が配信されません。更新されないプラグインは、脆弱性が見つかっても修正されないということです。この場合は乗り換えを検討してください。

自動更新で壊れたときに備える

オンにする以上、事故は前提です。

バックアップの取得タイミングを見直す

自動更新が深夜に走る場合、その直前にバックアップが取得されていることが理想です。バックアップの実行時刻を、自動更新より前に設定しておいてください。

更新通知メールを受け取る設定にする

WordPressは自動更新の実行後、管理者宛にメールを送ります。このメールが届く設定になっているか、また受信できるアドレスが登録されているかを確認してください。退職者のアドレスのままになっているケースがあります。

朝の確認を習慣にする

自動更新を有効にしているなら、朝一番にサイトを開く習慣をつけてください。トップページとフォームを確認するだけなら1分で終わります。

死活監視を併用する

自動更新で真っ白になった場合、死活監視サービスがあれば即座に通知が届きます。無料プランでも5分間隔の監視が可能で、自動更新を有効にするなら併せて設定する価値があります。

自動更新をオフにする場合の運用

すべて手動にする選択もあります。

更新を止めることは選択肢にならない

自動更新をオフにするということは、手動で更新する運用を続けるということです。「オフにして放置」は、最も危険な状態です。更新されないWordPressは、既知の脆弱性を抱えたまま公開され続けます。

月1回の更新日を決める

手動運用にするなら、月に1度の更新日を固定してください。バックアップ、1つずつ更新、表示とフォームの確認、という手順を毎回同じように実施します。

緊急のセキュリティ修正は待たない

重大な脆弱性が公表された場合、月次の更新日を待たずに適用してください。脆弱性の情報が公開されると、その日のうちに攻撃が始まることがあります。

外注する判断も合理的

更新作業は、押すだけなら簡単ですが、壊れたときの切り分けと復旧には知識が必要です。社内に対応できる人がいない状態で手動運用を続けるより、外注する方が結果的に安く済むことがあります。

設定を確認する手順

現状を把握してください。

確認する場所

1. 管理画面の「ダッシュボード」から「更新」を開く
2. WordPress本体の自動更新設定の記述を確認する
3. 「プラグイン」一覧を開き、各行の自動更新の状態を確認する
4. 「外観」から「テーマ」を開き、テーマの自動更新設定を確認する
5. 意図しない設定になっているものを個別に切り替える

制作会社が設定を変更している場合がある

wp-config.php や functions.php に、自動更新を制御する記述が追加されていることがあります。管理画面の表示と実際の挙動が食い違う場合、この可能性があります。設定を変えたのに更新されない、あるいは勝手に更新される場合は、ファイル側の記述を確認してください。

サーバー会社の自動更新機能もある

レンタルサーバーによっては、WordPress本体やプラグインを自動更新する独自機能を提供しています。この設定とWordPress側の設定が別々に存在するため、両方を確認しないと実態が分かりません。

最後に

自動更新は、WordPress本体のマイナー更新は既定のままオン、プラグインは用途を見て個別に判断、テーマとメジャー更新は手動、というのが実務上のバランスです。特にフォーム・決済・予約に関わるプラグインは、止まると気づきにくく損害が大きいため手動にしてください。そして自動更新を有効にするなら、バックアップと死活監視をセットで整えることが前提になります。

Web管理では、月額1万円からWordPressサイトの運用保守を代行しています。自動更新設定の見直し、月次の手動更新代行、更新後の動作確認まで対応可能です。「更新が怖くて何年も止めている」というご相談も歓迎します。