WordPressのユーザー権限、適切に分けていますか

自社サイトをWordPressで運用している会社は多いですが、ログインするユーザー全員が「管理者」権限になっている——これは非常によくある状態です。

制作会社、Web担当者、記事を書く社員、たまに更新する営業担当。全員が管理者だと、誰か一人のアカウントが破られただけで、サイト全体が乗っ取られます。今日は権限の分け方を整理します。

WordPressの5つの権限

WordPressには標準で5段階の権限があります。

危険なのは「管理者」だけと言っても過言ではありません。管理者はプラグインを追加でき、プラグインは何でもできるからです。

誰にどの権限を与えるか

管理者 → 1〜2人まで

サイト全体の責任者だけ。「念のため管理者にしておく」をやめることが第一歩です。

制作会社に管理者権限を渡している場合、契約終了後にアカウントが残っていないか必ず確認してください。これは実際によくある放置パターンです。

編集者 → 更新を任せる担当者

記事や固定ページの更新はできますが、プラグインや設定は触れません。Web担当者は、通常これで十分です。

投稿者 → 記事を書いて公開する人

自分の記事だけを扱えます。他人の記事を消せないので、事故が起きにくくなります。

寄稿者 → 外部ライター、新人

公開権限がないので、内容を確認してから公開できます。外部の方に書いてもらう場合はこれが安全です。

権限を絞ると防げること

1. 乗っ取られたときの被害範囲が限定される

編集者アカウントが破られても、プラグインの追加や設定変更はできません。被害は記事の改ざんに留まり、サイト全体を乗っ取られる事態は避けられます。

管理者アカウントが破られた場合は、悪意あるプラグインを入れられて、サーバー全体が踏み台化する可能性があります。この差は決定的です。

2. 誤操作による事故が減る

「プラグインを更新したらサイトが真っ白になった」「テーマを触ったら表示が崩れた」——権限がなければ、そもそも起こりません。

3. 退職・契約終了時の整理がしやすい

誰が何をできるかが明確なら、アカウント削除の優先順位もはっきりします。

今すぐ確認してほしい3つ

1. ユーザー一覧を開く

管理画面 → ユーザー。登録されている全員の権限を確認してください。

• 管理者が何人いますか？
• 見覚えのないユーザーはいませんか？
• 退職者・元制作会社のアカウントは残っていませんか？

見覚えのないユーザーがいたら、それは既に侵入されている可能性があります。 すぐご相談ください。

2. 「admin」というユーザー名を使っていないか

攻撃者が最初に試すユーザー名です。使っている場合は、別名の管理者を新規作成してから、adminを削除してください（記事は新ユーザーに引き継げます）。

3. 使っていないアカウントを削除する

「一度だけ使った」アカウントが残っていませんか。使われないアカウントは、誰も異変に気づけません。

権限だけでは足りない部分

権限設計は被害範囲を絞る対策です。侵入そのものを防ぐには、あわせてこれらが必要です。

• ログインページへの2要素認証（プラグインで追加できます）
• ログイン試行回数の制限
• パスワードを推測されにくいものにする
• プラグイン・テーマ・本体を最新に保つ

最後が最も重要です。WordPressの侵害の大半は、古いプラグインの脆弱性が原因です。

権限の見直しから保守までご相談ください

「ユーザー一覧を見たが、どれを消していいか判断できない」「制作会社と連絡が取れず、管理者が誰か分からない」——こうしたご相談は珍しくありません。

BULLCOM Security では、WordPressの月額保守を¥9,800〜でご提供しています。更新の代行、死活監視、月次レポートに加え、権限設計の見直しも含みます。単発での脆弱性診断（¥29,800〜）も承っています。

まずは現状を確認するところからでも構いません。お問い合わせフォームまたはLINEからお気軽にご相談ください。