ホームページ制作を外注すると、WordPressの設定や保守を制作会社が担当します。しかし、自社が管理者権限を持たないままでは、担当者と連絡が取れない、契約終了後に更新できない、別会社へ移管できないといった問題が起こります。
制作会社を信頼しないという話ではありません。事業資産を継続管理するため、自社と制作会社が適切に権限を分担する方法を解説します。
管理者権限でできること
WordPressの管理者は、記事だけでなく、ユーザー、テーマ、プラグイン、設定、場合によってはコードやデータへ影響する操作ができます。誤操作やアカウント漏えいの影響も大きいため、全員へ渡す権限ではありません。
自社は少なくとも、正規の管理者アカウントを保有し、必要時に使える状態を維持します。
制作会社だけが管理者になるリスク
連絡不能時に対応できない
制作会社の廃業、担当者退職、契約トラブル、長期不在が起きると、緊急修正や障害対応が止まります。
制作会社を変更できない
新しい会社がサイトを調査・移行するために必要な権限を得られず、復旧や再制作の費用が増えることがあります。
アカウントの実態が分からない
共通アカウントを複数人で使っていると、誰が変更したか追跡できません。退職者が引き続きログインできる場合もあります。
他の管理情報も失う
WordPressだけでなく、ドメイン、サーバー、GA4、GTM、Search Consoleまで制作会社の個人アカウントに集約されていると、サイト全体の管理を失う可能性があります。
自社用管理者を作る
会社が管理するメールアドレスで、自社専用の管理者アカウントを作ります。制作会社のアカウントを共有せず、別々に発行します。
メールアドレスは退職者個人ではなく、責任部署が継続管理できるものを使います。ただし、ログインは個人単位に分け、共有IDの常用を避けます。
日常作業は必要最小限の権限にする
管理者アカウントは保管し、記事投稿や編集には編集者・投稿者など役割に合うアカウントを使います。管理者で日常作業を続けると、誤操作と不正利用の影響が大きくなります。
外部ライターや短期担当者にも、必要な期間と範囲だけ権限を付与します。
制作会社にも個別アカウントを発行する
制作会社名の共通アカウント一つではなく、可能な範囲で担当者ごとに識別できるアカウントを使います。作業終了者は速やかに停止します。
保守会社が変更になった場合は、旧会社のアカウントを削除または無効化し、パスワードや認証情報を見直します。
二要素認証とパスワード管理
長く使い回しているパスワードを避け、パスワード管理ツールで個別に生成・保管します。管理者には二要素認証を設定し、復旧コードを安全な場所に保存します。
パスワードをメールやチャットへ平文で送り続けない共有方法を決めます。
緊急アクセスの方法を決める
通常担当者が不在でも、代表者または責任者が必要情報へアクセスできるようにします。ただし、紙へ全パスワードを書いて誰でも見られる状態にはしません。
保管場所、開封条件、利用記録、更新担当を決めた緊急用手順を作ります。
WordPress以外に確認する権限
サイト運用には、次の権限も必要です。
- ドメイン登録・DNS
- レンタルサーバー・クラウド
- SSL証明書
- データベース・ファイル
- バックアップ保管先
- GA4・GTM・Search Console
- Googleビジネスプロフィール
- フォーム・予約・決済
- 会社メール
- 有料テーマ・プラグイン
WordPress管理者だけがあっても、サーバー障害や移管へ対応できない場合があります。
契約名義を確認する
ドメインとサーバーは、原則として自社名義または自社が管理できる契約にします。制作会社が代行する場合も、契約者、請求先、更新期限、移管方法を文書で確認します。
有料ライセンスが制作会社契約の場合は、解約後の利用可否と切り替え費用を聞きます。
権限台帳を作る
次の列を持つ一覧を作ります。
- サービス名
- URL
- 用途
- 契約名義
- 所有者・管理者
- 社内責任者
- 外部委託先
- 認証方法
- 更新期限
- 解約・移管方法
- 最終確認日
パスワードそのものを表計算へ直接書かず、安全な管理ツールの保管先を記録します。
四半期ごとに棚卸しする
ユーザー一覧と台帳を照合し、不要アカウント、退職者、長期間未使用の権限を整理します。管理者が増えすぎていないか、二要素認証が有効かも確認します。
制作会社へ、現在アクセスできる担当者一覧を定期的に確認します。
退職・異動時の手順
退職日までにアカウントを停止し、担当業務、更新履歴、復旧コード、契約情報を引き継ぎます。共有パスワードを知っていた場合は変更します。
WordPressだけでなく、Google、サーバー、SNS、フォーム、パスワード管理ツールも対象にします。
制作会社変更時に受け取るもの
- 自社用WordPress管理者
- サーバー・ドメインの管理権限
- 最新のファイルとデータベース
- バックアップと復元方法
- テーマ・プラグイン一覧とライセンス
- 独自改修の説明
- GA4・GTM・Search Consoleの管理権限
- DNS・メール設定
- 保守履歴と未解決課題
受け取るだけでなく、新しい担当者がログイン・復元できることを確認します。
制作会社へ確認する質問
- 自社名義の管理者アカウントを発行できるか
- どの担当者がどの権限を持つか
- アカウント共有をしていないか
- 二要素認証とログ記録を使えるか
- ドメインとサーバーの契約名義は誰か
- 有料ライセンスは解約後も使えるか
- バックアップを自社も受け取れるか
- 解約・移管時の作業と料金は何か
- 緊急時に自社だけで復旧できる情報があるか
契約前または公開前に、口頭ではなく一覧で回答を受け取ります。
自社が管理者を持つ際の注意
権限を持つことは、自由に設定変更してよいという意味ではありません。制作会社の保守中に、自社がテーマやプラグインを追加すると保証対象外になる場合があります。
変更可能範囲、作業前連絡、バックアップ、責任分界を決めます。
最低限の安全な体制
小規模企業でも次の状態を目指します。
- 自社管理の管理者アカウントがある
- 日常更新は低い権限で行う
- 制作会社は個別アカウントを使う
- 管理者に二要素認証がある
- ドメインとサーバーを自社が把握する
- 権限台帳と緊急手順がある
- 定期的に不要権限を削除する
まとめ
WordPressの管理者権限を制作会社だけに任せると、連絡不能、解約、移管、緊急対応の場面で事業継続リスクになります。
自社用管理者を持ち、日常作業は必要最小限の権限へ分け、WordPress以外の契約・アカウントも台帳化しましょう。制作会社と責任範囲を合意すれば、安全性を保ちながら自社のWeb資産を管理できます。