社員や外部担当者が退職・契約終了するとき、メールとパソコンだけを停止して終わっていないでしょうか。ホームページ運用では、WordPress、サーバー、ドメイン、Google、SNS、フォーム、広告、制作ツールなど、多数のアカウントがつながっています。
一つでも権限が残ると、情報の閲覧、設定変更、投稿、顧客データへのアクセスが続く可能性があります。反対に、急いで削除すると、会社が必要なデータや認証手段まで失うことがあります。本記事では、中小企業が安全に行う退職時の権限見直しを解説します。
退職対応は「削除」ではなく引継ぎから始める
最初に行うのは、アカウントを無計画に消すことではありません。会社が必要な所有権、データ、設定、連絡先を引き継ぎ、その後に本人のアクセスを停止します。
基本の順番は次の通りです。
- 利用サービスと権限を棚卸しする
- 会社が所有すべきデータを移管する
- 管理者と復旧手段を会社側へ変更する
- 退職日時にアクセスを停止する
- セッションや連携トークンも無効化する
- 業務が正常に継続できるか確認する
- 記録を保存する
退職日が決まった時点で、人事・総務・直属責任者・IT担当・制作会社の役割を決めます。
見直すべきWeb関連アカウント
会社によって対象は異なりますが、少なくとも次を確認します。
ホームページとインフラ
- WordPressのユーザー
- サーバー管理画面
- SFTP・SSH・データベース
- ドメイン・DNS
- SSL証明書・CDN・WAF
- バックアップ・監視サービス
- SMTP・メール配信サービス
Googleと計測
- Google Workspace
- Google Analytics 4
- Google Tag Manager
- Search Console
- Googleビジネスプロフィール
- Google広告
- Looker Studio
- Google Drive上の制作資料
集客・制作・顧客対応
- SNSの管理権限
- 広告アカウント
- メールマガジン
- CRM・問い合わせ管理
- フォーム・予約・チャット
- Figma・Canva・画像素材
- GitHubなどのソース管理
- ヒートマップ・SEOツール
個人のメールアドレスで登録されたサービスも漏らさず確認します。
1. アカウント台帳と本人ヒアリングを照合する
会社の台帳だけでは、現場で追加されたサービスが抜けることがあります。本人、上司、経理の請求記録、ブラウザの業務用ブックマーク、共有ドライブ、パスワード管理ツールを照合します。
各サービスについて、次を記録します。
- サービス名と管理URL
- 契約名義・所有者
- 本人の権限
- 二要素認証の方法
- 復旧メール・電話番号
- APIキーや外部連携
- 保存データと引継ぎ先
- 停止予定時刻
- 実施者と確認者
パスワードを一覧へ平文で書くのではなく、権限と保管場所を記録します。
2. 個人所有から会社所有へ移す
ドメイン、サーバー、Googleの主要資産、SNS、広告などが退職者個人のアカウントだけに紐づいている場合は、退職前に会社管理へ移します。
特に確認したいものは次の通りです。
- 契約者名義
- 請求先
- 主所有者・最上位管理者
- 復旧メールアドレス
- 二要素認証の電話番号や認証端末
- バックアップコード
- 利用規約上の譲渡方法
単にパスワードを共有するだけでは、所有権や復旧手段が本人に残ることがあります。
3. データと業務を引き継ぐ
削除前に、会社が保持すべきデータを確認します。
- 未公開記事・下書き・画像
- 問い合わせ履歴
- 顧客とのやり取り
- 広告設定・レポート
- GA4やSearch Consoleの分析資料
- デザイン・原稿・ソースコード
- 契約・請求・ライセンス情報
- 運用手順・障害対応記録
個人情報や私的データを無差別にコピーせず、就業規則、契約、社内ルール、法令に沿って業務データだけを移管します。
4. 共有パスワードを変更する
複数人で一つのIDを使っていた場合、本人のアカウントだけ削除してもアクセスを止められません。共有を廃止できないサービスでは、パスワードを変更し、二要素認証と復旧コードを再設定します。
同じパスワードを別サービスへ使い回していた可能性があれば、影響範囲を確認して個別の固有パスワードへ変更します。
5. 個人アカウントを停止・削除する
引継ぎが終わったら、原則として退職日時に合わせてアクセスを停止します。
WordPressでは、投稿を別の会社管理ユーザーへ割り当ててから削除します。誤って「すべてのコンテンツを削除」を選ばないよう注意します。
外部サービスでは、まず権限を外し、必要に応じてアカウントを停止・削除します。監査や復旧に必要な場合は、社内方針に沿って一定期間停止状態で保持します。
6. ログイン中のセッションも終了する
パスワード変更だけでは、既存セッションが残るサービスがあります。次も無効化します。
- ログイン中の端末・ブラウザセッション
- アプリパスワード
- APIキー・アクセストークン
- OAuth連携
- SSH鍵
- SFTP鍵
- デプロイキー
- Webhook
- 外部アプリとの自動連携
会社パソコン、スマートフォン、認証端末、セキュリティキーも回収・初期化手順に含めます。
7. 自動処理と通知先を変更する
退職者を削除すると、目立たない部分が停止することがあります。
- フォーム通知の宛先
- サーバー障害・更新期限の通知
- バックアップ失敗通知
- 広告や分析の定期レポート
- カレンダー予約
- メール転送
- 自動投稿
- 請求・更新案内
- ドメイン認証やSSL更新
会社の共有アドレスと複数担当者へ変更し、テスト送信まで行います。
8. ログを確認する
退職前後の管理ログを確認し、不審なダウンロード、権限変更、APIキー作成、データ削除がないか見ます。問題が疑われる場合は、ログを保全し、関係者だけで対応します。
監視期間と確認責任者を決め、感覚ではなく記録に基づいて判断します。
9. 動作確認を行う
権限停止後、次を確認します。
- ホームページが表示される
- フォームが送信でき、会社側で受信できる
- メールが送受信できる
- 記事更新・バックアップ・監視が継続する
- GA4やGTMが計測している
- 広告やSNSの管理者が残っている
- ドメイン・サーバーの更新通知が届く
- 緊急時に会社側で復旧できる
停止した本人の資格情報では再ログインできないことも、許された範囲で確認します。
退職時チェックリスト
| 時期 | 主な作業 |
|---|---|
| 退職決定時 | 対象サービス、所有権、データ、責任者を棚卸し |
| 退職前 | データ移管、主所有者変更、復旧手段変更、手順引継ぎ |
| 退職日時 | アカウント停止、共有認証変更、端末回収 |
| 直後 | セッション・鍵・トークン無効化、通知先変更、動作確認 |
| 数日後 | ログ確認、請求・更新・自動処理の継続確認 |
| 定期 | 不要権限の棚卸しと台帳更新 |
よくある質問
退職者のWordPressアカウントはすぐ削除してよいですか？
投稿や下書きの引継ぎ先を確認してから処理します。コンテンツを会社管理ユーザーへ割り当て、必要な記録を残してから停止・削除します。
Googleアカウントを削除すればGA4やGTMの権限も消えますか？
アクセスできなくなる場合がありますが、組織や資産側の権限、サービスアカウント、共有設定は別途確認が必要です。会社側の管理者が残っていることを先に確かめます。
円満退職でも権限停止は必要ですか？
必要です。本人を疑うためではなく、誤操作、端末紛失、アカウント侵害、責任範囲の曖昧化を防ぐ標準手続きとして全員に同じルールを適用します。
制作会社との契約終了も同じですか？
基本は同じです。制作会社のユーザー、SFTP、サーバー、クラウド、Google、ライセンス、ソース管理、保守ツールの権限を棚卸しし、納品物と所有権を引き継ぎます。
まとめ
退職時のWeb権限見直しでは、アカウントを削除する前に、会社が必要な所有権、データ、復旧手段、通知、運用を引き継ぎます。その後、本人のアカウントだけでなく、共有パスワード、セッション、APIキー、SSH鍵、外部連携まで停止します。
日頃からサービス台帳、会社名義、複数管理者、最小権限を整えておけば、急な退職でも安全に対応できます。
株式会社サーハビーでは、札幌の企業を中心に、WordPress、サーバー、ドメイン、GoogleサービスなどWeb運用アカウントの棚卸しと管理体制づくりを支援しています。担当者変更や制作会社変更を予定している場合は、停止事故を防ぐため早めにご相談ください。