ホームページ制作や保守を依頼すると、WordPress、サーバー、ドメイン、Googleなどへのアクセスが必要になります。しかし「制作会社だから全部のパスワードを渡す」のは安全な方法ではありません。
大切なのは、秘密情報を広く共有することではなく、作業者ごとに必要最小限の権限を、必要な期間だけ付与し、終了後に確実に外せる状態を作ることです。本記事では、中小企業がWeb制作会社へ安全にアクセスを渡す方法を解説します。
結論：自分のパスワードを渡さず、専用アカウントを発行する
サービスが複数ユーザーに対応している場合は、会社代表者や社内管理者のID・パスワードを共有しません。制作会社または担当者専用のアカウントを作り、作業に必要な権限だけを設定します。
専用アカウントには次の利点があります。
- 誰が操作したか記録しやすい
- 権限を必要な範囲へ限定できる
- 契約終了時にそのアカウントだけ停止できる
- 社内管理者の認証情報を変更せずに済む
- 担当者交代へ対応しやすい
共有パスワードしか使えないサービスは例外として扱い、安全な共有と作業後の変更を徹底します。
制作会社へ渡してよいもの
「渡してよい」とは、無条件に共有してよいという意味ではありません。契約範囲と作業内容を確認し、専用アカウントとして発行します。
WordPressの専用ユーザー
記事作成なら投稿者・編集者、設定変更やプラグイン作業が必要な場合だけ管理者など、役割に合わせます。作業が終われば権限を下げるか停止します。
SFTP・SSHの専用資格情報
必要なディレクトリだけへアクセスできる専用ユーザーや鍵を発行します。サーバー全体の共通管理パスワードは避けます。
Googleサービスの招待権限
GA4、GTM、Search Console、Google広告、Looker Studioなどは、ユーザー招待で権限を付与します。会社側の管理者を残し、閲覧・編集・公開・ユーザー管理を必要に応じて分けます。
一時的な検証環境のアクセス
本番環境ではなく、検証環境に期限付きのアカウントを発行できると安全性が高まります。本番反映者と承認手順も決めます。
作業専用のAPIキーやトークン
必要なAPI、操作範囲、接続元、有効期限を限定して発行します。既存の本番共通キーをコピーせず、作業終了時に失効させます。
原則として渡してはいけないもの
個人のGoogle・Apple・Microsoftアカウント
個人メール、写真、支払い、ほかのサービスまで見える可能性があります。業務資産は法人アカウントで管理し、対象サービス側から招待します。
会社代表者・社内管理者の共通パスワード
最上位アカウントは所有権、請求、ユーザー追加、削除まで操作できることがあります。会社側で保持し、制作会社には別アカウントを発行します。
メールで届いた二要素認証コード
認証コードは本人確認の一部です。恒常的に転送する運用を避け、担当者専用アカウントへ二要素認証を設定します。本人確認を求めるサービスの仕組みを迂回してはいけません。
クレジットカード番号や本人確認書類
契約・支払いのために必要でも、制作会社へメールやチャットで送るのではなく、会社の担当者が公式画面へ直接入力します。
パスワード一覧のExcel・紙・チャット履歴
一つ流出すると複数サービスへ影響します。法人向けパスワード管理ツールで、対象項目だけを共有します。
復旧コードの原本
会社がアカウントを取り戻すための最後の手段です。会社側の安全な保管を維持し、通常作業には使いません。
絶対に避けたい渡し方
- メール本文にIDとパスワードを一緒に書く
- グループチャットへ平文で投稿する
- 同じメッセージで管理URL・ID・パスワードを送る
- パスワード付きZIPと解凍パスワードを同じ経路で送る
- 誰でも開ける共有リンクへ保存する
- 複数案件で同じパスワードを使い回す
- 制作会社の共通アカウントを複数人で使う
- 契約終了後も権限を残す
IPAも、パスワードを長く複雑にし、サービス間で使い回さず、多要素認証を利用することを案内しています。
安全に共有する実務手順
1. 作業内容を分解する
「ホームページ制作」という大きな依頼だけで判断せず、記事編集、テーマ修正、DNS変更、計測設定などに分けます。それぞれ本当に必要なサービスと操作を決めます。
2. 会社側の所有権を確認する
ドメイン、サーバー、Google、広告、SNSなどの主所有者が会社側にあり、復旧メールや請求先も会社管理であることを確認します。
3. 担当者専用アカウントを作る
制作会社名だけでなく、可能なら実際の担当者を識別できる形にします。共有IDが必要な場合も、責任者と利用者を記録します。
4. 最小権限と期限を設定する
閲覧だけで足りるなら編集権限を渡しません。管理者権限が必要な作業は期間を限定し、完了後に下げます。
5. 多要素認証を設定する
制作会社側の専用アカウントにも多要素認証を求めます。認証端末を共有せず、復旧方法と緊急連絡先を決めます。
6. 秘密情報は専用ツールで共有する
どうしてもパスワードを共有する場合は、アクセス制御、暗号化、期限、閲覧履歴、失効機能のあるパスワード管理ツールを使います。共有範囲は対象資格情報だけにします。
7. 変更前にバックアップと承認を行う
DNS、サーバー、WordPressなど影響の大きい作業は、変更内容、実施時刻、復旧方法、承認者を記録します。先にバックアップを取得します。
8. 作業後にログと動作を確認する
変更履歴を受け取り、ホームページ、フォーム、メール、計測、バックアップを確認します。不審な操作がないか管理ログも見ます。
9. 権限と秘密情報を回収する
契約終了または担当変更時に、専用ユーザー、セッション、APIキー、SSH鍵、アプリパスワード、外部連携を停止します。共有パスワードは変更します。
サービス別の安全な渡し方
| 対象 | 推奨する方法 | 避けたい方法 |
|---|---|---|
| WordPress | 担当者専用ユーザー・必要最小権限 | 社内管理者のID共有 |
| サーバー | 専用SFTP/SSH・範囲限定 | rootや共通管理パスワード共有 |
| ドメイン・DNS | 専用ユーザー・変更承認 | 主所有者アカウント共有 |
| GA4・GTM・Search Console | Googleのユーザー招待 | 個人Googleアカウント共有 |
| API | 用途・権限・期限を限定した新規キー | 本番共通キーのコピー |
| パスワードしか使えないサービス | 管理ツールで期限付き共有、終了後変更 | メール・チャットに平文投稿 |
制作会社へ確認したい質問
- 誰がアクセスしますか
- なぜその権限が必要ですか
- 作業期間はいつまでですか
- 多要素認証を使用しますか
- 秘密情報はどのように保管しますか
- 再委託先もアクセスしますか
- 操作ログと変更報告を提出できますか
- 契約終了時の削除・失効手順はありますか
- インシデント時の連絡先と対応時間は何ですか
「パスワードを送ってください」だけで済ませず、安全な招待方法を提案できるかも制作会社選びの判断材料になります。
よくある質問
制作会社に管理者権限は絶対に渡してはいけませんか？
設定変更などで必要な場合はあります。ただし、専用ユーザー、作業範囲、期間、バックアップ、承認、ログを整え、完了後に権限を下げます。
電話でパスワードを伝えれば安全ですか？
メールより常に安全とは限りません。聞き間違い、記録、本人確認、失効管理の課題があります。専用アカウントと安全な共有ツールを優先します。
制作会社が指定する共有ツールを使ってよいですか？
暗号化、アクセス制御、期限、ログ、削除、データ保管場所、利用規約を確認します。会社の方針に合わなければ、自社が管理する方法を指定します。
緊急障害ではどうすればよいですか？
事前に緊急用アカウントと承認手順を用意します。利用後はパスワード変更、セッション失効、ログ確認を行います。
まとめ
Web制作会社へ渡すべきなのは、社内管理者本人のパスワードではなく、作業内容に合わせた専用アカウントと最小限の権限です。共有が避けられない秘密情報は、安全な管理ツールで対象と期限を限定し、作業後に変更・失効します。
会社側が主所有者、復旧手段、請求、バックアップを保持し、制作会社の担当者が変わっても権限を追跡できる状態を作ることが重要です。
株式会社サーハビーでは、札幌の企業を中心に、WordPress、サーバー、ドメイン、Googleサービスの権限設計と安全な制作・保守体制づくりを支援しています。現在の共有方法に不安がある場合もご相談ください。