制作会社からWordPressのログイン情報を求められたときの基本は、個人アカウントを共有せず依頼先専用アカウントを作ることです。記事更新なら編集者、プラグイン更新や設定変更なら管理者というように、作業に必要な最小限の権限を選びます。
開始日と終了日、作業後に停止・削除する担当、変更内容と確認結果の記録方法まで、ログイン情報を渡す前に決めてください。この記事では、外注前・作業中・作業後の順に、事故や引き継ぎ漏れを防ぐ確認事項を整理します。
管理者権限を渡す前に作業内容を分ける
WordPressの管理者権限は、制作会社へ入場してもらうための共通鍵ではありません。依頼先の肩書ではなく、実際にどの管理画面で何を操作するかによって決めます。
たとえば、お知らせの文章と画像を差し替える作業と、プラグインを更新してフォーム設定を変える作業では、サイト全体への影響が異なります。前者は編集者で対応できる可能性がありますが、後者は管理者でなければ操作できない場合があります。
依頼範囲は「対象・操作・完了条件」で書く
制作会社へ依頼する作業は、「サイトを直してください」ではなく、次の3点が分かる形にします。
- 対象：変更するページのURL、投稿種類、管理画面の項目
- 操作：文章・画像の更新、公開、設定変更、プラグイン更新など
- 完了条件：表示確認、フォーム送信、更新後の動作確認など
「会社概要ページの文章を差し替え、公開画面で崩れがないことを確認する」と書ければ、記事編集の権限で足りるかを検討できます。「問い合わせフォームへ項目を追加し、通知メールまで確認する」なら、フォームを管理するプラグインの設定権限が必要かもしれません。
依頼先には、「管理者権限が必要か」だけでなく、「どの管理画面を使い、何を変更するためにその権限が要るのか」と確認します。理由を作業単位まで分けられれば、全期間を管理者にせず、該当作業の時間だけ権限を上げる方法も選べます。
外注前から作業後までの流れは、作業の分解、専用アカウントの発行、期限と記録の管理、権限回収と動作確認の4段階です。最初の作業分解が曖昧なままでは、その後の権限設定も広くなりやすいため、ログイン情報を送る前に依頼範囲を文章へ落とします。
既存アカウントを共有せず専用アカウントを作る
社内担当者が日常的に使っている管理者IDとパスワードを渡すと、社内の操作と外注先の操作を区別しにくくなります。作業終了後にパスワードを変えた場合は社内担当者にも影響し、変えなければ外部から使える認証情報が残り続けます。
依頼先専用のアカウントを作れば、付与した日、操作した期間、回収した日をそのアカウントに結び付けられます。自社の管理者アカウントは手元に残し、外注先の作業が終わっても自社だけで管理画面へ入れる状態を保ってください。
制作会社の複数人が作業する場合は、会社共通の1アカウントでよいか、実作業者ごとに分けるかも確認します。誰が操作したかをより明確にするなら、実作業者ごとのアカウントが適しています。共通アカウントを使う場合でも、作業日時と担当者名を変更記録へ残してもらいます。
IPAのガイドラインは、共有範囲を限定し、異動や退職時には設定を速やかに変更・削除すること、共有が避けられない場合は別のユーザーアカウントを作ることを対策例として示しています。さらに、特権IDの利用申請、権限付与、操作ログを管理するという考え方です。WordPressへ置き換えると、外注先専用のIDを発行し、付与から回収までを記録する運用になります。
アカウント名、登録メールアドレス、利用者、連絡窓口は一覧で残します。担当者の変更や契約終了があったとき、どのアカウントを処理すればよいか迷わない状態を作るためです。
WordPressの権限を作業に合わせて選ぶ
WordPressには、特権管理者、管理者、編集者、投稿者、寄稿者、購読者という既定の権限グループがあります。公式資料では、管理者はシングルサイト内の管理機能へ広くアクセスでき、編集者は他の利用者が作成したものを含む投稿を公開・管理できる役割とされています。役割は上下関係ではなく、担当する作業範囲を表すものです。出典
管理者は、シングルサイトではプラグインやテーマ、WordPress本体の更新、各種設定、ユーザー管理などを行えます。マルチサイトでは一部の管理機能が特権管理者に限られるため、サイト構成も確認しなければなりません。編集者は投稿や固定ページを広く編集できますが、プラグイン更新やサイト設定の変更はできません。
| 依頼内容 | 候補となる権限 | 追加確認 | 作業後の処理 |
|---|---|---|---|
| 自分名義の投稿だけを作成・公開 | 投稿者 | 他者の投稿や固定ページを触らないか | 短期なら削除、継続なら期限更新 |
| 既存の投稿・固定ページを編集・公開 | 編集者 | 独自の投稿種類や編集画面も操作できるか | 完了後に削除または権限を下げる |
| コメント対応・カテゴリー整理を含む記事運用 | 編集者 | 公開承認や削除を任せる範囲 | 契約終了日に回収 |
| プラグイン・テーマ・WordPress本体の更新 | 管理者（シングルサイト）／特権管理者（マルチサイト） | バックアップ、検証手順、更新対象 | 確認後すぐ回収 |
| サイト設定・ユーザー・テーマ設定の変更 | 管理者（シングルサイト） | 変更する設定項目と影響範囲 | 変更記録を受領後に回収 |
この表は、依頼先へ最初に付ける権限と期限を決めるための目安です。候補より広い権限を求められたときは、追加で操作する画面と理由を確認します。
WordPressでは、既定の権限へ機能を追加・削除したり、独自の役割を作ったりできます。そのため、同じ「編集者」でも、プラグインやサイト固有の設定によって見える画面が同じとは限りません。専用アカウントを作った後は、制作会社に実際の管理画面で作業対象へ入れるか確認してもらい、不足する機能だけを再検討します。
管理者が必要な工程と編集者で足りる工程が混在する場合は、期間を分ける方法もあります。通常の更新期間は編集者とし、プラグイン更新を行う日時だけ管理者へ変更し、確認後に元へ戻す進め方です。
利用期限と変更記録を依頼前に決める
専用アカウントを作っても、終了日を決めなければ外部の権限が残り続けます。「作業が終わったら削除する」ではなく、開始日時、終了日時、回収を実行する担当者まで具体化します。
IPAのガイドラインでは、特権IDについて利用申請、権限付与、操作ログを管理する考え方が示されています。また、契約満了時にはIDや鍵などを回収し、チェックリストや証跡で実行状況を見えるようにすることが挙げられています。出典
依頼内容と権限の条件は、一枚のメモや管理表で確認できるようにします。制作会社と自社担当者の双方が、次の項目へ回答できる状態にしてください。
- 依頼先の会社名、実作業者、通常時と緊急時の連絡先が分かる
- 作業対象のURL、管理画面、変更項目、触らない範囲を記載した
- 付与する権限と、その権限が必要な理由を確認した
- 利用開始日時と終了日時を決めた
- 変更前の画面、設定値、バックアップの確認方法を決めた
- 変更記録へ日時、担当者、対象、変更前後、確認結果を残すと合意した
- 作業完了を承認する自社担当者と確認方法を決めた
- アカウントを停止・削除する回収担当者と実行期限を決めた
空欄が残った項目は、認証情報を渡す前に制作会社へ質問します。特に「管理者でないと作業できない理由」「終了日時」「回収担当」の3点が曖昧な場合は、権限が広いまま長期間残りやすくなります。
個別の外注作業だけでなく、更新担当や記録方法を継続的に整えたいときは、WordPressの更新・権限・記録を含む運用ルールも参考にできます。今回の依頼をきっかけに、社内アカウントを含む定期的な棚卸しへつなげると、過去の担当者や終了済みの委託先の権限も確認できます。
変更記録は、専門的な作業報告書でなくても構いません。「いつ、誰が、どの画面を、どの状態からどう変え、何を確認したか」が読み戻せれば、作業後の点検や次回の引き継ぎに使えます。
作業後に権限を回収して動作を確認する
制作会社から完了連絡を受けただけでは、外注作業は閉じていません。アカウントを停止または削除し、変更箇所と主要機能を自社側で確認した時点を完了とします。
単発の修正なら、検収後に専用アカウントを削除する方法が明確です。継続保守で残す場合も、無期限にはせず、次の利用期間と見直し日を更新します。停止と削除のどちらを選ぶ場合でも、「外部からログインできない、または契約した権限を使えない状態」を自社側で確認します。
IPAのガイドラインは、契約満了時のID回収と実行状況の可視化に加え、バックアップしたデータを戻せるか定期的に確認することを対策例に挙げています。権限回収とサイト確認を同じ手順へ入れることで、アクセスだけを止めて不具合の確認を忘れる事態を避けられます。
作業後の確認手順
- 完了報告と変更記録を受け取る 対象ページ、変更した設定、更新したプラグイン、確認結果、未対応事項を確認します。
- 変更前の記録と照合する スクリーンショット、設定値、バックアップ日時など、依頼前に残した情報と見比べます。依頼範囲外の変更がないかも確認します。
- 専用アカウントを停止または削除する 契約で決めた方法を実行します。削除前には、そのアカウント名義の投稿や固定ページを今後誰が管理するかを確認します。
- 自社の管理者アカウントで回収結果を確認する ユーザー一覧、権限、利用期限の記録を見直します。停止したアカウントでログインできないこと、または付与した権限が残っていないことも確かめます。
- 公開画面の主要機能を確認する トップページ、変更対象ページ、メニュー、スマートフォン表示、問い合わせフォームなどを確認します。フォームはテスト用の情報で送信し、画面表示と通知先を見ます。
- 管理画面とバックアップを確認する プラグインやテーマの状態、設定変更の反映、バックアップの取得日時、復元方法を確認します。戻し方が分からない場合は、制作会社へ手順を残してもらいます。
- 記録を保管して社内で完了を承認する 作業報告、変更前後の記録、アカウント回収日、確認者を同じ場所へ保管します。未解決事項があれば、担当者と期限を決めて完了扱いから分けます。
確認中に修正が必要になった場合も、以前の個人アカウントを共有し直す必要はありません。依頼先専用アカウントへ新しい終了日時を設定し、再作業の対象を追記してから権限を戻します。
権限の整理を制作会社へ相談するときに渡す情報
制作会社へ相談する段階で、WordPressの仕組みをすべて把握している必要はありません。分かる範囲と分からない範囲を分け、調査してほしいことまで伝えると、権限の判断を依頼内容へ結び付けやすくなります。
相談時には、次の情報を一つの文書へまとめます。
- サイトのURLと、WordPress管理画面へ自社でログインできるか
- シングルサイトかマルチサイトか、テスト環境があるかについて分かる範囲
- 修正したいページ、機能、管理画面、希望する完了状態
- 作業を始めたい日、公開希望日、アカウントの終了希望日
- 現在分かっているアカウント名、利用者、権限、不要と思われるアカウント
- 自社の連絡窓口、確認担当者、緊急時の連絡先
- 作業後にアカウントを削除するか、継続保守のため期限付きで残すか
不明な項目は推測せず、「不明のため調査を依頼」と記載してください。調査そのものに管理者権限が必要と言われた場合も、確認する画面、調査期間、変更を行うかどうかを分けて回答してもらいます。
制作会社からは、必要な権限、管理者が必要な理由、作業する画面、開始・終了日時、変更記録の形式、作業後のアカウント処理を返してもらいます。双方の回答がそろえば、既存の管理者情報を急いで共有せず、専用アカウントを安全に発行できます。
まとめ：管理者権限は作業範囲と回収方法を決めてから渡す
制作会社へWordPressの作業を依頼するときは、個人の管理者アカウントを共有せず、外注先専用のアカウントを使います。依頼内容を記事作業とサイト全体へ影響する作業に分け、必要な権限、利用期限、変更記録、作業後の停止・削除までを先に合意してください。
依頼予定の作業を一覧にしたら、制作会社へ「管理者権限が本当に必要な作業はどれか」「いつまで使うか」「誰が回収するか」を確認します。権限を渡す判断と回収の判断を一組にしておくことで、作業後に外部アカウントだけが残る状態を防げます。
参考資料
Roles and Capabilities｜発行主体：WordPress.org Documentation｜初回公開：2018年12月1日、最終更新：2024年9月20日｜https://wordpress.org/documentation/article/roles-and-capabilities/
中小企業の情報セキュリティ対策ガイドライン 第4.0版｜発行主体：独立行政法人情報処理推進機構（IPA）｜対象：業種を問わない中小企業・小規模事業者の業務上のIT活用と情報資産管理（工場設備・制御システム等は対象外）。第4.0版：2026年3月27日、2026年6月第2刷｜https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf
