WordPress の保守・セキュリティ対策の費用
WordPress は公開してからのほうがお金がかかります。何に払うのかを整理します。
WordPress は、公開してからのほうがお金と手間がかかります。 世界中で使われているぶん攻撃対象にもなりやすく、 プラグインの脆弱性は毎週のように公表されています。
ここでは保守費用の内訳と、見積もりを比べるときの判断基準を整理します。 制作費のほうは WordPress サイト制作の費用相場 を参照してください。
保守プランの相場
| プラン | 月額の目安 | 含まれる内容 |
|---|---|---|
| 最小 | 5,000円〜1万円 | 本体・プラグインの更新、バックアップ、死活監視 |
| 標準 | 1万〜3万円 | 上記＋更新後の表示確認、軽微な修正（月1〜2時間）、障害の一次対応 |
| 手厚い | 3万〜10万円 | 上記＋改ざん検知、脆弱性の緊急対応、月次レポート、営業時間外の対応 |
※ 税別。サーバー費用（月 1,000円〜1万円程度）は別途かかります。
保守費に含まれる作業
| 項目 | 頻度 | なぜ必要か |
|---|---|---|
| WordPress 本体の更新 | 年 3〜4回（メジャー） | 放置するとプラグインが動かなくなる。セキュリティ修正も含む |
| プラグインの更新 | 月 1〜数回 | 攻撃の入口はほぼプラグインの脆弱性 |
| PHP バージョンの追従 | 2〜3年に1回 | サポート切れの PHP はサーバー会社が強制的に上げることがある |
| バックアップ | 日次〜週次 | 改ざん・操作ミスからの復旧手段。世代数も確認する |
| 死活監視 | 常時 | 落ちたときに、こちらから気づけるようにする |
| 更新後の表示確認 | 更新のたび | 更新でレイアウトが崩れる、フォームが止まることがある |
| 改ざん検知 | 常時 | ファイルの書き換えを検知する。発見が遅れるほど被害が広がる |
月額が同じでも中身は大きく違います。次の3つは必ず聞いてください。
① バックアップは何世代・どこに保存されるか（同じサーバー内だけだと復旧できないことがある）
② 更新後に表示確認をするか（更新するだけの契約は珍しくない）
③ 障害対応は月額に含まれるか、別料金か（含まれない場合の時間単価も確認）
実際に起きるトラブルと復旧費用
| 起きること | 原因 | 復旧費用の目安 |
|---|---|---|
| ページに見知らぬリンクが埋め込まれる | プラグインの脆弱性 | 10万〜50万円 |
| フィッシングサイトを設置される | 管理者パスワードの使い回し | 20万〜80万円 |
| 検索結果に警告が表示される | 改ざんの発見が遅れた | 30万〜100万円 |
| 問い合わせが届かなくなる | プラグイン更新でフォームが停止 | 3万〜15万円 |
| サイトが真っ白になる | PHP バージョンとの非互換 | 5万〜30万円 |
金額以上に痛いのは、気づかない期間です。 問い合わせフォームが1か月止まっていた場合、失った商談は復旧費では取り返せません。
侵入経路として多いのは、使っていない古いプラグインの残置、管理画面のパスワードの使い回し、 そして制作会社から引き継いだ共有アカウントです。 不要なプラグインを消す、 管理者アカウントを人ごとに分ける、 退任者の権限を消す。この3つは費用をかけずに今日できます。
自社で運用する場合にやること
- 週1回、管理画面を開く：更新通知とユーザー一覧を見るだけでも違います。
- 更新前にバックアップ：戻せる状態を作ってから更新します。
- 更新後にフォームを送信してみる：自動テストが無くても、手で1回送れば十分です。
- 使っていないプラグイン・テーマは削除：停止ではなく削除します。
- 管理者は必要な人だけ：投稿者・編集者の権限で足りる人を管理者にしない。
どこまで頼むかの判断
| 状況 | おすすめの構成 |
|---|---|
| 社内に触れる人がいる／会社案内サイト | 最小プラン。更新とバックアップだけ任せる |
| 問い合わせが商談につながる | 標準プラン。フォームが止まらないことにお金を払う |
| EC・会員機能がある／個人情報を扱う | 手厚いプラン。改ざん検知と緊急対応を含める |
| 更新が止まって数年経っている | まず現状調査（5万〜20万円）。そのうえで方針を決める |
保守全般の考え方は サイト保守・運用の費用相場 にもまとめています。
よくある質問
WordPress の保守費用はいくらが相場ですか？
更新とバックアップだけの最小構成で月 5,000円〜1万円、不具合対応や軽微な更新作業を含めて月 1万〜3万円、改ざん検知・脆弱性の緊急対応まで含めると月 3万〜10万円が目安です。「何が含まれて、何が別料金か」を項目で確認してください。
保守契約を結ばないとどうなりますか？
すぐに壊れるわけではありません。ただしプラグインの脆弱性は日々公表されるため、更新を止めたサイトは時間の問題で狙われます。改ざんされると、復旧に 20万〜100万円と数日〜数週間かかります。自社で更新できる体制があるなら契約は不要ですが、「誰も見ていない」状態が一番危険です。
プラグインの更新は自動にすればよいのでは？
自動更新は有効ですが、更新後に表示が崩れたり、フォームが送信できなくなることがあります。自動更新にするなら、崩れに気づける仕組み（表示監視やフォームの定期テスト）をセットにしてください。気づかないまま数週間、問い合わせが届いていなかった例は珍しくありません。
サイトが改ざんされたらどうすればよいですか？
まずサイトを非公開にし、パスワードをすべて変更します。そのうえで、改ざん前のバックアップから戻すのが基本です。不正なファイルを消すだけでは、侵入経路が残っていて再発します。バックアップが無いと作り直しになるため、<strong>復旧できるバックアップがあるか</strong>を平時に確認しておいてください。
まとめ
- 相場は月 5,000円〜10万円。金額よりも含まれる作業で比べる。
- バックアップは「取っているか」ではなく「戻せるか」を確認する。
- 改ざんの復旧は 20万〜100万円。予防のほうが安い。
- 不要なプラグインの削除と権限の整理は、費用をかけずにできる対策。
掲載している金額は、一般的な発注で見かける水準をもとにした目安です。 実際の費用は要件・地域・体制によって変わります。必ず複数社から見積もりを取り、 「何が含まれていて、何が含まれていないか」を比べたうえでご判断ください。