先に要点
WordPress サイトの保守で意外と後回しにされやすいのが、管理者アカウントの整理です。
更新やバックアップは見ていても、昔の制作会社のアカウントが残っている 退職者のメールアドレスが管理者のまま admin という共用アカウントを複数人で使っている といった状態はかなりあります。
この状態だと、侵入や誤操作が起きたときに、誰の操作か追えません。
しかも、権限が広いアカウントほど、プラグイン追加、テーマ変更、ユーザー追加、ファイル編集までできてしまいます。
この記事では、WordPress 管理者アカウントの整理方法を、退職者、外注先、共用アカウントの見直しを中心に実務向けにまとめます。
保守全体のセキュリティ確認を広く見たい場合は、WordPress保守で最低限やるべきセキュリティ確認とは？更新・権限・バックアップの基本 もつながりやすいです。
改ざん後の初動を見たい場合は、WordPressサイトが改ざんされたときの初動｜停止・復旧・再発防止の順番 もあわせて読むと流れがつかみやすいです。
この記事は 2026年4月22日時点で、WordPress.org の Hardening WordPress、Roles and Capabilities、Brute Force 対策の公開情報と、CISA の least privilege / account management の考え方を確認しながら整理しています。
結論: 最初にやるべきは「誰のアカウントか分からない管理者」を消すこと
WordPress 管理者アカウント整理の第一歩は、完璧な権限表を作ることではありません。
まずは次の状態をなくすことです。
- 誰が使っているか分からない管理者アカウント
- 退職者や異動者のアカウント残存
- 外注先へ一時的に渡した管理者アカウントの放置
adminなどの共用アカウント
ここを放置すると、万一ログインがあっても、正規操作なのか不正利用なのか区別しづらくなります。
なぜ WordPress で管理者アカウント整理が重要なのか
WordPress の管理者権限はかなり強いです。
標準構成でも、ユーザー管理、プラグイン操作、テーマ変更、設定変更、記事公開、場合によってはコード編集まで触れます。
WordPress.org の roles and capabilities でも、Administrator は他ユーザー管理やサイト設定に広く関与できる役割として整理されています。
つまり、管理者アカウントが増えすぎるほど、事故の入口が増えます。
特に危ないのは次のようなケースです。
- 保守会社を変えたのに旧委託先のアカウントが残る
- 退職者の会社メールが失効し、通知だけ届かなくなる
- 共用アカウントなので誰が何をしたか追えない
- 編集担当にも管理者権限を渡している
まず棚卸しする項目
最初は、WordPress のユーザー一覧を見て、次を1件ずつ確認します。
- ユーザー名
- 表示名
- 役割
- 登録メールアドレス
- 最終利用者が誰か
- 現在も必要か
- MFA が有効か
ここで大事なのは、今も使っているらしい で流さないことです。
誰が使うか言えないアカウントは、実質的には不要候補です。
退職者アカウントの見直し
退職者対応でよくあるのは、メールアドレスだけ消えて WordPress アカウント自体は残るパターンです。
この状態だと、通知は届かないのに、ログイン経路だけ残ります。
見るべきポイントは次の通りです。
- 退職者の会社メールアドレスが紐づいていないか
- 引き継ぎ先が決まっているか
- 投稿や固定ページの所有者変更が必要か
- 管理者権限を外すだけでよいか、アカウント停止か削除か
削除時は、記事や固定ページを誰へ引き継ぐかも確認します。
削除だけ先にやると、運用上の担当不明が増えることがあります。
外注先アカウントの見直し
制作会社、保守会社、フリーランスへ一時的に管理者権限を渡すことは珍しくありません。
問題は、作業終了後もそのまま残りやすいことです。
確認したいのは次の点です。
- 今も契約中の相手か
- どこまで触る必要があるか
- 管理者でなければ困るか
- 作業期間限定の付与にできないか
- 共用ではなく個人単位のアカウントか
外注先だから即危険というより、今も必要か分からない広い権限 が危険です。
契約終了や担当変更のたびに見直す前提にした方が安全です。
共用アカウントをやめた方がよい理由
admin や editor-team のような共用アカウントは、運用上はかなり危ういです。
理由1: 誰の操作か追えない
ログイン履歴、投稿更新、プラグイン変更があっても、個人が特定しにくくなります。
事故調査でかなり困ります。
理由2: 退職者や外注終了時に切り離せない
共有パスワードを変えて終わり、という運用は起きがちですが、配布先が本当に全員切れたか確認しづらいです。
理由3: MFA と相性が悪い
MFA は個人単位で運用する方が自然です。
共用アカウントだと認証コード共有や例外対応が発生しやすく、結局弱くなります。
WordPress.org の brute force 対策でも、管理権限の絞り込みと privileged users への 2FA が勧められています。
管理者権限を減らすときの考え方
管理者権限の整理では、とりあえず全員編集者へ下げる ではなく、業務に必要な操作から逆算した方がうまくいきます。
たとえば次のように分けます。
| 担当 | よくある作業 | 管理者が本当に必要か |
|---|---|---|
| 記事更新担当 | 投稿、固定ページ、画像更新 | 通常は不要 |
| 保守担当 | プラグイン更新、設定変更、ユーザー管理 | 必要なことが多い |
| 外注デザイナー | 見た目調整、確認 | 毎回は不要 |
| 経営者・責任者 | 最終確認、閲覧 | 不要なことが多い |
編集できる と 管理者である は別です。
普段の運用担当が記事更新中心なら、管理者権限を持たせなくても回ることがあります。
整理するときに一緒にやるべきこと
アカウント一覧を掃除するだけでは不十分です。
少なくとも次は一緒に見た方がよいです。
1. MFA を privileged user へ必須化する
管理者と編集権限が強いユーザーには、MFA を入れた方が安全です。
共用アカウントをやめると、MFA も入れやすくなります。
2. パスワードを見直す
古い共用アカウントを整理したら、残す管理者のパスワードも見直します。
委託終了後は特に変更した方が安心です。
3. ログインURLと通知先を確認する
ログイン通知やセキュリティ通知の送信先が、退職者メールや旧委託先になっていないかも見ます。
4. Application Passwords や API 連携も確認する
WordPress では Application Passwords を使う連携もあります。
ユーザー本体だけでなく、紐づく連携経路も残っていないかを見た方が安全です。
月1で見るならどこまでで十分か
小規模サイトの月次保守なら、まずは次で十分です。
- 管理者一覧に見覚えのない人がいないか
- 退職者、外注終了者が残っていないか
- 共用アカウントを使っていないか
- MFA が外れていないか
- 通知先メールが生きているか
最初から大きな権限表を作らなくても、この5点を見るだけでかなり違います。
よくある失敗
管理者を減らしたつもりで、別の共用アカウントが残っている
admin を消したが、実際には info や webmaster が同じ使われ方をしているケースです。
外注先のアカウントを止めたが、通知先やバックアップ先は旧担当のまま
ユーザー一覧だけ見て安心しやすいですが、メール通知や外部サービス連携の送信先も忘れやすいです。
投稿引き継ぎを考えずに削除する
アカウント削除だけ急いで、誰が今後の更新責任者かが曖昧になることがあります。
まとめ
WordPress 管理者アカウントの整理で大事なのは、高度な設定より先に、誰のアカウントか分からない管理者をなくすこと です。
退職者、外注先、共用アカウントの放置は、侵入経路にも、運用事故の原因にもなります。
棚卸し、不要停止、権限見直し、MFA、パスワード変更、運用ルール化の順で進めると、無理なく改善しやすいです。
WordPress 保守では、更新やバックアップだけでなく、管理者アカウントの整理も定期作業に入れた方が安全です。
参考リンク
- WordPress.org: Hardening WordPress
- WordPress.org: Roles and Capabilities
- WordPress.org: Brute Force Attacks
- CISA: Identity and Access Management: Recommended Best Practices for Administrators