先に要点
WordPress サイトの保守で意外と後回しにされやすいのが、管理者アカウントの整理です。
更新やバックアップは見ていても、昔の制作会社のアカウントが残っている 退職者のメールアドレスが管理者のまま admin という共用アカウントを複数人で使っている といった状態はかなりあります。
この状態だと、侵入や誤操作が起きたときに、誰の操作か追えません。
しかも、権限が広いアカウントほど、プラグイン追加、テーマ変更、ユーザー追加、ファイル編集までできてしまいます。
この記事では、WordPress 管理者アカウントの整理方法を、退職者、外注先、共用アカウントの見直しを中心に実務向けにまとめます。
保守全体のセキュリティ確認を広く見たい場合は、WordPress保守で最低限やるべきセキュリティ確認とは？更新・権限・バックアップの基本 もつながりやすいです。
改ざん後の初動を見たい場合は、WordPressサイトが改ざんされたときの初動｜停止・復旧・再発防止の順番 もあわせて読むと流れがつかみやすいです。
この記事は 2026年4月22日時点で、WordPress.org の Hardening WordPress、Roles and Capabilities、Brute Force 対策の公開情報と、CISA の least privilege / account management の考え方を確認しながら整理しています。
結論: 最初にやるべきは「誰のアカウントか分からない管理者」を消すこと
WordPress 管理者アカウント整理の第一歩は、完璧な権限表を作ることではありません。
まずは次の状態をなくすことです。
- 誰が使っているか分からない管理者アカウント
- 退職者や異動者のアカウント残存
- 外注先へ一時的に渡した管理者アカウントの放置
adminなどの共用アカウント
ここを放置すると、万一ログインがあっても、正規操作なのか不正利用なのか区別しづらくなります。
なぜ WordPress で管理者アカウント整理が重要なのか
WordPress の管理者権限はかなり強いです。
標準構成でも、ユーザー管理、プラグイン操作、テーマ変更、設定変更、記事公開、場合によってはコード編集まで触れます。
WordPress.org の roles and capabilities でも、Administrator は他ユーザー管理やサイト設定に広く関与できる役割として整理されています。
つまり、管理者アカウントが増えすぎるほど、事故の入口が増えます。
特に危ないのは次のようなケースです。
- 保守会社を変えたのに旧委託先のアカウントが残る
- 退職者の会社メールが失効し、通知だけ届かなくなる
- 共用アカウントなので誰が何をしたか追えない
- 編集担当にも管理者権限を渡している
まず棚卸しする項目
最初は、WordPress のユーザー一覧を見て、次を1件ずつ確認します。
- ユーザー名
- 表示名
- 役割
- 登録メールアドレス
- 最終利用者が誰か
- 現在も必要か
- MFA が有効か
ここで大事なのは、今も使っているらしい で流さないことです。
誰が使うか言えないアカウントは、実質的には不要候補です。
退職者アカウントの見直し
退職者対応でよくあるのは、メールアドレスだけ消えて WordPress アカウント自体は残るパターンです。
この状態だと、通知は届かないのに、ログイン経路だけ残ります。
見るべきポイントは次の通りです。
- 退職者の会社メールアドレスが紐づいていないか
- 引き継ぎ先が決まっているか
- 投稿や固定ページの所有者変更が必要か
- 管理者権限を外すだけでよいか、アカウント停止か削除か
削除時は、記事や固定ページを誰へ引き継ぐかも確認します。
削除だけ先にやると、運用上の担当不明が増えることがあります。
外注先アカウントの見直し
制作会社、保守会社、フリーランスへ一時的に管理者権限を渡すことは珍しくありません。
問題は、作業終了後もそのまま残りやすいことです。
確認したいのは次の点です。
- 今も契約中の相手か
- どこまで触る必要があるか
- 管理者でなければ困るか
- 作業期間限定の付与にできないか
- 共用ではなく個人単位のアカウントか
外注先だから即危険というより、今も必要か分からない広い権限 が危険です。
契約終了や担当変更のたびに見直す前提にした方が安全です。
共用アカウントをやめた方がよい理由
admin や editor-team のような共用アカウントは、運用上はかなり危ういです。
理由1: 誰の操作か追えない
ログイン履歴、投稿更新、プラグイン変更があっても、個人が特定しにくくなります。
事故調査でかなり困ります。
理由2: 退職者や外注終了時に切り離せない
共有パスワードを変えて終わり、という運用は起きがちですが、配布先が本当に全員切れたか確認しづらいです。
理由3: MFA と相性が悪い
MFA は個人単位で運用する方が自然です。
共用アカウントだと認証コード共有や例外対応が発生しやすく、結局弱くなります。
WordPress.org の brute force 対策でも、管理権限の絞り込みと privileged users への 2FA が勧められています。
管理者権限を減らすときの考え方
管理者権限の整理では、とりあえず全員編集者へ下げる ではなく、業務に必要な操作から逆算した方がうまくいきます。
たとえば次のように分けます。
| 担当 | よくある作業 | 管理者が本当に必要か |
|---|---|---|
| 記事更新担当 | 投稿、固定ページ、画像更新 | 通常は不要 |
| 保守担当 | プラグイン更新、設定変更、ユーザー管理 | 必要なことが多い |
| 外注デザイナー | 見た目調整、確認 | 毎回は不要 |
| 経営者・責任者 | 最終確認、閲覧 | 不要なことが多い |
編集できる と 管理者である は別です。
普段の運用担当が記事更新中心なら、管理者権限を持たせなくても回ることがあります。
整理するときに一緒にやるべきこと
アカウント一覧を掃除するだけでは不十分です。
少なくとも次は一緒に見た方がよいです。
1. MFA を privileged user へ必須化する
管理者と編集権限が強いユーザーには、MFA を入れた方が安全です。
共用アカウントをやめると、MFA も入れやすくなります。
2. パスワードを見直す
古い共用アカウントを整理したら、残す管理者のパスワードも見直します。
委託終了後は特に変更した方が安心です。
3. ログインURLと通知先を確認する
ログイン通知やセキュリティ通知の送信先が、退職者メールや旧委託先になっていないかも見ます。
4. Application Passwords や API 連携も確認する
WordPress では Application Passwords を使う連携もあります。
ユーザー本体だけでなく、紐づく連携経路も残っていないかを見た方が安全です。
月1で見るならどこまでで十分か
小規模サイトの月次保守なら、まずは次で十分です。
- 管理者一覧に見覚えのない人がいないか
- 退職者、外注終了者が残っていないか
- 共用アカウントを使っていないか
- MFA が外れていないか
- 通知先メールが生きているか
最初から大きな権限表を作らなくても、この5点を見るだけでかなり違います。
よくある失敗
管理者を減らしたつもりで、別の共用アカウントが残っている
admin を消したが、実際には info や webmaster が同じ使われ方をしているケースです。
外注先のアカウントを止めたが、通知先やバックアップ先は旧担当のまま
ユーザー一覧だけ見て安心しやすいですが、メール通知や外部サービス連携の送信先も忘れやすいです。
投稿引き継ぎを考えずに削除する
アカウント削除だけ急いで、誰が今後の更新責任者かが曖昧になることがあります。
WordPress管理者アカウント整理のよくある質問
Q. 退職者のアカウントはどう扱いますか？
A. 即時無効化または削除します。投稿の所有者を別ユーザーに変更、MFA 解除、API キー削除、関連メール通知の停止、をセットで行います。
Q. 投稿を残したまま削除できますか？
A. できます。削除時に 投稿を別ユーザーに引き継ぐ 選択肢があります。削除して投稿も削除 を選ぶと記事も消えるので注意が必要です。
Q. 外注先のアカウントはどう管理しますか？
A. 期間限定パスワード、MFA 必須、プロジェクト終了時の即削除、権限の最小化(Editor で足りるなら Administrator 不要)、で運用します。
Q. 共有アカウント(admin、info など)は危険ですか？
A. 危険です。誰がいつ何をしたか の追跡不可、退職時の漏洩リスク、MFA 設定が共有困難、などの問題があります。個人別アカウントに移行するのが原則です。
Q. デフォルトの admin ユーザーは削除すべきですか？
A. すべきです。攻撃者は admin を試してきます。別の管理者アカウントを作成 → admin を削除、で侵入の起点を減らせます。
Q. アカウント整理の頻度は？
A. 四半期に1回が目安。退職者リスト と WP ユーザー一覧 を突合せ、30日以上ログインがないアカウント をリスト化して整理します。
Q. アカウント削除前のバックアップは必要ですか？
A. DB バックアップを取ってから作業します。誤って大事なアカウントを削除した場合の復旧用です。削除前 → DBバックアップ → 削除 → 動作確認 の流れを守ります。
まとめ
WordPress 管理者アカウントの整理で大事なのは、高度な設定より先に、誰のアカウントか分からない管理者をなくすこと です。
退職者、外注先、共用アカウントの放置は、侵入経路にも、運用事故の原因にもなります。
棚卸し、不要停止、権限見直し、MFA、パスワード変更、運用ルール化の順で進めると、無理なく改善しやすいです。
WordPress 保守では、更新やバックアップだけでなく、管理者アカウントの整理も定期作業に入れた方が安全です。
参考リンク
- WordPress.org: Hardening WordPress
- WordPress.org: Roles and Capabilities
- WordPress.org: Brute Force Attacks
- CISA: Identity and Access Management: Recommended Best Practices for Administrators