ホームページの保守は必要か？ やらないとどうなるかと判断のしかた

ホームページの保守は、更新・バックアップ・期限の管理・監視など、公開したあとのサイトを守る作業の集まりです。月額の保守費を払うべきか、作ったまま置いておいてよいのかは、サイトの作り方と扱う情報によって答えが変わります。

保守をしないと何が起きるのかを把握すると、自社のサイトに保守が要るか、どこまで外に頼むかを迷わず判断可能です。保守費を見直すときにも、削ってよい作業と削ってはいけない作業を分けられます。

本記事では、ホームページの保守が必要かをサイト別の早見表で示し、保守をしないと起きる6つのこと・サーバー会社や自動更新に任せられない理由・自社に保守が要るかを確かめる3STEPをまとめています。さらに、保守していなかったサイトで最初にやることも紹介します。

ホームページの保守は必要か【サイト別の早見表】

ホームページの保守は、WordPress などの更新画面つきのしくみで動くサイトには必要です。作った時点では安全でも、本体・プラグイン・PHP にあとから脆弱性（セキュリティの穴）が見つかるためです。

ここでは、サイトの作り方別に保守の必要度を早見表で示し、保守の定義と、保守で受け持つ作業を紹介します。

サイトの作り方ごとの保守の必要度は、以下のとおりです。

サイトの作り方	保守の必要度	主に必要な作業
WordPress・EC-CUBE など、サーバーで動くしくみ	高い	ソフトと PHP の更新、バックアップ、アカウント、期限
上記で、問い合わせフォーム・ネットショップがある	特に高い	上記に加えて、更新の速さと監視
HTML だけの静的なサイト	中くらい	サーバー・ドメイン・SSL の期限、フォームの管理
Wix・STUDIO・Shopify などのサービス	低い（ただし0ではない）	アカウントと権限、ドメインの管理

※2026年10月時点・サイガード編集部の整理。

上記のとおり、「保守が要らないサイト」はほとんどなく、違うのは作業の量です。自社のサイトがどの行に当てはまるかを確かめたうえで、必要な作業を決めましょう。

ホームページの保守とは

ホームページの保守とは、公開したサイトを安全に、止まらずに、正しく表示され続ける状態に保つ作業です。サイトは一度作れば終わりではなく、部品の古さや契約の期限によって、何もしなくても状態が変わっていくからです。たとえば、ドメインの更新を忘れるだけで、サイトもメールも止まります。

ただし、保守と運用は別の作業です。運用は記事の追加やアクセス解析など、成果を出すための作業を指します。

保守で受け持つ5つの作業

保守の作業は、大きく5つに分けられます。サイトを動かしている部品ごとに、更新や管理が必要だからです。

保守で受け持つ作業は、以下のとおりです。

作業	中身
更新	WordPress 本体・プラグイン・テーマ・PHP（HPを動かすプログラムの言語）を新しい版にする
バックアップ	サイトのファイルとデータを保存し、戻せるようにしておく
アカウントの管理	不要な管理者を消し、パスワードと二段階認証を管理する
期限の管理	サーバー・ドメイン・SSL（通信を暗号化する証明書）を更新する
監視	表示やフォームの不具合、改ざんに早く気づく

上記の5つのうち、どれか1つでも担当者がいないと、その部分から問題が起きます。保守会社に頼んでいる場合も、5つが範囲に入っているかを確かめておきましょう。

ホームページの保守をしないと起きる6つのこと

ホームページの保守をしないと、すぐに目に見える問題と、気づかないうちに進む問題の両方が起きます。気づきにくい問題ほど、見つかったときの被害が大きくなります。

ここでは、保守をしないと起きることを6つに分けて解説します。

脆弱性を突かれて改ざんされる

保守をしないと起きる一番大きな問題は、脆弱性を突かれた改ざんや不正アクセスです。古いプラグインや本体の穴は公開されて広く知られるため、狙われやすくなるからです。IPA（情報処理推進機構）の2024年度の調査では、不正アクセスを受けた中小企業の手口は「脆弱性を突かれた」が48.0%で最も多くなっています（IPA）。

IPA の「情報セキュリティ10大脅威 2026」でも、組織向けの4位に「システムの脆弱性を悪用した攻撃」が入っています（IPA）。改ざんされると、サイトを開いた方が別のサイトに飛ばされたり、知らないページが作られたりします。

ただし、改ざんは見た目が変わらないまま進むこともあります。症状の見分け方は HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表 を参照してください。

PHP のサポートが切れて修正が届かない

PHP のサポートが切れたまま使うと、新しい脆弱性が見つかっても公式の修正が届きません。PHP には公式のサポート期限があり、PHP 8.2 のセキュリティサポートは2026年12月31日、PHP 8.3 は2027年12月31日で終わります（PHP 公式）。

たとえば、2026年10月21日には、PHP 本体の重大な脆弱性 CVE-2026-109618／109619（通称 php2shell）の修正版として、8.5.12・8.4.27・8.3.36・8.2.35 が公開されました（PHP 公式）。サポートが終わった PHP 8.1 以前には、通常の修正版が出ません。

ただし、PHP の脆弱性は WordPress やプラグインを更新しても直りません。サーバー側の PHP を上げる必要があります。詳しくは PHP の重大な脆弱性、中小企業のHPで今やること で解説しています。

ドメイン・SSL の期限が切れてサイトが止まる

ドメインや SSL の期限が切れると、サイトがすぐに見られなくなります。ドメインはサイトとメールの住所で、SSL は「保護されていない通信」などの警告を出さないための証明書だからです。たとえば、ドメインの更新費の支払いが前任者のクレジットカードのままで、カードの期限切れに誰も気づかなかった、ということが起こります。

ただし、期限の管理は保守会社に頼まなくても、社内で更新日と支払い方法を記録すれば防げます。

表示崩れやフォームの不具合が放置される

保守をしないと、表示崩れやフォームの不具合に気づかないまま放置されます。ブラウザやスマートフォンの更新、プラグインの古さによって、作った当時は正しかった表示が崩れることがあるからです。たとえば、問い合わせフォームのメールが何ヶ月も届いていなかった、ということは監視がないと気づけません。

ただし、表示崩れの修正は、範囲外の作業として別料金になることがあります。保守を頼む場合は、修正をどう扱うかを確かめておきましょう。

検索結果や取引先からの信用が下がる

保守をしないサイトは、検索結果や取引先からの信用を失いやすくなります。改ざんされたサイトは、Google の検索結果やブラウザで「危険なサイト」と表示されることがあるからです。警告が出ると、検索や広告からの訪問が止まります。

ただし、警告は原因を取り除いてから解除の申請をする必要があり、すぐには消えません。

被害が出たあとの費用が保守費を上回る

被害が出てからの調査と復旧は、日ごろの保守より費用と時間がかかります。どこから入られたかを調べ、きれいな状態に戻し、再発を防ぐ作業が一度に必要になるからです。IPA の2024年度の調査では、サイバー被害を受けた中小企業の被害額は平均73万円、復旧までの期間は平均5.8日でした（IPA）。

同じ調査では、被害を受けた企業の約7割が「取引先に影響があった」と答えています。保守費は、こうした被害を起こりにくくし、起きたときに早く戻すための費用です。

サーバー会社や自動更新だけに任せられない理由

ホームページの保守は、サーバー会社や WordPress の自動更新だけでは足りません。どちらも守ってくれる範囲が決まっていて、その外側は契約者が受け持つ必要があるからです。

ここでは、サーバー会社が守る範囲と、自動更新で足りない部分を2つの視点で解説します。

サーバー会社が守る範囲

レンタルサーバーの会社が守るのは、主にサーバーそのものです。WordPress の公式のセキュリティ解説も、サーバー会社の責任がどこで終わり、自分の責任がどこから始まるかを理解することが重要だとし、利用者が入れたアプリケーションについてサーバー会社は責任を負わないと説明しています（WordPress.org）。

サーバー会社と契約者の受け持ちの目安は、以下のとおりです。

主にサーバー会社	主に契約者
サーバーの機器と OS	WordPress 本体・プラグイン・テーマの更新
サーバー全体の障害対応	PHP のバージョンの切り替え（多くのレンタルサーバー）
サーバー側の WAF などの提供	WAF をオンにするかの設定、管理者アカウント

※受け持ちの範囲はサーバー会社と契約プランによって異なります。

ただし、サーバー会社によっては PHP の修正をサーバー側で当てる場合もあります。自社のサーバー会社のお知らせで、対応の有無を確かめてください。

WordPress の自動更新で足りない部分

WordPress の自動更新は役に立ちますが、保守の一部しか受け持てません。WordPress 5.5 からプラグインとテーマを1つずつ自動更新にでき、初期設定では1日2回実行されます（WordPress.org）。一方で、同じ解説は、サーバーやプラグインによっては自動更新の予約がうまく動かないことがあるとしています。

自動更新では足りない部分は、以下のとおりです。

• 更新で表示が崩れていないかの確認
• PHP のバージョンの管理
• バックアップと、戻せるかの確認
• 不要な管理者アカウントの整理

自動更新の通知メールが退職者のアドレスに届いていると、失敗に誰も気づきません。通知を読む担当者を決めてから使いましょう。

自社のホームページに保守が要るか確かめる【3STEP】

自社のホームページに保守が要るかは、サイトの作り方・今の状態・扱う情報の3つで確かめられます。3つを順に見ると、どの作業から手を付けるべきかも分かります。

ここでは、保守の要否を確かめる手順を3STEPで紹介します。

【STEP1】サイトの作り方を確かめる

最初に、自社のサイトが WordPress などのしくみで動いているかを確かめます。作り方によって、必要な保守の作業が大きく変わるからです。たとえば、管理画面のログインページが「/wp-admin」で開くなら WordPress で動いています。

ただし、確かめるのは自社のサイトだけにしてください。作り方が分からない場合は、サイトを作った制作会社に聞くのが確実です。

【STEP2】チェック表で今の状態を見る

次に、以下のチェック表で今の状態を確かめます。

確認すること	はい・いいえ
PHP のバージョンを知らない、または 8.2 以前
最後に WordPress やプラグインを更新した時期が分からない
サーバー・ドメインの契約者や期限が分からない
バックアップがあるか分からない
サイトの管理を担当する人が社内にいない
前の制作会社や辞めた人の管理者アカウントが残っている

1つでも「はい」があれば、保守の担当を決める必要があります。PHP のバージョンは 自社HPの PHP バージョンを確認する方法 で確かめられます。

【STEP3】扱う情報からリスクの大きさを見る

最後に、サイトで扱う情報からリスクの大きさを見ます。問い合わせフォームやネットショップがあるサイトは、改ざんされると個人情報やお金の被害につながるからです。たとえば、会社案内だけのサイトと、カード決済のあるネットショップでは、求められる更新の速さが違います。

リスクが大きいサイトの条件は、以下のとおりです。

• 問い合わせ・予約・採用のフォームがある
• ネットショップや会員ページがある
• 広告から集客している
• 取引先がサイトを見て発注を判断している

上記に当てはまるサイトは、保守の優先度を上げましょう。

ホームページの保守を自社でやるか外に頼むかの決め方

ホームページの保守は、作業ごとに自社でやるか外に頼むかを決めます。全部を外に頼む必要はなく、社内でできる作業を引き取れば費用を抑えられるからです。

ここでは、作業ごとの分け方と、外に頼むときの注意を紹介します。

保守の作業を、自社でできるかどうかで分けると以下のとおりです。

自社でもできる作業	外に頼みたい作業
ドメイン・SSL の期限と名義の確認	PHP のバージョン変更と、崩れたときの修正
更新があるかの確認	バックアップからの復元
ユーザー一覧の棚卸し	改ざんが疑われるときの調査
フォームのテスト送信	更新が止まったプラグインの入れ替え

外に頼む場合の費用は、公開されている解説で月額5,000円前後から5万円ほどと幅があります。頼む前に、作業の範囲を一覧にし、同じ条件で2〜3社に見積もりを取りましょう。費用の内訳と見積もりの比べ方は ホームページ保守の費用相場と、含まれる作業の見方 で、社内で管理する場合の最低限の作業は HPを自社で管理するなら最低限やること で解説しています。

保守していなかったホームページで最初にやること【4STEP】

保守をしていなかったホームページは、いきなり更新せず、状態の把握とバックアップから始めます。古いサイトほど、更新で表示が崩れたり画面が真っ白になったりすることがあるからです。

ここでは、最初にやることを4STEPで紹介します。

1. 今の状態を書き出す：PHP・WordPress のバージョン、プラグインの数、サーバー・ドメインの契約者と期限
2. バックアップを取る：ファイルとデータベースの両方を、別の場所にも保存する。手順は WordPress のバックアップの取り方と、戻せるかの確認 を参照
3. 異変がないか確かめる：知らないページが検索に出る、別のサイトに飛ばされるなどの症状があれば、更新より被害の確認を先にする
4. 古いものから更新の計画を立てる：サポートが終わった PHP、更新が止まったプラグインを優先する

上記の4STEPのうち、3で異変が見つかった場合は、更新で証拠を消さないよう、作業を止めて専門家に相談してください。

ホームページの保守を専門家に相談すべきとき

ホームページの保守は、状態が分からないまま自力で進めると、更新の失敗や被害の見落としにつながります。次の条件に当てはまる場合は、専門家に状態を見てもらってから進めると安全です。

ここでは、専門家に相談したほうがよい条件を紹介します。

相談を考えたい条件は、以下のとおりです。

• PHP のバージョンを誰も把握していない
• 管理画面のログイン情報が分からない
• 改ざんの疑いがある
• 社内に作業する人がいない

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• WordPress などで動くホームページには保守が必要で、何もしないと時間とともに脆弱性が増えていきます
• 保守をしないと、改ざん・PHP のサポート切れ・ドメインや SSL の期限切れ・表示崩れが起きやすくなります
• サーバー会社や自動更新が守る範囲は一部で、PHP やアカウント、バックアップは契約者が受け持ちます
• 保守が要るかは、サイトの作り方・今の状態・扱う情報の3つで判断します

まずはチェック表で自社のサイトの状態を確かめ、作業ごとに担当を決めましょう。