WordPress管理者アカウントの棚卸し手順
サイトのユーザー一覧を久しぶりに開いたら、名前に見覚えのないアカウントが並んでいた。権限は「管理者」。いつ誰が作ったのか、今も使われているのか、消していいのかが分からない——という状況で読まれることを想定した記事です。
先に結論
- 管理者アカウントは意図せず増える。増え方には退職者・制作会社・古い検証用という三つの典型がある
- 棚卸しでまず見るのは人数ではなく、「誰が今も業務でログインする必要があるか」という一覧との突き合わせである
- 判断がつかないアカウントは、削除の前に権限を下げて様子を見るという中間の手が使える
- 棚卸しは思い出したときにやるものではなく、人の出入りと制作会社との契約変更に紐づけて実施すると決めておく
管理者アカウントは、悪意がなくても増える
WordPress の「管理者」は、そのサイトでできることがほぼ制限されない権限です。記事の投稿や編集はもちろん、プラグインの追加と削除、テーマのファイル編集、他のユーザーの作成と権限変更まで行えます。管理者を一つ増やすことは、サイトの鍵をもう一本渡すことと同じです。
三つの典型的な増え方
一つめは、退職・異動した担当者のアカウントです。入社時にアカウントを作る手続きは決まっているのに、退職時に消す手続きが決まっていない組織は少なくありません。人事の手続きリストにサイトのアカウントが載っていなければ、誰も思い出す機会がないまま残ります。
二つめは、制作会社や外部業者用のアカウントです。構築中は必要ですが、納品後にそのまま残ることがあります。さらに先方の担当者が代わるたびに新しいアカウントが足され、古いものが消えない。数年たつと、誰が誰なのか発注側では判別できなくなります。
三つめは、検証用・一時的に作ったアカウントです。動作確認のために test や temp といった名前で作られ、確認が終わったあとの削除だけが忘れられます。
なぜ「消す側」だけ抜け落ちるのか
三つに共通するのは、悪意がないことです。アカウントを作るときは「作らないと仕事が進まない」ので、必ず誰かが動きます。一方で消すときは、消さなくても誰も困りません。作る手続きはあるのに消す手続きがない、というこの非対称が、管理者アカウントが増え続けるいちばん大きな理由です。
何が問題になるのか
使われていないアカウントは、パスワードが古いまま止まっています。設定した当時の基準で作られ、他のサービスと同じものを使い回している可能性も、現役のアカウントより高くなります。
より本質的なのは、誰も使っていないアカウントは、不正にログインされても気づく人がいないという点です。ログインの失敗が続けば異常として目に留まりますが、正しい ID とパスワードでのログインは記録の上でも通常の操作と区別がつきません。本人がいれば「自分は今ログインしていない」と気づけますが、本人がもういないアカウントには、その気づく人が存在しません。
そして管理者権限があれば、投稿を書き換えるだけでは終わりません。プラグインを追加するという正規の機能を使って、任意のプログラムをサイトに持ち込めます。侵入経路として重く見るべきなのはここです。
加えて、情報管理の面もあります。学校法人や医療機関のサイトでは、問い合わせ内容や申込データなど個人情報を含む画面に管理画面から到達できることがあります。退職した人のアカウントがその状態のまま残っていることは、監査や内部の確認を受けたときに説明しづらい事実になります。
棚卸しの手順
まず一覧を二つ作る
棚卸しは、一覧を二つ作って突き合わせる作業です。順番を守ると迷いません。
- 管理画面の「ユーザー」一覧を開き、全件を書き出します。ユーザー名、権限グループ、メールアドレス、投稿数を一緒に控えておきます
- 社内で「今も業務でログインする必要がある人」の一覧を、別に作ります
- 二つを突き合わせます。業務側の一覧に無いものが、棚卸しの対象です
要点は、システム側の一覧ではなく業務側の一覧を先に作ることです。ユーザー一覧を見ながら「この人は要るだろうか」と考え始めると、判断が名前の印象に引きずられます。必要な人を先に決めてから照合すれば、残りは機械的に仕分けられます。
次に、対象を「本人に確認できるもの」「制作会社に確認するもの」「誰にも確認できないもの」の三つに分けます。あわせて権限グループも見直してください。記事を書くだけの担当者に管理者権限は不要で、投稿者や編集者で足りることがほとんどです。
メールアドレスが既に使えなくなっているアカウントは、特に注意して扱う対象です。パスワード再発行の通知先が失われている状態で、本人に確認も取れません。
判断がつかないときは権限を下げる
確認の取れないアカウントを前にして手が止まる、というのがこの作業でいちばん多い詰まり方です。そこで、削除と放置の間に一段はさみます。権限グループを「購読者」に変更し、数週間そのまま置く方法です。
購読者は記事の編集も設定の変更もできません。それで業務に支障が出るなら誰かから連絡が来ますし、何週間経っても何も起きなければ、削除してよいという判断材料になります。いきなり消して業務が止まるより、確実です。
削除の前に確認すること
🚨 WordPress はユーザーを削除するとき、そのユーザーが書いた投稿をどう扱うか尋ねてきます。ここで「すべてのコンテンツを削除」を選ぶと、記事が一緒に消えます。別のユーザーに引き継ぐ選択を必ず確認してください。
作業の前にバックアップがあれば、選択を誤っても戻せます。ただし取得できていることと元に戻せることは別の話なので、バックアップが実際に復元できる状態かを先に確かめておくと安心です。
いつやるか — きっかけに紐づける
「年に一度やる」と決めた棚卸しは、担当者が代わった時点で引き継がれずに消えます。カレンダーに置くより、出来事に紐づけたほうが手続きとして残ります。
- 人事異動・退職の手続き
- 制作会社との契約の開始と終了
- サイトリニューアルの納品時
- サイトを管轄する部署の変更
このうち費用がいちばんかからないのは、退職手続きのチェックリストに「サイト管理画面のアカウント削除」という一行を足すことです。既にある手続きに乗せるので、新しく何かを運用する必要がありません。
そのうえで、半年に一度ほどの緩い周期でユーザー一覧を眺める習慣を置くと、出来事から漏れたものを拾えます。制作会社のアカウントについては、「契約終了時に削除する」ではなく「契約期間中だけ有効にする」と最初の取り決めに入れておくと、後から判断する場面自体がなくなります。
棚卸しだけでは届かない範囲
管理画面に入れる人を絞ることは有効ですが、守れる範囲は「ログインという経路」に限られます。プラグインやテーマ自体に欠陥があった場合、ログインを経ずに悪用されることがあり、これは権限管理では防げません。更新をどこまで自動に任せるかという、別の柱の話になります。
また、権限を整理した直後には「ログインできなくなった」という問い合わせが出ることがあります。権限を下げたことによるものか、設定やサーバー側の問題かで対応が変わるため、エラー表示から原因を切り分ける視点を持っておくと、やり取りが早く済みます。
最後に、棚卸しの記録そのものを残してください。どのアカウントを、いつ、どういう理由で残し、どれを消したのか。次に作業する人にとって、前回の判断の理由が最大の手がかりになります。記録がなければ、また同じところで手が止まります。
アカウントの棚卸しは、技術ではなく手続きの問題です。作るときの手続きと消すときの手続きを対にして持っておけば、一覧は自然と業務の実態に近づいていきます。
