更新を止めている理由は、たいてい「知識が無いから」ではなく「壊れるのが怖いから」です。 そして実際に壊れることはあります。だから必要なのは「壊れない方法」ではなく、壊れにくい進め方と、壊れても戻せる準備の2つです。この記事はその手順書です。
更新しないと、実際に何が起きるのか？
短期的には、見た目には何も起きません。 だから放置されます。実際に起きているのは、次のことです。
脆弱性（プログラムの弱点）は、修正版が出るときに内容も公表される。つまり更新を当てていない環境は「どこを突けばいいか」が公になっている状態になる
攻撃の多くは自動化されていて、機械が総当たりで古い環境を探し続けている。規模が小さいから安全、という話ではない
更新を溜めると、次に上げるときの変化が大きくなる。放置している人ほど「更新すると壊れる」を経験しやすいという悪循環になる
古すぎるバージョンは、対応するプラグインやサーバーのPHP（サイトを動かす言語）の版が入手しにくくなり、復旧の選択肢そのものが減っていく
3つ目が本質です。 「更新すると壊れる」は、更新そのものが危険なのではなく、溜めた分を一度に当てているから起きます。こまめに当てているサイトほど、1回あたりの変化は小さくなります。
何を、どの順で更新するのか？
順番そのものより、「1つずつ当てて、その都度確認する」ほうが効きます。 まとめて更新ボタンを押すと、壊れたときにどれが原因か分からなくなり、そこから復旧に時間を取られます。
- バックアップを取る — 何よりも先。取っていない状態で当てないこと
- 更新内容を確認する — 大きな変更か、細かい修正か。プラグインの更新履歴に書かれていることが多い
- 1つずつ当てる — チェックボックスで全選択して一括更新しない。手間に見えて、結局これが最短
- 都度、実際に見て確かめる — トップページだけでなく、問い合わせフォーム・検索・カートなどお金や連絡につながる機能を実際に動かす
- いつ何を上げたか記録する — 後から「この日から様子がおかしい」を追えるようにしておく
本体の大きな更新（バージョンの数字が大きく変わるもの）を当てるときは、先に使っているプラグインが対応済みかを確認してください。プラグイン側が未対応のまま本体だけ上げると、機能が止まることがあります。
バックアップは何を取ればいいのか？
ファイルとデータベースの両方です。片方だけでは元に戻せません。
| 対象 | 中身 | 無いとどうなるか |
|---|---|---|
| ファイル | テーマ、プラグイン、アップロードした画像やPDF | デザインと機能が戻らない |
| データベース | 記事や固定ページの本文、設定、ユーザー情報 | 文章と設定がすべて消える |
復元を一度も試したことがないバックアップは、「ある」とは言えません。 保存されているつもりで中身が空だった、期間が過ぎて消えていた、戻す手順が分からず結局使えなかった — 実際に困る場面で初めて気づくのがこの3つです。平常時に一度、戻せることを確認しておいてください。
サーバー会社の自動バックアップを使っている場合は、保存期間（何日前まで戻せるか）と復元の手順（自分でできるのか、申請が要るのか、有料か）を確認しておきます。改ざんに気づくのが遅れると、保存されている分がすべて改ざん後のものになっていることがあります。
更新して表示が崩れたら、どうするか？
慌てて他の場所を触らないでください。 1つずつ当てていれば、原因は直前に更新した1つに絞れています。
- 直前に何を当てたかを確認する — 記録を取っていれば数秒で分かる
- それを一時的に無効化してみる — 表示が戻れば、原因はそれで確定
- 代わりの手を決める — 同じ機能の別プラグインに替える、開発元の修正を待つ、その機能を使わない、のいずれか
- 切り分けても直らなければバックアップから戻す — 粘るより戻したほうが早い場面は多い
まとめて更新していると、この切り分けができません。 10個を一括で当てて壊れた場合、10個すべてを疑うことになります。1つずつなら数分で終わる作業が、半日仕事になります。
テーマのファイルを直接編集している場合は、テーマの更新で編集内容が上書きされて消えることがあります。カスタマイズを残したまま更新を受け取るには「子テーマ」という仕組みを使いますが、既に直接編集してしまっている場合は、更新前に変更箇所を控えておいてください。
自動更新はどこまで任せてよいのか？
対象によります。「全部オン」も「全部オフ」も、どちらも勧められません。
| 対象 | 自動更新 | 理由 |
|---|---|---|
| 本体の小さな更新（セキュリティ修正） | 任せてよい | 影響が小さく、放置するリスクのほうが大きい。WordPressは標準でこれを自動化している |
| 本体の大きな更新 | 慎重に | 表示や管理画面が変わることがある。確認できるタイミングで当てたい |
| プラグイン | 分ける | 数が多く相性問題も出やすい。問い合わせ・決済・予約など止まると困るものは手動にして、その他は自動でもよい |
| テーマ | 慎重に | カスタマイズしている場合、上書きで消える可能性がある |
自動更新をオンにしたら安心、ではありません。 設定が外れていたりエラーで止まっていたりすることがあるので、管理画面で「実際に最新になっているか」を定期的に見るところまでが運用です。この点は WordPressの脆弱性対策 にも整理しています。
どこまで自分でやるか？
| 状況 | 目安 |
|---|---|
| 担当者がいて、月1回程度なら時間を取れる | 自社で回せる。手順を決めて記録を残す形にする |
| 更新のたびに誰かが不安になり、結局止まる | 外部に出したほうが安全。止まっている状態がいちばん危ない |
| サイトで予約・決済・会員機能を動かしている | 壊れたときの損失が大きい。確認体制を含めて任せる判断が妥当 |
| すでに数年放置している | まず現状を把握してから。いきなり最新まで上げるのは危険 |
すでに長く止まっているサイトを、いきなり最新まで上げるのは避けてください。 段階的に上げる、あるいは複製した環境で先に試すといった進め方が必要になります。任せる場合の費用感と依頼先の選び方は さいたま市・埼玉でWordPressの管理・保守を相談するには に整理しました（選び方の部分は地域を問わず使えます）。
まとめ
- 「更新すると壊れる」の多くは、溜めた分を一度に当てていることが原因
- 1つずつ当てて、その都度確認する。 一括更新は、壊れたときの切り分けを不可能にする
- バックアップはファイルとデータベースの両方。復元を試したことがないものは「ある」とは言えない
- 崩れたら、直前の1つを無効化して切り分ける。粘るより戻すほうが早いこともある
- 自動更新は対象で分ける。 止まると困る機能を担うプラグインは手動が無難
- すでに改ざんの兆候がある場合は、更新より先に 乗っ取りからの復旧手順 を確認してください
JIT株式会社では、WordPressの更新・バックアップ・障害対応を月額でお引き受けしています。「何年も止めていて、どこから手をつけていいか分からない」という状態からのご相談も承ります。まず現状を確認したい場合は サイト診断 もご用意しています。