自動更新を有効にしておけば、保守は不要ですか？

不要にはなりません。自動更新が止まっていないか、更新でレイアウトやフォームが壊れていないか、PHPなどサーバー側の版数が古くなっていないかは、人が定期的に確認する必要があります。バックアップの確認も自動更新ではまかなえません。

前の制作会社に連絡がつきません。管理者のパスワードも分かりません。

サーバーの契約者が自社であれば、サーバー会社の管理画面から管理者を作り直したり、パスワードを再設定したりできることがあります。サーバーの契約者も分からない場合は、ドメインの登録情報から順にたどります。いずれも作業前に、サイト全体のバックアップを取ってください。

WordPressの保守担当がいないときに確認すること

「作ってくれた制作会社とは、公開した後は特に契約していない」「詳しかった社員が辞めて、ログインの仕方も分からない」——WordPressのサイトでは、こうした状態のまま何年も動き続けていることが珍しくありません。表示されている限り、困ることはないからです。

ただ、WordPressは本体・テーマ・プラグインを更新し続ける前提で作られたソフトウェアです。誰も見ていない期間が長いほど、古い部品が残り、いざ問題が起きたときに直す手段もなくなります。ここでは、保守担当がいない会社がまず確認すべきことを、優先順に整理します。

最初に確認する3点

1. 持ち主は自社か（管理者・サーバー・ドメイン）

確認すること	どこで分かるか	自社でない場合の困りごと
WordPressの管理者アカウント	管理画面の「ユーザー」で権限が「管理者」の人	退職者や外部の人しかログインできない
サーバーの契約者	サーバー会社からの請求書・契約メール	支払いが止まるとサイトごと消える
ドメインの登録者	ドメイン会社の管理画面、請求書	更新を忘れるとサイトもメールも止まる

管理者アカウントに、退職者や昔の制作会社の人が残っていないかも見てください。使っていない管理者アカウントは削除するか、権限を下げます。

2. 最後に更新したのはいつか

管理画面の「ダッシュボード → 更新」を開くと、本体・プラグイン・テーマの更新の有無が一覧で出ます。次の状態なら、保守が止まっています。

本体の更新が「新しいバージョンがあります」のまま
更新待ちのプラグインが複数ある
「最終更新」が何年も前のプラグインを使っている（提供者が更新をやめた可能性）
使っていない（停止中の）プラグインやテーマが残っている

停止中のプラグインも、ファイルがサーバーに残っている限り弱点になり得ます。使わないものは削除が原則です。

3. バックアップから戻せるか

「バックアップはサーバー会社が取っているはず」は、確認するまで当てになりません。次の2つを確かめます。

何を、どこに、何日分残しているか（ファイルとデータベースの両方が必要）
実際に戻せるか（戻す手順を知っている人がいるか）

更新で画面が崩れたときも、改ざんされたときも、最後の頼みはバックアップです。

外から分かること・管理画面でしか分からないこと

外からでも、WordPressで作られている可能性、本体の版数が見えているかどうか、証明書やセキュリティヘッダーの状態は確認できます（外から確認できる10項目）。一方、管理者の人数、パスワードの強さ、二段階認証の有無、バックアップの状態は、中に入らないと分かりません。

よくある誤解

「更新するとサイトが壊れるから、触らない方が安全」：更新で表示が崩れることは実際にあります。だからこそ、バックアップを取ってから更新し、確認する担当が必要です。更新しないことは、壊れるリスクを先送りしているだけです
「有名なプラグインだから大丈夫」：利用者の多いプラグインほど調べる人も多く、弱点が見つかって修正版が出ることもあります。修正版に更新して初めて意味があります
「レンタルサーバーなので、サーバー会社が守ってくれる」：サーバー会社が管理するのは主にサーバー側です。WordPressの本体・プラグイン・アカウントの管理は、多くの場合、契約者の責任です。契約内容を確認してください

Webサイト診断の診断ではこう判定します

ホームページ安全設定診断の「CMS・部品の更新」区分（25点）では、次のように見ます。

CMS本体の更新状況（8点）：WordPressは x.y の系列単位で最新なら満点、1つ前の系列で4点、それより古いと0点。版数が外から分からない場合は「測定できない」とし、推測で減点しません
部品の既知の問題への対応（10点）：版数を特定できた部品を脆弱性データベースと照合します。緊急度の高い問題（CVSS 9.0以上）があれば、総合点の上限を50点にします
管理画面の保護（4点）・XML-RPC（3点）：外から探ることはせず、所有者の回答で判定します

また「情報の秘匿」区分で、CMSの版数が外から特定できないか（4点）と、通常のページから投稿者のログイン名が推測できないか（3点）も見ます。

匿名の段階では、ログイン画面や管理用のパスを探すことはしません。プラグイン名や個別の版数といった詳細は、サイトの管理者であることを確認できた方にだけお伝えします。WordPress専用の入口「WordPress保守状態診断」も用意しています。

保守を頼むときの伝え方

保守会社に相談するときは、次の情報を揃えておくと見積もりが早く、正確になります。

WordPressサイトの保守をお願いしたく、ご相談です。

・サイトURL：https://www.example.jp/
・サーバー：（サーバー会社名・プラン）※契約者は当社
・ドメイン：（ドメイン会社名）※登録者は当社
・管理画面のログイン：可能／不可（パスワード不明）
・最後に更新した時期：不明
・バックアップ：不明
・フォームなど、止まると困る機能：問い合わせフォーム

希望する内容：
本体・プラグイン・テーマの定期更新、更新前のバックアップ、
更新後の表示確認、SSL証明書とドメインの期限の確認、
障害時の連絡と復旧

見積もりを比べるときは、月に何回更新するか、更新後に何を確認するか、バックアップを何日分残すか、改ざんなどが起きたときの対応が料金に含まれるかの4点をそろえて比べてください。

自社で続けられないなら

保守を社内で続けるには、更新の判断、バックアップ、表示確認、問題が起きたときの対応ができる人と時間が必要です。それが難しい場合、外部の保守に任せることは「手抜き」ではなく、事業として妥当な判断です。

まずはホームページ安全設定診断で、外から見える状態を無料で確認してください。結果をもとに、WordPress保守（月額）や、管理画面の保護・不要な機能の停止をまとめて行うWordPress安全強化パックをご案内できます。更新がほとんど無いサイトなら、保守の要らないWordPressから静的サイトへの載せ替えも選べます。