WordPressのユーザー権限を間違えると危険？管理者・編集者・投稿者の違い

WordPressのユーザー権限を間違えると、記事の誤公開だけでなく、プラグイン削除、設定変更、管理者追加、サイト停止につながります。複数人で運用する時は、全員を管理者にするのではなく、その人が担当する作業に必要な最小権限を選ぶのが正解です。

WordPress標準には管理者・編集者・投稿者・寄稿者・購読者の5種類があります。名前だけでは違いが分かりにくいため、「誰の記事を扱えるか」「公開できるか」「サイト設定を変えられるか」の3点で比較すると迷いません。

よこやま良平

20年以上ITエンジニアとしてWordPressの制作・保守・復旧に携わっている、よこやま良平です。権限トラブルの現場では、外注先に渡した共通管理者や退職者のアカウントが残り、誰の操作か追えないケースが少なくありません。

権限は「信用しているか」ではなく「その作業に必要か」で決めます。信頼できる担当者でも、アカウントが盗まれれば付与された権限は攻撃者に使われるからです。

この記事では、標準5権限の比較から、安全な追加・変更・削除、外注時の期限管理まで順番に解説します。現在すでに全員が管理者でも、慌てて一括変更せず、担当作業と投稿の所有者を確認しながら進めてください。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

WordPressのユーザー権限は5種類を作業範囲で理解する

WordPressのユーザー権限は、役職名を暗記するより、実行できる作業の範囲で理解するのが確実です。標準サイトでは管理者が最も強く、編集者、投稿者、寄稿者、購読者の順に操作範囲が限定されます。

管理者はサイト全体を変更できる最上位権限

管理者は記事や固定ページだけでなく、テーマ、プラグイン、ユーザー、一般設定などサイト全体を扱えます。新しい管理者を作ったり、既存ユーザーの権限を変更したりできるため、事業責任者や技術管理者など必要最小限の人だけに限定すべきです。

「画像を差し替えてもらう」「記事を入稿してもらう」という作業に管理者は不要です。管理者アカウントが乗っ取られると、正規管理者の削除、不審プラグインの追加、外部サイトへの転送など、サイト全体へ影響する変更が可能になります。

編集者は他人の記事まで公開・編集・削除できる

編集者は、投稿者を問わず投稿を編集・公開・削除でき、カテゴリーやコメントも管理できます。編集長やコンテンツ責任者のように、複数ライターの記事を確認して公開する担当者へ向く権限です。

一方で、プラグインの追加、テーマ変更、ユーザー管理、一般設定の変更はできません。サイト運用を任せたいからと管理者を渡す前に、記事とコメントの管理だけなら編集者で足りないかを確認してください。

投稿者は自分の記事を作成して公開できる

投稿者は、自分が作った投稿を編集し、自分で公開できます。画像などのメディアもアップロードできるため、内容確認を経ずに公開してよい社内ライターや、担当分野を持つ執筆者に向きます。

他人の投稿は編集できず、固定ページやサイト設定も管理できません。ただし公開ボタンを押せる以上、誤情報、未確認画像、予約日時の間違いがそのまま外部へ出る可能性があります。公開前承認が必要なら寄稿者を検討します。

寄稿者は下書きを作れるが公開と画像追加に制限がある

寄稿者は自分の投稿を書いて下書きとして保存できますが、自分で公開できません。編集者または管理者の確認を通す運用に向きます。WordPress標準ではメディアファイルをアップロードできないため、画像が必要な記事では別の受け渡し方法を決めておく必要があります。

「公開前に必ず責任者が確認したい」という条件には合いますが、画像を多用する制作では作業が止まりやすい権限です。公開承認と画像管理の両方を満たしたい場合は、追加プラグインで権限を細かく設計する方法もあります。

購読者は自分のプロフィールだけを管理する

購読者はログインと自分のプロフィール変更が中心で、標準状態では記事を書いたり公開したりできません。会員向け閲覧やコメント利用など、サイトの内容を変更させない利用者に向く権限です。

WordPress初期設定・管理画面の使い方

WordPressのユーザー権限を間違えると起きる危険

WordPressのユーザー権限を間違えた時の最大の問題は、本人の操作ミスだけではありません。強すぎる権限を持つアカウントが漏えいすると、攻撃者が同じ範囲を操作できるため、被害がサイト全体へ広がります。

共通の管理者アカウントでは操作した人を追えない

社内や外注先で一つの管理者IDを共有すると、投稿削除や設定変更があっても誰の操作か判別しにくくなります。パスワード変更のたびに全員へ知らせる必要があり、契約終了者だけを締め出すこともできません。

一人につき一つの個別アカウントを作り、メールアドレスも本人または管理用に分けてください。事故時の追跡、特定ユーザーだけの停止、二要素認証、パスワード再設定を個別に行える状態が基本です。

管理者の漏えいは正規ユーザーの排除につながる

管理者権限が盗まれると、別の不審管理者を追加し、正規管理者を削除できます。さらにテーマやプラグインを通じてPHPコードを実行される可能性があり、管理画面のパスワードを戻すだけでは復旧できない状態になり得ます。

強い権限ほど、長い固有パスワード、二要素認証、ログイン通知、利用場所の制限を優先してください。権限を下げればログイン自体を防げるわけではありませんが、侵入後にできる操作を減らせます。

編集者でも公開記事と集客導線を壊せる

編集者はプラグインを削除できませんが、他人の記事を編集・削除できます。重要な固定記事への導線、カテゴリー、コメント対応、公開日時など、集客や信用に影響するコンテンツ運用を広く変更できる点に注意が必要です。

権限不足を理由にその場で管理者へ上げると戻し忘れる

作業中に一つのボタンが見えないと、原因を調べず管理者へ変更しがちです。しかし必要な操作が終わった後も権限が残り、数か月後には「なぜこの人が管理者なのか」が分からなくなります。

一時的に権限を上げる場合は、目的、開始時刻、終了予定、変更者を記録し、作業後の確認まで予定に入れます。恒久的に必要なら、管理者以外で実現できない理由と、守るべき認証条件を残してください。

WordPress乗っ取り判定｜管理者アカウントと権限を確認する方法

WordPressのユーザー権限を担当作業から選ぶ方法

WordPressのユーザー権限を選ぶ時は、肩書きではなく、日常的に行う作業と公開承認の有無から決めます。迷ったら弱い権限から開始し、不足する具体的な操作を確認してから必要分だけ追加してください。

記事を書くだけなら寄稿者または投稿者から選ぶ

外部ライターが本文を入稿し、社内担当者が確認して公開するなら寄稿者が基本です。画像アップロードが必要な場合は、画像を共有フォルダで受け渡すか、細かな権限管理プラグインを検討します。

社内ルールと品質基準を理解し、自分の記事を自分で公開してよい担当者なら投稿者が合います。公開後の修正期限、カテゴリー、タグ、アイキャッチ、引用画像の確認項目を運用ルールとしてセットにしてください。

複数ライターの記事を管理する責任者は編集者

他人の下書きを修正し、公開日時を調整し、公開済み記事を更新する編集長には編集者が適します。テーマやプラグインを触れないため、コンテンツ管理とシステム管理を分離できます。

ただし、記事の完全削除やカテゴリー変更もできるため、削除はゴミ箱まで、重要記事のURL変更は禁止などのルールを決めます。検索順位に影響するスラッグやリダイレクトは、技術担当者と確認してから変更する運用が安全です。

保守会社や制作者でも常時管理者とは限らない

プラグイン更新、テーマ修正、ユーザー管理が必要な保守作業では管理者が必要になる場合があります。しかし記事入稿や画像差し替えだけの期間まで、同じ管理者権限を常時残す必要はありません。

ステージング環境で作業できるなら、本番管理者を渡す前に複製環境で検証します。本番の管理者が必要な作業は、専用の個別アカウントを期間限定で作り、終了後に権限を下げるか削除します。

閲覧会員や顧客は購読者・独自権限を確認する

記事を読むだけの会員へ投稿者以上を付ける必要はありません。購読者を基本に、会員・ECプラグインが追加する権限とアクセス先を確認します。

個人情報や注文情報を扱う独自権限は、通常の購読者より強い場合があります。テスト用アカウントで管理画面の見えるメニュー、REST APIの応答、顧客データの閲覧範囲を確認してから本番登録を始めてください。

WordPressセキュリティ対策の完全ガイド｜初心者でも今日からできる安全設定チェックリスト付き

WordPressのユーザー権限を安全に追加・変更する手順

WordPressのユーザー権限を安全に追加・変更するには、作業範囲の確認、個別アカウント作成、ログインテスト、記録の4段階で進めます。権限名だけを選んで終わりにせず、実際に見える画面と操作できる範囲を確認してください。

手順1：必要な操作を具体的に書き出す

「サイト運用」では広すぎます。「自分の投稿を作る」「画像を追加する」「他人の下書きを公開する」「プラグインを更新する」のように操作単位で書き出します。月に一度しか行わない管理作業は、日常権限へ含めず一時昇格で対応できないか検討します。

手順2：一人一つの個別アカウントを作る

管理画面の「ユーザー」から新規追加し、本人を識別できるユーザー名とメールアドレスを設定します。表示名にログインIDやメールアドレスをそのまま公開しないよう、公開用表示名も確認してください。

パスワードは他サービスと使い回さず、WordPressが生成する長い文字列またはパスワード管理アプリで作った固有値を使います。パスワードをチャットへ平文で残し続けず、安全な共有方法と初回変更のルールを決めます。

手順3：最小権限を選びテストアカウントで確認する

最初は想定より一段弱い権限を候補にし、必要操作ができるか確認します。本人のアカウントで試す前に、同じ権限のテストアカウントを作れば、管理画面に見えるメニューと禁止される操作を管理者側で確認できます。

権限管理プラグインで標準権限を変更しているサイトでは、一般的な説明どおりに動かない場合があります。役割名ではなく、投稿公開、ファイルアップロード、プラグイン管理、ユーザー管理など実際の権限項目で確認してください。

手順4：強い権限には追加の認証対策を設定する

管理者と編集者は、二要素認証、ログイン通知、試行回数制限、端末管理を優先します。退職や端末紛失があった時に、誰がアカウント停止とセッション切断を行うかも決めておきます。

ログインURL変更だけに依存してはいけません。URLが分かっても突破されにくい固有パスワードと二要素認証、不要アカウントを残さない運用が重要です。

手順5：変更理由と終了予定を記録する

ユーザー名、担当者、権限、目的、付与日、終了予定日、承認者を一覧にします。一時管理者ならカレンダーやタスクへ戻す日を登録し、作業完了報告に権限を戻した確認を含めます。

1. 担当者が必要とする操作を具体的に書き出す
2. 共用ではなく本人専用アカウントを作成する
3. 必要最小限の権限を選びテストする
4. 固有パスワードと二要素認証を設定する
5. 付与理由・開始日・終了日・承認者を記録する

WordPressのユーザー権限を外注・複数人運用で管理する

WordPressのユーザー権限を外注・複数人運用で安全に使うには、技術設定だけでなく、依頼範囲・期限・連絡・終了処理を一つの運用として決めます。アカウントを渡した時点ではなく、不要になった時に確実に閉じるまでが権限管理です。

外注先には会社共通ではなく担当者別アカウントを発行する

制作会社へ依頼する場合も「company-admin」のような共有ID一つではなく、実際に作業する担当者ごとに発行するのが理想です。担当変更があった時は旧担当を停止し、新担当を追加できます。

再委託の有無、アクセスする国や時間帯、利用端末、認証方法を事前に確認します。誰がログインするか分からない状態では、不審アクセスと正規作業を区別できません。

本番作業前にバックアップと戻し方をそろえる

強い権限を使う更新や設定変更では、ファイルとデータベースのバックアップ、正常時の画面、戻す担当者を確認します。投稿編集だけでも、重要ページのスラッグや本文を変更するなら変更前の内容を保存してください。

契約終了時は権限変更だけでなくセッションも切る

契約終了日には、対象アカウントを削除または権限変更し、ログイン中のセッションを切断します。共有したSFTP、サーバーパネル、CDN、分析ツール、外部ストレージなどWordPress以外の権限も同じ一覧で確認してください。

APIキー、アプリケーションパスワード、Webhookの秘密情報を渡していた場合は、ユーザー削除だけでは無効にならないものがあります。連携ごとに失効・再発行し、停止後にログインや接続が拒否されることまで確認します。

作業報告には変更内容と権限終了を含める

完了報告には、変更した投稿・設定・ファイル、バックアップ、確認結果、残った課題、権限を戻した時刻を記載します。問題が後から見つかった時も、操作範囲と担当者を追いやすくなります。

1人社長・Web管理者が保守を外部委託するメリット

WordPressのユーザー権限を定期監査して事故を防ぐ

WordPressのユーザー権限は、付与した日の判断が正しくても、担当変更や契約終了で不要になります。月次または四半期ごとにユーザー一覧を確認し、「本人・目的・必要権限・終了日」を説明できないアカウントを残さないことが再発防止になります。

ユーザー一覧で管理者と長期未使用者を優先確認する

最初に管理者を一覧化し、氏名、連絡先、担当業務、作成理由を確認します。次に編集者と投稿者を見て、現在も記事を扱っているか、退職・休職・契約終了がないかを確認してください。

WordPress標準のユーザー一覧だけでは最終ログイン時刻が分からない場合があります。セキュリティログやサーバーログを使う時は保存期間と個人情報の扱いを決め、ログがないことだけで「利用していない」と断定しません。

削除前に投稿の所有者を引き継ぐ

投稿を持つユーザーを削除すると、コンテンツを別ユーザーへ割り当てるか、一緒に削除するかを選ぶ画面が表示されます。選択を誤ると記事が消えるため、投稿件数と引き継ぎ先を確認してから削除します。

一時停止で十分なら、まず権限を購読者へ下げ、セッションを切断する方法もあります。削除、停止、権限変更のどれを選んだかと理由を記録し、復帰予定者の扱いも決めます。

知らない管理者がいたら削除だけで終わらせない

見覚えのない管理者を発見した場合は、作成日時、関連メール、アクセスログ、ファイル変更時刻などの証拠を保存します。すぐ削除するだけでは、侵入口や別の管理者、バックドアが残り、再び作成される可能性があります。

正規管理者のパスワード変更、全セッション切断、アプリケーションパスワード確認、プラグイン・テーマ・ファイル・データベースの調査を行います。改ざんや外部転送がある場合は、通常のアカウント整理ではなくインシデント対応へ切り替えてください。

役割変更後は主要画面と業務フローをテストする

権限を下げた後は、ログイン、投稿作成、画像追加、承認、公開、コメント対応など担当業務が止まらないか確認します。本人だけでなく承認する編集者側の操作も一連でテストしてください。

WordPressのアップデート・保守をしないと危険｜放置で起こる深刻なリスクとは

WordPressのユーザー権限に関するよくある質問

WordPressのユーザー権限を変更する時によくある疑問を、安全な運用の観点からまとめます。

WordPressのユーザー権限の違いと安全な選び方まとめ

WordPressのユーザー権限は、管理者が最も強く、編集者は全投稿、投稿者は自分の投稿、寄稿者は自分の下書き、購読者はプロフィール中心という違いがあります。誰を信用するかではなく、担当作業に必要な最小範囲で選んでください。

よこやま良平が実務で重視するのは、個別アカウント、終了日、定期監査の3点です。強い権限を一時的に渡す時は目的と戻す時刻を記録し、退職・契約終了時はWordPress以外のアクセスも含めて停止します。

WordPressの権限トラブルを自分で直せない時は

WordPress保守・不正アクセス対策・マルウェア駆除・WordPressクイックレスキュー365

ワードプレスのWordPressエラートラブル解決をしたいなら
クイックレスキューが解決します。

これらでお悩みなら最短30分ですぐに解決します！

いまなら期間限定で