退職者のアカウントを放置してはいけない理由とユーザー整理術
退職した社員、契約の切れた制作会社、もう使っていない外注先——これらのアカウントが、あなたのWordPressに管理者権限のまま残っていませんか。結論として、使われていないアカウント、とくに管理者権限の放置は、外部からの侵入と並ぶ重大なセキュリティリスクです。定期的なユーザーの棚卸しと、権限を必要最小限に絞る設計だけで、このリスクの大半は消せます。攻撃を防ぐ話の前に、まず「内側の鍵を誰が持っているか」を把握することが先決です。
なぜ退職者・元委託先のアカウントが危険なのか
管理者権限を持つアカウントは、サイトの全設定変更・ユーザー追加・コンテンツ削除まで、何でもできる「マスターキー」です。退職者本人に悪意がなくても、そのアカウントのパスワードがどこかで使い回されていれば、その流出をきっかけに第三者がサイトへ侵入できてしまいます。使われていないアカウントは、本人が管理していないぶん、乗っ取られても誰も気づきません。攻撃者にとっては「見張りのいない裏口」そのものです。だからこそ、不要になったアカウントは「無効化」ではなく確実に「整理」する必要があります。
ユーザー整理の手順
- 現状のユーザーを一覧で確認する：WordPress管理画面のユーザー一覧で、誰が・どの権限を持っているかを書き出します。心当たりのないアカウントがあれば要注意です。
- 不要なアカウントを削除する：退職者・契約終了した委託先のアカウントを削除します。削除時に「投稿の引き継ぎ先」を指定すれば、その人が書いた記事は別ユーザーに移せます。
- 権限を必要最小限に下げる：全員が管理者である必要はありません。記事を書くだけの人は「投稿者」、確認だけの人は「購読者」など、業務に必要な最小の権限に設定します。
- 管理者を絞り、棚卸しを定期化する：管理者権限を持つ人を最小限にし、半年に一度など定期的にユーザー一覧を見直すルールを決めます。
「権限設計」という考え方
ユーザー整理の本質は、単なる削除作業ではなく「誰に・どこまでの権限を与えるか」という設計です。WordPressには管理者・編集者・投稿者・寄稿者・購読者という役割があり、それぞれできることが段階的に決まっています。原則は「その人の業務に必要な最小限の権限だけを与える」こと。記事を投稿するだけの担当者に管理者権限を渡してしまうと、誤操作でプラグインを止めたりテーマを壊したりする事故のリスクが上がりますし、そのアカウントが乗っ取られたときの被害も最大化します。逆に権限を適切に絞っておけば、万一どれかのアカウントが破られても、被害をその権限の範囲に封じ込められます。引き継ぎの場面でも同じで、新しく入った人・抜けた人に合わせて権限を更新することが、安全なサイト運用の土台になります。保守を引き継ぐ際のアカウント整理は 引き継ぎに必要な情報一覧 の考え方も役立ちます。
削除のときに気をつけること
ユーザーを削除する際には、いくつか注意点があります。第一に、その人が書いた記事や投稿の扱いです。WordPressでユーザーを削除すると、関連するコンテンツも一緒に消えてしまう恐れがあるため、削除時に必ず「投稿を別のユーザーに引き継ぐ」オプションを選びます。これを忘れると、過去の記事が一括で消えるという二次被害になりかねません。第二に、削除する前に「本当に使われていないアカウントか」を確認することです。一見不要に見えても、自動連携や外部サービスの動作に使われているアカウントがあり、消すと一部機能が止まることがあります。第三に、自分自身の管理者アカウントを誤って権限変更・削除しないことです。作業は慎重に、できればバックアップを取ってから行います。安全策として、整理作業の前にサイト全体のバックアップを取っておけば、万一のときも元に戻せます。バックアップの考え方は バックアップの正しい取り方 を参照してください。
保守現場メモ：引き継ぎでサイトの中を確認すると、もう関わっていないはずの制作会社や、退職した担当者の管理者アカウントがいくつも残っている——というのは珍しくありません。本人たちはとっくに存在を忘れています。怖いのは、それらのパスワードが他サービスと使い回されていた場合で、どこか1か所の流出がサイト侵入の入口になります。引き継ぎ・体制変更のタイミングは、ユーザー棚卸しの絶好の機会です。
定期的な棚卸しを仕組みにする
ユーザー整理は一度やって終わりではなく、人の出入りに合わせて続ける運用です。退職・入社・委託先の変更があったら、その都度アカウントを見直す。これを習慣にできれば、内側からのリスクは大きく減らせます。不正ログインへの外側からの対策とあわせて固めたい場合は 不正ログインの対策 もご覧ください。ユーザーの棚卸しや権限設計の見直しを定期作業として任せたい場合は、月額保守でお引き受けします。まずは無料診断で、いまのアカウント状況をご確認ください。
