WordPressで制作したホームページを複数の担当者で更新する場合、全員が管理者の権限でログインしていると、思わぬ操作でレイアウトが崩れることがあります。WordPressサイトのユーザー権限を担当者ごとに分けておけば、それぞれができる作業を必要な範囲に絞れます。当社ではホームページ制作時に、更新する担当者に合わせてユーザー権限を設定しています。
この記事では、WordPressサイトのユーザー権限の種類と担当者ごとに分ける理由、当社が実際に設定しているユーザー権限の例を紹介します。設定方法や注意点も解説するので、これからホームページ制作を依頼する方や、今のWordPressサイトの管理方法を見直したい方は参考にしてください。
WordPressサイトのユーザー権限とは
WordPressサイトのユーザー権限とは、管理画面にログインする人ごとに、できる操作の範囲を決める仕組みです。WordPressには標準で5つのユーザー権限があり、ユーザーを追加するときにどれか1つを選んで設定します。
管理者
管理者は、WordPressサイトのすべての操作ができるユーザー権限です。投稿や固定ページの作成・編集・削除に加え、テーマの変更、プラグインの追加や停止、WordPress本体の更新、サイト全体の設定、ほかのユーザーの追加や削除まで行えます。
ホームページの見た目や動きに関わる部分まで変更できるので、操作を誤るとレイアウトが崩れたり、ホームページが表示されなくなったりすることがあります。管理者のアカウントで不正にログインされると、サイト全体を書き換えられるおそれもあります。管理者は、サイト全体を管理する人だけに付けるユーザー権限と考えておくと分かりやすいです。
編集者
編集者は、投稿と固定ページの作成・編集・公開・削除ができるユーザー権限です。自分が作成したものだけでなく、ほかのユーザーが作成した投稿や固定ページにも手を入れられます。カテゴリーやタグの管理、コメントの承認もできます。
一方で、テーマやプラグイン、サイト全体の設定、ユーザーの管理は行えません。ホームページの仕組みには触れずに、掲載する内容を管理する立場の人に向いたユーザー権限です。ほかの担当者が作成した投稿を確認して公開する役割の人に付けることが多くなります。
投稿者
投稿者は、自分が作成した投稿の作成・編集・公開・削除ができるユーザー権限です。画像などのファイルをアップロードして、投稿に使うこともできます。
ほかのユーザーの投稿や固定ページは編集できず、テーマやプラグイン、サイト全体の設定にも触れられません。WordPressの投稿は、お知らせや施工事例、ブログなど、ホームページに定期的に追加していく内容に使われることが多く、投稿者はそうした更新を自分で行う担当者に向いたユーザー権限です。
自分の投稿だけを管理できるので、担当者が複数いても互いの投稿を誤って変えてしまう心配がありません。
寄稿者
寄稿者は、自分の投稿を作成・編集できるものの、公開はできないユーザー権限です。書き終えた投稿はレビュー待ちとして提出し、編集者か管理者が内容を確認して公開します。
画像などのファイルはアップロードできず、一度公開された投稿は自分で編集できなくなります。できる操作がかなり限られているので、原稿の作成だけを任せる人に向いたユーザー権限です。
購読者
購読者は、管理画面にログインして自分のプロフィールを編集できるだけのユーザー権限です。投稿や固定ページの作成や編集はできず、ホームページの更新に関わる操作は何も行えません。
更新する担当者に購読者を付けても作業ができないので、企業のホームページで購読者のユーザー権限を使うことはほとんどありません。
WordPressサイトのユーザー権限を担当者ごとに分ける理由
全員を管理者にしておいても、ホームページの更新自体はできます。それでもWordPressサイトのユーザー権限を担当者ごとに分けておくと、ホームページを安全に運用しやすくなります。
誤った操作によるレイアウト崩れを防ぐため
管理者のユーザー権限では、テーマやプラグインの変更、WordPress本体の更新、固定ページの編集など、ホームページのレイアウトに関わる操作がすべてできます。お知らせを追加するつもりで管理画面を開いた担当者が、見慣れない更新ボタンを押してしまったり、固定ページの一部を消してしまったりすると、ページのレイアウトが崩れることがあります。
実際に当社のお客様で、管理者のユーザー権限でログインしていた担当者が、管理画面に表示された案内から誤ってWordPressを更新し、レイアウトが崩れたことがありました。
レイアウトが崩れると元に戻すための修正作業が必要になり、本来かからなかったはずの費用が発生します。ホームページの内容を増やすための出費ではなく、元の状態に戻すためだけの出費なので、とてももったいない使い方です。
更新する担当者のユーザー権限を投稿者にしておけば、テーマやプラグイン、固定ページの編集画面そのものが管理画面に表示されず、WordPress本体の更新もできません。触れられない部分は誤って変えようがないので、担当者は投稿の更新だけに集中できます。
レイアウトを崩さないようにするには、担当者に注意してもらうより、ユーザー権限で操作できる範囲を決めておくほうが確実です。
会社として公開する情報の誤りを防ぐため
ホームページに載せた情報は、会社が公式に発信した内容として受け取られます。価格や営業時間、電話番号などに誤りがあるまま公開されると、問い合わせの対応に追われたり、取引先や求職者からの信頼を損ねたりすることがあります。
担当者全員が公開できるユーザー権限を持っていると、内容の確認を挟まずにそのまま公開されてしまいます。公開できるユーザー権限を、内容を確認する立場の人に限っておけば、公開前に必ず確認の手順が入ります。社内で確認のルールを決めていても、仕組みとして止められなければ、急いでいるときほど確認が抜けやすくなります。
不正ログインされたときの被害を小さくするため
WordPressは利用しているホームページが多く、管理画面へのログインを狙った攻撃を受けやすいCMSです。推測されやすいパスワードや使い回しのパスワードが原因で、担当者のアカウントに不正ログインされることがあります。
不正ログインされたアカウントが管理者のユーザー権限を持っていると、ページの書き換えや不正なプラグインの追加、ほかのユーザーの作成など、サイト全体を乗っ取られるおそれがあります。管理者のアカウントが多いほど、乗っ取られるとサイト全体を書き換えられるアカウントが増えることになります。
管理者のユーザー権限は必要な人だけに絞り、管理者のアカウントの数を減らしておけば、ホームページを乗っ取られる確率そのものを下げられます。
更新する担当者を投稿者のユーザー権限にしておけば、万が一そのアカウントに不正ログインされても、できる操作は投稿に関わるものに限られ、被害を小さく抑えられます。
当社がホームページ制作時に設定するユーザー権限の例
当社では、ホームページ制作時に更新する担当者に合わせて、WordPressサイトのユーザー権限を次のように設定しています。
お客様と当社で管理者を1つずつ作成する
ホームページ制作時には、お客様用と当社用に、管理者のユーザー権限を持つアカウントを1つずつ作成します。管理者のアカウントを制作会社だけが持っていると、制作会社と連絡が取りにくくなったときに、お客様が自社のホームページを自由に管理できなくなります。お客様用の管理者アカウントがあれば、ホームページの管理をお客様の手元に残しておけます。
ただし、お客様の管理者アカウントは普段の更新には使わず、マスターのアカウントとして保管していただくようお願いしています。日々の更新は、次に紹介する投稿者のアカウントでログインして行っていただきます。管理者のユーザー権限を持つアカウントは、お客様と当社の2つだけにとどめています。
更新担当者ごとに投稿者を設定する
お知らせや事例などを更新する担当者には、1人ずつ投稿者のユーザー権限を持つアカウントを作成します。担当者が3人いれば、投稿者のアカウントを3つ用意する形です。
投稿者のユーザー権限では固定ページを編集できないので、会社概要やサービス紹介などの固定ページには基本的に触れない状態になります。固定ページは作り込んだレイアウトになっていることが多く、編集の仕方によってはレイアウトが崩れてしまいます。
固定ページの内容を変えたいときは当社に依頼していただくのが基本ですが、予算の都合でどうしてもお客様自身で固定ページを編集したい場合は、保管している管理者のアカウントで作業していただきます。
外注ライターを使う場合は寄稿者と編集者を設定する
ブログなどの原稿を外注ライターに書いてもらう場合は、ライターに寄稿者のユーザー権限を設定します。寄稿者は投稿を公開できないので、ライターが書き終えた原稿はレビュー待ちとして提出され、そのままホームページに公開されることはありません。
あわせて、ライターの投稿を確認して公開するお客様側の担当者には、編集者のユーザー権限を持つアカウントを作成します。編集者であれば、保管している管理者のアカウントを使わずに、ライターの投稿の確認から公開までを行えます。
WordPressサイトのユーザー権限を設定する方法
WordPressサイトのユーザー権限は、管理画面で担当者ごとにアカウントを追加するときに設定します。ここで追加したアカウントのユーザー名とパスワードで、各担当者がWordPressの管理画面にログインできるようになります。ユーザーの追加や権限の変更は、管理者として登録しているアカウントでログインし、管理画面の左側にある「ユーザー」のメニューから行います。
新しいユーザーを追加して権限を設定する方法
新しく更新する担当者が増えたときは、管理画面の「ユーザー」から「ユーザーを追加」を開きます。ユーザー名とメールアドレスを入力し、必要に応じて名前を入力します。パスワードは自動で生成される推測されにくいものをそのまま使うと安全です。
次に「権限グループ」から、その担当者に付けるユーザー権限を選びます。初期状態では購読者になっているので、更新する担当者であれば投稿者など、任せる作業に合ったユーザー権限に切り替えてから「ユーザーを追加」をクリックします。ユーザー名は後から変更できないので、入力するときに間違いがないか確認しておきましょう。
追加するときに「ユーザーに通知を送信」にチェックを入れておけば、ユーザー名とパスワードを設定するためのリンクが書かれた案内メールが担当者に届きます。担当者に自分でパスワードを決めてもらいたい場合は、このメールを使うと手間がかかりません。
登録済みのユーザーの権限を変更する方法
担当する作業が変わったときは、管理画面の「ユーザー」から「ユーザー一覧」を開き、ユーザー権限を変更したいユーザーの「編集」をクリックします。プロフィールの画面にある「権限グループ」で新しいユーザー権限を選び、ページ下部の「プロフィールを更新」をクリックすれば変更は完了です。
複数のユーザーのユーザー権限をまとめて変更したい場合は、ユーザー一覧で対象のユーザーにチェックを入れ、一覧の上にある「権限グループを変更」から新しいユーザー権限を選んで「変更」をクリックします。
ユーザーを削除する方法
担当者が退職したときなど、使わなくなったアカウントは、管理画面の「ユーザー」から「ユーザー一覧」を開き、削除したいユーザーの「削除」をクリックします。
削除の確認画面では、そのユーザーが作成した投稿をどうするかを選びます。「すべてのコンテンツを削除」を選ぶと、そのユーザーが作成した投稿もまとめて削除されてしまいます。ホームページに公開している投稿を残したい場合は、「すべてのコンテンツを以下のユーザーのものにする」を選び、引き継ぐユーザーを指定してから「削除を実行」をクリックします。
WordPressサイトのユーザー権限を分けるときの注意点
WordPressサイトのユーザー権限は、一度分けて終わりではありません。設定した後の扱い方で気をつけたい点があります。
退職した担当者のアカウントはすぐに削除する
更新を担当していた社員が退職しても、WordPressのアカウントは自動では消えません。アカウントが残ったままだと、退職した人が社外から管理画面にログインできる状態が続きます。本人に悪意がなくても、そのアカウントのパスワードが外部に漏れていれば、第三者に不正ログインされるおそれがあります。
使われていないアカウントは、誰も気にかけていないので、不正ログインされても気づくのが遅れがちです。退職が決まったら、パソコンやメールアドレスの返却と同じように、WordPressのアカウントの削除も退職の手続きに組み込んでおくと削除し忘れを防げます。
退職ではなく部署の異動で更新の担当から外れる場合も、使わなくなったアカウントは同じように削除しておきましょう。
制作会社を変えたときは管理者のアカウントを入れ替える
ホームページの保守や修正を依頼する制作会社を変えたときは、前の制作会社が使っていた管理者のアカウントを削除し、新しい制作会社に管理者のアカウントを作成します。
契約が終わった制作会社の管理者アカウントが残っていると、サイト全体を操作できるアカウントが社外にあり続けることになります。前の制作会社に悪意がなくても、そのアカウントのパスワードが外部に漏れれば、ホームページを乗っ取られるおそれがあります。
入れ替えるときは、先に新しい制作会社の管理者アカウントを作成し、ホームページの引き継ぎが終わったことを確認してから、前の制作会社のアカウントを削除すると作業が途切れません。
自社で管理者のアカウントを持っていれば、制作会社に頼らずにこの入れ替えを自社で行えます。制作会社だけが管理者のアカウントを持っている場合は、制作会社を変える前に、自社用の管理者アカウントを作成してもらうよう依頼しておきましょう。
まとめ
WordPressサイトのユーザー権限は、管理者・編集者・投稿者・寄稿者・購読者の5つがあり、どの権限を付けるかで担当者ができる操作の範囲が変わります。
全員を管理者にしておくと、誤った操作でレイアウトが崩れたり、確認していない情報が公開されたり、不正ログインされたときにホームページを乗っ取られたりするおそれがあります。更新する担当者には投稿者、原稿だけを任せる人には寄稿者というように、任せる作業に合わせてユーザー権限を分けておくことが大切です。
最近は、中小企業のホームページでも不正ログインなどの被害が起きており、ホームページのセキュリティを見直す必要性が高まっています。WordPressサイトのユーザー権限を担当者ごとに分けることは、特別な費用をかけずに始められるセキュリティ対策の1つです。
管理者のアカウントを必要な人だけに絞り、退職した担当者や契約が終わった制作会社のアカウントを残さないことも含めて、今のWordPressサイトのユーザー権限がどうなっているか、一度確認してみてください。
