WordPressで制作したホームページは、納品時に制作会社から受け取ったアカウントで更新するのが一般的です。WordPressのユーザー権限は、そのアカウントで誰がどこまで操作できるかを決める設定で、設定しだいでは誤操作によるレイアウト崩れや不正ログインの原因になります。
この記事では、WordPressのユーザー権限の5つの種類でできることを解説したうえで、ホームページ制作会社である当社が制作時に実際に設定しているユーザー権限の内容と、設定する時の注意点を紹介します。ホームページ制作を依頼する前に、どのようなユーザー権限で納品してもらうのかを確認する参考にしてください。
WordPressのユーザー権限とは
WordPressのユーザー権限とは、WordPressにログインするアカウントごとに、どの操作を許可するかを決める仕組みです。WordPressの管理画面では権限グループという名前で表示され、ユーザーを追加する時やユーザーの編集画面で選んで設定します。
WordPressで行う操作には、ページを追加・編集する、画像を追加する、デザインに関わるテーマやプラグインを変更する、サイト全体の設定を変えるなど、さまざまなものがあります。すべてのアカウントに同じ操作を許可すると、ページを更新するだけの担当者が誤ってテーマやプラグインを変更してしまうおそれがあります。
WordPressのユーザー権限を使い分けることで、担当者ごとに必要な操作だけを許可でき、誤操作や不正ログインによる被害を小さく抑えられます。
WordPressのユーザー権限を変更できるのは、管理者の権限を持つアカウントだけです。担当者の追加や退職のたびに管理者が設定を見直す必要があるため、ホームページ制作時に誰がどの権限を持つのかを決めておくことが大切です。
WordPressのユーザー権限の5つの種類
WordPressのユーザー権限には、管理者・編集者・投稿者・寄稿者・購読者の5つの種類があり、管理者に近いほどできる操作が多くなります。複数のホームページをまとめて管理するマルチサイトでは特権管理者という権限も加わりますが、中小企業のホームページで使うことはほとんどありません。
管理者
管理者は、WordPressのユーザー権限の中で最も強い権限で、ホームページに関するすべての操作ができます。投稿や固定ページの作成・編集・削除はもちろん、テーマやプラグインの追加・変更・削除、WordPress本体・テーマ・プラグインの更新も行えます。さらに、サイト全体の設定や、ほかのユーザーの追加と権限の変更も、管理者だけができる操作です。
何でもできる反面、誤ってプラグインを停止したりテーマを変更したりすると、サイト全体の表示や機能に影響が出ます。不正ログインされた場合の被害も最も大きくなるため、管理者のWordPressのユーザー権限を持つアカウントは必要最小限の数にとどめ、日常の更新には使わないのが安全です。
編集者
編集者は、投稿と固定ページに関する操作をすべて行えるWordPressのユーザー権限です。自分が作成したものだけでなく、ほかのユーザーが書いた投稿や固定ページも編集・公開・削除できます。カテゴリーやタグの管理、コメントの承認、画像のアップロードもできます。
一方で、テーマやプラグイン、サイト全体の設定、ユーザーの管理はできません。ホームページの見た目や機能を壊すおそれのある操作を制限したうえで、すべてのページの内容を管理できるため、ほかの担当者が作成した文章を確認してから公開する責任者のような立場の方に向いています。
投稿者
投稿者は、自分の投稿だけを作成・編集・公開・削除できるWordPressのユーザー権限です。ホームページに使う画像のアップロードもできるため、ブログやお知らせの更新に必要な操作は投稿者だけで完結します。
ほかのユーザーが書いた投稿は編集できず、会社概要やサービス紹介などの固定ページも触れません。外観やプラグイン、設定も表示されないため、誤操作でサイト全体の表示を崩す心配がほとんどありません。ブログやお知らせの更新を担当する社員が、日常的にページを追加・編集するのに向いています。
寄稿者
寄稿者は、自分の投稿を作成・編集できるものの、公開はできないWordPressのユーザー権限です。作成した投稿はレビュー待ちの状態で保存され、編集者以上の権限を持つユーザーが内容を確認して公開します。
画像のアップロードもできないため、投稿に画像を入れる作業は公開する人が行います。公開前に必ず内容をチェックする流れを仕組みとして作れるので、外部のライターに原稿の執筆を依頼する場合や、入社したばかりで投稿に慣れていない担当者がいる場合に向いています。
購読者
購読者は、WordPressの管理画面にログインしても、自分のプロフィールを編集する画面しか表示されないWordPressのユーザー権限です。投稿や固定ページの作成・編集はできません。主に、ログインした人だけが見られるページをホームページに作った時に、そのページを見るためのアカウントとして使います。
ただし、WordPressが標準のままでは、購読者はログイン画面からログインし、ログイン後は管理画面が表示され、それからページを見ることになります。管理画面にログインするページを社外の人に知らせることになり、不正ログインを狙われるきっかけになるため、一般のユーザーを購読者に設定するのはおすすめしません。
社員だけが閲覧する社内向けのページを作る場合など、社内で使うのであれば問題ありません。
社内で使っていないのに購読者のアカウントが増えている場合は、管理画面の設定にある「だれでもユーザー登録ができるようにする」にチェックが入っていて、ボットなどに勝手に登録されている可能性があります。チェックを外したうえで、不要なアカウントを削除しておきましょう。
WordPressのユーザー権限を設定する方法
WordPressのユーザー権限は、管理者の権限を持つアカウントでWordPressの管理画面にログインして設定します。管理者以外のアカウントでは、ユーザー権限の設定画面そのものが表示されません。
新しい担当者のアカウントを作る場合は、管理画面の左側にあるメニューの「ユーザー」から「ユーザーを追加」を開きます。ユーザー名やメールアドレス、パスワードを入力し、権限グループの欄で投稿者や編集者などのWordPressのユーザー権限を選んでから、新規ユーザーを追加を押せば設定は完了です。
すでにあるアカウントのWordPressのユーザー権限を変える場合は、ユーザーの一覧から対象のアカウントの編集画面を開き、権限グループを選び直して「ユーザーを更新」を押します。一覧の権限グループの列には各アカウントの現在のユーザー権限が表示されるため、担当者の異動や退職の時に、誰がどの権限を持っているかをまとめて見直せます。
当社がホームページ制作時に設定するユーザー権限の内容
当社では、ホームページ制作時に次の3つの考え方でWordPressのユーザー権限を設定して納品しています。誰がどのアカウントで何を更新するのかを最初に決めておくことで、誤操作を防ぎながら安心して更新を続けられます。
お客様と当社で管理者を1アカウントずつ作成する
当社では、WordPressのユーザー権限のうち最も強い管理者アカウントを、お客様用と当社用に1つずつ作成します。お客様の管理者アカウントは日常の更新には使わず、マスターとして保管していただいています。
以前は、お客様に管理者アカウントだけをお渡しして、そのまま更新に使っていただいていました。しかし、あるお客様が誤ってWordPressを更新してしまい、ホームページのレイアウトが崩れたことがありました。この経験から、管理者と日常の更新に使うアカウントを分けるようにしています。
お客様の管理者アカウントを使うのは、ご予算の都合でどうしても固定ページをお客様自身で修正したい場合などに限っています。
更新担当者ごとに投稿者を設定する
日常の更新には、更新を担当する方ごとに、投稿者を設定したアカウントをお渡ししています。投稿者は、ブログやお知らせ、事例などの投稿を作成・公開でき、画像のアップロードもできるため、日常の更新に必要な操作はそろっています。
一方で、投稿者は固定ページや外観、プラグイン、設定には触れません。会社概要やサービス紹介などの固定ページはレイアウトを細かく組んでいることが多く、慣れていない方が編集するとレイアウト崩れの原因になります。投稿者のユーザー権限に限定しておけば、固定ページのレイアウトを崩したり、誤ってWordPressを更新したりする心配がありません。
外注ライターを使う場合は寄稿者と編集者を設定する
外部のライターに投稿の原稿を依頼する場合は、ライターごとに寄稿者のユーザー権限を設定したアカウントを作成します。寄稿者は投稿を作成・編集できますが公開はできないため、ライターが作成した投稿はレビュー待ちの状態で保存されます。
あわせて、お客様の社内でライターの投稿を確認する担当者には、編集者のユーザー権限を設定したアカウントをお渡しします。投稿者ではほかのユーザーが作成した投稿を公開できないため、レビュー待ちの投稿を確認して公開するには編集者以上の権限が必要です。
管理者でも公開はできますが、WordPressやプラグインの更新まで行える管理者より、投稿と固定ページの操作に限られる編集者のほうが誤操作の心配が少なくなります。
寄稿者は画像をアップロードできないため、画像を入れる作業も編集者が公開する時に行います。外部のライターに投稿者以上のWordPressのユーザー権限を渡さないことで、確認していない内容がそのままホームページに公開されることを防げます。
WordPressのユーザー権限を設定する時の注意点
WordPressのユーザー権限は、ホームページ制作時に一度設定すれば終わりではありません。担当者の入れ替わりや日々の使い方によって安全性が変わるため、次の4点に注意しましょう。
退職した担当者のアカウントは削除する
更新を担当していた社員が退職したり、外部のライターとの契約が終わったりした後も、アカウントが残ったままになっているホームページは少なくありません。使われていないアカウントが残っていると、社外からでもログインできる状態が続き、パスワードが漏れた場合には不正ログインの入口になります。
担当者が退職した時は、管理者アカウントでその担当者のアカウントを削除しましょう。WordPressでユーザーを削除する時は、そのユーザーが作成したコンテンツを削除するか、ほかのユーザーに割り当てるかを選ぶ画面が表示されます。
ここで削除を選ぶと、そのユーザーが作成した投稿だけでなく、アップロードした画像もまとめて削除され、バックアップがなければ元に戻せません。必ずほかのユーザーに割り当てるを選んでから削除しましょう。
WordPressのユーザー権限は担当者ごとに設定するものなので、担当者が変わるたびに見直す習慣をつけておくと安心です。
1つのアカウントを複数人で共有しない
アカウントを作る手間を省くために、1つのアカウントを社内の複数人で使い回しているケースがあります。しかし、共有したアカウントでは、誰がどの投稿を作成・変更したのかが分からなくなり、誤った内容が公開された時に原因を確かめられません。
また、担当者の1人が退職した場合でも、そのアカウントを削除できず、パスワードを変更して残りの全員に知らせ直す必要があります。さらに、共有している全員が同じWordPressのユーザー権限になるため、投稿を確認して公開する人には編集者、日常の更新をする人には投稿者といった分け方もできません。
更新する人が複数いる場合は、1人に1つずつアカウントを作成しましょう。
管理者アカウントは制作会社だけに持たせない
ホームページの管理を制作会社に任せている場合、管理者アカウントを制作会社だけが持ち、お客様は投稿者などのアカウントしか持っていないことがあります。
普段の更新には困らなくても、制作会社と連絡が取れなくなったり、別の制作会社に乗り換えたりする時に、新しい担当者のアカウントを追加することも、WordPressのユーザー権限を変更することもできなくなります。
ホームページはお客様の資産です。お客様自身も管理者アカウントを持っていれば、制作会社を変える時にも、お客様の管理者アカウントから制作会社のアカウントを削除できます。ホームページ制作時には、お客様自身も管理者アカウントを持っているかを必ず確認し、ログイン情報を社内で保管しておきましょう。
投稿に表示される名前をログイン用のユーザー名と別にする
WordPressのアカウントには、ログインに使うユーザー名と、投稿に表示される名前の2つがあります。初期設定では表示される名前がユーザー名と同じになっているため、そのままだと投稿に表示される名前からログイン用のユーザー名が分かってしまい、不正ログインを狙う人はパスワードを当てるだけの状態になります。
表示される名前は、ユーザーのプロフィール画面でニックネームを設定し、ブログ上の表示名で選び直せば変更できます。当社では制作時にユーザー名と表示名を分けて設定していますが、ユーザー名がそのまま表示されているホームページもまれに見かけます。
WordPressのユーザー権限を設定する時は、あわせて投稿に表示される名前も確認しておきましょう。
まとめ
WordPressのユーザー権限は、アカウントごとにどの操作を許可するかを決める設定で、管理者・編集者・投稿者・寄稿者・購読者の5つの種類があります。すべての担当者に管理者を渡すのではなく、担当者の役割に合わせて必要な操作だけを許可することで、誤操作によるレイアウト崩れや不正ログインの被害を防げます。
当社では、ホームページ制作時にお客様と当社の管理者アカウントを1つずつ作成し、お客様の管理者アカウントはマスターとして保管していただいています。日常の更新は担当者ごとに設定した投稿者で行い、外部のライターを使う場合は寄稿者と、その投稿を確認して公開する編集者を設定しています。
WordPressのユーザー権限を正しく設定しても、退職した担当者のアカウントを残したままにしたり、1つのアカウントを複数人で共有したり、管理者アカウントを制作会社だけに持たせたりすると、ホームページの安全性は下がってしまいます。
ホームページ制作時に、誰がどのWordPressのユーザー権限で更新するのか、お客様自身も管理者アカウントを持っているかを確認しておきましょう。
