WordPressの権限グループとは：管理者・編集者の違いと社内での決め方

WordPress で会社のホームページを更新していると、「社員にどの権限を渡せばよいか」「制作会社のアカウントを管理者のままにしてよいか」「退職した担当者のアカウントはどうするか」と迷う場面があります。この記事は、ホームページを担当する総務・広報の方が、WordPress の権限グループを理解し、社内の運用ルールを決めるための内容です。

結論から言うと、管理者の権限は必要な人数に絞り、日常の更新は「編集者」などの必要な範囲の権限グループで行うのが基本です。アカウントは 1 人に 1 つ作り、退職や契約の終了のたびに見直します。WordPress の公式ドキュメントも、管理者の数を限り、日々の作業には必要最小限の権限グループを使うよう案内しています。

権限グループごとにできることは、WordPress の公式ドキュメント（Roles and Capabilities）と、2026年11月時点の最新版 WordPress 7.1.4 の日本語表示で確認しました。プラグインやテーマによって権限が追加・変更されている場合があるので、自社のサイトの状態とあわせて確認してください。

WordPress の権限グループとは

権限グループは、ユーザーごとに「管理画面で何ができるか」を決める仕組みです。英語の画面では Role（ロール）と呼ばれ、日本語の画面では「権限グループ」と表示されます。ユーザーを追加するときや、「ユーザー」→「ユーザー一覧」でユーザーを編集するときに選びます。

公式ドキュメント（Roles and Capabilities）によると、WordPress には最初から 6 つの権限グループがあります。特権管理者・管理者・編集者・投稿者・寄稿者・購読者です。このうち特権管理者は、複数のサイトをまとめて管理する「マルチサイト」の場合だけに使うものです。会社のホームページの多くは 1 つのサイトだけの構成なので、実際に使うのは残りの 5 つです。

同じ文書は、権限グループを「上下関係」ではなく「サイトの中での役割」として考えるよう説明しています。課長だから編集者、部長だから管理者という決め方ではなく、その人が担当する作業に合わせて選びます。

• WordPress を設置すると、管理者のアカウントが 1 つ自動で作られます。
• 新しく追加するユーザーの初期の権限グループは、「設定」→「一般」の「新規ユーザーのデフォルト権限グループ」で決まります。
• 権限グループは、プラグインで追加されたり、中身を変えられたりする場合があります。ネットショップや会員機能のプラグインを使っているサイトでは、一覧に見慣れない権限グループが出ることがあります。

権限グループごとにできること・できないこと

5 つの権限グループでできることを、ホームページの担当者が使う操作に置き換えて表にしました。内容は公式ドキュメントの権限の一覧（1 つのサイトの場合）にもとづきます。

管理者だけができる操作

次の操作は、1 つのサイトの WordPress では管理者だけができます。編集者に更新を任せても、これらは管理者の作業として残ります。

• WordPress 本体・プラグイン・テーマの更新、追加、削除
• ユーザーの追加・削除と、権限グループの変更
• 「設定」の各画面（サイトのタイトル、パーマリンク、表示の設定など）
• メニュー、ウィジェット、サイトエディター（ブロックテーマの場合）の編集
• 「ツール」のインポートとエクスポート

編集者・投稿者・寄稿者で迷いやすい点

投稿者は、固定ページを作ったり編集したりできません。会社概要や採用情報のように固定ページで作られたページを直す人は、編集者にする必要があります。寄稿者は画像をアップロードできず、記事を公開することもできません。原稿は寄稿者が下書きにして、編集者が確認して公開する、という分担に向いています。

編集者は、1 つのサイトの WordPress では HTML や JavaScript のコードを本文に書ける権限（unfiltered_html）も持っています。公式ドキュメントは、この権限を信頼できない人に与えると悪意のあるコードが書き込まれるおそれがあると注意しています。編集者は「投稿の担当」というより、サイトの中身をまとめて変えられる強い権限だと考え、信頼できる社員に限ります。

社内の担当者・制作会社のアカウントの決め方

誰にどの権限グループを渡すかは、「その人が日常的にする作業」で決めます。次の表は、従業員数十名から数百名の会社でよくある立場ごとの目安です。社内の体制に合わせて調整してください。

1 人に 1 つのアカウントを作る

IPA（情報処理推進機構）の情報セキュリティ10大脅威 2026の解説書［組織編］は、アクセス権限の管理として「アクセス権限を最小化する」「同一のアカウントを複数人で共用しない」「定期的にアカウントの棚卸を行う」ことを挙げています。WordPress でも、部署で 1 つのアカウントを使い回すのはやめます。共用していると、誰がいつ何を変えたかが分からなくなり、担当者が辞めるたびにパスワードを変える必要も出てきます。

アカウントに登録するメールアドレスは、会社のドメインのアドレスにします。個人のフリーメールにすると、退職後にパスワードの再設定のメールが元の社員に届くことがあります。

制作会社のアカウントは「誰の分か」を分かるようにする

制作会社や保守会社には、保守の作業のために管理者の権限が必要な場合があります。そのときも、制作会社の担当者ごとにアカウントを分けてもらい、ユーザー名や表示名で会社名が分かるようにします。IPA の安全なウェブサイトの運用管理に向けての20ヶ条は、不要なアカウントの確認の項目で、開発工程やテスト環境で使ったアカウントが残っている場合があると注意しています。制作の途中で作った作業用のアカウントが公開後も残っていないか、引き渡しのときに確認します。

また、「設定」→「一般」の「管理者メールアドレス」は、ユーザーのアカウントのメールアドレスとは別のものです。公式ドキュメント（General Settings）によると、このアドレスにはサイトの更新やリカバリーモード（重大なエラー）などの通知が届きます。制作会社のアドレスのままになっていないかを確かめ、社内の共有のアドレスにしておくと、担当者が替わっても通知を受け取れます。変更すると新しいアドレスに確認のメールが届き、リンクを押すまでは元のアドレスのままです。

管理者を最小にする運用

WordPress の公式ドキュメント（Brute Force Attacks）は、運用の注意として「admin」というユーザー名を使わないこと、管理者の数を限ること、日々の作業には必要最小限の権限グループを使うことを挙げています。管理者のアカウントが乗っ取られると、プラグインの追加などを通じてサイト全体を書き換えられるおそれがあるためです。

具体的には、次のような運用にします。

1. 管理者の顔ぶれを決める：社内の責任者と、保守を任せている会社の担当者など、本体やプラグインの更新に責任を持つ人に絞ります。
2. 日常の更新は編集者で行う：お知らせの投稿や画像の差し替えなら、編集者の権限で足ります。管理者の人が更新も担当する場合は、更新用に編集者のアカウントを別に持ち、管理者のアカウントは設定や更新の作業のときだけ使う方法があります。
3. 社内の管理者をなくさない：制作会社だけが管理者だと、連絡が取れなくなったときに社内で何もできません。ドメインやサーバーの名義と同じく、最終的な管理権限は自社にも残します。名義の考え方はドメイン・サーバーの名義の記事で説明しています。
4. 管理者のログインを強くする：推測されにくく使い回さないパスワードにし、二段階認証などのログインの保護を加えます。ログインの保護や更新の優先度は、WordPress のセキュリティ対策チェックリストにまとめています。

管理者でも、管理画面からテーマやプラグインのファイルを直接編集できないようにする設定もあります。公式の Hardening WordPress によると、設定ファイル（wp-config.php）に DISALLOW_FILE_EDIT という定数を書くと、すべてのユーザーからファイルの編集の権限が外れます。サーバーのファイルを触る作業なので、社内で行わず制作会社や保守会社に相談します。

退職・異動・契約終了のときのアカウントの整理

担当者の退職や異動、制作会社との契約の終了は、アカウントを見直す時期です。WordPress には「アカウントを一時停止する」ボタンはないため、状況に合わせて次の順で進めます。

1. 対象のアカウントを確かめる：「ユーザー」→「ユーザー一覧」で、本人のアカウントと権限グループを確かめます。本人が作った作業用のアカウントがないかも見ます。
2. すぐに使えないようにする：管理者がそのユーザーの編集画面を開き、「新しいパスワードを設定」でパスワードを変えます。ログイン中の端末があれば「すべての場所でログアウト」を押します。「アプリケーションパスワード」が発行されていれば取り消します。すぐに削除できない事情がある場合は、権限グループを「このサイトでの権限なし」に変えると、管理画面を使えなくなります。
3. 記事の持ち主を移してから削除する：削除するとき、その人が書いた投稿の扱いを選ぶ画面が出ます。「すべてのコンテンツを別のユーザーに割り当てます。」を選び、社内の別のユーザーを指定します。
4. メールアドレスの設定を見直す：「管理者メールアドレス」や、フォームの通知先が退職者のアドレスになっていないかを確かめます。
5. WordPress 以外のアカウントも整理する：サーバー、ドメイン、GA4、Search Console なども同じ時期に見直します。GA4 と Search Console の権限の移し方はサーチコンソールと GA4 の権限移行の記事、全体の引き継ぎの順番はホームページの引き継ぎ手順で説明しています。

権限の棚卸しのチェック表

退職や契約の変更がなくても、ユーザーの一覧は時期を決めて見直します。半年に 1 回や、年度の初めなど、社内で決めやすい時期にします。次の表は、管理画面で確かめられる項目です。

見覚えのない管理者のアカウントが見つかった場合は、乗っ取りの可能性があります。その場でアカウントを消すだけで済ませず、ホームページ改ざん・WordPress 乗っ取りの対処の手順で、ほかに書き換えられたところがないかを確かめます。

制作会社・保守会社に任せる場合に決めておくこと

保守を外部に任せる場合も、アカウントの扱いは契約や打ち合わせで決めておきます。決めていないと、誰が管理者なのか分からないまま年数がたち、担当者が替わったときに困ります。

• 保守会社の担当者のアカウントを、誰の名前で、どの権限グループで作るか
• 社内の管理者のアカウントを、社内の誰が持つか
• ユーザーの追加や権限の変更を、どちらが行うか（社内の依頼で保守会社が行うのか、社内で行うのか）
• 契約が終わったとき、保守会社のアカウントを誰が削除するか
• ユーザーの一覧の確認を、保守の報告に含めるか

フェニックスデザインのWEBサイト運用保守では、他社が制作した WordPress サイトも、初回の現状診断でアカウントと管理情報を棚卸ししてから保守を引き継ぎます。保守ライトは月20,000円〜、ログイン保護などのセキュリティ強化を含む保守スタンダードは月30,000円〜（いずれも税別）です。社内の担当者だけで権限を整理するのが難しい場合の選択肢として検討してください。

よくあるご質問

編集者の権限でプラグインの更新はできますか？

できません。1 つのサイトの WordPress では、本体・プラグイン・テーマの更新は管理者だけの操作です。更新は管理者の担当者か、保守を任せている会社が行います。更新の前後の確認の手順は、社内の担当者と保守会社で分担を決めておきます。

管理者は 1 人だけにしたほうが安全ですか？

人数は少ないほうが守りやすくなりますが、1 人だけにすると、その人がログインできなくなったときや退職したときに、ほかの人がユーザーの管理をできなくなります。社内の責任者に加えて保守会社の担当者など、確実に連絡が取れる人を含めて必要な人数に絞るのが現実的です。ログインできなくなった場合の対処はWordPress にログインできない原因と対処で説明しています。

退職者のアカウントは削除と権限の変更のどちらがよいですか？

使う予定がなければ、投稿を別のユーザーに割り当てたうえで削除します。引き継ぎの途中ですぐに削除できない場合は、パスワードを変えてログアウトさせ、権限グループを「このサイトでの権限なし」にしておき、期限を決めて削除します。

ユーザー名を変えることはできますか？

管理画面からは変えられません。プロフィールの画面にも「ユーザー名は変更できません。」と表示されます。「admin」などのユーザー名を使っている場合は、新しいユーザーを管理者で作り、新しいアカウントでログインできることを確かめてから、元のアカウントを投稿の割り当てをして削除します。

制作会社に管理者の権限を渡すのは危なくないですか？

保守を任せる以上、管理者の権限が必要な場合はあります。危ないのは、契約が終わってもアカウントが残っていることや、共用のアカウントで誰が作業したか分からないことです。担当者ごとのアカウント、契約の終了時の削除、社内にも管理者を残すことの 3 点を決めておきます。

まとめ

• WordPress の 1 つのサイトで使う権限グループは、管理者・編集者・投稿者・寄稿者・購読者の 5 つです。上下関係ではなく、担当する作業で選びます。
• 本体やプラグインの更新、ユーザーの管理、設定の変更は管理者だけの操作です。日常の更新は編集者などで行い、管理者は必要な人数に絞ります。
• アカウントは 1 人に 1 つ作り、会社のメールアドレスで登録します。制作会社にも担当者ごとのアカウントを作ってもらいます。
• 退職や契約の終了のときは、パスワードの変更とログアウトで使えなくしてから、投稿を別のユーザーに割り当てて削除します。
• ユーザーの一覧と「設定」→「一般」の項目は、時期を決めて定期的に見直します。