WordPress 完全ガイド — 導入・運用・セキュリティ・WP-CLI まで

テーマとプラグイン

WordPress の柔軟性の源泉はテーマ + プラグイン エコシステムです:

• テーマ: サイトの見た目（HTML/CSS/JS）。公式リポジトリ + 有料 ThemeForest。代表: Cocoon / Lightning / Astra / Sage / Snow Monkey
• プラグイン: 機能拡張。SEO / セキュリティ / フォーム / EC / バックアップ等

Gutenberg ブロックエディタ

WordPress 5.0 (2018) から導入されたブロックエディタ。段落・見出し・画像・カラム等をブロック単位で組み立てます。React ベースの SPA で、カスタムブロックは JavaScript で開発します。クラシックエディタ派は Classic Editor プラグインで戻せます（2024 末までサポート延長）。

WP-CLI（コマンドライン管理）

WordPress 標準のコマンドラインツール。管理画面でできることのほぼ全てが CLI でできます:

# インストール
curl -O https://raw.githubusercontent.com/wp-cli/builds/gh-pages/phar/wp-cli.phar
chmod +x wp-cli.phar
sudo mv wp-cli.phar /usr/local/bin/wp

# WordPress 本体インストール
wp core download --locale=ja
wp config create --dbname=wpdb --dbuser=wp --dbpass=secret
wp core install --url=example.com --title="My Blog" \
  --admin_user=admin --admin_password=secret --admin_email=me@example.com

# プラグイン
wp plugin list
wp plugin install yoast-seo --activate
wp plugin update --all

# DB
wp db export backup.sql
wp db search-replace 'old.com' 'new.com'

# ユーザー
wp user create john john@example.com --role=editor

# キャッシュクリア
wp cache flush

# 一括投稿
wp post create --post_type=post --post_title="Hello" --post_status=publish

セキュリティ強化（必須）

WordPress は人気ゆえに攻撃対象になりやすく、運用時は次が必須です:

• 本体 / プラグイン / テーマを常に最新に
• 管理画面 URL を /wp-admin/ から変更（SiteGuard WP Plugin 等）
• 管理者ユーザー名を admin にしない
• 2 要素認証（Wordfence / Google Authenticator プラグイン）
• xmlrpc.php を無効化（DoS 攻撃の温床）
• ファイル編集を無効化: define('DISALLOW_FILE_EDIT', true);
• WAF（Cloudflare / Sucuri / SiteGuard）の前段配置
• 不要プラグイン削除（無効化だけでは脆弱性が残る）
• 定期バックアップ（最低 7 日 + 月次）

REST API とヘッドレス WordPress

WordPress 4.7+ では REST API が標準搭載され、CMS バックエンドだけ WordPress + フロントエンドは Next.js / Nuxt / Gatsby というヘッドレス構成が一般化しました:

# 投稿一覧
curl https://example.com/wp-json/wp/v2/posts

# カテゴリ
curl https://example.com/wp-json/wp/v2/categories

# GraphQL なら WPGraphQL プラグイン経由
# https://example.com/graphql

Cron（定期実行）

WordPress は内部に WP-Cron を持ち、リクエスト到来時にスケジュールタスクを実行します。アクセスが少ないサイトでは時間がずれるため、本格運用では OS cron に逃がします:

# wp-config.php で内蔵 cron を無効化
define('DISABLE_WP_CRON', true);

# crontab に登録（5 分毎）
*/5 * * * * cd /var/www/html && /usr/bin/wp cron event run --due-now > /dev/null 2>&1

Docker での開発環境

# docker-compose.yml
services:
  wp:
    image: wordpress:6.4-php8.2-apache
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_USER: wp
      WORDPRESS_DB_PASSWORD: secret
      WORDPRESS_DB_NAME: wpdb
      WORDPRESS_DEBUG: 1
    volumes:
      - ./wp-content:/var/www/html/wp-content
  db:
    image: mariadb:11
    environment:
      MARIADB_DATABASE: wpdb
      MARIADB_USER: wp
      MARIADB_PASSWORD: secret
      MARIADB_ROOT_PASSWORD: rootsecret
    volumes:
      - db-data:/var/lib/mysql
volumes:
  db-data:

FAQ

Q: WordPress.com と WordPress.org の違い
A: .org が OSS の本体（自分でサーバを用意）、.com は Automattic のホスティングサービス（無料〜有料、制限あり）。自由度は .org が圧倒的。

Q: 表示が重い
A: 画像最適化（WebP / 遅延読み込み）+ キャッシュプラグイン + DB 最適化（不要 revision 削除）が基本三点セット。それでも遅ければサーバスペックを上げる。

Q: WordPress でなく Jamstack にすべき？
A: 編集者が技術者でないなら WordPress 一択。エンジニアのみで運用なら Astro / Next.js + Markdown でも可。「コンテンツ更新者のスキル」で選んでください。