CMS（コンテンツ・マネージメント・システム）は、サイトに載せる文章や写真をためておき、ページとして公開するためのソフトです。管理画面に文章や写真を入れて公開できるので、お知らせや実績を社内の人が書き足せます。製品には WordPress、Drupal、microCMS などがあります。
CMS を入れるかどうかは、誰がどれくらいの頻度でサイトを更新するかで決めます。入れるなら、ソフトの更新とバックアップを誰が受け持つかも一緒に決めておきます。
CMS を使うと、何が変わるのか
CMS が無いサイトでは、ページを直すたびに、ページのもとになるファイルを書き換えて、サーバーに置き直します。この作業ができる人にしか更新を頼めません。CMS があれば、管理画面で文章を入れて公開のボタンを押す形になり、ファイルを触れない人も更新を受け持てます。
逆の例もあります。Nue は2026年5月に、自社のサイトを作成ツールの Framer から、自分たちでファイルを管理する形に移しました。そのあとは、管理画面で文字を直して公開することはできなくなり、テキストエディタとコマンドを使える人しか更新できません。Nue にはコードを書く人しかおらず、管理画面での編集を使っていなかったので、この形が合いました。経過はFramerで作ったサイトを自前ホスティングに移したに書いています。
CMS の種類は、誰が何を受け持つかで分ける
CMS の種類の分け方は、説明によって違います。オープンソース型、パッケージ型、クラウド型の3つに分ける説明もあれば、4つに分ける説明もあり、「パッケージ型」が自社のサーバーに入れる製品を指すのか、提供元が動かすサービスを指すのかも、記事によって違います。そこで Nue は、ソフトの更新とサーバーとバックアップを誰が受け持つかで、次の3つの形に分けて考えています。
- 自分で用意したサーバーに入れる例は借りたサーバーに入れた WordPress。サーバーの用意と、ソフトの更新とバックアップを、自社か頼んだ会社が受け持つ
- 提供元のサービスとして使う例は WordPress.com。サーバーは提供元が用意し、ソフトの更新とバックアップも提供元が自動で行う
- 表示する部分と分けて使う例は microCMS や Strapi。入れた文章を別の仕組みに渡す形なので、ページを表示する部分を別に作り、作って直し続ける作業を自社か頼んだ会社が受け持つ
自分で用意したサーバーに入れる形
WordPress と Drupal は、オープンソース（設計図にあたるプログラムが公開されているソフト）です。WordPress.com を運営する側が書いた比較のページによると、この形のセキュリティは、借りるサーバーの会社とプランで変わります。この形を選ぶなら、ソフトの更新を受け持つ人を、社内か頼む会社のどちらかに決めておく必要があります。
提供元のサービスとして使う形
WordPress.com は、同じ WordPress のソフトを使ったサービスです。ソフトの更新やバックアップを受け持てる人が社内にも頼む会社にもいないなら、この形を選べば、その作業を提供元に任せられます。
表示する部分と分けて使う形
ヘッドレス CMS と呼ばれる形です。microCMS は、ヘッドレス CMS を「フロントエンド（ヘッド）部分を持たないコンテンツ管理システム」と説明しています。管理画面に入れた文章は、API（別の仕組みとデータをやりとりする窓口）で取り出して使います。ページを表示する部分を作り、直し続けられる人がいることが前提になります。
どの CMS がよく使われているか
サイトで使われている技術を調べている W3Techs によると、2026年11月13日時点で、調べているサイトの39.2%が WordPress を使っています。W3Techs が調べている CMS を使うサイトに限ると、WordPress の割合は57.9%です。調べているサイトの32.3%は、W3Techs が調べているどの CMS も使っていません。調べているのは2,000万を超えるサイトで、日本のサイトだけの数字ではありません。使われている割合で、製品の良し悪しは決まりません。
選ぶときに確かめる2つのこと
製品の名前より先に、次の2つを社内で書き出しておくと、制作会社との話が進めやすくなります。
誰が、どれくらいの頻度で更新するか
お知らせや実績を毎週のように書き足すのか、年に数回しか変えないのか。更新する人がファイルを触れるのか、管理画面しか使わないのか。更新が多く、管理画面を使う人が受け持つなら、CMS を入れる理由になります。ページの数が少なく、ほとんど変えないサイトなら、CMS を入れない作り方もあります。CMS を入れると見積もりの何が変わるかは、ホームページ制作の費用はどう決まるかに書いています。
ソフトの更新とバックアップを誰が受け持つか
IPA の「企業ウェブサイトのための脆弱性対応ガイド」（2021年3月、中小企業の経営者と担当者向け）は、委託先やサービスの提供者がセキュリティ対策をどこまで受け持つかを確かめ、セキュリティについて委託先と約束したことは文書にして残すよう勧めています。サイトのセキュリティを担当する人と、その作業内容を決めることも挙げています。制作会社に頼むなら、公開したあとのソフトの更新が見積もりに入っているか、入っていなければ誰がやるのかを、発注の前に決めます。受け持つ人を決められないなら、上の3つの形のうち、提供元が更新を受け持つ形が候補になります。
使い始めたあとに続けること
IPA の同じガイドは、サイトは「動いているから問題が無い」ように見えても、時間が経つにつれて安全性が下がると書いています。サイトを作るソフトが古いままだと、弱点（脆弱性）が残ることがあります。CMS を入れると、公開したあとも更新を続ける仕事が残ります。
使っているソフトを控えておく
同じガイドは、使っているソフトの名前とバージョンを控えておくよう勧めています。WordPress なら、本体のほかに、機能を足すプラグインと、見た目を決めるテーマも控えておくと、どれかに弱点が見つかったと知らせが出たとき、自社のサイトが当てはまるかをすぐに確かめられると Nue は考えています。
ソフトを新しく保つ
WordPress が公式にサポートしているのは最新版だけで、古い版への修正は好意で出しているものだと、WordPress のセキュリティのページは書いています。WordPress の管理の手引きによると、多くのサイトでは本体の自動更新が標準で有効です。一方、標準の設定では、プラグインとテーマは特別な場合を除いて自動では更新されません。管理画面でプラグインやテーマごとに自動更新を有効にできますが、誰も設定や更新をしなければ古いまま残ります。
IPA ほかの2015年の資料には、ある事業者で、担当者が1人で作って運用していた小さなサイトの事例があります。ニュースになるような弱点には対策していたものの、WordPress のプラグインとテーマの弱点への対策ができておらず、そこを突かれてトップページを書き換えられました。
使っていないものを消し、管理画面を守る
WordPress の公式の手引きが勧めていることには、プラグインを更新し続けて使っていないものは消すこと、管理画面にもう1段の保護をかけること、強いパスワードと2段階の認証を使うこと、データベースも含めて定期的にバックアップを取ることがあります。
点検の間隔を決めておく
JPCERT/CC は2016年の注意喚起で、サイトが書き換えられる原因のひとつとして、CMS に関係する弱点を突いた事例が当時も依然として多く見つかっていると書き、定期的な点検の目安を示しました。そのうち3つは、プラグインなどを含めて最新版になっているかの確認が数週間から1か月に1回程度、サーバー上のファイルの一覧やバックアップと見比べる作業が1週間に1回程度、ログイン ID とパスワードの確認が1年に1回程度です。2016年の目安なので、Nue はこれをそのまま守るより、自社の点検の予定を決める出発点にするのがよいと考えています。
書き換えられたと気づいたときの対応は、警察庁の「ウェブサイト改ざん対策」にまとまっています。挙げられている手順には、すぐにサービスを止めて記録を残すこと、原因を調べること、その調べに基づいてソフトの更新を当てて弱点をふさぎ、パスワードを変えること、警察署かサイバー犯罪相談窓口に通報か相談をすることがあります。
よくある質問
WordPress と CMS は何が違いますか
WordPress は CMS の1つです。CMS はこの種類のソフト全体を指す言葉で、WordPress、Drupal、microCMS などがそれぞれの製品です。WordPress には、自分で用意したサーバーに入れる使い方と、WordPress.com のようにサービスとして使う使い方があり、どちらを選ぶかで受け持つ作業が変わります。
制作を頼むとき、CMS について何を伝えればよいですか
誰がどれくらいの頻度で更新するか、公開したあとのソフトの更新を誰が受け持つか、の2つです。この2つが決まると、CMS を入れるか、入れるならどの形かを制作会社と話せます。たとえば Nue のWebサイト制作パッケージは、公開したあとの継続的な更新を含まず、別途の相談になります。ソフトの更新も含めて、公開後に誰が何をするかを、発注の前に社内で決めておきます。