WordPress のバックアップは、改ざんされたときや、更新でサイトが動かなくなったときに、元の状態へ戻すための控えです。取っているつもりでも、データベースが入っていなかったり、サーバーと一緒に暗号化されてしまったりして、いざというときに戻せないことがあります。
この記事では、WordPress 公式の説明とレンタルサーバー各社の公式ページ、警察庁・IPA の勧めをもとに、何を残すか、サーバーの自動バックアップでどこまで足りるか、どう戻すかを整理します。
バックアップで残すもの：データベースとファイル
WordPress 公式ハンドブックの「バックアップ」は、WordPress のサイトを元どおりに戻すには、データベースとファイルの 2 つが両方要るとしています。投稿・固定ページ・設定はデータベースに、テーマ・プラグイン・アップロードした画像はファイルに入っていて、ファイルをバックアップしてもデータベースは含まれません。
同じ説明では、取るときはデータベース → ファイルの順、戻すときはファイル → データベースの順を勧めています。投稿の少ない小さなサイトなら、週に 1 回が目安としています。データベースは、定期的に取るのに加えて、更新の前にも取るよう強く勧めています。
サーバーの自動バックアップでどこまで足りるか
多くのレンタルサーバーには自動バックアップがありますが、保持する日数や対象のプラン、戻し方は会社ごとに違います（各社の公式ページ）。
| サーバー | 自動バックアップの範囲と戻し方 |
|---|---|
| エックスサーバー | 全プランで 1 日 1 回、Web・メール・MySQL を過去 14 日分保持（一部の古いサーバーは Web・メールが 7 日分）。サーバーパネルから自分で戻せる。戻すとバックアップ日より後に作ったファイルは消える。データの確実な保全は保証せず、自分でも取るよう強く勧めている |
| ConoHa WING | 全プランで無料、1 日 1 回、Web・メール・データベースを過去 14 日分。戻すと指定日のデータがサーバーに置かれ、そこから必要なものを取り出す。作られた復元用のファイルは 24 時間で消え、1 週間に 5 回以上戻すと一定期間使えなくなる |
| さくらのレンタルサーバ | スタンダードプラン以上で無料の「バックアップ＆ステージング」。最大 8 つまで保存でき、定期的に取るにはスケジュールの設定が要る。サーバー側の定期バックアップは障害から戻すためのもので、利用者が誤って消したデータを戻すものではないとしている |
| ロリポップ！ | 無料の自動バックアップはハイスピード・エンタープライズプランだけで、戻す操作は自分で行う。過去 7 回分を残す「7 世代バックアップ」はオプションで月額 440 円（エンタープライズは無料） |
どの会社も、サーバーの自動バックアップだけに頼らず、利用者自身でも取るよう勧めています。2 週間より前の状態に戻したいとき、気づくのが遅れたとき、サーバーそのものが使えないときに備えるためです。
サーバーとは別の場所にも残す
警察庁の「ランサムウェア被害防止対策」は、バックアップのデータまで暗号化される例が多いとして、こまめに取り、ネットワークから切り離して保存するよう勧めています。日頃の運用の問題で、バックアップから戻せなかった例もあるとしています。
IPA は 2026 年 3 月に「中小企業の情報セキュリティ対策ガイドライン」を改め、まず取り組む項目に「バックアップを取ろう！」を加えました。解説編では、バックアップ用の機器はバックアップのときだけつなぐこと、戻せるかを定期的に確かめること、そしてデータの控えを 3 つ以上持ち、2 種類の媒体に分け、1 つは別の場所に置く考え方（3-2-1 ルール）を挙げています。
戻すときの流れ
- 何が起きたかを確かめる。改ざんなら、入られた原因（古いプラグインやパスワードなど）を塞がずに戻すと、また同じことが起きる
- いつの時点に戻すかを決める。改ざんなら、入られる前のバックアップを選ぶ
- WordPress 公式の順番どおり、ファイル → データベースの順に戻す。サーバーの機能で戻すときは、その日より後に作ったファイルが消えないかを先に確かめる
- WordPress・テーマ・プラグインを最新にし、管理画面・サーバーのパスワードを変える
- 表示・問い合わせフォーム・管理画面を確かめ、見覚えのない管理者ユーザーやプラグインが残っていないかを見る
2026 年 10 月には、バックアップ用プラグイン UpdraftPlus の開発元が不正アクセスを受け、遠隔管理の接続を使って利用者のサイトに管理者のアカウントや不正なプラグインを作られた例がありました。開発元は、怪しいものが見つかったら 10 月 17 日より前に取ったバックアップから戻すことを検討するよう案内しています。いつの時点に戻すかを選べるよう、複数の時点のバックアップを残しておく意味がここにあります。
決めておくこと
| 項目 | 決めておくこと |
|---|---|
| 何を | データベースとファイルの両方。問い合わせのメールもサーバーに置いているなら、それも |
| いつ | 定期的に（更新の少ないサイトなら週 1 回が目安）。加えて、WordPress や PHP を更新する前 |
| どこに | サーバーの自動バックアップに加えて、サーバーとは別の場所にも。いつもつないだままにしない |
| 誰が戻すか | 戻す作業をする人と手順。年に 1 回くらいは、実際に戻せるかを試しておく |
バックアップは保守の一部です。更新や改ざんの確認とあわせた考え方は 「ホームページの保守」、最近の被害の例は 「最近のサイバー攻撃と対策」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、バックアップを取り、別の場所に残し、戻せるかを試すことを公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
