VPSでWordPressを動かすと、レンタルサーバーより自由に構成できます。しかし、サーバー会社がすべて更新・保護してくれるわけではありません。
VPS事業者が守るのは、データセンター、物理機器、仮想化基盤などです。VPSの中に入れたOS、Webサーバー、PHP、データベース、WordPress、ファイアウォール、バックアップなどは、契約内容に応じて利用者側の責任になります。
重要なのは、宿主さん自身がすべて操作できることではありません。
各作業を誰が担当し、異常時に誰へ連絡し、契約終了時に何を引き渡すかが決まっていることが必要です。
VPSかどうかを見分ける
次に当てはまる場合、VPS・仮想マシンを使っている可能性があります。
- Ubuntu、Debian、AlmaLinuxなどのOSを選んだ
- rootやsudoを使うユーザーがいる
- SSH鍵でサーバーへ接続する
- nginx、Apache、PHP、MySQLを自分や制作会社が設定した
- ファイアウォールやポートを設定する画面がある
- OS再起動、スナップショット、ディスク容量を管理する
制作会社がすべて設定した場合、宿主さんはVPSだと知らないこともあります。請求書、契約メール、管理画面を確認し、分からなければ「サーバー方式、OS、管理責任者」を質問してください。
方式の違いはレンタルサーバーとVPSの違いで解説しています。
責任は層ごとに分かれる
一般的なVPSの責任分担を示します。実際にはサービスと保守契約を優先してください。
| 層 | VPS事業者 | 宿・管理者側 |
|---|---|---|
| データセンター・物理機器 | 主に管理 | 契約・障害情報を確認 |
| 仮想化基盤 | 主に管理 | 利用プランを選ぶ |
| 仮想ネットワーク | 機能を提供 | 接続ルールを設定 |
| ゲストOS | イメージを提供する場合あり | 更新、設定、再起動 |
| SSH・管理者資格情報 | 接続機能を提供 | 鍵、ユーザー、権限を管理 |
| ファイアウォール | 機能を提供 | 必要な通信だけ許可 |
| nginx・Apache | 導入、更新、設定 | |
| PHP・データベース | 導入、更新、保護 | |
| TLS証明書 | 機能を提供する場合あり | 発行、更新、期限監視 |
| WordPress | 本体、テーマ、プラグイン更新 | |
| バックアップ | スナップショット機能など | 対象、頻度、別保存、復元テスト |
| 監視・障害対応 | 基盤を監視 | Web、容量、証明書、アプリを監視 |
| 記事・予約導線 | 内容と営業動作を確認 |
AWSのEC2セキュリティ資料も、物理基盤は事業者が保護する一方、利用者がゲストOSと導入ソフトの更新、接続資格情報、ネットワークアクセスを管理する共有責任を説明しています。
OSの更新
WordPress管理画面に「最新です」と表示されても、OSが最新とは限りません。OSでは次を管理します。
- セキュリティ更新
- パッケージ更新
- サポート期限
- カーネル更新後の再起動
- 更新失敗のログ
- 追加リポジトリの信頼性
Ubuntu Server公式資料では、セキュリティ更新を自動適用する仕組みが案内されています。しかし、自動更新の設定、対象、ログ、再起動の要否を確認する管理者は必要です。外部リポジトリが自動更新対象になるとは限りません。
確認する質問
- OSの種類とバージョンは何か
- サポート終了日はいつか
- セキュリティ更新は自動か手動か
- 失敗通知は誰へ届くか
- 再起動が必要な場合、誰がいつ行うか
- 再起動後にWordPressと予約導線を誰が確認するか
SSHと管理者権限
SSHはVPSを遠隔管理する入口です。漏えいすると、WordPress管理者より広い範囲を操作される可能性があります。
- rootの直接ログインを避ける
- 人ごとに別のユーザーとSSH鍵を使う
- パスワードをチャットやメールで共有しない
- sudoを必要な人だけに限定する
- 退職・契約終了時に鍵を削除する
- 接続元制限や多要素認証を検討する
- 誰がいつ接続したかログを確認する
「制作会社共通アカウント一つ」では、誰が操作したか追えません。AIへ接続を許可する場合も、人用のroot鍵をそのまま渡さず、読み取り・更新・公開などの権限を分けます。
ファイアウォールと公開ポート
VPSは、必要な通信だけを許可します。一般にWeb公開にはHTTP・HTTPS、管理にはSSHなどを使いますが、環境を確認せず番号だけ真似してはいけません。
Ubuntu公式のセキュリティ案内も、最小権限、ファイアウォール、SSHによる安全な遠隔接続を推奨しています。
確認することは次のとおりです。
- どのサービスを外部公開しているか
- データベースがインターネットへ直接公開されていないか
- SSHを誰がどこから使うか
- クラウド側とOS側の二つのファイアウォールがあるか
- 変更前のルールを記録しているか
誤った変更で自分自身も接続できなくなるため、復旧コンソールの使い方を先に確認します。
Webサーバー、PHP、データベース
WordPressの下では、nginxまたはApache、PHP、MySQLまたはMariaDBなどが動いています。
管理者は次を把握します。
- 導入方法と設定ファイル
- 現在のバージョン
- セキュリティ更新
- WordPressとの対応
- 自動起動と再起動方法
- エラーログの場所
- ディスク容量とデータベース容量
- バックアップと復元
一つを更新すると他の層へ影響するため、WordPress、PHP、データベース、OSの大きな変更を同日に重ねません。
各ソフトの役割は、Docker・nginx・PHP・MySQLの役割で、ページが表示される流れに沿って詳しく解説しています。
TLS証明書とドメイン
HTTPS証明書が失効すると、ブラウザに警告が表示され、予約をためらわせます。
- 証明書の発行方法
- 自動更新の設定
- 更新失敗の通知
- 有効期限の外部監視
- DNSを管理する会社とアカウント
- ドメインの自動更新と支払い
を記録します。証明書の自動更新が設定されていても、失敗通知を誰も見なければ期限切れを防げません。
バックアップとスナップショット
VPSのスナップショットだけで、すべての復旧要件を満たすとは限りません。
- WordPressのファイル
- データベース
- Webサーバー・PHP・OSの設定
- TLS設定
- 自動実行設定
- Docker構成や環境設定
- 監視設定
をどこまで戻せるか確認します。
Ubuntuのバックアップ資料は、何を、どの頻度で、どこへ保存し、どう復元するかを含む計画と、別の場所への保管を案内しています。
具体的なWordPressバックアップはWordPress更新前のバックアップと復元をご覧ください。
監視する対象
サーバーが起動中でも、WordPressや予約フォームが壊れていることがあります。
基盤
- CPU、メモリ、ディスク容量
- サーバーの死活
- OS更新失敗
- バックアップ失敗
- 不審なログイン
Webサイト
- HTTPSで200が返る
- 証明書の期限
- トップと重要ページの表示
- 予約ボタンのリンク先
- 問い合わせ送信とメール到着
- PHP・データベースエラー
通知先を個人一人だけにせず、不在時の代理人を決めます。
障害時の連絡先を分ける
| 症状 | 最初の連絡先候補 |
|---|---|
| VPS自体が起動しない | VPS事業者・サーバー管理者 |
| SSH接続できない | サーバー管理者 |
| WordPressだけ白画面 | WordPress保守担当 |
| データベース接続エラー | サーバー・DB管理者 |
| 予約サービスだけ停止 | 予約サービス提供会社 |
| ドメインが失効 | ドメイン契約管理者 |
| HTTPS警告 | サーバー・証明書管理者 |
宿主さんが技術的原因を断定する必要はありません。URL、発生時刻、画面、直前の変更を伝えられるようにします。
委託契約で確認すること
VPS管理を制作会社へ任せる場合、次を書面で確認します。
- OSと各ソフトの更新頻度
- 緊急脆弱性への対応時間
- 監視対象と受付時間
- バックアップ対象、保持、復元テスト
- 障害対応の料金と範囲
- SSH鍵・管理者アカウントの管理
- ドメイン・VPS契約の名義
- 設定ファイルと手順書の引き渡し
- 契約終了時のデータ移行
- 再委託先と個人情報の扱い
「サーバー保守一式」だけでは範囲が分かりません。
宿主が持つ管理台帳
秘密情報そのものではなく、所在と担当を記録します。
| 項目 | 契約先・方式 | 主担当 | 代理 | 更新・期限 | 緊急連絡先 |
|---|---|---|---|---|---|
| VPS | |||||
| OS | |||||
| ドメイン・DNS | |||||
| TLS証明書 | |||||
| WordPress | |||||
| バックアップ | |||||
| 監視 |
パスワードや秘密鍵はこの表へ書かず、事業用のパスワード管理方法を使います。
VPSが向かない状態
- OSを更新する担当者がいない
- 障害通知を受けても対応できない
- バックアップの復元担当がいない
- 制作会社との契約終了時に何も受け取れない
- サーバー費を払っている人しか契約情報を知らない
- 「AIが全部管理するので人は不要」と考えている
この状態なら、マネージドWordPressやレンタルサーバーへ移すほうが、総費用と事故リスクを下げられる場合があります。
AIへ責任範囲を調べさせるプロンプト
宿のWordPressが動くVPSについて責任範囲を整理してください。
まだ設定変更、更新、再起動、接続テストは実行しないでください。
読み取り可能な情報と契約資料から、次を表にしてください。
- VPS事業者が管理する範囲
- 宿側・制作会社が管理する範囲
- OS、SSH、ファイアウォール、Webサーバー、PHP、DB、TLS
- WordPress、バックアップ、監視、障害対応
- 主担当、代理担当、最終確認日
- 不明点と事業者・制作会社への質問
秘密鍵、パスワード、個人情報、環境変数の値は表示しないでください。
推測で責任者を決めず、「未確認」としてください。
AIは構成の棚卸しや確認表作成を手伝えますが、障害時の責任主体にはなれません。人と契約先を明記します。
まとめ
- VPS事業者は主に物理・仮想化基盤を管理する
- OS、SSH、ファイアウォール、導入ソフトは利用者側の責任になりやすい
- 自動更新にもログ、再起動、動作確認の担当が必要
- スナップショットだけでなくWordPressとDBの復元を試す
- サーバー稼働とWeb・予約動作を別々に監視する
- 委託時は更新、監視、復元、緊急対応、引き渡しを明文化する
- 宿主は秘密情報ではなく、契約先と責任者の台帳を持つ
VPSを使い続ける目的と担当者が説明できない場合は、構成を複雑に保つこと自体を見直してください。
参考資料
※責任範囲、サポート、スナップショット、監視は事業者と契約内容で異なります。必ず契約書と公式資料を確認してください。
