2026年11月9日

WordPress の管理者権限・FTP 情報を外部に渡すときの安全な方法｜作業用アカウント・渡す経路・終わった後の後始末（2026年11月現在）

依頼・費用の目安

WordPress の修正を外部に頼むと、管理者のログイン情報や FTP・サーバーの接続情報を渡す場面が出てきます。渡さないと作業はできませんが、渡し方を誤ると、作業が終わった後も第三者がサイトに入れる状態が残ります。安全な渡し方の原則は 4 つです。

自分のアカウントは渡さない。 作業用の管理者アカウントを新しく作って渡し、終わったら削除します。
一つの経路に全部書かない。 ログイン URL・ユーザー名・パスワードをメール本文に並べて送らず、フォームや別の経路に分けます。
見積に承諾してから渡す。 頼むか決める前に渡す必要はありません。相談と見積は接続情報なしでできます。
終わったら消す。 作業用アカウントの削除、渡した FTP・データベースのパスワード変更まで行って完了です。

ワードプレス博士（法人向け）の見積フォームでは、ログイン情報と FTP 情報の欄は任意です（2026年11月現在）。見積が確定した後に改めてお聞きしますので、相談の段階で渡す必要はありません。

外部に渡す接続情報とは

WordPress の作業で業者が必要とする情報は、作業の内容によって違います。全部を一度に渡す必要はなく、見積の段階で「この作業に何が要るか」を確認してから渡します。

情報	何ができるか	必要になる作業の例
WordPress 管理者アカウント	記事・設定・プラグイン・テーマの変更、ユーザー管理	ほぼすべての修正・改修
ベーシック認証のユーザー名・パスワード	管理画面の前段の認証を通る	管理画面にベーシック認証をかけている場合
FTP / SFTP / SSH の接続情報	サーバー上のファイルの読み書き	白い画面・ログイン不可の復旧、テーマの PHP 修正、PHP バージョンアップ
データベース（phpMyAdmin など）の接続情報	記事・設定データの直接操作	復旧、サーバー移行、データの修正
サーバー会社の管理画面（コントロールパネル）	PHP 切り替え、SSL 設定、ドメイン設定、契約情報	PHP バージョンアップ、SSL 化、サーバー移行

サーバー会社の管理画面には契約や支払いの情報も含まれます。渡すのは最後の手段にし、PHP の切り替えや SSL 設定は、業者の指示を受けて自分で操作する方法も検討してください。

渡し方の良い例と避けたい例

項目	避けたい例	望ましい例
アカウント	自分（代表者）の管理者アカウントとパスワードを渡す	作業用の管理者ユーザーを作り、分かりやすい名前（例: vendor-2026-11）にして渡す
パスワード	他のサービスと同じものを渡す	そのアカウント専用に生成した長いパスワード
経路	メール本文に URL・ID・パスワードを並べる	フォームや業者が指定する経路で渡す。メールなら URL とパスワードを別便に分ける
タイミング	相談の時点で全部渡す	見積に承諾してから、作業に必要な分だけ
範囲	サーバー会社の管理画面のログイン情報まで渡す	作業に要る情報だけ。管理画面の操作は自分で行う
期間	作業後もそのまま	完了の連絡を受けたら作業用アカウントを削除し、FTP・DB のパスワードを変更

作業用アカウントの作り方と消し方

WordPress の作業用管理者ユーザー

管理画面の「ユーザー」→「新規追加」で、ユーザー名（例: vendor-2026-11）、業者のメールアドレス、権限グループ「管理者」を設定します。
パスワードは WordPress が生成する長いものをそのまま使います。
作業完了後、「ユーザー」一覧でそのユーザーを削除します。削除時に「すべてのコンテンツを以下のユーザーに割り当て」で自分を選ぶと、作業者が作った投稿やメディアが残ります。

REST API や外部ツール連携だけなら、アプリケーションパスワード

業者が管理画面に入らず、外部のツールから記事の更新や設定の確認だけを行う場合は、アプリケーションパスワードが使えます。ログインパスワードとは別に発行でき、用途ごとに作って個別に失効させられます。管理画面のログインには使えないので、画面操作が必要な作業には向きません。

FTP / SFTP

サーバー会社の管理画面で、作業用の FTP アカウントを追加できる場合は、WordPress のディレクトリだけにアクセスを限定したアカウントを作って渡します。追加できない場合は、既存のアカウントを渡し、作業後にパスワードを変更します。

SSH

公開鍵認証に対応しているサーバーなら、業者の公開鍵を登録する方法が、パスワードを渡さずに済みます。作業後に鍵を削除します。

渡す前のチェックリスト

見積に承諾したか（承諾前なら、まだ渡さなくてよい）
作業に必要な情報の種類を業者に確認したか（管理者のみ／FTP も／DB も）
作業用の管理者ユーザーを作ったか（自分のアカウントではないか）
パスワードは専用に生成したものか（使い回しではないか）
渡す経路は、フォームか、分割したメールか（本文に全部並べていないか）
業者側の情報の保管方法と、完了後の削除について確認したか
作業の期限と、完了の連絡をもらう約束があるか
作業前のバックアップを取ったか（データベースの手動バックアップ）

ワードプレス博士での接続情報の扱い

当社にご依頼いただいた場合の扱いは次のとおりです（2026年11月現在）。

見積フォームのログイン情報・FTP 情報の欄は任意です。見積が確定した後に、作業に必要な分だけ改めてお聞きします。
お預かりしたログイン情報は暗号化してデータベースに保存し、解読キーも併せて管理します。
依頼の完了後に解読キーを削除し、当社の管理情報から削除します。
完了後は、お客様側でも各ログイン情報の変更・更新をお願いしています。作業用アカウントを作っていただいた場合は、その削除をお願いします。

業者を選ぶときは、この「保管の方法」と「完了後に消すか」を質問してみてください。答えが曖昧な相手には、渡す範囲を最小限にしてください。

作業が終わった後にやること

業者から完了の連絡を受け、動作を確認（検品）します。
作業用の WordPress ユーザーを削除します。
渡した FTP・SFTP・データベースのパスワードを変更します。SSH の公開鍵を登録した場合は削除します。
「ユーザー」一覧に見覚えのないユーザーが増えていないか、プラグインに見覚えのないものが無いかを確認します。
次回以降のために、渡した情報の種類と日付をメモしておきます。

よくある質問

WordPress のログイン情報を業者に渡しても大丈夫ですか

作業に必要な範囲であれば渡さないと作業できません。自分のアカウントではなく作業用のアカウントを作って渡し、終わったら削除すれば、渡した後にリスクが残りません。渡す前に、業者の保管方法と完了後の扱いを確認してください。

FTP 情報を渡さずに修正を頼めますか

プラグイン設定や記事の修正のように管理画面で完結する作業なら、FTP は不要です。白い画面やログイン不可の復旧、テーマの PHP 修正、PHP バージョンアップのようにファイルを直接触る作業には FTP か SSH が要ります。見積の段階で、どの情報が必要か確認してください。

パスワードをメールで送るのは危険ですか

メールは経路上で読まれる可能性があり、受信側にも長く残ります。URL・ユーザー名とパスワードを同じメールに並べない、送った後はそのパスワードを一時的なものとして作業後に変える、の 2 点で危険を小さくできます。業者がフォームや専用の経路を用意していれば、そちらを使ってください。

見積もりの前にログイン情報を求められました

見積に必要なのは症状と環境の情報で、接続情報は通常は要りません。調査しないと見積が出せない場合もありますが、その場合は「調査のために何を見るか」の説明があるはずです。説明なく全部を求める相手には、渡す前に理由を聞いてください。

作業が終わった後、何を変更すればよいですか

作業用ユーザーの削除、FTP・DB のパスワード変更、SSH 鍵の削除です。自分のアカウントを渡してしまった場合は、そのパスワードも変更します。あわせて、ユーザー一覧とプラグイン一覧に見覚えのないものが無いか確認してください。

まとめ

自分のアカウントは渡さず、作業用アカウントを作って渡し、終わったら消します。
渡すのは見積に承諾してから、作業に必要な分だけ。経路は分け、メール本文に全部並べません。
当社ではログイン情報を暗号化して保管し、完了後に削除します。見積フォームのログイン・FTP 欄は任意です（2026年11月現在）。

更新履歴: 2026-11-09 公開

この記事は、WordPress の修正・改修を 20 年行っているワードプレス博士（ライトセンド株式会社）が、運営者の立場で書いています。当社の情報の扱いは 2026年11月現在のものです。