WordPressのプラグインのライセンスキーを管理する方法｜保管場所・wp-config.php・漏えい対策

有料プラグインの多くは、販売元が発行したライセンスキーをプラグインの設定画面に入力すると、自動更新やサポートが使えるようになります。WordPress 本体にはライセンスキーをまとめて管理する機能は無く、キーの入力場所や保存のしかたはプラグインごとに違います。

この記事では、キーの確かめ方、保管のしかた、wp-config.php での設定、サイトの移転・複製・解約のときの扱い、漏れたときの対処を説明します。ライセンス台帳の作り方や更新が表示されないときの確認は、WordPressの有料（Premium）プラグインのライセンス管理方法で詳しく扱っています。

ライセンスキーで何が決まるか

ライセンスキーは、そのサイトが正規に購入したものかを、販売元のサーバーが確かめるために使われます。一般に次のことがキーで決まります。

• 管理画面からの自動更新を受け取れるか
• 販売元のサポートを受けられるか
• 何サイトで有効化できるか（プランごとの上限）
• 一部の機能が使えるか（製品による）

期限が切れたときの動きは製品によって違います。たとえば ACF PRO の公式ドキュメントでは、期限が切れると新しい PRO フィールドは作れなくなる一方、既存のフィールドの編集や、入力済みデータの表示には影響しないと説明されています。期限切れのまま使い続けると、セキュリティの修正を含む更新も届かなくなるため、更新日を管理しておくことが大切です。

1. 使っている有料プラグインとキーを確かめる

有料プラグインを洗い出す

管理画面の「プラグイン」→「インストール済みプラグイン」で、各プラグインの説明欄にある作者名やリンク先を見ると、販売元が分かります。WP-CLI が使えるなら、名前・作者・バージョンを一覧で書き出せます。

# プラグインの一覧を CSV で書き出す（台帳づくりの元データにする）
wp plugin list --fields=name,title,author,status,version,update --format=csv > plugins.csv

キーを確かめる場所

キーが分からなくなったときは、まず購入したアカウントでログインして確かめます。アカウントが分からない場合は、販売元のサポートに購入時の情報（注文番号、メールアドレスなど）を伝えて確認します。

キーがデータベースのどこにあるか

多くのプラグインは、キーを wp_options テーブルに保存します。オプション名はプラグインごとに違うため、WP-CLI で名前に license を含むものを探すと見当が付きます。値（キーそのもの）は表示せず、名前だけを出します。

# 名前に license を含むオプションの名前だけを表示する
wp option list --search="*license*" --fields=option_name,autoload

キーがデータベースにあるということは、データベースのバックアップや、ステージング環境への複製にもキーが一緒に入るということです。後の節で扱う移転・複製のときの扱いに関係します。

2. キーを安全に保管する

• パスワード管理ツールに保管する: 表計算ファイルやメモに平文で書いて共有フォルダーに置くより、アクセスできる人を限定できるパスワード管理ツールのほうが安全です。製品名、キー、購入アカウント、プラン（サイト数）、更新日、有効化しているサイトを1件にまとめておくと、更新や移転のときに探さずに済みます。
• 購入アカウントは会社や組織のものにする: 制作会社や担当者個人のアカウントで購入すると、担当者が替わったときにキーを確かめられなくなります。
• 人に見せない: サポートフォーラムへの投稿、画面の共有、スクリーンショットにキーが映り込まないように注意します。

3. wp-config.php の定数でキーを設定する

一部のプラグインは、wp-config.php に定数を書くことでキーを設定できます。データベースではなく設定ファイルにキーを置けるため、複数の環境を同じ手順で用意するときや、データベースを複製したときにキーが入れ替わってしまうのを防ぎたいときに便利です。次の3つは、各販売元の公式ドキュメントで定数の名前を確認したものです（2026年10月時点）。

<?php
// wp-config.php の require_once ABSPATH . 'wp-settings.php'; の行より上に書く

// ACF PRO（Advanced Custom Fields PRO）
define( 'ACF_PRO_LICENSE', 'ここにライセンスキー' );

// WP Rocket（キーと、購入したアカウントのメールアドレスの両方が必要）
define( 'WP_ROCKET_KEY', 'ここにAPIキー' );
define( 'WP_ROCKET_EMAIL', 'purchase@example.com' );

// Gravity Forms（インストール時にキーを自動で入力するための定数）
define( 'GF_LICENSE_KEY', 'ここにライセンスキー' );

製品ごとの注意点は次のとおりです。

• ACF PRO: 定数を書くと、その値でライセンスが有効化されます。キーに空白を入れず、すべての文字を正しく写します。
• WP Rocket: 公式ドキュメントでは、ステージング環境などでライセンスの確認に失敗するときの対処として、この2つの定数を書き、WP Rocket の画面でライセンスの確認をやり直す方法が案内されています。
• Gravity Forms: インストールする前に書いておくと、キーが自動で入力される定数です。すでにインストール済みのサイトでは、設定画面からキーを入力します。マルチサイトでは、定数を書いた後に追加したサイトに使われます。

定数を使うときは、wp-config.php を Git などのバージョン管理に入れない（またはキーの部分を環境ごとの別ファイルや環境変数に分ける）ようにします。wp-config.php の権限の設定などは、WordPressのwp-config.phpをセキュアに設定する方法を参照してください。

ここに挙げていないプラグインで同じことができるかは、そのプラグインの公式ドキュメントで確かめてください。存在しない定数を書いても、何も起きないだけでエラーにはならないため、効いているかどうかに気付きにくい点に注意します。

4. 移転・複製・解約のときの扱い

ライセンスは、有効化したサイトの URL と結び付けて数えられることが多く、サイトの URL が変わるとキーの扱いも変わります。

ステージング環境の作り方は、WordPressでステージング環境を構築する方法・本番反映の安全な手順で説明しています。

5. キーが漏れたときの対処

公開リポジトリにキーを含むファイルを上げてしまった、退職者がキーを持ち出したなど、キーが第三者に知られた可能性があるときは、次の順に対応します。

1. 販売元のアカウントページで、有効化しているサイトの一覧を確かめ、自分のもの以外を外す
2. キーの再発行や無効化ができるかを販売元に問い合わせる（できるかどうかは製品によって違う）
3. 新しいキーを受け取ったら、各サイトの設定（または wp-config.php の定数）を差し替え、パスワード管理ツールの記録も直す
4. 公開リポジトリに上げた場合は、ファイルを消すだけでは履歴に残るため、キーそのものを無効にする

非正規の配布物を使わない

正規の購入ではない「無料で配布されている有料プラグイン」には、不正なコードが仕込まれていることがあり、ライセンスが無いため正規の更新も受け取れません。有料プラグインは販売元から購入したものだけを使います。

まとめ

• ライセンスキーで、自動更新・サポート・有効化できるサイト数が決まる。期限切れのときの動きは製品ごとに違う
• キーは販売元のアカウントページで確かめ、パスワード管理ツールに製品名・購入アカウント・更新日・有効化サイトと一緒に保管する
• ACF PRO（ACF_PRO_LICENSE）、WP Rocket（WP_ROCKET_KEY・WP_ROCKET_EMAIL）、Gravity Forms（GF_LICENSE_KEY）は wp-config.php の定数でキーを設定できる
• 移転・解約の前にライセンスを無効化し、有効化の枠を空ける
• 漏れたときは、有効化サイトを確かめて外し、販売元にキーの再発行を相談する

関連記事

• WordPressの有料（Premium）プラグインのライセンス管理方法｜台帳づくりから移行・更新トラブルまで
• WordPressのプレミアムプラグインのサポートを受ける方法
• WordPressのマルチ環境（ローカル・ステージング・本番）設定管理の方法