WordPressの静的サイト化

Next.jsやAstroなどの静的サイトジェネレーター（SSG）で、ページのひな形を作り直す方法です。記事はWordPressから書き出してファイルに移すか、ヘッドレスCMSに移します。

作り直しなので、プラグイン方式より手間と費用はかかります。そのかわりWordPressそのものがなくなり、本体やプラグインの更新を追う作業が消えます。テーマの古いコードや、使われていないプラグインを整理する機会にもなります。

デザインも一緒に見直したい場合は、Jamstack構成でのリニューアルとして進める方法もあります。

記事へのコメントは、送信を受け取って保存する処理がなくなるため動きません。外部のコメントサービスを埋め込むか、コメントの受け付けをやめるかを選びます。お知らせ中心の企業サイトなら、使われているかどうかを先に確かめます。

WordPressの検索は、データベースを探して結果のページを作ります。静的サイトでは、書き出しのときに検索用の索引ファイルを作ってブラウザの中で探すか、外部の検索サービスを使います。

Contact Form 7などのフォームプラグインは、送信をPHPで受け取ってメールにしています。静的化の後は、送信先をフォームの外部サービスか、Cloudflare Workersのような小さなプログラムに切り替えます。迷惑メール対策と、送信内容を誰が受け取るかも一緒に決めます。

ログインした人だけに見せるページや、人ごとに内容が変わるページは、静的なHTMLでは作れません。会員の機能は外部サービスに移すか、その部分だけ今のWordPressに残します。

空き状況がその場で変わる予約は、予約サービスの埋め込みに置き換えるのが一般的です。予約プラグインのデータを新しいサービスへ移せるかどうかは、移行の前に確かめます。

2026年7月18日、WordPressは深刻な脆弱性1件と重要な脆弱性1件を直した7.0.2を公開し、対象のバージョンには自動更新で強制的に配りました。IPA（情報処理推進機構）は7月22日、この二つ（通称wp2shell）を組み合わせると、管理者の権限などがなくても遠隔からプログラムを実行されるおそれがあると注意を呼びかけています。対象は6.9.0〜6.9.4と7.0.0〜7.0.1で、脆弱性を実証するコードも公開されていました。

9月23日（日本語版の告知）には、深刻な脆弱性を直した7.1.2が出ました。認証のない攻撃者が、特定の条件の下でサーバー上の任意のPHPファイルを読み込ませられる不具合で、修正は4.7まで遡って配られています。

セキュリティ企業Patchstackの報告では、2025年にWordPressの関連ソフトウェアで新たに見つかった脆弱性は11,334件で、前年より42%増えました。91%がプラグイン、9%がテーマで見つかっています。46%は、公表の時点で開発者の修正が間に合っていませんでした。

書き出し用のWordPressは、閲覧者が見る必要のないものです。インターネットから直接開けない場所に置くか、Basic認証やIPアドレスの制限をかけると、外から狙われる入り口は小さくなります。それでも、担当者のパソコンやアカウントが乗っ取られれば中に入られます。二段階認証と、使っていないプラグインの削除は続けてください。

WordPressの更新作業そのものを減らしたい場合は、作り直しの方式か、移行後の保守の見直しと合わせて考えると判断しやすくなります。