WordPressのユーザー権限とは？違いと安全な設定を初心者向けに解説

WordPressを複数人で運営するとき、「記事を書いてもらう人にも管理者を設定してよいのか」「編集者と投稿者は何が違うのか」と迷うことがあります。設定画面にはいくつもの権限が並びますが、名前だけでは操作できる範囲を想像しにくいものです。

ユーザー権限を適切に選ぶことは、作業のしやすさだけでなく、サイトを安全に保つことにもつながります。必要以上に強い権限を渡すと、本人に悪意がなくても、操作ミスやアカウントの不正利用によって影響が広がる可能性があります。一方、権限を弱くしすぎると、必要な作業ができず、管理者への依頼が増えてしまいます。

この記事では、WordPress標準のユーザー権限である管理者、編集者、投稿者、寄稿者、購読者の違いを初心者向けに整理します。役割ごとにできること、担当業務に合う選び方、ユーザーを追加・変更・削除するときの確認点まで、複数人運営で迷わないための基本を解説します。

WordPressのユーザー権限とは

WordPressのユーザー権限は、管理画面にログインした人が何を操作できるかを決める仕組みです。WordPressでは「権限グループ」や「ユーザー権限」と呼ばれることが多く、公式文書ではRole（役割）とCapability（権能）の二つの考え方で説明されています。

Roleは、管理者や編集者など、複数の操作権限をまとめた役割です。Capabilityは「投稿を公開できる」「他人の投稿を編集できる」「プラグインを更新できる」といった個別の操作を指します。ユーザーにRoleを割り当てると、その役割に含まれるCapabilityが利用できるようになります。

権限は肩書ではなく操作範囲を表す

管理者や編集者という名称を見ると、会社の役職のように上下関係を想像しがちです。しかし、WordPressの権限は、サイト内で担当する作業範囲を定めるものです。公式のRoles and Capabilitiesでも、役割はユーザーの責任範囲として考えるよう説明されています。

たとえば、会社では責任者であっても、WordPressでは記事の執筆だけを担当するなら投稿者で足りる場合があります。反対に、外部の制作担当者が一時的にテーマやプラグインの設定を行うなら、作業中だけ管理者が必要になることもあります。肩書ではなく、実際に必要な操作から決めることが大切です。

必要最小限の権限にする理由

ユーザーには、担当業務に必要な範囲だけを渡すのが基本です。これは最小権限と呼ばれる考え方です。記事を書くだけの人がプラグインの削除やユーザー追加までできる必要はありません。できる操作を絞れば、誤操作が起きたときやアカウントが不正利用されたときの影響範囲も小さくできます。

WordPressのセキュリティに関する公式文書でも、適切なユーザー権限の設定はアプリケーション側の安全対策の一つとして扱われています。権限設定だけですべての問題を防げるわけではありませんが、強いパスワード、二段階認証、更新、バックアップなどと組み合わせる基礎になります。

WordPress標準のユーザー権限

通常の単一サイトでよく使う標準権限は、管理者、編集者、投稿者、寄稿者、購読者の五つです。WordPressマルチサイトでは、複数サイトをまとめて管理する特権管理者も加わります。まずは単一サイトの五つを理解すれば、多くの個人ブログや企業サイトで判断できます。

テーマやプラグインによって独自の権限が追加されたり、標準権限のできることが調整されたりする場合があります。そのため、以下はWordPress本体の標準状態を基準にした説明です。実際のサイトでは、導入している機能と管理画面の表示も確認してください。

標準権限の違いを一覧で確認する

五つの標準権限を、記事運営でよく使う操作に絞って比べると次のようになります。ここでいう「自分の投稿」は、そのユーザー自身が作成した投稿です。テーマやプラグインで権限を変更しているサイトでは結果が異なるため、一覧は判断の出発点として使ってください。

編集者と投稿者の境目は、他人の記事まで管理するかです。投稿者と寄稿者の境目は、自分で公開できるかです。管理者と編集者の境目は、コンテンツだけでなくサイト設定やユーザー、テーマ、プラグインまで扱うかです。この三つの境目を確認すると、多くのケースで候補を絞れます。

管理者ができること

管理者は、単一サイトのWordPress管理画面で最も広い操作範囲を持つ標準権限です。投稿や固定ページの作成・公開だけでなく、ユーザー、テーマ、プラグイン、各種設定など、サイト全体に関わる操作ができます。

サイト開設時に作られるアカウントは通常、管理者です。自分一人で運営している場合は、そのアカウントで記事作成から保守まで行っている人も多いでしょう。ただし、日常の執筆に必ず管理者が必要というわけではありません。

管理者に向いている担当

管理者が必要なのは、WordPress本体やプラグインの更新、テーマ変更、ユーザー管理、サイト全体の設定、バックアップや障害対応などを担当する人です。サイト所有者、社内の運用責任者、保守担当者などが該当します。

記事を確認して公開するだけなら、編集者で足りることがあります。外部ライターに管理者を渡す必要は通常ありません。管理者の人数は必要最小限にし、誰が保守を担当しているかを明確にしておきましょう。

管理者を安易に共有しない

一つの管理者アカウントを複数人で共有すると、誰がどの操作をしたか分かりにくくなります。退職や契約終了のたびに同じパスワードを変更する必要もあり、二段階認証の管理も複雑になります。

複数人が管理作業をする場合は、一人につき一つのアカウントを用意します。必要がなくなった時点で個別に権限を下げたり削除したりできるため、共有より管理しやすくなります。公式のBrute Force Attacksでも、管理者数を絞り、日常作業では最小権限の役割を使う考え方が案内されています。

編集者ができること

編集者は、記事制作全体を管理する担当者に向く権限です。自分の投稿だけでなく、ほかのユーザーが作成した投稿も編集・公開できます。固定ページの編集、カテゴリー管理、コメント承認など、コンテンツ運営に関わる広い操作ができます。

一方、標準状態の編集者は、プラグインやテーマのインストール、WordPress本体の更新、サイト全体の設定変更、ユーザーの追加などは行えません。記事運営を任せながら、技術設定やアカウント管理は管理者に残したいときに使いやすい権限です。

編集者に向いている担当

編集長、コンテンツ責任者、社内広報の承認担当などが考えられます。ライターが作った下書きを確認し、文章やカテゴリーを整えて公開する人に向いています。複数人でブログを運営し、公開前のチェック工程を設けたい場合に便利です。

編集者は他人の投稿を変更・削除できるため、単に自分の記事を公開する人へ付けるには強すぎる場合があります。チーム全体のコンテンツを管理する責任があるかを基準に判断しましょう。

投稿者ができること

投稿者は、自分で作った投稿を編集し、公開できる権限です。画像などのメディアもアップロードできます。自分の記事を最後まで仕上げ、自分の判断または社内ルールに沿って公開する担当者に向いています。

標準状態では、ほかのユーザーが作った投稿を編集したり、固定ページを管理したり、カテゴリーを新しく作ったりすることはできません。プラグインやテーマ、ユーザー、サイト設定にもアクセスできません。

投稿者に向いている担当

自分の署名で継続的に記事を書く社内メンバーや、公開まで任せられる執筆担当者が候補です。編集者ほど広い権限は不要でも、寄稿者のように公開のたびに承認を待つ必要がない人へ割り当てます。

外部ライターへ付与する場合は、契約上どこまで任せるかを決めてから選びます。公開前に必ず社内確認が必要なら、投稿者ではなく寄稿者を検討してください。

寄稿者ができること

寄稿者は、自分の投稿を書いて編集できますが、自分で公開はできません。作成した記事は下書きとして保存し、編集者や管理者が確認して公開します。承認フローを設けたいチームや、初めて参加するライターに向く権限です。

WordPress標準では、寄稿者にはメディアをアップロードする権限がありません。そのため、画像を含む記事では、編集者側が画像を追加する、別の共有方法で受け取る、運用に合わせて権限を拡張するなどの対応が必要です。プラグインで変更されている可能性もあるため、実際のテスト用アカウントで確認すると安心です。

寄稿者に向いている担当

外部ライター、ゲスト執筆者、公開前に必ずチェックを受ける新人担当者などが考えられます。記事本文は管理画面で直接作成してもらいながら、公開判断はサイト運営側に残せます。

公開後の修正を誰が行うかも決めておきましょう。標準権限では、寄稿者は公開済みになった自分の記事を自由に編集できません。修正依頼を編集者へ伝える流れを用意すると、公開後に作業が止まりにくくなります。

購読者ができること

購読者は、基本的に自分のプロフィールを管理するための権限です。投稿や固定ページの作成・編集はできません。会員向け機能、コメント、限定コンテンツなどでログインユーザーを作るサイトで使われることがあります。

一般公開の企業サイトやブログでは、購読者アカウントを使う場面がないこともあります。会員機能を設けていないのに「だれでもユーザー登録ができる」設定を有効にすると、不要なアカウントが増える可能性があります。登録機能が本当に必要かを確認してください。

新規ユーザーのデフォルト権限との関係

WordPressの一般設定には、新規ユーザーのデフォルト権限を選ぶ項目があります。ユーザー登録を許可している場合、新しく登録した人へどの権限を付けるかを決める設定です。通常は購読者のままにし、投稿や管理が必要な人だけを個別に変更するほうが安全です。

デフォルトを管理者、編集者、投稿者などに変えると、登録した人へ広い操作権限が自動で渡る可能性があります。会員サイト用プラグインが独自の役割を使う場合は、そのプラグインの説明に従いつつ、公開や設定変更ができないかをテストします。

特権管理者が使われるマルチサイト

特権管理者は、WordPressマルチサイトのネットワーク全体を管理する役割です。複数のWordPressサイトを一つのネットワークとして運用している場合に使われます。サイトの作成や削除、ネットワーク全体のユーザー・テーマ・プラグイン管理など、単一サイトの管理者より広い範囲を扱います。

一般的な一つのブログや企業サイトでは、特権管理者は表示されません。管理画面に見当たらなくても異常ではありません。自分の環境がマルチサイトか分からない場合は、ネットワーク管理メニューの有無や、制作・保守担当者から受け取った資料を確認してください。

担当業務から権限を選ぶ考え方

権限名を覚えるより、「その人は何をする必要があるか」を書き出すと選びやすくなります。公開、他人の記事の編集、固定ページ、コメント、カテゴリー、プラグイン、テーマ、ユーザー管理など、必要な操作を一つずつ確認します。

記事を書くだけなら寄稿者を検討する

本文を書き、公開前に必ず確認を受ける人なら、まず寄稿者を検討します。画像アップロードが必要か、公開後に自分で修正する必要があるかも確認してください。運用上の不足があれば、編集者が補うのか、別の役割にするのかを決めます。

自分の記事を公開するなら投稿者を検討する

自分の記事について公開まで任せられ、メディアのアップロードも必要なら投稿者が候補です。他人の記事や固定ページを触れないため、執筆担当者に必要な範囲を渡しやすい権限です。

チームの記事を管理するなら編集者を検討する

複数ライターの下書きを確認し、公開、修正、カテゴリー整理、コメント管理まで担当するなら編集者が向いています。サイト全体の技術設定は管理者に残し、コンテンツ部門の運用を分けることができます。

サイト設定を変えるなら管理者が必要か確認する

プラグイン、テーマ、ユーザー、一般設定などを操作する仕事には管理者が必要になることがあります。ただし、依頼のたびに恒久的な管理者を増やす必要はありません。一時的に権限を上げ、作業と確認が終わったら元へ戻す方法もあります。

権限を一時変更する場合は、担当者、目的、開始時点、終了条件を記録します。戻し忘れを防ぐため、作業完了の確認項目に権限の見直しを含めましょう。

よくある運営体制ごとの選び方

一人でブログを運営する場合

一人運営では管理者アカウントだけでも作業できます。ただし、日常の執筆用に投稿者や編集者の別アカウントを用意し、更新や設定変更のときだけ管理者を使う考え方もあります。手間とのバランスを見ながら、管理者アカウントを強いパスワードと二段階認証で守ってください。

社内担当者と外部ライターで運営する場合

社内のサイト責任者を管理者、記事の承認担当を編集者、外部ライターを寄稿者にする構成が考えられます。外部ライターが画像を直接入れる必要があり、公開も任せられるなら投稿者も候補ですが、契約終了時の削除手順まで決めておきます。

制作会社へ保守を依頼する場合

制作会社がテーマやプラグイン、障害対応を行うなら管理者が必要になることがあります。会社名で一つの共有アカウントを渡すのではなく、可能であれば担当者または管理単位ごとのアカウントにします。契約範囲、緊急時の連絡先、二段階認証、作業記録、契約終了時の処理を確認しましょう。

会員サイトを運営する場合

一般会員は購読者または会員プラグインの独自権限、記事制作担当は投稿者や編集者、運用責任者は管理者というように分けます。会員向け権限をカスタマイズする場合は、管理画面へのアクセスだけでなく、限定コンテンツが正しく保護されるかもテストが必要です。

ユーザーを追加するときの安全な確認

管理画面の「ユーザー」から新しいユーザーを追加できます。公式のUsers Add New screenでは、ユーザー名、メールアドレス、パスワード、役割などの項目が説明されています。画面表示はWordPressのバージョンやプラグインによって異なる場合があります。

一人につき一つのアカウントを用意する

個別アカウントなら、担当者が変わったときに対象だけを停止できます。表示名や投稿者情報も分けられ、操作履歴を残すプラグインを使う場合も誰の作業か追いやすくなります。

最初から強い権限を渡さない

迷ったときに管理者を選ぶのではなく、まず必要な作業を満たす最も弱い権限から始めます。作業できないことが確認できたら、理由を明確にして一段階見直します。権限不足は後から上げられますが、強すぎる権限で行われた誤操作は元に戻せない場合があります。

招待先と本人確認を行う

メールアドレスの入力ミスがないか確認し、本人へ別の連絡手段でもアカウント追加を知らせます。初期パスワードを共有チャットへそのまま送る運用は避け、本人が設定する招待方式が使えるなら活用します。ログイン後に表示名とプロフィールも確認し、公開ページにメールアドレスやログイン名が意図せず表示されないようにします。

別ブラウザーで実際の画面を確認する

テスト用アカウントを作り、別のブラウザーやプライベートウィンドウでログインすると、その権限で見えるメニューを確認できます。管理者としてログインしたままでは、相手側の制限を正確に判断できません。

記事の作成、画像、公開、固定ページ、ほかの人の記事、コメントなど、担当業務に必要な操作を試します。必要のない設定メニューが表示されていないことも確認してください。

権限を変更するときの注意点

担当変更や業務拡大に応じて、既存ユーザーの権限を変更できます。変更はすぐ操作範囲に影響するため、作業中の記事や保守作業がないかを確認してから実施します。

変更理由と期限を残す

「なぜ管理者にしたのか」が後から分からない状態を避けます。外部担当者の一時作業なら、権限を上げる理由、作業予定、確認者、元に戻す日を記録します。定期的なユーザー棚卸しで、その記録と現在の権限を照合します。

権限変更だけで安全になったと思わない

管理者から投稿者へ下げても、パスワードが共有されていたり、不要なセッションが残っていたりすれば、別の問題が残ります。必要に応じてパスワード変更、二段階認証、ログインセッションの無効化、連携アプリの確認も行います。

プラグインが追加した独自権限を確認する

EC、会員、予約、学習管理、SEOなどのプラグインは、ショップ管理者や会員、SEO担当者といった独自権限を追加することがあります。標準の編集者より操作範囲が狭いとは限りません。注文情報や個人情報、設定、エクスポートにアクセスできる可能性もあります。

独自権限を使う場合は、プラグインの公式文書を読み、テスト環境またはテストアカウントで確認します。名称だけで判断せず、実際に表示されるメニューと実行できる操作を見てください。

権限を細かくカスタマイズする前に考えること

標準の五つでは業務に合わない場合、プラグインや開発によって個別のCapabilityを追加・削除できます。たとえば、寄稿者に画像アップロードだけを許可する、特定のコンテンツタイプだけを編集できる役割を作る、といった調整が考えられます。

ただし、細かく変更するほど、設定の意図を継続して管理する必要があります。担当者が変わったときやプラグインを入れ替えたときに、なぜその権限が必要だったか分からなくなると、過不足を判断できません。WordPress本体や関連プラグインの更新後に動作が変わる可能性もあります。

標準権限と運用で解決できないかを先に確認する

カスタマイズの前に、公開承認を編集者が行う、画像は共有フォルダで受け渡す、設定変更は管理者へ依頼するなど、標準権限と作業フローで解決できないかを考えます。利用者が少ないサイトでは、独自権限を保守するより、役割分担を明確にするほうが分かりやすい場合があります。

変更内容と検証方法を記録する

権限をカスタマイズするなら、対象の役割、追加・削除したCapability、変更理由、使用したプラグインやコード、確認した操作、元へ戻す方法を記録します。設定画面の表示だけでなく、公開、削除、エクスポート、個人情報へのアクセスなど、影響の大きい操作をテストしてください。

プラグインを無効化した場合も確認する

権限管理プラグインを無効化または削除したとき、追加した役割やCapabilityが残るか、標準状態へ戻るかは製品によって異なります。いきなり本番で削除せず、公式のアンインストール手順を確認し、バックアップを取ってから進めます。独自権限を使うユーザーが作業中でないことも確認しましょう。

退職・契約終了時のユーザー管理

新規追加より見落とされやすいのが、不要になったアカウントの処理です。利用しないアカウントを残すと、ログインできる入口と管理対象が増えます。担当者が離れる日までに、記事の引き継ぎとアカウント処理を計画します。

投稿の引き継ぎ先を決める

ユーザーを削除するときは、そのユーザーが作成した投稿をどう扱うか確認します。WordPressでは削除時に、コンテンツを別ユーザーへ割り当てる選択肢が表示されることがあります。誤ってコンテンツも削除しないよう、バックアップを取り、引き継ぎ先を先に決めてください。

すぐ削除できない場合は権限を下げる

引き継ぎ確認に時間が必要な場合は、まず購読者へ下げる、パスワードを変更する、セッションを無効化するなど、ログイン後にできる操作を抑える方法があります。ただし、放置せず、最終的に残すか削除するかの期限を決めます。

WordPress以外の権限も忘れない

サーバー、ドメイン、アクセス解析、メール、クラウドストレージ、パスワード管理ツールなど、サイト運営にはWordPress以外のアカウントもあります。WordPressユーザーを削除しただけで引き継ぎが完了したと考えず、関連サービスを一覧で確認します。

ユーザー権限でよくある誤解

記事を公開する人は全員管理者が必要

自分の記事を公開するだけなら投稿者、ほかの人の記事も管理するなら編集者で足りることがあります。管理者はテーマ、プラグイン、ユーザー、サイト設定まで扱うため、記事公開だけを理由に付けるには広すぎます。

編集者ならサイト設定も変更できる

編集者という名称から、WordPress全体を編集できると誤解されることがあります。標準の編集者が扱う中心はコンテンツです。プラグインやテーマ、一般設定、ユーザー管理などは管理者の範囲です。

寄稿者なら画像も自由に追加できる

WordPress標準の寄稿者にはメディアアップロード権限がありません。文章と画像を一人で完成させてもらいたい場合は、画像の受け渡し方法を決めるか、投稿者を検討します。権限カスタマイズをする場合は、更新後も意図どおり動くか確認が必要です。

権限を一度設定すれば見直さなくてよい

担当業務、組織、契約、導入プラグインは変わります。少なくとも担当変更時と契約終了時に確認し、定期的にもユーザー一覧を見直しましょう。使っていない管理者や、誰のものか分からないアカウントがあれば、すぐ削除する前に所有者と投稿の引き継ぎを確認します。

安全なユーザー権限運用の確認項目

ユーザー権限は、追加時だけでなく日常運用と終了時まで含めて管理します。次の項目を定期的に確認すると、強すぎる権限や不要アカウントを見つけやすくなります。

• ユーザーが一人につき一つの個別アカウントを使っている
• 担当業務に必要な最小限の権限になっている
• 管理者の人数と担当者を把握している
• 外部担当者の権限に期限と終了条件がある
• 新規ユーザーのデフォルト権限が意図どおりである
• 強い固有パスワードと二段階認証を利用している
• テスト用アカウントで実際の操作範囲を確認している
• 退職・契約終了時に投稿と関連サービスを引き継いでいる
• 不明なアカウントや長期間使っていないアカウントを調査している
• テーマやプラグインが追加した独自権限も把握している

すべてを一度に整えるのが難しい場合は、まず管理者アカウントの確認から始めます。その次に外部担当者、長期間ログインしていないユーザー、新規登録のデフォルト権限を見直すと、影響の大きい部分から改善できます。

確認日と確認者も残しておくと、次回の棚卸しで変更点を追いやすくなります。月次や四半期など無理のない周期を決め、担当変更があったときは定期確認を待たずに見直してください。

ユーザー権限の違いを理解して安全に運営しよう

WordPressのユーザー権限は、管理画面でできる操作の範囲を役割ごとにまとめた仕組みです。管理者はサイト全体、編集者はチームのコンテンツ、投稿者は自分の記事の公開、寄稿者は公開前の下書き、購読者は主に自分のプロフィールを扱います。

選び方の基本は、肩書ではなく担当業務を見ることです。必要な操作を洗い出し、それを満たす最も弱い権限から始めます。管理者を増やしすぎず、一人一アカウントにし、担当変更や契約終了時には速やかに見直してください。

まずは現在の「ユーザー一覧」を開き、管理者が誰か、不要なアカウントがないか、外部担当者に強すぎる権限が残っていないかを確認しましょう。変更前に投稿の引き継ぎとバックアップを準備し、テスト用アカウントで操作範囲を確かめながら進めると安全です。