脆弱性のニュースが出た、お知らせを急いで載せたい、制作会社から「管理画面で更新してください」と言われた。いざ自社のホームページの管理画面（＝記事の更新や設定を行う、サイトの裏側の画面）に入ろうとしたら、ログインできるのは退職した担当者のアカウントだけだった。ホームページの管理画面と退職者のアカウントの問題は、情シス兼任の担当者からよく聞く困りごとです。
「ホームページの管理画面に入れるのが、退職した担当者だけだった。緊急のときに自社で動けるようにするには、何から手を付ければいいの？」
先に結論をお伝えします。やることは「入口を取り戻す」「会社の管理者を2人以上にする」「退職者のアカウントを止める」「管理画面以外の入口も一覧にする」の順番です。退職した方にパスワードを聞き出して使い続けるのは避け、会社として正式にパスワードを再設定（リセット）し、個人ごとのアカウントに切り替えましょう。自社だけで入れないときは、制作会社や保守会社、サーバー会社に頼めば多くの場合は解決できます。
この記事では、国内の企業サイトで広く使われている WordPress（ワードプレス＝ホームページを管理画面から更新できるCMS）を例に、6つのステップで解説します。ほかのCMS（＝コンテンツ管理システム）でも考え方は同じです。そのまま使えるチェックリストと、制作会社への質問例も添えています。
※ 本記事の WordPress の画面名・手順は、2026年11月時点の公式ドキュメント（英語版）に基づきます。
管理画面に入れる人が1人だけになってしまう3つの理由
まず、なぜこうした状況が起きるのかを押さえておきましょう。担当者や制作会社の誰かが悪いというより、よくある流れの中で自然に起きることがほとんどです。
理由1：公開したときのアカウントをそのまま使い続けている
WordPress では、インストールしたときに管理者（Administrator）のアカウントが1つ自動で作られます。制作会社が公開時にこのアカウントを担当者に渡し、そのまま何年も1人で使い続けている、というのはよくある形です。
📰 出典：WordPress.org Documentation「Roles and Capabilities」
理由2：退職時の引き継ぎ項目に「ホームページ」が入っていない
退職時の引き継ぎでは、パソコンやメール、業務システムのアカウントは確認しても、ホームページの管理画面は漏れがちです。更新の頻度が低いため、「次に使うときに困って初めて気づく」ことになります。
理由3：パスワードの再設定メールが個人宛てになっている
アカウントに登録したメールアドレスが、退職した方の個人のアドレスや、すでに削除した会社のアドレスになっていることがあります。この場合、ログイン画面からパスワードを再設定しようとしても、再設定のメールを会社で受け取れません。
緊急時に自社で動ける体制にする6ステップ
ステップ1：今の入口を確かめる（誰が・何で入れるか）
最初に、手元にある情報を整理します。分かる範囲で構いません。
| 確認すること | 確かめ方 |
|---|---|
| 管理画面のURL | WordPress なら多くの場合「サイトのURL/wp-admin/」。分からなければ制作会社に聞く |
| 退職者のアカウントのユーザー名・登録メールアドレス | 引き継ぎ資料、退職者のメールの受信箱（会社のアドレスの場合） |
| そのメールアドレスを会社が受信できるか | 情シス・メールの管理者に確認する |
| 制作会社・保守会社がアカウントを持っているか | 保守契約書、過去のやり取りのメール |
| サーバー・ドメインの契約者は誰か | 請求書、契約しているサーバー会社の会員情報 |
このとき、退職した方に連絡してパスワードを聞き、そのまま使うのは避けましょう。退職者が知っているパスワードのままでは、会社として誰がログインしたのかを区別できないためです。連絡を取る場合も、「登録しているメールアドレスやサービスを教えてもらう」ところまでにとどめるのが安全です。
ステップ2：入口を取り戻す（パスワードの再設定）
ステップ1の結果によって、取れる方法が変わります。
| 状況 | 取れる方法 |
|---|---|
| 登録メールアドレスが会社のアドレスで、受信できる | ログイン画面の「Lost your password?」のリンク（日本語表示では「パスワードをお忘れですか ?」などの表記）から再設定する |
| 制作会社・保守会社が管理者のアカウントを持っている | 制作会社に、会社の担当者用の管理者アカウントの追加を頼む |
| 上のどちらもできないが、サーバーの契約は自社にある | 制作会社やサーバー会社に、サーバー側からの再設定を頼む |
| サーバーの契約者も分からない | 先にサーバー・ドメインの契約者を確かめる（下の関連記事） |
WordPress の公式ドキュメントでは、メールでの再設定のほかに、データベースやサーバー上のファイルを使って再設定する方法も紹介されています。ただし、これらはサイト全体に影響する作業です。自社で無理に試さず、制作会社やサーバー会社に作業を頼みましょう。
📰 出典：WordPress.org Documentation「Reset your password」
制作会社と連絡が取れず、CMSの種類やサーバーの契約先も分からない場合は、次の記事で調べ方を解説しています。
ステップ3：会社の管理者を「個人ごとに」2人以上作る
入れるようになったら、すぐに会社の担当者用のアカウントを作ります。ポイントは次の3つです。
- 1人1アカウントにする：共有のID・パスワードを使い回すと、誰が何をしたか分からなくなり、退職のたびに同じ問題が起きます
- 管理者は2人以上にする：1人が休んだり辞めたりしても、もう1人が対応できるようにします
- 権限は必要な分だけにする：記事を更新するだけの人は管理者ではなく「編集者」（Editor）にするなど、権限を分けます
WordPress の主な権限（ロール）は次のとおりです。
| ロール（画面の表示） | できることの目安 |
|---|---|
| 管理者（Administrator） | すべての設定、プラグイン（＝機能を追加する部品）やテーマの追加、ユーザーの追加・削除 |
| 編集者（Editor） | 自分と他人の投稿・固定ページの編集・公開 |
| 投稿者（Author） | 自分の投稿の作成・公開 |
| 寄稿者（Contributor） | 自分の投稿の下書きまで（公開はできない） |
アカウントの追加は、管理画面の「Users」→「Add New User」から行えます（英語表示の名前です。日本語表示では「ユーザー」メニューの中にあり、名前はバージョンによって異なる場合があります）。登録するメールアドレスは、個人のアドレスではなく、会社が管理しているアドレスにしましょう。部署の共有アドレスにするか個人の会社アドレスにするかは、社内の運用に合わせて決めます。
ステップ4：退職者のアカウントを止める
会社の管理者で入れることを確かめたら、退職者のアカウントを止めます。方法は2つあります。
- 削除する：WordPress ではユーザーを削除するとき、そのユーザーが書いた記事をすべて削除するか、別のユーザーに割り当てるか（英語表示では「Delete all content」か「Attribute all content to」）を選べます。記事を残したい場合は、必ず別のユーザーへの割り当てを選びます
- すぐに削除しない場合：パスワードを再設定し、ロールを最も弱い「購読者」（Subscriber）に下げておく
あわせて、退職者のアカウントで最近ログインされた形跡がないかを、制作会社やサーバー会社に確かめてもらうと安心です。WordPress の標準機能だけではログインの記録が残らないことが多いため、サーバーのアクセスログ（＝いつ・どこからアクセスがあったかの記録）や、ログイン記録を残すプラグインが入っているかを確認してもらいます。
また、プラグインで2段階認証（＝パスワードに加えてスマートフォンのアプリなどで本人確認する仕組み）を入れている場合、確認用のアプリが退職者の個人のスマートフォンに入っていることがあります。これも制作会社に設定のやり直しを頼みましょう。
ステップ5：管理画面以外の「入口」も一覧にする
ホームページを動かすのに必要な入口は、管理画面だけではありません。緊急時に必要になりやすいものを一覧にしておきましょう。
| 入口 | 何に使うか | 確認すること |
|---|---|---|
| CMSの管理画面 | 記事・お知らせの更新、プラグインの更新 | 管理者が2人以上いるか |
| サーバー（レンタルサーバー・クラウド）の管理画面 | 障害時の確認、バックアップ、再設定 | 契約者が会社か、ログインできる人は誰か |
| ドメインの管理画面 | ドメインの更新、DNS（＝ドメインとサーバーを結びつける設定）の変更 | 名義と更新期限、ログインできる人 |
| アクセス解析・検索の管理ツール | アクセス数の確認、検索エンジンへの登録 | 会社のアカウントに管理権限があるか |
| 制作会社・保守会社の窓口 | 緊急時の連絡 | 担当者・連絡先・保守契約の範囲 |
一覧には、パスワードそのものは書かず、「どこに保管しているか」「誰が知っているか」だけを書きます。パスワードは、会社で決めたパスワード管理の仕組み（パスワード管理ツールなど）に保管しましょう。
IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」には、資産管理台帳のサンプルや情報セキュリティ関連規程のサンプルが付録として用意されています。一から作るより、これを下敷きにすると早く進められます。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
機器やサービスの一覧（IT資産台帳）の作り方は、次の記事で解説しています。
ステップ6：退職・異動のチェックリストに組み込み、年1回見直す
最後に、同じことが起きないよう仕組みにします。
- 退職・異動の手続きのチェックリストに「ホームページ・サーバー・ドメインのアカウント」を入れる
- 年に1回（たとえば保守契約の更新時期）、ステップ5の一覧とアカウントを見直す
- 緊急時に「誰に連絡し、誰が管理画面に入るか」を1枚のメモにまとめ、関係者で共有する
制作会社・保守会社に頼めることと、頼むときの注意
自社だけで難しい部分は、制作会社や保守会社に頼めます。
| 頼めること | 内容 |
|---|---|
| アカウントの整理 | 会社の担当者用アカウントの追加、退職者アカウントの削除、権限の見直し |
| パスワードの再設定 | メールで再設定できない場合の、サーバー側からの再設定 |
| ログイン記録の確認 | 退職者のアカウントでのログインの有無の確認 |
| 入口の一覧づくり | サーバー・ドメイン・各種ツールの契約者とログインできる人の洗い出し |
頼むときは、次の点に注意しましょう。
- アカウントの整理やログの確認は、保守契約の範囲外になることがあります。作業の範囲と費用を先に確認します
- 制作会社だけが管理者のアカウントを持っている状態も、退職者だけの状態と同じく「1か所に頼った状態」です。会社側にも管理者がいる形にしてもらいましょう
- パスワードをメールで送ってもらうのは避け、会社のアドレスでの再設定や、安全な受け渡しの方法を相談します
やりがちな失敗
- 退職者のパスワードをそのまま使い続ける：退職者もログインできる状態が続き、誰が操作したか区別できません
- 共有アカウントを1つ作って全員で使う：次に誰かが辞めたとき、また同じ問題が起きます
- 退職者のアカウントを、記事ごと削除してしまう：削除するときは、記事を別のユーザーに割り当てる選択を忘れないようにします
- 自社でデータベースを直接触ってしまう：サイトが表示されなくなるおそれがあります。サーバー側の作業は専門家に頼みましょう
発注者・担当者がやること チェックリスト
- ☐ 管理画面のURL、退職者アカウントのユーザー名・登録メールアドレスを確認した
- ☐ 登録メールアドレスを会社で受信できるか確かめ、会社としてパスワードを再設定した（できなければ制作会社に依頼した）
- ☐ 会社の管理者アカウントを、個人ごとに2人以上作った
- ☐ 更新だけする人は「編集者」など、必要な分だけの権限にした
- ☐ 退職者のアカウントを削除（記事は別ユーザーに割り当て）、または権限を下げた
- ☐ 退職者のアカウントでのログインの有無を、制作会社などに確かめてもらった
- ☐ サーバー・ドメイン・各種ツールの入口の一覧を作った（パスワード自体は書かない）
- ☐ 退職・異動のチェックリストに「ホームページ関連のアカウント」を加えた
制作会社への質問例
- 「管理画面に入れるのが退職した担当者だけになっています。会社の担当者用の管理者アカウントを2つ追加していただけますか。作業の費用と日数も教えてください」
- 「退職者のアカウントで、最近ログインされた記録があるか確認できますか」
- 「御社が管理者のアカウントをお持ちかどうかと、お持ちの場合は何に使っているかを教えてください」
- 「サーバーとドメインの契約者と、それぞれの管理画面に入れるのが誰かを一覧にしていただけますか」
- 「2段階認証を入れている場合、確認用の設定は誰のスマートフォンに入っていますか」
まとめ：1人だけが入れる状態をなくし、入口を会社で持つ
ホームページの管理画面に入れるのが退職した担当者だけだと分かったら、次の順番で進めましょう。
- 今の入口（URL・ユーザー名・登録メールアドレス・契約者）を確かめる
- 会社としてパスワードを再設定し、入口を取り戻す（難しければ制作会社に頼む）
- 個人ごとの管理者を2人以上作り、権限を必要な分だけにする
- 退職者のアカウントを止め、ログインの有無を確かめてもらう
- 管理画面以外の入口も一覧にし、退職・異動の手続きに組み込む
急いで更新しなければならない場面は、たいてい突然やってきます。困っていない今のうちに、自社で動ける形を整えておきましょう。
あわせて読みたい関連記事
