WordPress管理者アカウントの引継ぎ手順｜権限・削除・通知メールの確認点

※本記事はアフィリエイト広告（PR）を含みます。

この記事でわかること

サイト運営者の退職、担当者の変更、外部の制作会社への引き継ぎなど、WordPressサイトの管理者権限を第三者に渡す場面は少なくありません。しかし「今の管理者アカウントのIDとパスワードをそのまま伝える」やり方は、セキュリティ上も運用上もおすすめできません。この記事では、WordPress.org公式ドキュメントの情報をもとに、新しい管理者ユーザーを作成して安全に引き継ぐ具体的な手順、事前の注意点、退職者や旧担当者のアカウント整理までを解説します。

なぜ「パスワード共有」ではなく「新規ユーザー作成」なのか

既存の管理者アカウントのパスワードをそのまま共有すると、次のような問題が起こります。

• 誰がいつどんな操作をしたのか、投稿・更新履歴の作成者が引き継ぎ前の担当者名のままになり、後から追跡できない
• 引き継ぎ後にトラブルが起きた際、アカウントを共有した全員が疑われることになり、原因の切り分けが難しくなる
• パスワードを知っている人数が増えるほど、漏えいや不正アクセスのリスクが高まる
• 将来また担当者が変わった際、パスワード変更のたびに全員へ再共有する手間が発生する

WordPressのUsers Add Newスクリーンでは、ユーザーごとにユーザー名・メールアドレス・役割（権限）を個別に設定できます。引き継ぎ先の担当者専用の管理者アカウントを新規作成し、作業が完了したら旧アカウントを整理する、という流れが基本です。

作業前に知っておきたい「サイト所有権」と「管理者権限」の違い

WordPressの管理画面にログインできる「管理者（Administrator）」ロールと、サイトそのものの「所有権」は別物です。管理者ロールは、あくまでその1つのWordPressサイトの管理画面内でユーザー管理・投稿・プラグイン・テーマなどを操作できる権限にすぎません。一方で、次のような要素は管理者ロールとは別に管理されています。

• レンタルサーバーやホスティングサービスの契約者アカウント（サーバー管理画面へのログイン権限、請求情報など）
• 独自ドメインの登録・管理者情報（ドメインレジストラのアカウント）
• FTP／SFTP・データベースの接続情報
• WordPress.comを利用している場合のサイトオーナー権限（WordPress.comではオーナーのみがサイト所有権を他の管理者へ譲渡できます）

「WordPressの管理者アカウントを渡したから引き継ぎ完了」と考えてしまうと、サーバー契約やドメイン更新の連絡が旧担当者に届き続ける、といった事態になりかねません。引き継ぎの際は、WordPress管理者権限だけでなく、サーバー・ドメイン・関連サービス（SEOツール、フォームサービス、決済サービスなど）のアカウントも合わせて棚卸しすることを強くおすすめします。

作業前に必ずバックアップを取る

ユーザー管理の変更自体はデータベースの変更を伴う操作です。誤操作でデータを消してしまうリスクをゼロにするため、作業前に必ずバックアップを取得してください。WordPress Developer HandbookのBackupsのページでは、データベースとファイル（テーマ・プラグイン・アップロード画像など）の両方をバックアップすることが推奨されています。バックアップの保存先は、サーバー内だけでなく、クラウドストレージやローカルPCなど複数箇所に分散して保管するのが望ましいとされています。

バックアップ方法としては、レンタルサーバーが提供する自動バックアップ機能を使う方法と、WordPress.orgに登録されているバックアッププラグイン（BackWPup、Duplicator、WP STAGINGなど）を利用する方法があります。手動での引き継ぎ作業を行う前には、少なくとも直近1回分のフルバックアップ（データベース＋ファイル）を確保しておきましょう。

手順1：引き継ぎ先の新しい管理者ユーザーを作成する

WordPress管理画面から、以下の手順で新しい管理者ユーザーを作成します。

1. 管理画面左メニューの「ユーザー」→「新規追加」を開きます。
2. 「ユーザー名」に、引き継ぎ先の担当者専用のログイン名を入力します。氏名や会社名がそのまま推測されるユーザー名は避け、第三者に推測されにくい文字列にすることが安全です。
3. 「メールアドレス」には、引き継ぎ先本人が管理できる、かつ将来にわたって使い続けられるメールアドレス（個人アカウントではなく、できれば組織のドメインメールなど）を設定します。WordPress.orgの公式ドキュメントでも、メールアドレスは各ユーザーごとに一意である必要があると案内されています。
4. 「役割」を「管理者」に設定します。
5. パスワードは自動生成される強力なパスワードをそのまま使うか、「パスワードを生成」ボタンで再生成します。Password Best Practicesでは、数字・英字（大文字小文字）・記号を組み合わせた長いパスワードを使うことが推奨されています。
6. 「新規ユーザーを追加」ボタンをクリックして保存します。

ユーザー作成後は、パスワードを直接口頭やメール本文に平文で書いて送るのではなく、WordPressの「パスワードをお忘れですか？」機能を使って、引き継ぎ先本人にログイン画面から初回パスワードを設定してもらう方法が安全です。この場合、事前に登録したメールアドレス宛にパスワード再設定用のリンクが届く仕組みになっています（Reset your passwordのドキュメント参照）。

手順2：新しい管理者アカウントでログインし、動作を確認する

新規ユーザーの作成が完了したら、必ず引き継ぎ先本人に一度ログインしてもらい、以下を確認します。

• 管理画面に問題なくログインできるか
• 投稿・固定ページの編集画面が正常に表示されるか
• プラグイン・テーマの設定画面など、必要な管理項目に一通りアクセスできるか
• メールアドレス宛にWordPressからの通知メール（コメント通知、更新通知など）が正しく届くか

この時点ではまだ旧管理者アカウントは削除せず、両方のアカウントが有効な状態で並行稼働させておくと、万一新アカウントに不具合があった場合にも切り戻しがしやすくなります。

手順3：2段階認証（2FA）を設定する

WordPress本体には標準の2段階認証機能は含まれていないため、多くのサイトではセキュリティプラグインを使って2FAを追加しています。WordPress.orgのプラグインディレクトリには「Two Factor」タグの付いたプラグインが多数登録されており、認証アプリ（TOTP）やメール認証など複数の方式に対応したものがあります。

ただし、どのプラグインを使っているか、どの認証方式（アプリ・メール・SMSなど）に対応しているかはサイトごとに異なるため、この記事では特定の設定手順を一律には断定しません。引き継ぎの際は、次の点を必ず確認してください。

• サイトで2FAプラグインが導入されているかどうか
• 導入されている場合、新しい管理者アカウントでも2FAの初期設定（認証アプリの登録、バックアップコードの発行など）を必ず行うこと
• バックアップコードは第三者に共有せず、引き継ぎ先本人が安全な場所に保管すること
• 2FAが未導入の場合は、この機会に管理者権限を持つ全アカウントへの導入を検討すること

管理者権限は投稿の削除やユーザー管理、プラグインのインストールなどサイト全体に影響する操作が可能なため、他の一般ユーザーロールよりも2FAによる保護の優先度が高いといえます。

手順4：旧担当者・退職者・制作会社アカウントを整理する

新しい管理者アカウントでの動作確認が完了したら、不要になった旧アカウントを整理します。Users Screenのドキュメントによると、ユーザー一覧でユーザー名の行にカーソルを合わせると「編集」「削除」のリンクが表示されます（現在ログイン中の自分自身のアカウントには削除リンクは表示されません）。

アカウントを削除する際は、次の点に注意してください。

• そのユーザーが作成した投稿や固定ページがある場合、削除時に「投稿をすべて削除する」か「別のユーザーに割り当てる」かを選択する画面が表示されます。誤って記事ごと削除しないよう、必ず「既存コンテンツを他のユーザーに割り当てる」を選び、割り当て先を指定してください。
• 退職者や契約終了した制作会社の担当者アカウントは、削除ではなく一旦「権限のないロール（購読者など）に変更」してから様子を見る、という運用も選択肢の一つです。ただし、ログイン自体をさせたくない場合は、パスワードリセットを強制する、またはアカウントを削除するほうが確実です。
• 制作会社に委託していたサイトの場合、契約終了後もそのメールアドレス宛にサイトからの通知が届き続けるケースがあるため、削除または権限変更を必ず確認してください。
• 不要なアカウントを放置すると、退職者のメールアドレスが乗っ取られた際に不正ログインの入口になるリスクがあるため、契約終了・異動のタイミングでの棚卸しを習慣化することが望ましいです。

あわせて確認したいチェックリスト

• WordPress管理画面の新規管理者ユーザー作成・ログイン確認は完了したか
• 2段階認証の設定（該当プラグインがある場合）を引き継ぎ先で完了したか
• 旧担当者・退職者・制作会社のアカウントを削除または権限変更したか
• 投稿・固定ページの作成者情報を必要に応じて再割り当てしたか
• レンタルサーバー、ドメイン、SEOツール、フォームサービスなど、WordPress以外の関連アカウントも棚卸ししたか
• 作業前に取得したバックアップを、作業完了後も一定期間保管しているか

このうち「レンタルサーバーの契約者・管理アカウント」は、WordPressの管理者権限とは別に引き継ぎが必要になる部分です。担当者の退職や制作会社の変更をきっかけに、契約名義とサーバー管理画面のログイン権限も自社側へ整理しておくと、次の更新や障害対応で止まらずに済みます。法人としてサーバーを契約し直す場合は、XServerビジネスのように契約者情報や権限の管理を前提にしたプランもあります。最新の料金と提供内容は公式ページで確認してください。

XServerビジネス

※上記は広告（アフィリエイトリンク）です。料金・プラン・キャンペーン内容は変わることがあるため、申し込み前に公式ページで最新の条件を確認してください。

引継ぎの仕上げで確認したい4つの設定

新しい管理者アカウントを作ったあとも、古いアカウントに結びついた設定が残っていることがあります。ここでは、WordPress.orgの公式ドキュメントに書かれている内容をもとに、引継ぎの最後に確認したい4つの設定をまとめます。内容は2026年9月30日時点で確認したものです。画面の名前や表示は、WordPressのバージョンや日本語訳によって少し違う場合があります。

1. 権限グループの違いを確認して、必要以上に管理者を増やさない

WordPress.orgの「Roles and Capabilities」によると、WordPressには最初から6つの権限グループ（ロール）が用意されています。引継ぎのときは「とりあえず全員を管理者にする」のではなく、仕事の内容に合った権限を選ぶと、誤操作や乗っ取りの被害を小さくしやすくなります。

権限グループ	できること（公式ドキュメントの要約）	引継ぎでの使いどころの例
Super Admin（特権管理者）	ネットワーク全体の管理を含むすべての操作。マルチサイトでのみ存在	マルチサイトを運営している場合だけ
Administrator（管理者）	1つのサイトのすべての管理機能。プラグイン・テーマ・ユーザー・設定も扱える	新しい運営責任者。人数はしぼる
Editor（編集者）	自分と他人の投稿・固定ページの公開と管理、カテゴリーやコメントの管理。プラグイン・テーマ・ユーザーは扱えない	記事の管理を任せる担当者
Author（投稿者）	自分の投稿の公開と管理、ファイルのアップロード	自分の記事だけを書く人
Contributor（寄稿者）	自分の投稿を書いて管理できるが、公開はできない。ファイルのアップロードも不可	下書きを出してもらう外部ライター
Subscriber（購読者）	自分のプロフィールの管理のみ	閲覧だけでよい人

同じドキュメントには、新しいユーザーの初期の権限グループは「設定」→「一般」で決められると書かれています。ここが「管理者」になっていないかも、あわせて見ておくと安心です。

2. 古いユーザーを消すときは「コンテンツの帰属先」を選ぶ

WordPress.orgの「Users screen」によると、ユーザーを削除するときは、そのユーザーが持っている投稿やリンクをどうするかを選ぶ画面が出ます。選べるのは次の2つです。

• すべてのコンテンツを削除する：ユーザーと一緒に、そのユーザーの投稿やリンクも消えます
• すべてのコンテンツを別のユーザーに割り当てる：一覧から選んだユーザーに、投稿やリンクの持ち主を移します

引継ぎで古い管理者を消す場合は、ふつうは後者を選び、新しい管理者や運営用のユーザーを帰属先にします。前者を選ぶと、そのユーザー名義の記事がまとめて消えるおそれがあります。削除の前にバックアップを取っておくと、選び間違えたときに戻しやすくなります。

また、同じドキュメントには、ログイン中の自分自身は削除できないと書かれています。古い管理者アカウントを消すときは、新しい管理者アカウントでログインし直してから操作します。

3. 管理者メールアドレスを変えて、確認メールのリンクを押す

WordPress.orgの「Settings General screen」によると、「設定」→「一般」にある管理者メールアドレスは、コメントの承認待ち、ユーザー登録、リカバリーモードや致命的なエラーなどの通知を受け取る宛先です。これは各ユーザーのログイン用メールアドレスとは別の設定で、ここを変えてもログイン用のアドレスは変わりません。ユーザーのメールアドレスは、ユーザーのプロフィール画面で変更します。

同じドキュメントによると、管理者メールアドレスを変えると、新しいアドレスに確認メールが届きます。メール内のリンクを押すまでは新しいアドレスは有効にならず、それまでは古いアドレスが使われ続けます。前の担当者のアドレスのまま残ると、サイトが止まったときの通知が届かなくなるため、変更後に確認メールのリンクまで押したかを確かめてください。確認メールが届かないときは、迷惑メールフォルダーを見る、数分待つ、サーバーのメール送信の設定を確かめる、といった対処が公式ドキュメントに挙げられています。

4. アプリケーションパスワードを確認して、不要なものを取り消す

アプリケーションパスワードは、外部のアプリやサービスがWordPressに接続するための専用のパスワードです。WordPress.orgの開発者向け資料（REST APIハンドブック）によると、WordPress 5.6から標準で備わっていて、「ユーザー」→「ユーザーを編集」の画面から作成できます。

WordPress公式の開発者ブログ（Make WordPress Core）の解説によると、この画面には作成済みのパスワードの一覧があり、1つずつ、またはまとめて取り消せます。一覧には最後に使われた日時とIPアドレスも表示されます（最終使用日時は24時間以内の精度）。また、アプリケーションパスワードではログイン画面から管理画面に入ることはできません。

引継ぎでは、前の担当者や前の制作会社が作ったパスワードが残っていないかを見ます。何に使っているかわからないものは、連携先を確かめたうえで取り消します。取り消すと、そのパスワードを使っていた連携（投稿の自動化ツールなど）は止まるので、必要な連携は新しい管理者のアカウントで作り直します。

4つの設定を確かめる順番

1. 新しい管理者アカウントでログインし直す
2. 「ユーザー」一覧で、各ユーザーの権限グループを表のとおりに見直す
3. 「設定」→「一般」で管理者メールアドレスと、新規ユーザーの初期の権限グループを確認する
4. 管理者メールアドレスを変えた場合は、確認メールのリンクを押す
5. 各ユーザーの編集画面で、アプリケーションパスワードの一覧を確認し、不要なものを取り消す
6. バックアップを取ったうえで、古いユーザーを「別のユーザーに割り当てる」を選んで削除する

この順番にしておくと、古いアカウントを消したあとで「通知が届かない」「連携が止まった」と気づく事態を減らしやすくなります。

あわせて読みたい：ホームページの引き継ぎで確認すること｜ドメイン・サーバー・管理権限のチェックリスト

よくある質問

前任者のIDとパスワードを教えてもらって使い続けてもよいですか？

おすすめしません。誰が操作したかが分からなくなるため、自分用の管理者ユーザーを新しく作ってもらい、ログインできることを確かめてから前任者のアカウントを整理します。

前任者のユーザーを削除すると、その人が書いた記事も消えますか？

削除の画面で「すべてのコンテンツを別のユーザーに割り当てる」を選べば、記事は指定したユーザーに引き継がれます。「すべてのコンテンツを削除する」を選ぶと消えるため、削除の前にバックアップを取っておきましょう。

管理者メールアドレスを変えたのに、通知が前の人に届きます。

新しいアドレスに届く確認メールのリンクを押すまで、変更は有効になりません。それまでは古いアドレスが使われ続けます。

アプリケーションパスワードは消してしまって大丈夫ですか？

取り消すと、そのパスワードを使っていた外部サービスとの連携が止まります。何に使っているかを確かめてから取り消し、必要な連携は新しい管理者のアカウントで作り直します。

まとめ

WordPress管理者アカウントの引き継ぎは、単に「ID・パスワードを渡す」だけの作業ではありません。新しい管理者ユーザーを個別に作成し、動作確認と2FA設定を行ったうえで、旧アカウントを安全に整理するという一連の流れを踏むことで、誰がいつ何をしたのかを追跡できる状態を保ちながら、安全にサイト運用を引き継ぐことができます。あわせて、WordPress管理者権限とサーバー・ドメインなどのサイト所有権は別物であることを念頭に置き、関連するすべてのアカウントを棚卸しすることが、抜け漏れのない引き継ぎのポイントです。

関連して読みたい記事

• WordPress更新前バックアップ｜引き継いだ直後は状態が分からないので、まずバックアップを取ってから作業を始めます。
• WordPressステージング環境｜引き継ぎ後の設定変更を本番で試す前に、ステージング環境で確認する方法があります。
• WordPress問い合わせフォーム迷惑メール対策｜引き継いだサイトの問い合わせフォームに迷惑メールが溜まっている場合は、この手順で対策します。
• ホームページ制作会社と連絡が取れないときの確認先｜公的窓口と調べ方を解説｜引き継ぎ元の制作会社や前任者と連絡が取れない場合は、公的な相談窓口と会社の実在を確認する手順から進めます。

参考情報・出典

• WordPress.org「Users Add New screen」（新規ユーザー追加画面で、ユーザー名・メールアドレス・パスワード（強度インジケーター付き）とロールを指定し、「Add New User」ボタンで保存すること）
• WordPress.org「Users screen」（ユーザー削除時に確認画面が表示され、「Delete all posts and links（投稿とリンクをすべて削除）」か「Attribute all posts and links to（別のユーザーへ割り当て）」を選ぶこと。現在ログイン中の自分自身は削除できないこと）
• WordPress.org「Roles and Capabilities」（Super Admin・Administrator・Editor・Author・Contributor・Subscriber の各ロールと、ロールごとに許可される権限（capability）の対応）
• WordPress.org「Password Best Practices」（推測されやすい単語・名前・日付・数字を含まない複雑なパスワードを使い、20文字未満のパスワードは選ばないこと。パスワードマネージャーを使えば同じパスワードの使い回しを避けられること）
• WordPress.org「Reset your password」（通常はログイン画面の「Lost your password?」リンクからリセットでき、メールが使えない場合はMySQLコマンドライン・phpMyAdmin・FTP・WP-CLIなど複数の方法があること）
• Developer.WordPress.org「Backups – Advanced Administration Handbook」（WordPressのバックアップはデータベースとファイルの両方が対象であり、両方が揃っていれば元の状態へ復元できること）
• WordPress.org「Plugins categorized as two factor authentication」（公式プラグインディレクトリで、2段階認証プラグインが「two factor authentication」タグで一覧できること）
• Settings General Screen｜WordPress.org Documentation
• Authentication（REST API Handbook）｜WordPress Developer Resources
• Application Passwords: Integration Guide｜Make WordPress Core

⚡ いま読まれているトレンド

• ドコモ「あんしんフィルター」の障害が続く｜設定が変えられない・アプリが使えないときの対処（Androidは窓口で暫定案内、iPhoneはプロファイル削除）
• 日本シリーズ2026はどこで見られる？｜第2戦〜第7戦のテレビ（TBS・NHK BS・日テレ・テレ朝）とネット配信（TVer・U-NEXT・Hulu・ABEMA）
• DEAN & DELUCAのチャリティートートバッグ2026｜先行販売の抽選は10月29日17時まで、発売は11月1日。アプリでのエントリーと当日の時間

→ トレンド記事をもっと見る