結論から書くと、ホームページの月額保守の中身は、更新の代行、CMS・プラグイン・PHP の更新、バックアップ、SSL とドメイン、監視、サーバーの管理と障害時の一次対応、報告 の7つに分けると整理できます。どれを含むかは契約ごとに違うので、まず 今の契約で、どれを、誰が、どの頻度でしているかを確かめる ことが出発点です。
この記事では、SSL 証明書とドメインの期限を管理する仕組み、バックアップの取り方と復元の手順、業務システム（PHP・Laravel）の保守契約（「Laravel の月額保守で「含まれること・含まれないこと」を決める」）は扱いません。
月額保守の作業は7つに分けて考える
IPA（情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」は、ウェブサイトの運営者が点検する項目をまとめた資料で、挙げた対策は定期的に確認する必要があるとしています。月額保守は、こうした定期的な確認のうち契約で決めた部分と、日々の更新の依頼を引き受ける契約です。
| 区分 | 主な作業 |
|---|---|
| 1. 更新の代行 | お知らせの追加、文言・画像の差し替え |
| 2. CMS・プラグイン・PHP の更新 | 更新の適用と、適用後の表示の確認 |
| 3. バックアップ | 取れているか、戻せるかの確認 |
| 4. SSL とドメイン | 更新されているかの確認 |
| 5. 監視 | 表示の停止、改ざんの兆候、ログの確認 |
| 6. サーバーの管理と一次対応 | アカウントの管理、障害時の切り分けと連絡 |
| 7. 報告 | その月の作業と次の予定のまとめ |
更新の代行と、CMS・プラグイン・PHP の更新
更新の代行
お知らせの追加や、文言・写真の差し替えを反映する作業です。頼める回数（時間）と超えたときの扱いのほか、原稿や写真を誰が用意するか、反映までの目安を決めておきます。
CMS・プラグインの更新
CMS（管理画面からページを更新できる仕組み。WordPress が代表的）では、本体と、機能を足すプラグイン、見た目を決めるテーマを更新します。WordPress の公式ドキュメントは、本体を常に最新版にし、更新の前にバックアップを取るよう勧め、プラグインとテーマも常に最新版にするよう書いています。使っていないプラグインを残していないかも確かめます。
2026年7月の WordPress の脆弱性（ソフトウェアの弱点）では、WordPress.org が、影響を受けるバージョンを自動更新で強制的に更新する措置を有効にしたとしています。それでも IPA の注意喚起は、環境や設定によっては自動更新が有効でなかったり失敗していたりする可能性があるとして、管理画面で確かめるよう呼びかけました。自動更新にしていても、更新されたかを確かめる作業は残ります。
PHP の更新
PHP（WordPress などを動かすプログラム言語）について、WordPress の動作環境は 8.3 以上を推奨しています。PHP の公式のサポート期間の一覧では、8.2 のセキュリティサポートは2026年12月31日までです。IPA の20ヶ条は、OS やミドルウェア（アプリケーションの土台になるソフトウェア）などのバージョンアップについて、今まで動いていたウェブアプリケーションが動かなくなる場合があるため、事前の検証が必要だとしています。更新の前後にバックアップと表示の確認をしているかを確かめます。切り替えた後に表示されなくなった場合は「レンタルサーバーで PHP のバージョンを切り替えたら動かなくなったときの切り分け」で説明しています。
バックアップ・SSL とドメイン・監視は「確かめる」作業が中心
バックアップ
月額保守で確かめるのは、次の点です。
- ファイルとデータベースの両方を、サーバーの外にも置いているか
- 何日前（何世代前）の状態まで戻せるか。侵入に気づくのが遅れても、その前の状態が残るか
- 実際に戻してみたことがあるか
SSL とドメイン
SSL 証明書は、JPRS の説明にあるとおり、通信の暗号化などに使う電子証明書です。証明書もドメイン（example.com のような、サイトの住所にあたる名前）も、期限までに更新が必要です。月額保守では、次の期限日と、更新を保守の担当がしているのか社内でしているのかを確かめます。
監視
「監視しています」だけでは、何を見ているのか分かりません。主な種類は次の3つです。
- 死活監視: 外部から定期的にアクセスし、表示が止まっていないかを見る
- 改ざんの確認: ファイルの変更や、ページへの不審な文字列・リンクの追加を見つける
- ログの確認: アクセスやエラーの記録、管理画面へのログインの失敗から、不審な動きに気づく
WordPress の公式ドキュメントは、予防だけでは侵入を防ぎきれないため検知と監視が重要だとし、IPA の20ヶ条もログの定期的な確認を挙げています。
サーバーの管理、障害時の一次対応、報告
サーバーの管理
IPA の20ヶ条は、クラウドやホスティングのサービスでは対策の一部を事業者が提供していることがあるため、事業者側の作業範囲を把握したうえで、足りない対策は自分たちで対応することを検討するよう書いています。サーバー会社がどこまでしているかは契約しているサーバーのマニュアルで確認し、残りの部分（PHP のバージョンの選択、不要なアカウントやページの削除など）のどこを保守で引き受けているかを確かめます。
障害時の一次対応
一次対応は、障害のときに最初の窓口として動くことです。状況を確かめ、サーバー会社の障害情報を見て原因を切り分け、関係先に連絡し、直前の更新が原因なら元に戻します。
報告
月次の報告に次の項目があるかを見ると、足りない作業に気づけます。
- 反映した更新
- 適用した CMS・プラグイン・PHP の更新と、今のバージョン
- バックアップの確認結果
- SSL 証明書とドメインの次の期限
- 監視で見つかったことと対応
- 次に予定する作業
月額とは別に扱う作業と、今の契約を確かめる質問
月額保守は今のサイトを保つための作業です。作り変えたり増やしたりする作業は、月額に含めるか別の見積にするかを契約で分けておきます。
| 作業 | 扱いの例 |
|---|---|
| デザインの変更（リニューアル） | 別の見積 |
| ページの新規作成、機能の追加 | 別の見積 |
| CMS や PHP の大きな更新に伴うテーマなどの改修 | 調べたうえで別の見積 |
| 検索順位・アクセス数の保証 | 対象外 |
検索順位は、Google が検索セントラルで、一番上に掲載されることは誰にも保証できないと書いています。
今の契約は、次の質問で確かめられます。答えを表にしておくと、社内の担当者が代わっても引き継げます。
- 更新の代行は月に何回（何時間）まで頼めるか。超えたらどうなるか
- CMS・プラグイン・PHP の更新は、誰が、どの頻度でしているか。今のバージョンは何か
- バックアップは何を、どこに、何世代残しているか。戻したことはあるか
- SSL 証明書とドメインの期限はいつか。ドメインの名義と支払いは誰か
- 何を、どの間隔で監視し、異常のときは誰に連絡が来るか
- サーバー、ドメイン、CMS の管理画面のアカウントは誰が持っているか
- 障害の受付の時間と、一次対応・復旧・原因の調査のどこまでが月額に入るか
- 毎月の報告には何が書かれているか
- 契約を終えるとき、何を引き渡してもらえるか
答えが返ってこない項目は、契約に入っていないか、決まっていない可能性があります。そこから、範囲を足すか、依頼先を変えるかを判断します。
h-system でできること
h-system では「サイト運用代行ライトプラン」として、他社が制作したホームページも含め、デザインを作り替えずに運用をお引き受けしています。稼働の監視やサーバー・基盤まわりの更新対応、不具合時の一次対応といったサーバー管理、タイトル・見出し・構造の整理などデザインを変えない SEO の内部改善、テキスト・画像の差し替えなど軽微な更新の月数回までの代行が内容です。特定の検索順位やアクセス数はお約束しておらず、ページの新規制作や機能の追加は内容を伺ったうえで別途ご相談となります。料金は月額制の個別見積りで、対象となる作業はご契約の際に確認します。