- WordPressの静的サイト化とは、WordPressで作ったページをHTMLファイルに書き出し、公開サイトではそのファイルだけを配る方法です。訪問者がページを開いても、PHPは動きません。
- 会社案内やブログのように、内容を見せることが中心のサイトに向いています。ネットショップ、会員サイト、予約システムには向きません。
- 編集用のWordPressは残るため、そこでは今までどおりPHPが動きます。攻撃される入口は減りますが、なくなるわけではありません。編集用WordPressの更新とアクセス制限は続けてください。
なぜ今、静的化が話題になるのか
2026年10月21日、PHP本体の重大な脆弱性（php2shell）を直す修正版が公開されました［php.net］。WordPressはPHPで動いているため、多くのサイトでサーバーのPHPを修正版に更新する作業が必要になりました。詳しくは「PHP脆弱性「php2shell」とは？」で解説しています。
ふつうのWordPressサイトでは、訪問者がページを開くたびにサーバーでPHPが動き、データベースから記事を読み出してページを組み立てます。そのため、PHPに欠陥があると、公開しているサイトそのものが攻撃の入口になります。
静的サイト化は、この「開くたびにPHPが動く」部分をなくす方法です。ページをあらかじめHTMLファイルとして書き出しておき、訪問者にはそのファイルを返すだけにします。PHPの脆弱性への備えとして、修正版への更新とは別に、PHPが動く場所を減らす方法の一つです。
静的化は準備と確認に時間がかかります。今動いているWordPressのPHPを修正版に更新する作業は、静的化を検討する前に済ませてください（php2shell対策チェックリスト）。
静的化したときの構成
静的化した構成では、WordPressを「編集する場所」と「公開する場所」に分けます。
- 編集用のWordPress：記事を書いたり画像を入れたりする場所です。担当者だけが使えるよう、ログイン制限やIP制限（決まった場所からの接続だけを許す設定）をかけるか、社内のPCの中だけで動かします。
- 書き出し：静的化のプラグインが、WordPressのページを順に読み込み、HTML・CSS・JavaScript・画像のファイルにまとめます。
- 公開サイト：書き出したファイルを、静的ホスティング（ファイルを置いて配るだけのサービス）やCDN（世界各地のサーバーからファイルを配る仕組み）に置きます。ここではPHPもデータベースも使いません。
記事を直したときは、編集用のWordPressで更新したあと、もう一度書き出して公開サイトに反映します。更新のたびに「書き出す」手間が増える点は、最初に知っておいてください。
向いているサイト・向いていないサイト
静的化に向くのは、誰が見ても同じ内容を表示するサイトです。訪問者ごとに表示が変わるサイトや、訪問者が入力したものをサーバーで処理するサイトには向きません。
| 向いている | 向いていない |
|---|---|
| 会社案内・コーポレートサイト ブログ・お知らせ サービス紹介・採用ページ キャンペーンページ | ネットショップ（カート・決済） 会員サイト（ログインして使う） 予約システム 内容がすぐ変わる在庫・価格の表示 |
静的化のプラグインの一つSimply Staticも、WordPress.orgのプラグインページで、向いている例にブログや会社のサイトを、向かない例にECサイト、会員サイト、ログインが必要なサイト、リアルタイムで更新するサイトを挙げています［WordPress.org「Simply Static」］。
サイトの一部だけがショップや会員機能になっている場合は、その部分はWordPressのまま残し、ほかのページだけを静的化する分け方もあります。ただし構成が複雑になるため、保守する人がいるかどうかで判断してください。
静的化で動かなくなるものと、代わりの方法
サーバーでPHPを動かして処理していた機能は、書き出したHTMLではそのままでは動きません。見た目は残っていても、送信ボタンを押すと何も起きない、ということがあります。
お問い合わせフォーム
Contact Form 7などのフォームは、送信された内容をWordPress（PHP）が受け取ってメールを送ります。静的化すると受け取る側がなくなるため、次のどちらかに置き換えます。
- フォームの受付サービスを使う：送信先を外部のサービスにします。たとえばNetlifyは、HTMLのフォームに属性を付けると、サーバーのプログラムを書かずに送信を受け付ける機能を案内しています［Netlify Docs「Forms setup」］。
- サーバーレス関数で受ける：フォームを受け取る小さなプログラムだけを、ホスティング側の機能で動かします。Cloudflare Pagesの「Functions」は、フォームの送信処理などをサーバーを用意せずに動かせると説明されています［Cloudflare Docs「Pages Functions」］。
どちらの方法でも、送信テストをして、通知メールが届くか、迷惑メール対策が働くかを確かめてください。
サイト内検索
WordPressの検索は、データベースを使ってその場で結果を作ります。静的化すると検索結果のページは作られないため、ページの一覧をJavaScriptで検索する方法や、外部の検索サービスに置き換えます。記事が少ないサイトなら、検索をやめてカテゴリーの一覧で足りることもあります。
コメント
コメントの投稿もPHPで処理しています。外部のコメントサービスを使うか、コメントの受け付けをやめます。会社のサイトでは、もともとコメントを閉じていることが多い部分です。
その他のプラグイン
アクセスのたびにサーバーで内容を変えるプラグイン（ランダム表示、ログイン状態で変わる表示、サーバー側でのアクセス数のカウントなど）は、書き出した時点の表示で固定されます。使っているプラグインを一覧にして、ひとつずつ「書き出したあとも動くか」を確かめます。
Simply Staticの無料版は、フォーム、検索、コメントが静的サイトでは動かないと明記しています。有料版では、これらを外部の仕組みとつないで動かす機能を用意していると書かれています［WordPress.org「Simply Static」FAQ］。
静的化に使う主なプラグイン
WordPressの静的化には、WordPressに入れて使うプラグインが一般的です。2026年10月22日時点で公式のページを確認できたものをまとめます。
| 名前 | 入手先 | 確認できたこと |
|---|---|---|
| Simply Static | WordPress.org公式ディレクトリ | サイト全体をHTMLに書き出し、無料版はZIPでのダウンロードかサーバー内のフォルダーへの出力。URLの書き換え機能あり。有料版でGitHub、Netlify、Cloudflare Pages、AWS S3などへの自動反映や、変わったページだけの書き出しに対応。2026年10月16日更新 |
| Staatic | WordPress.org公式ディレクトリ | 出力先はサーバー内のフォルダー、Amazon S3（互換ストレージ含む）、GitHub、Netlify、SFTP、ZIP。Basic認証で保護した編集用WordPressからの書き出しに対応と明記。2026年10月16日更新 |
| WP2Static | GitHub（ソースコード） | WordPress.orgの公式ディレクトリでは、作者の申し出により2020年8月10日に配布が終了。GitHubで公開されているソースの最新リリースは7.2（2023年1月） |
出典：WordPress.org各プラグインページ、GitHub（elementor/wp2static）
WP2Staticは名前がよく知られていますが、公式ディレクトリからは入手できず、最新のリリースからも時間がたっています。これから使い始めるなら、更新が続いているかを確かめてから選んでください。静的化のプラグインも編集用WordPressの中で動くPHPのプログラムなので、更新が止まったものを使うと、そこが新しい弱点になります。
どのプラグインも、紹介ページには速さや安全性の利点が書かれています。ただし後で説明するとおり、編集用WordPressの管理は残ります。「静的化すれば保守がいらない」とは考えないでください。
書き出したサイトを置く場所
書き出したファイルは、HTMLを置ける場所ならどこでも公開できます。代表的なのは次のような置き場所です。
- 静的ホスティングサービス：Cloudflare PagesやNetlifyなど。ファイルをアップロードするか、GitHubなどと連携して公開します。Cloudflareは、新しく作るなら同社のWorkersを使うよう案内しています［Cloudflare Docs「Pages」］。
- Amazon S3とCloudFront：S3（ファイルの保管サービス）にファイルを置き、CloudFront（AWSのCDN）から配ります。S3の静的ウェブサイトのエンドポイントはHTTPSに対応していないため、HTTPSで公開するならCloudFrontなどを組み合わせるようAWSが案内しています［AWS「Website endpoints」］。
- 今のレンタルサーバー：HTMLファイルを置くだけでも公開できます。ただし同じサーバーでPHPが使える状態なら、そのサーバー自体のPHPの更新は引き続き必要です。
料金や無料で使える範囲は各社で変わるため、契約前に各社の料金ページで確かめてください。独自ドメインで公開する場合は、DNSの切り替えが必要です。手順の考え方は「WordPressのサーバー移行（引っ越し）手順」のDNSとSSLの節が参考になります。
編集用WordPressの守り方
静的化しても、編集用のWordPressではPHPとデータベースが動き続けます。ここがインターネットから誰でも開ける状態のままなら、守るべき場所はほとんど変わりません。静的化の効果を出すには、編集用WordPressを外から見えにくくする必要があります。
- WordPress本体・テーマ・プラグイン・PHPを更新し続ける：静的化のプラグインも含みます。PHPの更新手順は「WordPressのPHPバージョンアップ手順」を参照してください。
- 入口を絞る：編集用WordPressに、IP制限やBasic認証（ページを開く前にIDとパスワードを求める仕組み）をかけます。WordPress.orgのセキュリティの手引きも、管理画面（/wp-admin/）にサーバー側のパスワード保護をかけると、守りがもう一段増えると説明しています［WordPress.org「Hardening WordPress」］。Cloudflare Accessのように、手前に認証を挟むサービスを使う方法もあります［Cloudflare One Docs］。
- 社内のPCだけで動かす：更新の頻度が低いサイトなら、編集用WordPressを担当者のPCの中だけで動かし、インターネットには出さない方法もあります。この場合はPCのバックアップと、担当者が替わったときの引き継ぎを決めておきます。
- 書き出したファイルに編集用のURLが残っていないか確かめる：編集用WordPressのアドレスがHTMLの中に残っていると、その場所を知られてしまいます。公開サイトのアドレスに置き換わっているかを確かめてください。
公開サイトでPHPが動かなくなるのは大きな変化です。それでも編集用WordPressとそのサーバーは残ります。サーバーのPHPを修正版にしないまま放っておくと、編集用WordPressが入口になるおそれがあります。
進め方の流れ
- 今のサイトの機能を洗い出す：フォーム、検索、コメント、会員機能、使っているプラグインを一覧にし、静的化で動かなくなるものに印を付けます。
- バックアップを取る：ファイルとデータベースをそろえて保存します。
- 編集用WordPressの置き場所を決める：今のサーバーに残してアクセス制限をかけるか、別のサーバーや社内のPCに移すかを決めます。
- 静的化のプラグインを入れて書き出す：まずはZIPやフォルダーへの出力で書き出し、手元で表示を確かめます。
- 動かなくなる機能を置き換える：フォームの送信先、検索、コメントを、選んだ方法に切り替えます。
- 公開先に置いて確認する：仮のURLで、全ページの表示、リンク切れ、画像、フォームの送信、404ページ、リダイレクトを確かめます。
- DNSを切り替える：問題がなければ独自ドメインを公開先に向けます。
- 編集用WordPressを閉じる：IP制限や認証をかけ、外から開けないことを確かめます。
- 更新の手順を決める：記事を直したときに誰が書き出して反映するかを決め、手順を残します。
チェックリスト
| 確認すること | 見るところ |
|---|---|
| 静的化に向くサイトか | ショップ・会員・予約の機能がないか |
| フォームが送れるか | 送信後に通知メールが届くか、迷惑メール対策が動くか |
| 検索・コメントの扱いを決めたか | 置き換えるか、やめるか |
| 全ページが書き出されているか | メニューから辿れないページ、404ページ、画像、PDF |
| リンクのURLが公開サイトのものか | 編集用WordPressのアドレスが残っていないか |
| HTTPSで表示されるか | 証明書の有効期限、http からの転送 |
| 編集用WordPressを閉じたか | 社外の回線から開けないか |
| 編集用WordPressを更新しているか | 本体・テーマ・プラグイン・PHPのバージョン |
| 更新の手順が決まっているか | 書き出しと反映の担当者 |
よくある質問
静的化すれば、PHPの脆弱性の心配はなくなりますか？
公開サイトについては、ページを開くたびにPHPが動くことはなくなります。ただし編集用WordPressではPHPが動き続けるため、そこの更新とアクセス制限は必要です。心配がなくなるのではなく、守る場所が編集用WordPressに絞られる、と考えてください。
見た目は変わりますか？
書き出すのはWordPressが表示しているページそのものなので、基本的には同じ見た目になります。ただし、JavaScriptでWordPressとやり取りしている部分（読み込みのたびに内容を取りに行く部品など）は動かないことがあります。書き出したあと、全ページを目で確かめてください。
記事の更新はどうなりますか？
編集用WordPressで今までどおり書き、書き出して公開先に反映します。手作業で反映するか、プラグインの自動反映の機能を使うかは、更新の頻度で選びます。Simply Staticの無料版では、更新のたびにZIPを公開先へアップロードする必要があると説明されています［WordPress.org「Simply Static」FAQ］。
SEO（検索での表示）に影響はありますか？
URLを変えずに移せば、ページの中身は同じです。URLが変わる場合は、リダイレクト（古いURLから新しいURLへの転送）の設定が必要です。サイトマップやrobots.txtが書き出されているかも確かめてください。
古いPHPのままのWordPressでも静的化できますか？
書き出す作業はできても、編集用WordPressは古いPHPのまま残ります。古いPHPで動かし続けるなら、編集用WordPressをインターネットから見えない場所に置くことがより大事になります。古いPHPの扱いは「古いPHPのphp2shell対策」で整理しています。
Webセキュリティ診断センターでは、WordPressサイトが静的化に向くかの確認、編集用WordPressの守り方、サーバー移行までご相談をお受けしています。フォームや検索の置き換えをどうするか迷っている場合も、まずはお問い合わせください。無料相談はこちら
参考にした情報
- php.net セキュリティアドバイザリ（2026年10月21日）
- WordPress.org「Simply Static – The Static Site Generator」
- WordPress.org「Staatic – Static Site Generator for WordPress」
- WordPress.org「WP2Static」（配布終了の表示） / GitHub「wp2static」
- WordPress.org「Hardening WordPress」
- Cloudflare Docs「Cloudflare Pages」 / 「Pages Functions」 / Cloudflare One「Publish a self-hosted application」
- Netlify Docs「Forms setup」
- AWS「Website endpoints」（Amazon S3 ユーザーガイド）
