LASSIC Media らしくメディア
WooCommerceで自社ECを構築するときの保守の注意点
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- WooCommerceはWordPressにECの機能を加える無料のプラグインで、拡張機能を組み合わせて機能を広げます。
- 本体はおおむね5週間ごとに新しい版が出るため、拡張機能やPHPを含めた更新の周期を決めておくことが大切です。
- 外部に保守を頼むときは、更新の範囲、決済の拡張機能の扱い、検証と監視の分担を契約の前に確かめます。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
製品を紹介している自社のWordPressで、取引先の注文も受けたい。拡張機能の更新が来るたびに、本番へ当ててよいのか判断がつかない——。WordPressで自社のECサイトを動かしている会社では、こうした迷いが起こりがちです。WooCommerce（ウーコマース）は、WordPressにECの機能を加えるオープンソースのプラグインです。
使い慣れたWordPressの上で注文の管理まで扱えます。ただし万能ではなく、組み合わせる部品が多いぶん、更新と決済の守りを誰が受け持つかで手間が大きく変わります。本記事では、法人のECサイトを担当する情報システムの担当者に向けて、WooCommerceの仕組み、ほかの作り方との違い、保守の進め方、そして外部に頼むときに確認したい点を整理します。
目次
WooCommerceとは
WooCommerceは、WordPressで作ったサイトに商品の一覧、カート、注文の管理といったECの機能を加えるプラグインです。公式のプラグインページでは、WordPress向けのオープンソースのECの仕組みとして紹介されています。*1 製品情報や技術資料を載せている自社のWordPressに、そのまま注文の窓口を設けられるのが特徴です。
- 本体（コア）は無料で、ソースコードは公開されています。ライセンスはGPL-2.0（ソースコードを公開する条件つきで自由に使えるライセンス）です*2
- 定期購入や予約などの機能は、無料・有料の拡張機能（追加のプラグイン）を組み合わせて加えます
- 基幹システムなど外部の仕組みとは、REST API（ほかのシステムとデータをやり取りする窓口）やWebhook（出来事を相手に知らせる仕組み）でつなげます
- 開発はWordPress.comを運営するAutomatticが中心となり、外部の開発者も数多く参加しています
自社のサーバーで動かす以上、WordPress本体から拡張機能までの更新は、運営する会社の受け持ちです。WordPressそのものの守り方はWordPressセキュリティ強化ガイドで扱っています。
ECパッケージやSaaS型カートとの違い
法人のECサイトの作り方は、事業者の環境を月額で借りるSaaS型のカート、EC専用のパッケージを自社の環境に構築する方法、WordPressにWooCommerceを入れる形などに分かれます。どれが優れているかではなく、すでに何を持っていて、更新を誰が受け持てるかで選びます。
| 作り方 | 土台 | 更新を受け持つ人 | 合いやすい場面 |
|---|---|---|---|
| SaaS型のカート | サービス事業者の環境 | サービスの運営会社 | 用意された機能の範囲で始めたいとき |
| ECパッケージ（EC-CUBE・Magentoなど） | EC専用のソフトを自社の環境に構築 | 運営する会社（または委託先） | ECを独立したサイトとして業務に合わせて作りたいとき |
| WooCommerce | 自社のWordPress | 運営する会社（または委託先） | 製品情報を載せたWordPressの中で注文も受けたいとき |
WooCommerceの特徴は、会社のサイトと注文の仕組みが1つのWordPressに同居することです。片方の更新がもう片方の動きに響くことがあります。IPA（情報処理推進機構）は、個人情報保護委員会の調査で、サイバー被害を受けたECサイトの97%が自社構築だったと紹介しています。*6 パッケージの保守はEC-CUBEの保守とバージョンアップとMagentoの保守会社の選び方にまとめています。
拡張機能と決済のつながり
WooCommerceの店は、本体、テーマ、拡張機能の組み合わせでできています。公式のマーケットプレイスには無料・有料あわせて数百の拡張機能があり、開発元が審査しています。有料の拡張機能を買うと、更新とサポートを受けられる期間つきの契約（サブスクリプション）が付き、請求は1年か2年ごとです。*5 契約の期間が切れると更新が届かなくなるため、名義と更新日の管理も保守の仕事に入ります。
- 決済は、100を超える決済サービス（クレジットカードや銀行振込の受付を担う会社）と、拡張機能を通じてつなげます
- 開発元の決済機能WooPaymentsの提供国は米国・英国など10か国で、日本は一覧に含まれていません*1
- 国内の決済代行会社とつなぐ場合は、その会社が用意する接続方法と、拡張機能が最新のWooCommerceに対応しているかを確かめます
- IPAは、カード決済を扱うなら「クレジットカード・セキュリティガイドライン」（カード情報の非保持化など）を守るよう求めています*6
カード情報を自社で持たない形にしても、それだけでは足りません。IPAは、ECサイトが改ざんされて偽の決済画面が差し込まれると、決済代行会社のシステムとは別の画面でカード情報が漏れ、その場合はECサイトを運営する事業者の責任範囲になると説明しています。*6 決済の拡張機能を最新に保つことと、サイトそのものを改ざんさせないことは、セットで考えます。
保守の進め方
WooCommerceの本体は、2024年9月から、おおむね5週間ごとに新しい版を出す周期になっています。*4 これに拡張機能やPHPの更新が重なるため、気づいたときに上げる運用では追いつきません。次の4つの段階を決まった周期で回します。
- ステップ1：使っているソフトを一覧にする（サーバーのOS、PHP、WordPress本体、WooCommerce、テーマ、拡張機能）
- ステップ2：脆弱性（悪用されうる欠陥）の情報を集め、急いで直すものを決める
- ステップ3：本番と同じ構成の検証環境で更新し、商品の表示から注文・決済までを通しで試す
- ステップ4：バックアップを取ってから本番を更新し、更新後の注文の動きを確かめる
IPAのガイドラインも、ECサイトを構成するソフトを一覧にして脆弱性の情報を集め、危険度「高」のものは迅速に更新し、更新後はシステムへの影響が無いかを動作検証するよう求めています。*6 土台のPHPは8.3以上が推奨で、推奨の環境を満たさないとセキュリティ上の弱点や性能の低下につながるおそれがあるとされています。*3
外部に頼むときに確認しておきたい点
IPAは、ECサイトの構築を外部に委託する場合でも「外部委託先への丸投げはやめましょう」と呼びかけ、運用・保守の契約に、プラグインなどの動作環境を最新版へ更新する作業や、攻撃の監視を含めるよう求めています。*6 見積もりを取る前に、次の点を確かめておきます。
- 更新の範囲：WooCommerce本体だけでなく、WordPress本体、テーマ、拡張機能、PHPまで含むか
- 有料の拡張機能：サブスクリプションの名義と更新日を、自社と委託先のどちらが管理するか
- 決済の連携：決済代行会社の拡張機能の更新と、決済画面の改ざん対策をどう分担するか
- 検証の方法：検証環境で注文から決済までを試す手順と、結果を報告する形
- 監視と復旧：攻撃の監視、バックアップからの戻し方、障害時の連絡の順番
BtoBのECでは、取引先ごとの価格や基幹システムとの連携など、作り込んだ部分が増えがちです。改修した箇所を委託先と一覧で共有しておくと、更新後の確認が漏れにくくなります。BtoB ECの構築全体はBtoB受発注システムの構築で扱っています。
まとめ：WooCommerceで確かめたい3つの点
WooCommerceで法人のECサイトを動かすうえで、確かめておきたい点は3つに整理できます。第一に、使っているソフトを一覧にして、更新の周期と検証の手順を決めること。第二に、有料の拡張機能のサブスクリプションと決済の拡張機能を、誰が最新に保つかを決めること。第三に、カード情報を持たない形にしたうえで、サイトの改ざん対策と監視を続けることです。この3点を踏まえておけば、「更新を止めていたら決済が動かなくなった」という事態を避けやすくなります。保守の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
WooCommerceは無料で使えますか
本体は無料です。ただし、有料の拡張機能は1年か2年ごとの契約が必要で、サーバーの費用や決済代行会社の手数料も別にかかります。費用は、使う拡張機能の数と保守の範囲で大きく変わります。
更新は自動更新に任せてもよいですか
公式のページは、自動更新は通常うまく動くとしつつ、更新の前にバックアップを取るよう勧めています。*1 注文や決済を止められない法人のECサイトでは、検証環境で試してから本番に当てる運用が向いています。
いまのWordPressサイトに後から加えられますか
プラグインなので、いまのWordPressに後から加えられます。その前に、サーバーが公式の推奨環境（PHP 8.3以上、HTTPS対応など）を満たしているかを確かめておきます。*3 既存のプラグインとの相性も、検証環境で確かめておきます。
WooCommerceによる法人ECの構築・保守のご相談
WooCommerceでの法人ECの構築から、拡張機能と決済の更新、検証環境を使った保守の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：WordPress.org「WooCommerce」プラグインページ（https://wordpress.org/plugins/woocommerce/）。出典：オープンソースのECの仕組みであること、本体が無料であること、拡張機能・REST API・Webhook、100を超える決済サービス、WooPaymentsの提供国、マーケットプレイスの審査、開発体制、更新前のバックアップの推奨の記述を参照（2026年10月確認）
- *2 参考：woocommerce/woocommerce（GitHub）（https://github.com/woocommerce/woocommerce）。出典：リポジトリのライセンス（GPL-2.0）を参照（2026年10月確認）
- *3 参考：WooCommerce Documentation「WooCommerce Server Recommendations」（https://woocommerce.com/document/server-requirements/）。出典：推奨環境（PHP 8.3以上、HTTPS対応など）と、満たさない場合のセキュリティ・性能への影響の記述を参照（2026年10月確認）
- *4 参考：WooCommerce Developer Blog「WooCommerce Release Calendar」（https://developer.woocommerce.com/release-calendar/）。出典：2024年9月からの約5週間ごとのリリース周期の記述を参照（2026年10月確認）
- *5 参考：WooCommerce Documentation「Managing WooCommerce.com Subscriptions」（https://woocommerce.com/document/managing-woocommerce-com-subscriptions/）。出典：有料の拡張機能に付くサブスクリプション（契約期間中の更新とサポート、1年または2年ごとの請求）の記述を参照（2026年10月確認）
- *6 参考：独立行政法人情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」（https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html）。出典：自社構築サイトの被害の割合、外部委託先への丸投げをしないこと、運用・保守契約の内容、脆弱性情報の収集と更新・動作検証、クレジットカード・セキュリティガイドラインの遵守、カード情報の非保持化だけでは不十分であることの記述を参照（2026年10月確認）
