WordPressのバックアップは、「ファイルとデータベースの両方」を「自動で複数世代」残し、「復元テストで戻せることを確認」して初めて完成します。方法はサーバーの自動バックアップ・プラグイン・手動の3つを重ねるのが基本形です。
この記事では、プラグインの操作手順そのものよりも、「何を・どこに・何世代・どう戻すか」という体制の作り方を中心に解説します。バックアップの目的は取ることではなく、いざという日に戻せることだからです。
大原則——「取ってある」と「戻せる」は別物
WordPressサイトは2つの部品でできています。バックアップは必ず両方が揃っている必要があります。
| 部品 | 中身 | これが無いと |
|---|---|---|
| ファイル一式 | テーマ、プラグイン、アップロードした画像・PDF | デザインと画像が全滅する |
| データベース（DB） | 記事・固定ページの本文、設定、ユーザー情報 | 記事と設定が全滅する（見た目の箱だけ残る） |
実際のトラブル現場で多いのが、「バックアップはあります」と言われて開けたらファイルだけでデータベースが入っていないケースです。この状態では記事は1文字も戻りません。「取ってある」という言葉を信用せず、中身と戻し方まで確認するのがこの記事の一貫したテーマです。
バックアップは3層で考える
| 層 | 役割 | 確認ポイント |
|---|---|---|
| ①サーバーの自動バックアップ | 土台の保険。主要レンタルサーバーは自動で7〜14日分程度を保持していることが多い | 何日分残るか／データベースも含まれるか／復元は無料か・自分で操作できるか |
| ②プラグインの自動バックアップ | 自分で管理できる保険。頻度・世代数・保存先を自由に設計できる | 保存先をサーバーの外（クラウド等）にできているか |
| ③大きな変更前の手動バックアップ | 更新・PHP切り替え・リニューアル直前の「直前保存」 | 作業の直前に取る習慣になっているか |
3層のうち、多くのサイトが①だけに頼っています。①だけの弱点は2つ。保持期間が短いこと（改ざんに2週間気づかなければ、正常な状態のバックアップがもう残っていない）と、サーバー自体の障害や契約トラブルと共倒れになることです。だからこそ②で「サーバーの外」に、より長い世代を残します。
プラグインで自動バックアップを組む——設計の3項目
定番のバックアッププラグインには、BackWPup、UpdraftPlus、All-in-One WP Migration（サイト移行向き・無料版は容量制限あり）などがあります（2026年7月時点）。どれを選ぶ場合でも、設定で決めるべきことは同じ3つです。
- 頻度——サイトの更新頻度に合わせます。毎日記事を書くなら毎日、月数回の更新なら週1回が目安。データベースはファイルより軽いので、DBだけ毎日・ファイルは週1という組み合わせも定番です
- 世代数（何回分残すか）——最低でも2〜4週間分。改ざん・不具合は発覚が遅れることがあり、「気づいた時にはバックアップが全部汚染後だった」を防ぐのが世代数です
- 保存先——同じサーバー内だけに保存しない。クラウドストレージ（Google Drive、Dropbox等）への自動転送か、定期的な手元ダウンロードを組み合わせます
個別プラグインの画面操作は各公式マニュアルが最新です。本記事では割愛しますが、どのプラグインでも「ファイル＋DBの両方が対象になっているか」だけは初回設定時に必ず確認してください。
年に1度は「復元テスト」をする
バックアップ体制の仕上げが復元テストです。避難訓練をしたことがない避難計画が機能しないのと同じで、一度も復元したことのないバックアップは、本番でほぼ確実につまずきます。よくあるのは、ファイルが壊れていた、DBが抜けていた、手順を誰も知らず復旧に丸2日かかった、というパターンです。
- やり方（担当者向け）——テスト環境（ローカル環境や検証用サーバー）にバックアップ一式を復元し、サイトが表示され記事が揃っていることを確認する。サーバーの復元機能を使う場合は、本番に上書きされない方法を事前に確認
- 手順書を残す——復元の手順を1枚の文書にし、担当者以外でも実行できる状態にする。属人化したバックアップは担当者の退職と同時に消えます
- 経営者の関与はひと言でよい——「バックアップから戻すテストをしたことがある？」と聞くだけで、体制の実態が分かります
バックアップでよくある5つの落とし穴
- データベースが入っていない——記事が1文字も戻らない最悪パターン。初回設定時に対象を確認
- 保存先が同じサーバーだけ——サーバー障害・乗っ取り・契約トラブルで本体と共倒れ
- 世代が短すぎる——発覚の遅い改ざんに対して、綺麗な状態まで遡れない
- 容量圧迫——古いバックアップの自動削除を設定しないと、サーバー容量を食い潰して逆にサイト障害の原因になる
- 復元方法を誰も知らない——手順書と復元テストで解消。バックアップの価値は復元スキルとセットで初めて成立します
よくある質問
Q. バックアップの頻度はどれくらいが適切ですか？
「失っても許容できる期間」で決めます。毎日更新するサイトなら毎日、月数回の更新なら週1回が目安です。加えて、本体・プラグインの更新やPHP切り替えなど大きな作業の直前には必ず手動で1回取ってください。
Q. レンタルサーバーの自動バックアップだけでは足りませんか？
最低限の保険にはなりますが、保持期間（多くは7〜14日程度）と「サーバーと共倒れになる」弱点があります。プラグインでサーバー外にも残す2層目を足すのが安全です。確認すべきは「何世代・DB込みか・復元は自分でできるか」の3点です。
Q. 無料でどこまでできますか？
この記事の3層体制は、実質無料で構築できます。サーバーの自動バックアップは無料提供が多く、定番プラグインも基本機能は無料です。かかるのは初期設定の手間と、年1回の復元テストの時間だけです。
Q. 改ざんされた場合、バックアップも汚染されていませんか？
その可能性があるからこそ世代数が重要です。改ざん発覚日より十分前の世代まで残っていれば、クリーンな状態に戻れます。戻した後は、侵入口（古いプラグイン等）を塞いでから再公開してください。改ざん時の初動手順は別記事で解説しています。（関連記事：Webサイトの改ざんとは？被害事例・気づき方・復旧手順）
Q. バックアップは保守サービスに含まれますか？
標準的な保守プランには含まれることが多いですが、「頻度・世代数・保存先・復元テストの有無」はプランによって差があります。契約時にこの4点を書面で確認してください。（関連記事：WordPress保守とは？作業内容・費用相場・判断基準）
まとめ——「戻せる」ことを確認して初めて完成
バックアップの成否は、取る技術ではなく体制設計で決まります。ファイル＋DBの両方を、自動で、サーバーの外に、十分な世代数——そして年1回の復元テスト。今日やるべきことは次の3つです。
- 今のバックアップの中身を確認する——「ファイルとDBの両方か」「何世代残るか」「保存先はどこか」
- 復元テストの予定を入れる——やったことがなければ、それが今の一番のリスクです
- サイト全体の健康状態も無料診断で点検する——バックアップは最後の砦。砦の出番を減らすのが日々の予防です
この記事を書いた人
Spyral（スパイラル）／「サイトの主治医」運営 代表 佐藤 秀之
2011年創業、東京都八王子市。情報セキュリティコンサルティング会社でシニアコンサルタントを務めた後に独立し、中小企業のWEB集客・サイト運用を14年支援。ゼロトラスト・セキュリティの研究（Zero Trust Resilience Lab）と現場経験をもとに、WordPress保守・脆弱性診断サービス「サイトの主治医」を運営しています。運営者情報 →
本記事は2026年7月時点の情報に基づいています。プラグインの機能・サーバーのバックアップ提供条件は各公式サイトの最新情報をご確認ください。
