WordPressからEmDashへ。ホームページの更新・費用はどう変わる？

EmDashって、そもそも何？

EmDash（エムダッシュ）は、ホームページの文章や写真を、管理画面から更新するための仕組みです。 インターネットの基盤を提供するCloudflare（クラウドフレア）社が公開しています。WordPressと同じく、こうした仕組みをCMS（コンテンツ管理システム）と呼びます。

たとえば「臨時休業のお知らせ」を出すなら、管理画面にログインし、見出しと本文を書き、写真を選んで公開します。EmDashにも、このような更新を行う管理画面が付いています。普段のお知らせを書くたびに、プログラムを編集する必要はありません。

この記事でいう「移行」は、今の文章や写真を引き継ぎ、WordPressが担っている更新・管理の仕組みをEmDashへ入れ替えることです。今のデザインや追加機能を引き継ぐには、制作側で確認・作り直しを行います。

また、ホームページをインターネット上で動かしておく環境も必要です。この記事では、内容の更新・管理にEmDashを使い、サイトを動かす環境にはCloudflareのサービスを使う場合を取り上げます。

出典：EmDash公式サイト、EmDashの記事作成・下書き・公開、CloudflareのEmDash構成ガイド、WordPressテーマの移植手順

WordPressとPHP、両方の更新対応が必要

WordPressもPHPも、脆弱性の報告と修正が継続しています。ホームページを安全に運営するには、WordPress本体やプラグインに加え、動かす土台のPHPも管理します。2026年にも、WordPress本体とPHPのそれぞれで、外部から不正なプログラムを実行される可能性がある問題への対応が必要になりました。

WordPress公式は、9月17日から10月28日の41日間に、4回のセキュリティ更新を公開したと報告しています。PHPも、継続してセキュリティ修正版が公開されています。（WordPress公式のセキュリティ対応報告、PHP公式のリリース履歴）

いずれも修正版が公開されており、影響を受ける環境では更新が必要です。「管理会社が対応してくれるのか」「更新したら、今の機能は動くのか」。サイトの担当者にとっては、こうした確認や調整も負担になります。

EmDashは、WordPress本体とPHPを、サイトの管理対象から外す選択肢です。 サイトをEmDashへ移し、PHPを使う旧環境を構成から外せば、WordPressやPHPのバージョン更新に伴う対応も、そのサイトでは不要になります。

仕組みの根拠：WordPressの動作要件、CloudflareのEmDash構成ガイド。PHP2Shellの識別番号はCVE-2026-109618、CVE-2026-109619です。

なぜEmDashは、セキュリティを高めやすいのか

違いが表れるのは、「何を動かすか」「追加機能に何を許すか」「どうログインするか」です。少し専門的な言葉も交えながら、設計の違いを見てみましょう。

1. 攻撃される入口を減らす「アタックサーフェス」

アタックサーフェスとは、攻撃の対象になりうる入口や機能の範囲です。使う仕組みが増えれば、その分、脆弱性や設定を確認する対象も増えます。

EmDashをCloudflare Workersで動かす構成では、WordPress本体もPHPの実行環境も使いません。PHPの脆弱性を狙われても、PHPを実行する経路そのものが新しいサイトにはない、という違いがあります。

新しいサイトへの移行と、旧WordPress環境の公開停止をセットで行うことがポイントです。これにより、WordPressやPHPに固有の入口と更新対応を、そのサイトの運用から外せます。

構成の根拠：CloudflareのEmDash構成ガイド。攻撃対象を減らすという説明は、この構成の違いに基づくものです。

2. 追加機能を隔離する「サンドボックス」と「最小権限」

プラグインは、フォームや表示などの機能を追加するプログラムです。WordPressの一般的なプラグインは、本体と同じPHP実行環境で動きます。そのため、一つのプラグインに問題があると、環境に与えられた権限を通じて、影響がほかのデータや処理へ広がる可能性があります。

EmDashには、プラグインを本体から分けて動かすサンドボックス型があります。隔離した実行環境に入れ、「記事を読む」「指定したサービスへ通信する」といった権限を個別に渡します。必要な権限だけに絞る考え方を最小権限の原則と呼びます。

たとえば記事を読むだけの追加機能なら、記事を書き換える権限や外部へ送信する権限は渡さない、という設計ができます。問題が起きたときに、そのプラグインが触れられる範囲を小さくしておくのが狙いです。

この隔離にはサンドボックス型と対応する実行機能（runner）の設定が必要です。ネイティブ型はサイトと同じプロセスで動きます。CloudflareのDynamic Workersで隔離する構成は、Workers Paidの対象です。

出典：EmDashのプラグイン形式と信頼境界、EmDashの権限と通信先の制限、CloudflareのEmDash構成ガイド

3. パスワードの使い回しを防ぐ「パスキー（WebAuthn）」

EmDashは、ログイン方式としてパスキー（WebAuthn）を標準で採用しています。指紋・顔認証や端末のPINなどで、端末に保存された認証用の鍵を使います。認証情報がサイトのドメインに結び付くため、偽サイトへパスワードを入力してしまうフィッシングや、パスワードの使い回しによるリスクを減らせます。

WordPressでも追加機能でパスキーなどを導入できます。EmDashでは、これが標準のログイン方式になっている点が特徴です。利用する端末や、端末をなくしたときの復旧方法も含めて、担当者が使える形に整えます。

出典：EmDashの認証方式、WordPress向けWebAuthnプラグインの例

更新担当者の画面はどう変わる？

タイトルと本文を書き、画像を選び、下書きを確認して公開する。記事更新の基本の流れは、EmDashでも共通です。 記事を書くたびにコードを触る必要はありません。WordPressで記事を作ってきた方なら、見出しや画像を組み合わせる編集の考え方を活かせます。

こちらは、弊社が手がけたWordPressからEmDashへの移行事例の一つです。コメント管理を中心に使うクライアントサイトの管理画面を紹介します。左のメニューから一覧を開き、投稿内容を確認する、という見慣れた形で操作できます。

弊社のWordPress→EmDash移行事例：コメント管理の画面

左の「コメント」から一覧へ。承認待ち・承認済みを切り替え、投稿内容を確認できます。

記事やお知らせを更新するサイトでは、次のような作業が中心になります。上のコメント管理の例とは別に、一般的な記事編集の流れを整理しました。

ボタンの位置やログイン方法には慣れ直しが必要です。WordPressで追加した編集機能や、予約・会員などの専用画面も個別に確認します。移行前には、普段更新する記事を担当者に実際に触ってもらい、画像の差し替えから確認・公開まで無理なく進められるかを確かめます。

出典：EmDashの記事作成・下書き・公開、WordPressの標準ブロックエディター。操作を試したい方はEmDash公式のデモ（別タブ）も利用できます。

サーバー代は、どのくらい変わる？

ホームページをインターネット上で動かす費用を、ホスティング費といいます。EmDashは、Cloudflareの無料枠に収まる構成なら、ホスティング費0円で運用できます。エックスサーバーやさくらのレンタルサーバを借りる場合と、1年間の基本料金を比べてみましょう。

無料枠を活かして、毎月のサーバー代を見直せます。サイトの機能とアクセス量を確認し、無料枠に合った構成をご提案します。

レンタルサーバの料金に含まれるメールやバックアップ、サイトのアドレス（ドメイン）の特典も確認が必要です。これらを別に契約する費用と、サイトを調べる・移す・手入れを続ける作業費は、別々に見積もります。メールや他サイトのために旧サーバを残すなら、その契約費は減りません。

複数サイトを一契約で運用できるのは、レンタルサーバも同じです。Cloudflare側だけをサイト数で割らず、同じ条件で比較します。サーバー代に加え、更新や復旧まで含めて考えることが大切です。

弊社が手がけた、クライアントサイトの移行事例

弊社では、コメントを中心に運用するクライアントのWordPressサイトから、過去のコメント・独自の入力項目・「いいね」の累計をEmDashへ移しました。元のサイトの見た目を活かし、PC・スマートフォンの画面に引き継いでいます。

手を入れる必要があったのは、サイト専用の入力欄と、過去の「いいね」の合計です。通常の取り込みだけでは引き継げず、保存する仕組みを追加しました。小規模なサイトでも、普段使っている機能や記録を一つずつ確認する作業が必要になります。

文章や画像だけでなく、サイトを使う方にとって大切な記録も引き継ぐ。日々使っている機能と蓄積したデータに合わせて、移行先を組み立てます。

まずは、今のサイトに合うかを確かめる

記事・お知らせ・会社案内が中心のサイトは、移行を検討しやすい対象です。会員登録・決済・予約や、特別な編集画面がある場合は、必要な機能と担当者の作業を先に確認します。

移したあとも、更新・点検・バックアップを続けます。 こうしたサイトの手入れが「保守」です。誰がお知らせを更新し、誰が不具合や復旧に対応するかまで決めて進めます。

更新頻度や使っている機能によっては、今のWordPressを改善したり、管理画面を持たないサイトにしたりする方が合う場合もあります。現在の困りごとから確認し、必要な構成を選びます。

仕組みや安全性を詳しく知りたい方へ