Webサイトや業務システムの保守費用は、月額料金、開始時の調査・整備費、範囲外の追加作業費に分けて比較します。「ホームページ保守一式」という金額だけでは、脆弱性が出た日に誰が調べ、誰が更新するのか分かりません。
同じWordPressの保守でも、文章の差し替えだけか、PHPの更新と動作確認まで含むかで頼めることが変わります。この記事では一律の相場額を置かず、見積もりと契約書で揃える条件を整理します。必要な費用は、対象システムと依頼する作業を確認したうえで見積もります。
保守費用の見積もりを4つに分ける
比較に使うのは、同じ対象・同じ期間の総額です。月額が低くても、必要な更新や障害対応が毎回別見積もりなら、予算は月額だけでは決まりません。
| 費用 | 含まれ得るもの | 見積書で確認すること |
|---|---|---|
| 開始時の調査・整備 | 構成確認、バージョン調査、監視や検証環境の準備 | 調査結果として何が残るか。既存の不具合の修正も含むか |
| 毎月の保守作業 | 更新確認、監視、定期作業、問い合わせ対応 | 対象・頻度・回数や時間の上限。未使用分と超過分の扱い |
| サーバー等の実費 | ホスティング、ドメイン、有料プラグイン、バックアップ保存先 | 月額に含むか、別請求か。契約名義と更新手続きの担当 |
| 追加作業 | 大きなバージョン更新、独自コード改修、時間外対応 | 単価または見積方法、最低料金、作業前の承認方法 |
年間予算は、開始時の費用＋月額の12か月分＋年間の実費＋予定している追加作業で整理できます。税込・税別、最低契約期間、更新・解約の条件も揃えてください。障害の発生回数は確定できないため、緊急対応費は確定額と混ぜず、予算枠と承認条件として扱います。
金額の差が出るのは、ページ数よりも、止められない機能と確認範囲です。会社案内サイトのフォーム確認と、受注・決済・在庫連携があるシステムの検証は同じ作業ではありません。独自プラグインや仕様書の不足も、調査と検証の負担に関わります。
保守契約で確認するチェックリスト
各項目に「月額内／別料金／対象外」「作業者」「承認者」を記入できる形で、委託先に回答を求めます。対象外なら、自社か別の会社が担当する必要があります。
| 確認項目 | 委託先に聞くこと |
|---|---|
| 対象の範囲 | 本番・検証環境、サブドメイン、フォーム、管理画面、定期処理のどこまでか |
| PHP・OS | 修正版の適用と系列を変える更新はそれぞれ含まれるか。期限は誰が確認するか |
| WordPress | 本体・テーマ・プラグインを誰が更新するか。独自改修も対象か |
| 更新後の検証 | フォーム、ログイン、決済などの確認項目と、切り戻し作業は含まれるか |
| 脆弱性の確認 | 情報を誰が確認し、自社への影響と対応の優先度を誰が判断するか |
| 監視と緊急対応 | 通知先、有人対応時間、調査開始の目標、時間外料金はどうなっているか |
| バックアップ・復元 | 対象、取得頻度、保存期間、復元作業と復元テストの料金はどうなっているか |
| アカウント・証明書 | 管理権限、退職者の権限削除、ドメイン・証明書の更新を誰が担当するか |
| 作業の報告 | 更新履歴、未対応の問題、次の期限、追加見積もりが必要な作業を確認できるか |
「セキュリティ対応込み」の一文も、対象と作業を分けて読みます。修正版の適用、侵入後の調査、個人情報漏洩時の報告支援は同じ業務ではありません。専門調査を別会社へ依頼する場合は、その連絡と費用承認を誰が行うかも決めます。
PHP・OS更新は、サーバー代と別に確認する
サーバー設備が稼働していても、その上のソフトウェアを更新する担当が決まっているとは限りません。たとえばAWSの責任共有モデルでは、EC2利用者がゲストOSの更新や、自分で入れたアプリケーションを管理します。利用するサービスによって分担が変わるため、契約中のホスティングの条件を確認します。
PHPには系列ごとのサポート期限があります（PHP公式のサポート方針）。保守契約では、同じ系列の修正版を当てる作業と、系列を変えてコードの互換性を確認する作業を分けてください。OS提供パッケージでは修正が取り込まれる場合もあるため、提供元のサポート条件を確認します。
期限と更新手順はPHPのサポート期限一覧にまとめています。見積もりには、検証環境の用意、テーマやプラグインの対応調査、独自コードの修正、本番切り替え後の確認まで含むかを明記してもらいます。
WordPressの管理画面で更新を押せることと、更新後に注文やフォームが動くことは別です。停止を避けたい機能を発注側から伝えると、必要な検証範囲を揃えられます。
緊急対応は「受付」と「復旧」を分ける
24時間監視は、常に人が調査・復旧する契約とは限りません。アラートだけを送るのか、担当者が受け付けるのか、設定変更まで行うのかを確認します。
脆弱性の公表時にも、保守会社が影響を調べるのか、自社から依頼して初めて調査が始まるのかで動きが変わります。php2shellの職種別対応で整理したように、経営・現場・開発の担当を決め、費用の承認待ちで対応が止まらないようにします。
時間外対応が別料金なら、連絡した時点で課金されるのか、調査や復旧作業の開始時点なのかも確認します。緊急時に事前承認なしで進めてよい作業と金額の上限は、発注側の責任者が合意しておく事項です。
バックアップの契約には、戻せる範囲を記す
WordPress公式のバックアップ資料は、ファイルとデータベースの両方を扱っています。記事や設定が入るデータベースだけでなく、画像やテーマなど、復旧に必要なものが揃っているかを確認します。
取得と復元は別の作業です。
保存期間内でも、必要な時点のデータがあるとは限りません。どこまで古い状態に戻ってよいか、どれくらいの停止を許容できるかを業務側が決め、取得頻度と復元方法に反映します。ECでは復元時点以降の注文との整合も確認が必要です。
契約には、取得失敗の検知、保存先への権限、復元テストの頻度、復元作業の費用を記します。侵害が疑われるときは、単純に上書き復元すると調査に必要な記録を失うおそれがあります。証拠の保存と復旧の判断も、対応担当へ確認してください。
月額を決める前に、対象と担当を揃える
当社は自社サービスでも、ライブラリのバージョン管理と技術的な防御に継続して取り組んでいます。更新を確認する作業と、実際の変更・検証を行う作業を、見積もりでも分けて考える必要があります。この自社運用は、個別の保守契約の対応時間や範囲を保証するものではありません。
保守契約で作業を依頼するか、運用の見直しを継続して相談するかは、SRE顧問の役割と契約前の確認事項も参考になります。当社の受託開発・SRE顧問の支援内容と照らし、対象システム、現在の保守範囲、困っていることを相談フォームからお知らせください。