ワードプレスで権限付与する方法｜ユーザー追加・権限グループ設定を初心者向けに解説

はじめに

ワードプレスを複数人で運営するときは、ユーザーごとに適切な権限を付与することが重要です。

たとえば、記事を執筆する外部ライターに管理者権限を付与すると、テーマやプラグインの変更、ユーザーの削除など、執筆業務に不要な操作までできるようになります。誤操作や不正アクセスによる被害を防ぐには、担当業務に必要な範囲だけ操作できるように設定しなければなりません。

ワードプレスには、管理者・編集者・投稿者・寄稿者・購読者という権限グループが標準で用意されています。マルチサイトでは、これらに加えて特権管理者も利用できます。各権限グループには、投稿の公開やユーザー管理などの操作権限があらかじめ割り当てられています。WordPress.org

本記事では、新規ユーザーへの権限付与、既存ユーザーの権限変更、用途に合った権限グループの選び方を初心者向けに解説します。プラグインやコードを使って権限をカスタマイズする方法も紹介するため、複数人で安全にワードプレスを運営したい方は参考にしてください。

1. ワードプレスの権限付与とは？初心者がまず知るべき基本

1-1. 権限付与とはユーザーごとに操作範囲を決めること

ワードプレスの権限付与とは、ユーザーごとに「何を閲覧できるか」「何を編集できるか」「どこまで管理できるか」を設定することです。

具体的には、次のような操作範囲をユーザーごとに分けられます。

投稿を作成する
投稿を公開する
他のユーザーが作成した投稿を編集する
固定ページを編集する
コメントを承認・削除する
ユーザーを追加・削除する
テーマやプラグインを変更する
ワードプレス本体を更新する

ワードプレスでは、これらの操作権限を一つずつユーザーに設定するのではなく、複数の権限をまとめた「権限グループ」を割り当てるのが基本です。

1-2. 権限グループと権限の違い

「権限グループ」と「権限」は似ていますが、意味が異なります。

権限グループは、複数の操作権限をまとめたユーザーの役割です。英語では「Role」と呼ばれます。管理者、編集者、投稿者などが権限グループに該当します。

一方の権限は、具体的な操作を許可するための設定です。英語では「Capability」と呼ばれます。

たとえば、ワードプレスには次のような権限があります。

edit_posts：投稿を編集する
publish_posts：投稿を公開する
moderate_comments：コメントを管理する
edit_users：ユーザーを編集する
install_plugins：プラグインをインストールする

「投稿者」という権限グループには、自分の投稿を編集する権限や公開する権限が含まれています。このように、権限グループは複数の権限をセットにしたものです。WordPress.org

1-3. 複数人でサイト運営するなら権限設定が必要な理由

複数人でサイトを運営すると、それぞれの担当者が異なる作業を行います。

たとえば、サイト運営責任者はテーマやプラグインを管理し、編集担当者は記事を確認して公開します。外部ライターは記事の下書きだけを作成し、会員は限定コンテンツを閲覧します。

すべてのユーザーに同じ権限を付与すると、担当外の操作までできるようになり、誤操作のリスクが高まります。誰がどの操作を担当するのかを明確にして、必要な権限だけを付与することが重要です。

ユーザーごとに個別のアカウントを発行すれば、投稿者名や更新履歴から作業者を確認しやすくなるメリットもあります。

1-4. 権限を適切に付与しないと起こるリスク

必要以上に強い権限を付与すると、次のようなトラブルにつながる可能性があります。

誤って投稿や固定ページを削除される
プラグインやテーマの変更でサイトが表示されなくなる
管理者アカウントを追加される
他のユーザーのパスワードや権限を変更される
不要なコードや不正なプラグインを設置される
退職者や契約終了後の外部担当者が管理画面にアクセスする
アカウントの乗っ取りによる被害範囲が拡大する

管理者権限を持つアカウントが乗っ取られた場合、サイト全体を変更される恐れがあります。権限付与では、業務に必要な最小限の権限だけを与える「最小権限の原則」を意識しましょう。

2. ワードプレスで付与できる権限グループの種類

2-1. 管理者｜サイト全体を管理できる最上位権限

管理者は、通常のワードプレスサイトにおける最上位の権限グループです。

主に次の操作ができます。

投稿・固定ページの作成、編集、公開、削除
コメントやカテゴリーの管理
ユーザーの追加、編集、削除
権限グループの変更
テーマやプラグインの追加、変更、削除
サイト設定の変更
ワードプレス本体の更新

サイト全体に影響する操作ができるため、管理者権限を付与するユーザーは必要最小限にします。

なお、マルチサイト環境では、通常の管理者が実行できる操作に制限があります。ネットワーク全体のプラグインやテーマ、サイト、ユーザーを管理する操作は、原則として特権管理者が行います。WordPress.org

2-2. 編集者｜投稿・固定ページ・コメントを管理できる権限

編集者は、サイト内のコンテンツを広く管理できる権限グループです。

自分の投稿だけでなく、他のユーザーが作成した投稿や固定ページも編集・公開・削除できます。コメントやカテゴリーの管理も可能です。

一方、プラグインやテーマのインストール、ユーザーの追加、サイト全体の設定変更はできません。

次のような担当者に適しています。

オウンドメディアの編集長
記事の校正・公開担当者
コンテンツ全体を管理する社内担当者
外部ライターの記事を確認するディレクター

2-3. 投稿者｜自分の記事を作成・公開できる権限

投稿者は、自分が作成した投稿を編集・公開・削除できる権限グループです。画像などのメディアファイルもアップロードできます。

ただし、他のユーザーが作成した投稿や固定ページの編集はできません。

記事の確認を受けず、自分の判断で公開してもよいユーザーに適しています。

社内ブログの執筆担当者
公開ルールを理解しているライター
個人コラムを担当するユーザー

外部ライターに投稿者権限を付与すると、確認前の記事を公開できてしまいます。編集者によるチェックが必要な運用では、寄稿者を選ぶほうが安全です。

2-4. 寄稿者｜記事作成はできるが公開はできない権限

寄稿者は、自分の投稿を作成・編集できますが、自分で公開することはできません。

記事を完成させた後は、編集者や管理者に確認を依頼し、権限を持つユーザーが公開します。そのため、原稿のチェック工程を設けているサイトに向いています。

標準の寄稿者権限では、画像などのメディアファイルをアップロードできません。外部ライターに画像も登録してもらいたい場合は、プラグインなどを使ってアップロード権限を追加する必要があります。

2-5. 購読者｜閲覧・プロフィール編集が中心の権限

購読者は、ワードプレスの標準権限グループの中で最も操作範囲が狭い権限です。

基本的にできることは、ログイン、コンテンツの閲覧、自分のプロフィール情報の編集です。投稿や固定ページの作成、管理画面の設定変更などはできません。

次のような用途に適しています。

会員サイトの一般会員
社内限定コンテンツの閲覧者
ログインユーザー限定ページの利用者
コメント投稿などにアカウント登録が必要なユーザー

ただし、購読者に設定しただけでコンテンツが自動的に非公開になるわけではありません。会員限定コンテンツを作る場合は、会員管理プラグインや閲覧制限機能も必要です。

2-6. 特権管理者｜マルチサイトで使う特別な権限

特権管理者は、ワードプレスのマルチサイト機能を利用している場合に使われる権限です。英語では「Super Admin」と呼ばれます。

マルチサイトとは、一つのワードプレス環境で複数のサイトをまとめて管理する仕組みです。

特権管理者は、ネットワーク全体に対して次のような操作ができます。

ネットワーク内のサイト管理
ネットワークユーザーの管理
プラグインやテーマのインストール
ネットワーク設定の変更
ネットワーク全体の更新

通常の単一サイトでは、特権管理者を選択する項目は表示されません。マルチサイトにおける特権管理者は、各サイトの管理者よりも広い操作権限を持ちます。WordPress.org

2-7. 権限グループごとにできること比較表

主な操作	特権管理者	管理者	編集者	投稿者	寄稿者	購読者
自分の投稿を作成	○	○	○	○	○	×
自分の投稿を公開	○	○	○	○	×	×
他人の投稿を編集	○	○	○	×	×	×
固定ページを管理	○	○	○	×	×	×
コメントを管理	○	○	○	×	×	×
メディアをアップロード	○	○	○	○	×	×
ユーザーを管理	○	○	×	×	×	×
テーマ・プラグインを管理	○	○※	×	×	×	×
ネットワーク全体を管理	○	×	×	×	×	×
自分のプロフィールを編集	○	○	○	○	○	○

※マルチサイトでは、テーマやプラグインのインストールなど、一部の操作が特権管理者に限定されます。

プラグインや独自コードで権限が変更されているサイトでは、表と実際の操作範囲が異なる場合があります。

3. ワードプレスで新規ユーザーに権限付与する方法

3-1. 管理画面にログインする

最初に、ユーザーを追加できるアカウントでワードプレスの管理画面へログインします。

標準の単一サイトでは、管理者権限を持つユーザーが新規ユーザーを追加できます。編集者、投稿者、寄稿者、購読者では、通常はユーザー追加メニューが表示されません。

3-2. 「ユーザー」から「新規追加」を開く

管理画面の左側メニューから、次の順番で進みます。

「ユーザー」→「新規追加」

「新規ユーザーを追加」という画面が表示されます。ワードプレスには、管理画面からログイン可能なユーザーを追加するための専用画面が用意されています。WordPress.org

「ユーザー」メニュー自体が表示されない場合は、ログイン中のアカウントにユーザー管理権限がない可能性があります。

3-3. ユーザー名・メールアドレス・パスワードを入力する

新規ユーザーの情報を入力します。画面やバージョンによって表示項目が異なることがありますが、主な項目は次のとおりです。

ユーザー名

ログイン時に使用する名前です。既存ユーザーと重複しない文字列を入力します。推測されやすい「admin」や担当者全員で共有する名称は避けましょう。

メールアドレス

ユーザーが利用できるメールアドレスを入力します。パスワードの再設定や管理通知に使われるため、本人専用のアドレスを設定するのがおすすめです。

名・姓

必須ではありませんが、ユーザー一覧で担当者を識別しやすくするために入力しておくと便利です。

サイト

ユーザーが所有しているWebサイトなどを登録する任意項目です。通常の権限付与では空欄でも問題ありません。

パスワード

ワードプレスが生成した強力なパスワードを使用するか、安全性の高いパスワードを設定します。氏名、会社名、誕生日など、推測されやすい文字列は避けてください。

3-4. 権限グループを選択する

「権限グループ」のプルダウンから、新規ユーザーに付与する権限を選択します。

選択肢には、一般的に次の権限グループが表示されます。

購読者
寄稿者
投稿者
編集者
管理者

プラグインで独自の権限グループを作成している場合は、その権限グループも選択肢に追加されます。

判断に迷ったときは、最も弱い権限から始めるのが安全です。作業に不足があると分かった段階で、必要な権限を追加しましょう。

3-5. ユーザーに通知メールを送るか設定する

新規ユーザー追加画面には、ユーザーへ通知を送信するための項目があります。

通知を有効にすると、登録したメールアドレス宛てに、アカウント作成に関する案内が送信されます。本人がパスワードを設定してログインする運用では、基本的に通知を有効にしておくとよいでしょう。

ただし、次のような場合は通知を無効にすることもあります。

公開前のサイトで、まだログインしてほしくない
管理者がログイン情報を別の安全な方法で伝える
動作確認用のテストアカウントを作成する
メール送信設定が完了していない

ログイン情報をチャットやメールで平文送信するのは避け、可能であればユーザー本人にパスワードを設定してもらいましょう。

3-6. 「新規ユーザーを追加」で登録を完了する

入力内容と権限グループを確認し、「新規ユーザーを追加」をクリックします。

登録が完了すると、ユーザー一覧に追加したアカウントが表示されます。ユーザー名やメールアドレスの重複、入力漏れがある場合はエラーが表示されるため、内容を修正して再度登録してください。

3-7. 追加したユーザーの権限を確認する

「ユーザー」→「ユーザー一覧」を開き、追加したユーザーの「権限グループ」欄を確認します。

可能であれば、追加したユーザー本人にもログインしてもらい、必要なメニューだけが表示されているか確認しましょう。

特に次の点をチェックします。

不要な管理メニューが表示されていないか
担当する投稿や固定ページを編集できるか
投稿を公開できる設定になっているか
画像をアップロードできるか
他のユーザーの投稿を編集できてしまわないか

権限グループ名だけで判断せず、実際の操作画面まで確認すると設定ミスを防げます。

4. 既存ユーザーの権限グループを変更する方法

4-1. 「ユーザー一覧」から対象ユーザーを選ぶ

管理画面で「ユーザー」→「ユーザー一覧」を開きます。

ユーザー一覧では、登録されているユーザーの名前、メールアドレス、権限グループ、投稿数などを確認できます。ワードプレスのユーザー画面では、ユーザーの編集や削除、複数ユーザーへの一括操作が可能です。WordPress.org

権限を変更したいユーザー名をクリックするか、ユーザー名の下に表示される「編集」を選択します。

4-2. プロフィール編集画面で権限グループを変更する

ユーザーの編集画面を開き、「権限グループ」のプルダウンから新しい権限を選びます。

変更後は、画面下部の「ユーザーを更新」をクリックしてください。

たとえば、寄稿者を投稿者に変更すると、自分の記事を公開できるようになります。編集者を管理者に変更すると、ユーザーやプラグインなども管理できるようになるため、変更内容を慎重に確認しましょう。

4-3. 複数ユーザーの権限を一括変更する方法

複数ユーザーの権限をまとめて変更する場合は、ユーザー一覧の一括変更機能を使います。

「ユーザー」→「ユーザー一覧」を開く
変更対象のユーザーにチェックを入れる
「権限グループを変更」のプルダウンを開く
変更後の権限グループを選ぶ
「変更」をクリックする

一括変更では、選択したすべてのユーザーに同じ権限グループが設定されます。管理者権限への一括変更は影響が大きいため、対象ユーザーを間違えていないか必ず確認してください。

4-4. 権限変更後に確認すべきポイント

権限を変更した後は、次の項目を確認します。

ユーザー一覧に新しい権限グループが表示されているか
必要な管理メニューが表示されているか
不要な管理メニューが非表示になっているか
投稿の作成・編集・公開が想定どおりにできるか
他のユーザーが作成した記事を操作できるか
プラグイン独自の管理画面にアクセスできるか

ワードプレス本体の権限だけでなく、EC、予約、会員管理などのプラグインが独自の権限を追加している場合もあります。業務で使用する機能を一通り確認しましょう。

4-5. 自分の管理者権限を変更するときの注意点

自分が使用している管理者アカウントの権限を下げると、ユーザー管理画面へアクセスできなくなり、元に戻せなくなる可能性があります。

自分の管理者権限を変更する必要がある場合は、先に別の管理者アカウントを用意してください。

安全な手順は次のとおりです。

別の管理者アカウントを作成する
新しい管理者アカウントでログインできることを確認する
元のアカウントの権限を変更する
変更後の操作範囲を確認する

プラグインやコードで管理者の重要な権限を削除する場合も同様です。管理画面へ入れなくなる事態に備え、バックアップと復旧手段を用意してから作業しましょう。

5. 用途別｜どの権限を付与すべきかの選び方

5-1. サイト運営責任者に付与すべき権限

サイト全体の運営責任を持ち、次の作業を行う担当者には管理者権限が必要です。

ユーザー管理
プラグインやテーマの管理
サイト設定の変更
ワードプレスの更新
不具合発生時の対応

ただし、管理者権限はすべての責任者に付与する必要はありません。

記事の品質や公開スケジュールだけを管理する責任者であれば、編集者権限で対応できます。サイト設定やシステム管理を担当する人だけに管理者権限を限定すると安全です。

5-2. 社内担当者に付与すべき権限

社内担当者に付与する権限は、担当業務によって決めます。

記事の執筆から公開まで担当する場合は投稿者、他の社員や外部ライターの記事も管理する場合は編集者が候補です。

記事の下書きだけを作成する場合は寄稿者でも対応できます。

「社内の人だから管理者」と判断するのではなく、実際の業務範囲に合わせて選びましょう。社員であっても、サイト設定を変更する必要がなければ管理者権限は不要です。

5-3. 外部ライターに付与すべき権限

外部ライターには、原則として寄稿者権限がおすすめです。

寄稿者は記事の作成と編集ができますが、自分で公開できません。編集者や管理者が内容を確認してから公開するフローを構築できます。

ただし、標準の寄稿者は画像をアップロードできないため、画像登録まで依頼する場合は次のいずれかで対応します。

投稿者権限を付与する
プラグインで寄稿者に画像アップロード権限だけを追加する
編集担当者が画像を登録する
ライター専用の権限グループを作成する

投稿者権限を付与すると、ライター自身が記事を公開できます。公開前の確認が必要なサイトでは、カスタム権限グループを作る方法が適しています。

5-4. 制作会社・保守会社に付与すべき権限

制作会社や保守会社がテーマ、プラグイン、サイト設定を変更する場合は、作業期間中に管理者権限が必要になることがあります。

ただし、管理者権限を無期限で残すのは避けましょう。

安全に運用するポイントは次のとおりです。

制作会社専用のアカウントを発行する
社内管理者のアカウントを共有しない
作業期間を明確にする
作業終了後に権限を下げるかアカウントを削除する
緊急対応が必要な場合の連絡方法を決める
作業前後にバックアップを取る

記事の更新だけを委託する場合は、管理者ではなく編集者や投稿者で十分です。

5-5. 会員サイト・限定コンテンツ閲覧者に付与すべき権限

会員サイトや限定コンテンツの閲覧者には、購読者権限が基本です。

購読者は投稿やサイト設定を変更できないため、閲覧を中心としたユーザーに向いています。

ただし、ワードプレス標準の購読者権限だけでは、一般公開ページと会員限定ページを細かく分けられません。次のような追加機能が必要です。

会員登録機能
ログインユーザー限定の閲覧制限
会員ランク別の公開設定
有料会員の決済管理
アカウントの有効期限管理

会員管理プラグインを使用する場合は、そのプラグインが追加する独自の権限グループも確認してください。

5-6. 迷ったときは最小権限で付与する

どの権限を付与すべきか迷ったときは、必要最低限の権限から始めましょう。

たとえば、外部ライターには最初から投稿者を付与するのではなく、寄稿者で運用を開始します。画像をアップロードできず困る場合は、その権限だけを追加します。

権限が足りない場合は後から追加できますが、強すぎる権限によって発生した誤操作や情報漏えいは元に戻せないことがあります。

「念のため管理者にする」のではなく、「このユーザーが担当する作業に必要か」を一つずつ確認することが大切です。

6. プラグインで権限グループを追加・編集する方法

6-1. 標準機能だけでは細かい権限付与ができないケース

ワードプレスの標準機能では、あらかじめ用意された権限グループをユーザーに割り当てられます。しかし、各権限グループに含まれる操作権限を管理画面上で細かく編集する機能はありません。

たとえば、次のような設定は標準の管理画面だけでは難しい場合があります。

寄稿者に画像アップロードだけを許可する
投稿者に公開権限を与えない
編集者に固定ページを編集させない
特定プラグインの管理画面だけを利用させる
外部ライター専用の権限グループを作る
ECサイトの受注管理だけを担当させる

このような場合は、権限編集プラグインを利用すると管理画面から設定できます。

6-2. User Role Editorでできること

User Role Editorは、ワードプレスの権限グループと操作権限を管理できるプラグインです。

主に次のことができます。

既存の権限グループを編集する
新しい権限グループを追加する
権限グループを複製する
操作権限を追加・削除する
独自に作成した不要な権限グループを削除する
新規ユーザーの初期権限グループを変更する
ユーザー単位で権限を調整する

チェックボックスを使って権限を追加・削除できるため、コードを編集できない初心者にも利用しやすいプラグインです。WordPress.org 日本語

6-3. User Role Editorをインストール・有効化する手順

User Role Editorは、次の手順で導入します。

ワードプレスの管理画面にログインする
「プラグイン」→「新規プラグインを追加」を開く
検索欄に「User Role Editor」と入力する
プラグイン名と開発者を確認する
「今すぐインストール」をクリックする
インストール後に「有効化」をクリックする

プラグインの追加画面では、ワードプレス公式ディレクトリに登録されたプラグインを検索してインストールできます。WordPress.org

有効化すると、通常は「ユーザー」メニュー内にUser Role Editorの設定項目が追加されます。管理画面の表記は、プラグインや翻訳のバージョンによって異なる場合があります。

6-4. 新しい権限グループを追加する方法

外部ライターや社内担当者向けの独自権限を作る場合は、次の手順で追加します。

「ユーザー」→「User Role Editor」を開く
「権限グループを追加」を選択する
権限グループIDを入力する
表示名を入力する
必要に応じてコピー元の権限グループを選ぶ
追加を実行する
必要な操作権限にチェックを入れる
更新内容を保存する

権限グループIDには、半角英数字とアンダースコアを使った分かりやすい名称を設定します。

たとえば、外部ライター用であれば次のように設定できます。

権限グループID：external_writer
表示名：外部ライター
コピー元：寄稿者

寄稿者をコピーした後、画像アップロードに必要なupload_filesだけを追加すれば、「記事は作成できるが公開できない」「画像はアップロードできる」という権限グループを作れます。

6-5. 既存の権限グループに操作権限を追加する方法

既存の権限グループに操作権限を追加する手順は次のとおりです。

User Role Editorを開く
編集する権限グループを選択する
追加したい権限を検索する
対象のチェックボックスを有効にする
更新ボタンをクリックする

寄稿者に画像アップロードを許可する場合は、upload_filesを追加します。

権限名は英語で表示されることが多いため、意味が分からない権限を安易に有効にしないでください。特に次の権限は、サイト全体への影響が大きくなります。

manage_options
edit_users
create_users
delete_users
install_plugins
activate_plugins
edit_plugins
install_themes
edit_themes
update_core

6-6. 不要な権限を削除・制限する方法

操作を制限したい場合は、対象の権限グループを選択し、不要な権限のチェックを外して保存します。

たとえば、投稿者からpublish_postsを外すと、自分の記事を作成できても公開できない設定にできます。

ただし、標準の権限グループを直接変更すると、その権限グループを使用しているすべてのユーザーに影響します。

一部の投稿者だけ公開を禁止したい場合は、投稿者自体を変更するのではなく、投稿者をコピーした新しい権限グループを作成する方法がおすすめです。

User Role Editorでは独自に作成した権限グループも削除できますが、ユーザーが割り当てられている権限グループはそのまま削除できない場合があります。先に対象ユーザーを別の権限グループへ変更してください。WordPress.org 日本語

6-7. プラグイン利用時の注意点

権限編集プラグインを利用するときは、次の点に注意しましょう。

設定前にデータベースをバックアップする
管理者権限を直接変更しない
変更内容を記録する
ステージング環境で動作を確認する
不明な権限を有効にしない
プラグインを最新版に保つ
他の会員管理・セキュリティプラグインとの競合を確認する

権限の変更内容はデータベースに保存されるため、プラグインを停止しても設定が元に戻らないことがあります。元の権限を記録してから変更してください。

7. プラグインなしで権限をカスタマイズする方法

7-1. functions.phpで権限グループを追加できる仕組み

ワードプレスには、PHPコードから権限グループや操作権限を変更するための関数が用意されています。

代表的なものは次のとおりです。

add_role()：権限グループを追加する
get_role()：既存の権限グループを取得する
add_cap()：操作権限を追加する
remove_cap()：操作権限を削除する
remove_role()：権限グループを削除する

コードはテーマのfunctions.phpに記述できます。ただし、テーマ変更による管理の混乱を避けるため、実務では子テーマやサイト専用プラグインに記述する方法が適しています。

7-2. add_roleで新しい権限グループを作成する

add_role()を使うと、新しい権限グループを作成できます。

次の例では、記事の作成と画像アップロードはできるものの、公開はできない「外部ライター」という権限グループを追加します。

PHP
function mysite_add_external_writer_role() {
    if ( get_option( 'mysite_external_writer_role_version' ) === '1.0' ) {
        return;
    }

    add_role(
        'external_writer',
        '外部ライター',
        array(
            'read'         => true,
            'edit_posts'   => true,
            'upload_files' => true,
            'publish_posts'=> false,
            'delete_posts' => false,
        )
    );

    update_option( 'mysite_external_writer_role_version', '1.0' );
}
add_action( 'init', 'mysite_add_external_writer_role' );

add_role()では、権限グループID、管理画面上の表示名、付与する権限の配列を指定します。権限名をキー、許可・不許可を真偽値として設定できます。WordPress Developer Resources

権限グループの設定はデータベースに保存されるため、毎回同じ処理を繰り返さないように制御することが重要です。

7-3. add_capで操作権限を追加する

既存の権限グループへ操作権限を追加するときは、get_role()とadd_cap()を使います。

次の例では、寄稿者に画像アップロード権限を追加します。

PHP
function mysite_allow_contributors_to_upload_files() {
    if ( get_option( 'mysite_contributor_upload_cap_version' ) === '1.0' ) {
        return;
    }

    $role = get_role( 'contributor' );

    if ( $role ) {
        $role->add_cap( 'upload_files' );
        update_option( 'mysite_contributor_upload_cap_version', '1.0' );
    }
}
add_action( 'init', 'mysite_allow_contributors_to_upload_files' );

add_cap()による変更はデータベースに保存され、明示的に削除するまで残ります。WordPress Developer Resources

7-4. remove_capで不要な権限を削除する

既存の権限グループから操作権限を削除する場合は、remove_cap()を使います。

次の例では、投稿者が自分の記事を公開できないようにします。

PHP
function mysite_prevent_authors_from_publishing() {
    if ( get_option( 'mysite_author_publish_cap_removed' ) === '1.0' ) {
        return;
    }

    $role = get_role( 'author' );

    if ( $role ) {
        $role->remove_cap( 'publish_posts' );
        update_option( 'mysite_author_publish_cap_removed', '1.0' );
    }
}
add_action( 'init', 'mysite_prevent_authors_from_publishing' );

元に戻す場合は、add_cap( 'publish_posts' )を実行します。

remove_cap()で削除した権限もデータベースに保存されるため、コードを削除しただけでは自動的に元へ戻りません。WordPress Developer Resources

7-5. コード編集前にバックアップを取るべき理由

functions.phpに構文エラーがあると、サイトや管理画面が表示されなくなる可能性があります。また、権限設定を間違えると、管理者が必要な画面へアクセスできなくなることもあります。

コードを編集する前に、少なくとも次のバックアップを取得してください。

データベース
使用中テーマのファイル
functions.php
サイト全体のファイル

エラー発生時に備えて、FTP、ファイルマネージャー、SSHなど、管理画面を使わずにファイルを戻せる方法も確認しておきましょう。

7-6. 初心者はプラグインでの設定がおすすめな理由

初心者には、コードを直接編集するよりも権限管理プラグインの利用がおすすめです。

プラグインには、次のメリットがあります。

PHPの構文エラーが起こりにくい
権限を一覧で確認できる
チェックボックスで追加・削除できる
権限グループを複製できる
変更内容を管理画面から確認できる

コードでの設定は、バージョン管理や複数環境への反映が必要な開発案件に向いています。小規模サイトで数個の権限を調整する程度であれば、プラグインを使うほうが管理しやすいでしょう。

8. ワードプレスの権限付与でよくある失敗と注意点

8-1. 全員に管理者権限を付与しない

権限設定が面倒だからといって、すべてのユーザーを管理者にするのは危険です。

管理者は、プラグインやテーマの変更、ユーザーの追加・削除、サイト設定の変更などができます。一人の誤操作やアカウント乗っ取りが、サイト全体の障害につながる可能性があります。

管理者権限は、システム管理を担当する少人数に限定してください。

8-2. 共有アカウントを使わない

複数人で一つの管理者アカウントを共有すると、誰がどの操作を行ったのか確認しにくくなります。

また、一人が退職・異動しただけでもパスワードを変更し、利用者全員へ再共有しなければなりません。パスワードの送信や保管場所が増えるほど、情報漏えいのリスクも高まります。

担当者ごとに個別のユーザーを追加し、必要な権限を付与しましょう。

8-3. 退職者・外部担当者のアカウントを放置しない

退職者、異動者、契約終了後の制作会社やライターのアカウントを残すと、不要なアクセス経路になります。

契約や業務が終了したら、次のいずれかを実施してください。

アカウントを削除する
権限を購読者などへ下げる
パスワードを変更する
ログインセッションを無効にする

アカウント削除時は、ユーザーが作成した記事を別のユーザーへ引き継ぐかどうかも確認します。

8-4. パスワードや二段階認証もあわせて管理する

適切な権限を設定しても、パスワードが弱ければアカウントを乗っ取られる可能性があります。

ユーザーには次の対策を求めましょう。

長く複雑なパスワードを使用する
他サービスのパスワードを使い回さない
パスワード管理ツールを利用する
二段階認証を設定する
不審な端末でログインしない
退職・契約終了時にアクセスを停止する

特に管理者アカウントには、二段階認証の導入を優先してください。

8-5. 権限変更前にバックアップを取る

標準の権限グループを変更すると、その権限を使用するすべてのユーザーに影響します。

誤って管理者の重要な権限を外すと、プラグインやユーザーを管理できなくなる可能性があります。変更前にデータベースをバックアップし、元の権限設定も記録しておきましょう。

本番サイトで直接作業せず、可能であればステージング環境で確認してから反映します。

8-6. 定期的にユーザー一覧と権限を見直す

ユーザーと権限は、一度設定したら終わりではありません。

担当業務の変更、異動、退職、外部委託の終了などに合わせて見直す必要があります。

少なくとも数か月に一度、次の項目を確認しましょう。

使用者が分からないアカウントがないか
長期間使われていないアカウントがないか
管理者が増えすぎていないか
外部担当者のアカウントが残っていないか
業務に対して権限が強すぎないか
共用アカウントが使われていないか

ユーザー名、担当者、所属、利用目的、付与日、終了予定日を台帳で管理すると見直しやすくなります。

9. 権限付与ができない・反映されないときの対処法

9-1. 管理者権限でログインしているか確認する

最初に、現在ログインしているユーザーの権限グループを確認します。

「ユーザー」→「プロフィール」または「ユーザー一覧」を開き、管理者として登録されているか確認してください。

標準の単一サイトでは、編集者や投稿者は新規ユーザーの追加や権限グループの変更ができません。独自の権限設定をしている場合は、create_usersやpromote_usersなどの権限も確認します。

9-2. ユーザー追加画面が表示されない原因

「ユーザー」メニューに「新規追加」が表示されない場合は、主に次の原因が考えられます。

ログインユーザーに新規ユーザー作成権限がない
マルチサイトで特権管理者による制限がある
セキュリティプラグインがメニューを非表示にしている
管理画面カスタマイズプラグインで制限されている
制作会社が独自の権限設定を行っている

別の管理者アカウントでログインし、画面が表示されるか確認してください。

9-3. 権限グループが選択できない原因

ユーザーは追加できても、特定の権限グループを選べない場合があります。

主な原因は次のとおりです。

自分より強い権限を付与できない設定になっている
権限管理プラグインで付与可能な権限が制限されている
独自権限グループの登録処理に失敗している
権限グループが削除されている
マルチサイトのネットワーク設定で制限されている

User Role Editorなどを使用している場合は、権限グループが正しく登録されているか確認しましょう。

9-4. プラグインやテーマの影響を確認する

権限設定プラグイン、会員管理プラグイン、セキュリティプラグイン、管理画面カスタマイズプラグインは、ユーザーの操作範囲に影響することがあります。

原因を調べる場合は、次の順番で確認します。

サイトとデータベースをバックアップする
最近追加・更新したプラグインを確認する
ステージング環境で関連プラグインを一時停止する
標準テーマに切り替えて確認する
エラーログを確認する

本番サイトでプラグインを無計画に停止すると、フォーム、決済、会員機能などが利用できなくなる恐れがあります。可能な限りテスト環境で調査してください。

9-5. マルチサイト環境の権限設定を確認する

マルチサイトでは、通常の単一サイトと権限の仕組みが異なります。

各サイトの管理者であっても、プラグインやテーマのインストール、ネットワーク全体のユーザー管理などは実行できません。これらの操作は、原則として特権管理者に限定されています。WordPress.org

また、ユーザーがネットワークには登録されていても、対象サイトには追加されていない場合があります。

「サイトネットワーク管理」から、次の項目を確認してください。

対象ユーザーがネットワークに登録されているか
対象サイトのユーザーとして追加されているか
対象サイトで正しい権限グループが付与されているか
特権管理者でなければ変更できない設定ではないか

9-6. 変更後にログアウト・再ログインして確認する

権限変更は通常すぐに反映されますが、管理画面の表示やログインセッションの状態によっては、変更前のメニューが残っているように見えることがあります。

次の方法を順番に試してください。

管理画面を再読み込みする
一度ログアウトする
再度ログインする
ブラウザのキャッシュを削除する
シークレットウィンドウで確認する
キャッシュプラグインやサーバーキャッシュを削除する

それでも反映されない場合は、権限管理プラグインの設定やデータベースに保存された権限情報を確認します。

10. ワードプレスの権限付与に関するよくある質問

10-1. ワードプレスの権限付与は管理者以外でもできますか？

標準の単一サイトでは、基本的に管理者が新規ユーザーの追加や権限グループの変更を行います。

編集者、投稿者、寄稿者、購読者には、通常はユーザーの追加・権限変更が許可されていません。

ただし、プラグインやコードでcreate_usersやpromote_usersなどの権限を付与すれば、独自の権限グループでもユーザー管理を行える場合があります。マルチサイトでは特権管理者による制限もあるため、ネットワーク設定を確認してください。

10-2. 外部ライターにはどの権限を付与すべきですか？

公開前に編集者が記事を確認する場合は、寄稿者がおすすめです。

寄稿者は記事を作成できますが、自分で公開できません。ただし、標準設定では画像をアップロードできないため、画像登録も依頼する場合は権限のカスタマイズが必要です。

ライター自身に公開を任せる場合は投稿者を選びます。固定ページや他のユーザーの記事まで管理させる必要がなければ、編集者や管理者を付与する必要はありません。

10-3. 管理者権限を複数人に付与しても大丈夫ですか？

複数人に管理者権限を付与すること自体は可能です。

ただし、管理者が増えるほど誤操作やアカウント乗っ取りによるリスクも増えます。管理者権限は、サイト設定やシステム管理を担当する必要最小限の人数に限定しましょう。

各担当者には個別のアカウントを発行し、共有アカウントは使用しないでください。二段階認証の導入も有効です。

10-4. 権限グループを後から変更できますか？

権限グループは後から変更できます。

管理者でログインし、「ユーザー」→「ユーザー一覧」から対象ユーザーを編集してください。複数ユーザーを選択して、一括で権限グループを変更することも可能です。WordPress.org

権限を強くする場合も弱くする場合も、変更後に対象ユーザーでログインし、操作範囲を確認しましょう。

10-5. ユーザーを削除すると投稿記事も消えますか？

ユーザーを削除するときは、そのユーザーが作成したコンテンツをどう扱うか選択できます。

一般的には、次のいずれかを選びます。

ユーザーが作成したコンテンツも削除する
コンテンツを別のユーザーへ引き継ぐ

記事を残したい場合は、削除前に別の管理者や編集担当者へコンテンツを割り当ててください。選択を間違えると投稿が削除される可能性があるため、事前にバックアップを取得しましょう。

10-6. 権限付与におすすめのプラグインはありますか？

初心者が権限グループを追加・編集するなら、User Role Editorが候補です。

既存の権限グループをチェックボックスで編集でき、独自の権限グループも作成できます。寄稿者への画像アップロード権限の追加など、標準機能では難しい設定に対応できます。WordPress.org 日本語

記事制作の承認フローや投稿権限をより細かく管理したい場合は、PublishPress Capabilitiesも選択肢です。標準権限や独自権限を管理し、サイトの運用方法に合わせて操作範囲を調整できます。WordPress.org 日本語

プラグインを選ぶときは、更新状況、対応するワードプレスのバージョン、サポート情報、既存プラグインとの相性を確認してください。

まとめ

ワードプレスの権限付与では、ユーザーの担当業務に合わせて適切な権限グループを選ぶことが重要です。

サイト全体を管理する担当者には管理者、記事全体を管理する担当者には編集者、自分の記事を公開する担当者には投稿者、公開前の確認が必要な外部ライターには寄稿者、閲覧中心の会員には購読者が適しています。

新規ユーザーへの権限付与は、「ユーザー」→「新規追加」から行えます。既存ユーザーの権限は、ユーザー一覧の編集画面や一括変更機能から変更できます。

標準の権限グループで対応できない場合は、User Role Editorなどのプラグインを使うと、操作権限の追加・削除や独自の権限グループ作成が可能です。コードに詳しい場合は、add_role()、add_cap()、remove_cap()でもカスタマイズできます。

権限を設定するときは、全員に管理者権限を付与せず、業務に必要な最小限の権限から始めましょう。個別アカウントの発行、強力なパスワード、二段階認証、退職者アカウントの削除、定期的なユーザー一覧の見直しを組み合わせることで、複数人でも安全にワードプレスを運営できます。