WordPressの保守管理は、もう少し楽にならないのか？ Cloudflare「EmDash」に期待する理由

＞この記事のダイジェスト版はPodcastでも視聴いただけます。

先日、PHPの重大な脆弱性について記事を書きました。

2026年10月21日の夜、高市総理がXで緊急対応を呼びかけ、多くのWebサイトやサービスが対応に追われた、あのニュースです。

総理も緊急対応を呼びかけた「PHPの脆弱性」って何？ 初心者にもわかるように解説

こちらの記事では、PHPとは何なのか、なぜ突然の緊急対応になったのか、どのような被害が考えられるのかを詳しく説明しています。

今回は、その続きのようなお話です。

というのも、今回のニュースを見て、以前の仕事で苦労したことを思い出したからです。

私は以前、仕事で複数のWordPressサイトを運営・管理していました。

そこで何より神経を使っていたのが、バージョン管理です。

PHP、WordPress本体、テーマ、そしてプラグイン。

これらを安全に更新し続けるのは、なかなか大変な作業でした。

そんな私が最近気になっているのが、Cloudflare（クラウドフレア）が開発した「EmDash（エムダッシュ）」という新しいCMSです。

WordPressの代わりになるかもしれない仕組みで、2026年9月28日に正式版が公開されました。

実はこのEmDash、単に新しいブログツールというだけではありません。

Webサイトの保守管理にかかる手間を、かなり減らせる可能性があるのです。

今回はEmDashの特徴と、それを支えるCloudflareの仕組み、さらに無料枠や従量課金についても調べてみました。

特に気になったのは、悪意のある大量アクセスを受けたときに、高額請求が発生する危険はないのかという点です。

※2026年10月23日時点の公式情報をもとにしています。

WordPressは便利。でも維持するのは大変だった

まずは私の経験談から。

WordPressは本当に便利なCMSです。

CMSとは、Webサイトの記事や画像などを管理するシステムのこと。

WordPressを使えば、専門的な知識がなくても記事を投稿でき、プラグインを追加することでさまざまな機能を実装できます。

しかし、その便利さの裏側には保守管理という仕事があります。

特に大変だったのが、それぞれのバージョンの組み合わせです。

例えば、PHPを新しいバージョンに更新すると、古いプラグインが正常に動かなくなることがあります。

WordPress本体を更新すると、それまで問題なく使えていたテーマの表示がおかしくなる場合もあります。

プラグイン同士の相性が問題になることもあります。

だからといって、更新せずに放置しておけば、今度はセキュリティ上の問題が残ってしまいます。

公開中のサイトを更新する怖さ

新しく制作している途中のサイトなら、不具合が出ても修正すれば済みます。

しかし、すでに公開して運用中のサイトでは、そう簡単にはいきません。

私が仕事で管理していたサイトでも、更新作業にはかなり気を使っていました。

まずはバックアップを取得する。

そして、本番環境とは別にテスト環境を用意する。

テスト環境でPHPやWordPress、プラグインを更新し、動作確認を行う。

レイアウトは崩れていないか。

問い合わせフォームは正常に動くか。

管理画面で不具合が起きていないか。

ひととおり確認し、問題がなければ本番環境を更新する。

もちろん、本番環境でも再度確認します。

万が一問題が出たときに備え、元に戻す方法も考えておかなければなりません。

これが1サイトだけならまだしも、複数のサイトになると、それぞれ使用しているテーマやプラグインが違います。

更新のたびに、非常に手間と神経を使っていました。

そして何より怖いのが、自分の作業によって正常に動いていたWebサイトを壊してしまうことです。

更新しなければ危険。でも、更新するのも怖い。

そんなジレンマがありました。

今回のPHP事件で改めて感じたこと

10月21日に起きたPHPの重大脆弱性への緊急対応は、まさにこの問題を思い出させる出来事でした。

普段なら十分な時間をかけてテストしたい更新作業でも、重大なセキュリティ問題が発見されれば、急いで対応する必要があります。

状況によっては、修正版の適用までサイトを一時停止する判断も必要になります。

しかも、今回問題になったのはWordPress本体ではなく、PHPそのものです。

つまり、WordPressを最新版にしていても、それだけでは対策になりません。

今回の修正版は10月21日に公開されていますが、PHPの対応状況や利用環境については、引き続き確認が必要です。

詳細は冒頭の記事に譲りますが、Webサイトを運営し続ける大変さを改めて感じたニュースでした。

そして、こうも思ったのです。

そもそも、これほど多くのものを自分で管理し続ける必要があるのだろうか？

そこで気になったのが「EmDash」

EmDashはCloudflareが開発した新しいCMSです。

2026年4月1日にベータ版が登場し、9月28日に正式版のEmDash 1.0が公開されました。

Cloudflare自身も、EmDashをWordPressの精神的な後継と位置づけています。

WordPressと同じように記事の作成・公開や画像の管理ができますが、内部の仕組みは大きく異なります。

WordPressはPHPというプログラミング言語を使っています。

一方、EmDashはAstroというWeb制作の仕組みをベースにしています。

Cloudflare上で動かす場合は、Workersというサービスを利用します。

つまり、PHPを使わずにWebサイトを運営できるわけです。

これが私には非常に魅力的に映りました。

PHPを使わなければ、少なくともPHP本体のバージョン管理は不要になります。

ただし、EmDash本体やJavaScript関連の部品の更新は引き続き必要です。

何も更新しなくてよくなるわけではありませんが、管理の仕組みを整理できる可能性があります。

そもそもCloudflareって何？

ここで、少しだけCloudflareについて説明します。

Cloudflareは、Webサイトの表示を速くしたり、不正なアクセスから守ったりするサービスを提供している企業です。

例えば、Webサイトへアクセスする人とサーバーの間に入り、危険な通信を遮断したり、画像などのデータを効率よく配信したりできます。

もともとはWebサイトの高速化やセキュリティ対策で知られていましたが、現在はWebサイトやアプリを動かすためのサービスも充実しています。

その一つがWorkersです。

そしてEmDashは、このCloudflareの仕組みを活用して運用できます。

サーバーレスって何が便利なの？

EmDashについて調べると、頻繁に「サーバーレス」という言葉が出てきます。

名前だけ聞くと、サーバーが存在しないように思えますが、そうではありません。

簡単にいうと、サーバーの管理をサービス提供会社に任せられる仕組みのことです。

例えば、エックスサーバーやロリポップなどのレンタルサーバーを利用する場合、サーバーを契約して、そこにWebサイトのファイルやプログラムを置きます。

一方、Cloudflare Workersでは、Cloudflareが用意した環境でプログラムを実行できます。

自分でサーバーOSを管理したり、PHPの実行環境を整えたりする必要がありません。

なお、一般的なレンタルサーバーでもOSなどは提供会社が管理してくれます。

そのため、サーバーレスだけが管理の手間を減らせる唯一の方法というわけではありません。

しかし、アプリを動かすための環境をCloudflare側に任せられるというのは、Webサイトを運営するうえで大きなメリットです。

Cloudflareを理解する4つのサービス

EmDashの仕組みを調べていると、聞き慣れない名前がいくつも出てきます。

Workers、D1、R2、Wrangler。

最初は何が何だかわかりませんでしたが、それぞれ役割が違います。

名前主な仕事たとえるならWorkersプログラムを動かす店員D1記事や数字などを保存台帳R2画像やPDFなどを保存倉庫WranglerCloudflareを操作する管理用リモコン

Workers（ワーカーズ）

Workerは英語で「働く人」という意味です。

Webサイトの裏側でプログラムを動かすサービスです。

例えば「副業診断ツール」を作ったとしましょう。

利用者が質問に答えて診断ボタンを押す。

するとWorkersが回答を処理して、診断結果を返す。

こうしたことができます。

ただし、診断の内容によっては、HTMLとJavaScriptだけで動かせることもあります。

その場合、毎回Workersで計算する必要はありません。

D1（ディーワン）

D1はデータベースです。

例えばブログの記事、公開日時、カテゴリーなどを保存できます。

Excelやスプレッドシートのように、情報を整理して管理するイメージです。

D1はSQLiteというデータベース技術をベースにしています。

「D＝Database（データベース）」と覚えるとわかりやすいですが、これが正式な名前の由来かどうかは確認できませんでした。

R2（アールツー）

R2は画像、PDF、動画、ZIPなどを保存する場所です。

ブログのアイキャッチ画像や、Webサイトで配布するPDFファイルなどを保存できます。

Google Driveにも少し似ていますが、Webサイトやアプリからファイルを利用するためのサービスです。

名前については、Amazonの有名なストレージサービス「S3」を意識したものとも解釈できます。

Sの一つ前がR、3の一つ前が2です。

Cloudflareの公式発表でも、R2という名前について複数の言葉遊びが紹介されています。

Wrangler（ラングラー）

Wranglerは、Cloudflareのサービスを操作するためのツールです。

英語では、牛や馬などを扱う人を意味します。

Workersを管理するWranglerという名前は、なかなか面白いですね。

Wranglerを使えば、自分のパソコンからCloudflareへWebサイトを公開できます。

例えば、

npx wrangler deploy

という命令で、作成したプログラムをCloudflareに公開できます。

ここはCodexなどのAIコーディングツールとの相性がよさそうです。

EmDashは本当に管理が楽になるのか？

個人的に最も期待しているのは、ここです。

EmDashには、WordPressとは異なるプラグインの仕組みがあります。

WordPressの場合、通常のプラグインはWordPress本体と同じPHP環境で動きます。

そのため、プラグインに問題があると、サイト全体に影響する可能性があります。

一方、EmDashにはプラグインを隔離して動かす「サンドボックス」という仕組みがあります。

これは、プラグインを独立した部屋に入れて動かすようなイメージです。

例えば、あるプラグインに「記事を読む権限」だけを許可した場合、関係のないデータを勝手に変更したり、管理者の秘密情報にアクセスしたりすることを制限できます。

スマートフォンのアプリで「写真へのアクセスを許可しますか？」と聞かれる仕組みに少し似ています。

WordPressでは、多くのプラグインを組み合わせるほど管理が複雑になりがちでした。

その点、EmDashはプラグインごとの権限や影響範囲を小さくする方向で設計されています。

ただし、すべてのプラグインが隔離されるわけではありません。

EmDashには、隔離型のプラグインと、サイト本体と同じ環境で動くネイティブ型のプラグインがあります。

また、Cloudflare上で隔離型プラグインを動かすにはWorkersの有料プランが必要です。

バックアップもテストも、完全にはなくならない

ここは期待しすぎないほうがよさそうです。

EmDashでも本体やプラグインの更新は必要です。

大きな更新ではデータベースの変更が必要になることもあります。

その場合、事前のバックアップや復旧手順の確認が重要になります。

つまり、以前WordPressで苦労していた作業が、完全に消えるわけではありません。

ただし、EmDashには更新内容を事前に確認するツールや、更新時に必要な作業を整理する仕組みもあります。

Cloudflare上なら、サーバーOSやPHPを自分で管理する必要もありません。

そのため、保守作業の複雑さを減らせる可能性があります。

EmDashに期待しているのは、管理がゼロになることではなく、管理しなければならないものを減らせることです。

これは複数のWordPressサイトを管理していた経験からすると、かなり大きな魅力に感じます。

EmDashはAIとの相性もよさそう

もう一つ気になっているのが、AIとの連携です。

EmDashは、AIエージェントによる操作も考えられた設計になっています。

AIエージェントとは、人間の指示を受けて、必要な作業を進めるAIのことです。

例えばCodexに、

「このサイトに新しい記事一覧ページを追加して」

「記事のデザインを変更して」

といった依頼をして、作業を手伝ってもらうことが考えられます。

EmDashにはAIから操作するためのAPIやCLI、MCPなども用意されています。

難しい用語が並びますが、簡単にいえば、人間が画面をクリックする以外にも、AIやプログラムからサイトの内容を操作できるということです。

さらにCloudflareは2026年9月、AIによるサイト制作ツール「EmDash Build」のアルファ版も公開しています。

これは、AIを使ったWebサイト制作をさらに身近にする取り組みです。

まだ発展途上の技術ですが、今後の進化が楽しみです。

気になる料金。Cloudflareはどこまで無料なのか？

ここからは費用について。

Cloudflareの料金体系を調べていて気になったのが、従量課金です。

EmDash本体は無料のオープンソースですが、Cloudflare上で動かす際は、利用するサービスによって料金が変わります。

例えば、Workersには無料プランがあります。

2026年10月時点の主な無料枠は次のとおりです。

サービス主な無料枠Workers1日10万リクエストD11日500万行の読み取りD11日10万行の書き込みD1合計5GBの保存容量R2月10GB分の保存容量R2月100万回の書き込み等の操作R2月1,000万回の読み取り等の操作

ただし、これらの無料枠には細かい条件があります。

例えばD1では、無料プランで1つのデータベースに保存できる容量が500MBまでという制限もあります。

そして重要なのが、無料枠を超えた場合の扱いです。

Workers無料プランは上限を超えるとどうなる？

Workers無料プランは、1日10万リクエストまでです。

リクエストとは、プログラムへの処理の依頼のようなものです。

例えば診断ツールでボタンを押し、診断処理をWorkersに依頼すると、通常はリクエストが発生します。

無料プランでは、上限を超えても自動的に有料プランに切り替わるわけではありません。

処理が制限されるため、意図せずWorkersの超過料金が発生する心配はありません。

ただし、静的ファイル配信やほかのサービスには異なる扱いがあります。

有料プランでは従量課金になる

Workersの有料プランは月5ドルからです。

基本料金に一定の使用量が含まれており、それを超えた分が追加請求されます。

項目料金Workers基本料金月5ドルリクエスト月1,000万回まで込み超過リクエスト100万回あたり0.30ドルCPU処理時間月3,000万ミリ秒まで込みCPU時間超過100万ミリ秒あたり0.02ドル

CPU時間とは、プログラムが実際に計算などを行っている時間です。

Cloudflare公式の計算例では、月1,500万回のリクエストがあり、1回あたり平均7ミリ秒のCPU時間を使った場合、月額8ドルになります。

かなり安いですよね。

ただし、D1やR2など、ほかのサービスの料金は別です。

R2は無料枠を超えると料金が発生する

R2では、主にファイルの保存容量や読み書きの回数によって料金が変わります。

標準ストレージの場合、主な超過料金は次のとおりです。

項目超過料金保存容量1GB・月あたり0.015ドルファイル書き込み等100万回あたり4.50ドルファイル読み取り等100万回あたり0.36ドル外部へのデータ転送料無料

R2は外部へのデータ転送料が無料という大きな特徴があります。

しかし、ファイルの読み取り操作そのものは、無料枠を超えると課金対象になります。

Cloudflare公式には、月3億回のファイル読み取りが発生した場合、読み取り料金だけで104.40ドルになるという計算例もあります。

普通の個人サイトでそこまでアクセスがあるケースは少ないかもしれません。

しかし、従量課金という仕組みは理解しておきたいところです。

また、D1についても、有料プランでは無料枠を超えたデータの読み書きや保存容量に料金が発生します。

もし悪意のある大量アクセスを受けたら？

ここが今回、料金について最も気になった部分です。

最近は不正アクセスやサイバー攻撃が大きな話題になっています。

もし悪意のある人が大量のアクセスを送りつけたら、従量課金によって高額請求が発生する可能性はないのでしょうか？

調べてみると、少し安心できる仕組みがありました。

CloudflareはDDoS攻撃の通信を課金から除外する

DDoS攻撃とは、Webサイトに大量のアクセスを送りつけ、サービスを利用できなくする攻撃です。

Cloudflareは、このDDoS攻撃に対する保護機能を無料プランでも提供しています。

さらに公式FAQによると、DDoS攻撃の通信は課金システムから自動的に除外されるとのことです。

つまり、DDoS攻撃によって大量の通信が発生したからといって、そのすべてが料金に加算されるわけではありません。

これはかなり心強い仕組みです。

ただし、すべての不正アクセスがDDoSとして検知されるとは限りません。

普通のアクセスに見える攻撃は？

例えば、誰でも利用できる副業診断ツールがあったとします。

悪意のある人が自動プログラムを使い、何度も診断を実行したらどうでしょうか。

それらが通常の利用として処理されれば、Workersのリクエスト数に含まれる可能性があります。

さらに、診断結果をデータベースに保存している場合は、D1の書き込み回数も増えるかもしれません。

また、R2に大量のファイルを書き込むような仕組みが悪用されれば、そちらの利用料金も問題になり得ます。

こうした金銭的な負担を狙う攻撃は「Denial of Wallet」と呼ばれることがあります。

Webサイトを止めるのではなく、運営者の財布を攻撃するというイメージですね。

つまり、Cloudflareのセキュリティ対策があるからといって、あらゆる高額請求リスクがゼロになるわけではありません。

高額請求を防ぐには？

Cloudflareには、料金や使用量を監視する仕組みがあります。

その一つが「Budget Alerts」という予算アラートです。

例えば利用料金が5ドルを超えたらメールで通知する、といった設定ができます。

ただし、ここが非常に重要です。

予算アラートは通知であって、料金を強制的に止める機能ではありません。

5ドルを超えたからといって、すべてのサービスが自動停止するわけではないのです。

そのため、費用を抑えたいなら、最初から余計な処理を実行させない設計が重要になります。

例えば、同じ利用者から短時間に大量のリクエストが来た場合に制限する。

外部に公開する必要のないデータは公開しない。

管理用の認証情報には必要最低限の権限だけを与える。

こうした対策が必要になります。

特に初心者の場合、最初は小規模なサイトを無料枠で運用し、使用量を確認しながら機能を追加するほうが安心だと思います。

実は、すべてのサイトにEmDashが必要なわけではない

ここまでEmDashについて説明しましたが、調べているうちにもう一つ気づいたことがあります。

そもそも、すべてのWebサイトにCMSが必要なわけではないということです。

例えば、1ページだけのLPやリンク集。

あるいは、HTMLとJavaScriptだけで動くシンプルな副業診断ツール。

こうしたサイトなら、WordPressもEmDashも使わずに公開できます。

これを「静的サイト」と呼びます。

静的サイトは、あらかじめ用意されたHTMLや画像などを表示する仕組みです。

WordPressのように、ページを表示するたびにPHPとデータベースを使って組み立てる必要がありません。

Cloudflare Workersには、こうした静的ファイルを配信する機能があります。

そして、静的ファイルへのリクエストは無料・無制限です。

もちろん、ファイルサイズやファイル数などには制限がありますが、小規模なLPやリンク集なら十分な場合もありそうです。

つまり、Cloudflareへ移行する場合でも、用途によって使い分けたほうがよいわけです。

Webサイトの種類向いている方法シンプルなLP静的サイトリンク集静的サイト副業診断ツール静的サイトまたはWorkers診断履歴を保存するツールWorkers＋D1PDFや画像の配布静的ファイル配信またはR2記事を継続的に更新するブログEmDash

私が普段作っている小規模なWebツールでも、EmDashを導入せずにCloudflareで公開できるものがありそうです。

むしろ、必要以上に複雑な仕組みを使わないほうが、管理も簡単になります。

WordPressからの移行は簡単なのか？

EmDashには、WordPressからの記事インポート機能があります。

WordPressの記事やページなどを移行できる仕組みです。

ただし、サイト全体をそのままコピーできるわけではありません。

例えばWordPressのテーマやプラグインを、そのままEmDashで使うことはできません。

デザインや独自機能は作り直す必要がある場合があります。

画像、記事のURL、カテゴリー、メニュー、SEOの設定なども確認が必要です。

公式ドキュメントでも、移行前のバックアップや、移行後の動作確認が案内されています。

そのため、すでに安定して運営しているWordPressサイトを、すぐにすべて移行するのは慎重に考えたほうがよさそうです。

EmDashは2026年9月に正式版が公開されたばかりです。

WordPressほど長い運用実績や、豊富なテーマ・プラグインがあるわけではありません。

一方で、Cloudflareは自社の公式ブログを2026年8月にEmDashへ移行しています。

大規模なサイトでも実際に利用され始めているのは、今後の可能性を考えるうえで興味深いところです。

私としては、まず新しい小規模なサイトで試してみたいと思っています。

まとめ：Webサイトは「作ること」より「維持すること」が大変

今回のPHP脆弱性のニュースをきっかけに、以前のWordPress運用のことをいろいろと思い出しました。

新しくWebサイトを作るときは、デザインや機能を考えるのが楽しいものです。

しかし、公開してからの運用は別の話です。

セキュリティ情報を確認し、更新が必要ならバックアップを取り、テスト環境で確認し、問題がなければ本番環境へ反映する。

それを何年も続ける必要があります。

WordPressが悪いという話ではありません。

むしろ、ここまで普及し、長年使われ続けているのは、それだけ優れた仕組みだからだと思います。

ただし、すべてのWebサイトでWordPressが最適とは限りません。

そして今は、以前よりも選択肢が増えています。

Cloudflareのようなサーバーレス環境。

PHPに依存しないEmDash。

さらにCodexなどのAIコーディングツールを使えば、Webサイトの制作や更新、公開作業まで手伝ってもらえるようになってきました。

もちろん、EmDashでも保守管理は必要ですし、従量課金やセキュリティの問題を理解する必要があります。

それでも、今まで複雑だった管理作業を少しでも減らせるなら、大きなメリットだと思います。

私自身、今後は小規模なサイトからCloudflareへの移行を試してみたいと考えています。

EmDashについても、実際に使ってみて、どこまでWordPressの代わりになるのか検証したいところです。

Webサイトを作ることは、AIのおかげでどんどん簡単になってきました。

だからこそ、これからは「作ったあとに、どれだけ楽に、安全に運営し続けられるか」が重要になるのではないでしょうか。

参考資料

• EmDash公式サイト
• Cloudflare公式：EmDash 1.0の発表
• EmDash公式：更新について
• EmDash公式：プラグインの隔離
• EmDash公式：WordPressからの移行
• Cloudflare Workersの料金
• Cloudflare D1の料金
• Cloudflare R2の料金
• Cloudflare：DDoS対策FAQ
• Cloudflare：予算アラート

#Cloudflare #EmDash #WordPress #Webサイト制作 #サーバーレス #PHP #セキュリティ #Codex #AI活用 #個人開発