【2026年版】副業ブログのWordPressプラグイン完全ガイド！入れるべき8選と「入れてはいけない」5類型—6時間クールダウンとAI自動審査で変わった選び方

ブログ副業を始めた頃、私は「便利そうだな」と思ったプラグインを片っ端から入れていました。半年後、管理画面の更新通知は20件を超え、サイトの表示は3秒を超え、どのプラグインが何のために入っているのか自分でも説明できない状態になっていました。

2026年のWordPressは、この「足し算の失敗」が起きやすい環境になっています。プラグインの配布ルールが変わり、脆弱性の件数も過去最多を更新しました。結論から言えば、副業ブログで持つべきプラグインは8〜10個です。役割ごとに1つずつ選び、それ以外は入れない。この記事では、その具体的な選び方と削る手順をまとめます。

2026年、プラグイン選びのルールが変わった

まず前提として、今年のWordPress.org側の変更を押さえておきましょう。2026年6月5日から、公式ディレクトリのプラグインとテーマは新しいバージョンを公開しても、すぐには配信されなくなりました。クールダウンと呼ばれる待機時間が設けられ、当初は最大24時間、現在は6時間に短縮されています。

さらに2026年9月9日からは、この待機時間中に複数のAIモデルとJetpack Scanによる自動セキュリティ審査が行われるようになりました。リスクスコアが高いと判定された更新は、管理画面の「更新」にも自動更新にも乗りません。配信そのものがブロックされます。

この仕組みが実際に効いた事例が2026年7月28日にあります。約2万サイトで使われていたプラグインの更新にバックドアが混入しましたが、自動レビューが検知し、クールダウン期間中だったため一般ユーザーには配信されませんでした。Wordfenceからの通知を受けて、約26分後に配布停止となっています。

項目	従来の動き	2026年の新ルール
新バージョンの配信	公開直後に配信	6時間のクールダウン後に配信
更新の安全性審査	新規プラグインのみ事前審査	全アップデートをAIが自動審査
高リスク判定の扱い	公開後に停止	配信前に自動ブロック
運営者側の設定	—	設定不要（自動で適用）

ここで大切なのは、「更新通知が来ない＝不具合」とは限らないという点です。緊急の不具合修正を待っているときに数時間のタイムラグが生まれるので、慌てて手動でファイルを差し替えたりしないようにしてください。

一方で、審査を通過したから安全が保証されるわけではありません。Patchstackの「State of WordPress Security in 2026」によると、2025年に確認されたWordPress関連の新規脆弱性は11,334件で過去最多、前年比およそ42%増でした。そしてその91%がプラグイン由来です。本体ではなく、プラグインが最大の侵入口になっています。

ディレクトリの規模も見ておきましょう。2026年9月24日時点でWordPress.orgには69,650件の無料プラグインが登録されています。ただし2年以内に更新されているのは37,853件（54%）だけで、31,797件は2年以上放置されています。検索して出てきたプラグインの半分近くが、メンテナンスされていないコードだということです。

【比較表】副業ブログに入れるべき必須プラグイン8選

役割を8つに分け、それぞれ1つずつ選ぶのが基本形です。無料で十分な役割と、課金したほうがいい役割を分けて考えてください。

役割	おすすめ	費用の目安	副業での意味
SEO	Rank Math SEO	無料／Pro 年59ドル	記事ごとのKW設計と内部リンク
キャッシュ	WP Rocket	年59.95ドル	表示速度と回遊率
画像圧縮	EWWW Image Optimizer	無料	ページ容量の削減
バックアップ	UpdraftPlus	無料	更新失敗からの復旧
セキュリティ	Wordfence Security	無料／Premium 年99ドル	不正ログインと改ざん防止
お問い合わせ	Contact Form 7	無料	案件・相談の受け皿
アクセス解析	Site Kit by Google	無料	Search Console連携
記事装飾	目次・関連記事を1つに統合	無料	回遊と滞在時間

この8つで、副業ブログの基本機能はほぼ足ります。逆に言えば、これ以外は「本当に必要か」を一度疑ってから入れてください。私は以前、目次・関連記事・シェアボタン・吹き出し・アイキャッチ生成を別々のプラグインで入れていて、同じ処理が4重に走っていました。

稼ぐためのプラグイン—SEOと計測はケチらない

収益に直結する領域は、SEOとアクセス解析の2つです。ここは無料版でも実用レベルに達していますが、上位を狙うなら課金の価値があります。

SEOプラグインはRank MathかYoast SEOのどちらかに絞ってください。両方入れるとメタ情報が二重出力され、検索結果のタイトルが意図と違う形になります。Rank Mathは無料版でもリダイレクトやスキーマ設定が使え、Proが年59ドル（1サイト）です。YoastはPremiumが年99ドル前後で、日本語の情報量はこちらのほうが多い傾向があります。

アクセス解析はSite Kit by Googleを入れておけば、Search Console・GA4・AdSenseの数値が管理画面でつながります。副業ブログでは「どの記事が検索から来て、どの記事が稼いでいるか」を月1回見るだけで、次の記事の方向が決まります。

アフィリエイトのリンク管理は、専用プラグインを入れるよりASPが発行するタグをそのまま貼るほうが安全です。クリック計測プラグインを挟むと、リンク書き換えのたびに表示速度とリスクが増えます。私の場合は、記事末の比較表だけ手動で管理する形に落ち着きました。

守るためのプラグイン—復旧できる状態を作る

バックアップとセキュリティは、地味ですが収益を守る保険です。ここが機能していないと、ある日サイトが消えたときに副業の収入源ごと失います。

バックアップはUpdraftPlusかBackWPupのどちらか1つで構いません。大事なのは入れることではなく、「戻せること」を一度テストしておくことです。私は初めて復元を試したとき、保存先の設定を間違えていてバックアップが空だったことに気づきました。プラグインの更新前に、データベースとファイルの両方が取れているかを確認してください。

セキュリティはWordfence Securityが定番です。無料版でも不正ログインの試行制限とスキャンが使え、Premiumは年99ドルです。日本語環境ならSiteGuard WP Pluginも軽量で扱いやすい選択肢になります。あわせて二要素認証とログインURLの変更を設定しておくと、突破される確率は大きく下がります。

見落としやすいのが、停止したプラグインを残しているケースです。無効化してもファイルはサーバー上に残り、脆弱性があれば攻撃対象になります。使わないものは停止ではなく削除まで行ってください。

速くするためのプラグイン—数より「重複しないこと」

表示速度の話になると「プラグインは10個まで」という数字が独り歩きしますが、実際は数そのものが問題ではありません。ある検証記事では、一般的なおすすめプラグインを22個入れた状態で、トップページのJavaScriptが7本から14本、CSSが39本から53本に増えたと報告されています。増えるのはファイル数であり、原因は各プラグインが全ページで自分のCSSとJSを読み込む設計にあります。

だから対策は「数を減らす」ではなく「重複を消す」です。キャッシュ系を2つ入れると、圧縮とキャッシュが二重にかかって表示が崩れることがあります。画像圧縮も同じで、EWWWとShortPixelを併用する必要はありません。役割ごとに1つ、が原則です。

キャッシュプラグインはWP Rocket（年59.95ドル）が設定の少なさで扱いやすく、無料で済ませるならLiteSpeed CacheかWP Super Cacheになります。サーバーがLiteSpeedならLiteSpeed Cache一択です。なお、表示速度の測定とCore Web Vitalsの詳細はブログの表示速度・Core Web Vitals完全ガイドにまとめているので、数値の読み方はそちらを参照してください。

【比較表】「入れてはいけない」プラグイン5類型

具体的な製品名よりも、この5つの類型を覚えておくほうが再発防止になります。どれも私が実際に踏んだ道です。

類型	見分け方	起きること
2年以上未更新	最終更新日が2024年以前	修正されない脆弱性を抱え続ける
機能の重複	同じ役割が2つ以上ある	二重処理で表示崩れ・速度低下
全部入りの万能型	使わない機能が数十個ある	不要なCSSとJSを全ページで読む
出所不明の無料版	公式外で配布されている	マルウェア混入の現実的なリスク
計測タグの多重設置	同じ解析を2経路で取得	数値の二重カウントと速度低下

とくに4つ目は深刻です。有料プラグインの「無料版」として配布されているファイルには、バックドアが仕込まれた事例が繰り返し報告されています。2026年7月の事案も、正規の更新経路に混入したケースでした。配布元がWordPress.orgか、開発元の公式サイトかを必ず確認してください。

プラグインを減らす実践ステップ

棚卸しは30分あれば終わります。順番に進めてください。

• 手順1：プラグイン一覧を開き、最終更新日が古い順に並べる
• 手順2：名前を見て用途を説明できないものをリストアップする
• 手順3：同じ役割が重複している組を洗い出す
• 手順4：バックアップを取得してから、1つずつ停止して表示を確認する
• 手順5：1週間問題が出なければ削除し、PageSpeed Insightsで前後を比較する

この手順で私のサイトは19個から9個になり、モバイルの表示時間は体感できるレベルで軽くなりました。作業のコツは1回で全部やらないことです。まとめて削除すると、どのプラグインが原因で崩れたのか分からなくなります。

よくある失敗と回避策

相談を受ける中で多いのは、削除したら記事が崩れた、更新したら管理画面に入れなくなった、という2パターンです。どちらも事前の準備で防げます。

記事が崩れるのは、ショートコードやカスタムフィールドが特定プラグインに依存しているためです。停止前に、本文でそのプラグイン固有の記法を使っていないか検索してください。管理画面に入れなくなるのは、PHPのバージョンとプラグインの相性が原因です。更新は週1回・1件ずつが基本で、いきなり一括更新しないこと。自動更新はバックアップが確実に取れているプラグインだけに限定するのが現実的です。

もう1つ、更新後に表示崩れを確認せず放置するケースもあります。更新した日は、トップページ・記事ページ・お問い合わせフォームの3箇所だけでも目視してください。チェックリストを持つと習慣になります。

年間コストと収益インパクトの試算

プラグインの費用は経費になりますが、かけすぎても回収できないと意味がありません。月5万円を目標にするなら、年間1万〜2万円の範囲に収めるのが現実的です。

構成	主な内訳	年間コスト	向いている段階
無料のみ	Rank Math無料・LiteSpeed Cache・EWWW・UpdraftPlus	0円	開設から3ヶ月
標準	WP Rocket＋Rank Math Pro	約1万8,000円	収益が月1万円を超えた頃
フル	上記＋Wordfence Premium	約3万3,000円	月5万円以上・複数サイト

金額は1ドル150円換算の目安で、為替とプランによって変わります。判断基準はシンプルで、そのプラグインが月あたり1,500円以上の収益改善を生むかです。表示速度の改善で成約率が数%上がるなら、WP Rocketの年59.95ドルは回収できます。逆に、収益に影響しない装飾系プラグインに年間1万円を払うのは順番が逆です。

見落としがちなのは、事故のコストです。改ざんを受けてGoogleに警告が出れば、その間の流入はゼロになります。月5万円のサイトが1ヶ月止まると5万円の損失で、年間のプラグイン費用より大きくなります。守るためのプラグインは、収益が小さいうちから入れておく価値があります。

【FAQ】WordPressプラグインと副業ブログに関するよくある質問

よく聞かれる質問を6つにまとめました。判断に迷ったときの参考にしてください。

質問	回答
プラグインは何個までが適正ですか？	役割ごとに1つで8〜10個が目安です。数より重複の有無が重要です。
無料プラグインだけで月5万円は狙えますか？	狙えます。SEO・キャッシュ・画像・バックアップ・セキュリティは無料版で足ります。
更新通知が来ないのは不具合ですか？	2026年6月から6時間のクールダウンがあるため、遅れて届くことがあります。
自動更新はオンにすべきですか？	バックアップが確実に取れているプラグインだけオンにしてください。
使わないプラグインは停止だけで十分ですか？	不十分です。ファイルが残ると攻撃対象になるため削除まで行ってください。
有料プラグインの無料版を配布しているサイトは安全ですか？	安全とは言えません。公式サイトかWordPress.org以外からは入手しないでください。

まとめ—持つ数を決めることが、いちばんの高速化

2026年のWordPressは、プラグインの配信側が賢くなったぶん、運営者側に求められるのは「選ぶ力」です。脆弱性の91%がプラグイン由来という数字は、裏を返せば入れるものを絞ればリスクの大半を避けられるということでもあります。

まずは今日、プラグイン一覧を開いて、最終更新日が2年以上前のものを探してみてください。そして用途を説明できないものが1つでもあれば、バックアップを取って停止するところから始めましょう。8個で足りると分かったとき、ブログ運営はずっと楽になります。