セキュリティ・弱点
予約カレンダーやフォームのプラグイン、更新しないとどうなる？歯科医院のWordPressの弱点
WordPressの管理画面にログインすると、「更新があります」という表示がいくつも並んでいる。けれど、押したら予約カレンダーが動かなくなるのでは、と怖くてそのままにしている。歯科医院の事務長の方から、こうしたお話をよく伺います。この記事では、予約やフォームのプラグイン（追加部品）を更新しないと何が起きやすいのか、どうすれば予約を止めずに安全に更新できるのかをお伝えします。
プラグインは「後から付けた便利な部品」
WordPressは、ホームページの文章や画像を編集するための仕組みです。そこにプラグインと呼ばれる追加部品を付けることで、いろいろな機能を足せます。歯科医院のホームページでよく使われているのは、次のような部品です。
- 予約カレンダー：空き時間を表示し、患者さんが日時を選んで予約できる
- 問い合わせフォーム：相談や質問、初診の申込みを受け付ける
- 求人の応募フォーム：歯科衛生士や歯科助手の応募を受け付ける
- お知らせの表示：休診日や臨時の診療時間の変更を一覧で見せる
- 症例やギャラリーの表示：写真を並べて見せる
プラグインは世界中の開発者が作っていて、弱点が見つかると修正版が出されます。ところが、医院側で更新しないと、修正版が出ていても古いまま動き続けます。特に予約やフォームの部品は、外部から入力を受け付ける入口なので、弱点をねらわれやすい場所です。
更新しないまま放置すると起きやすいこと
古いプラグインを使い続けたときに起きやすいことは、大きく分けて3つです。
1つ目は入力内容の流出です。予約フォームに入った氏名・電話番号、相談フォームに書かれた症状などが外に出てしまうおそれがあります。症状などの健康に関わる情報は要配慮個人情報にあたり、漏れた場合は件数に関係なく、個人情報保護委員会への報告とご本人への通知が必要です。詳しくは個人情報保護委員会の案内をご確認ください。
2つ目はページの書き換えです。自費診療のページに見覚えのない広告が出たり、予約ボタンの行き先が別のサイトに変えられたりすることがあります。3つ目は、弱点とは別に、ある日突然動かなくなることです。PHPなどの土台が更新されたとき、長く更新されていないプラグインだけが対応できず、予約カレンダーが表示されなくなる、という形で表に出てきます。
貴院のホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
更新が止まっている部品の見つけ方
WordPressの管理画面にログインできる場合は、プラグインの一覧で状態を確かめられます。ログインできない場合や、制作会社が管理している場合は、次の表の項目を制作会社に聞いてください。
| 確かめること | 見るところ・聞き方 | 気にしたいサイン |
|---|---|---|
| 更新があるか | 管理画面のプラグイン一覧で「更新があります」の表示 | 長い間、更新の表示が残ったまま |
| 使っているか | 一覧で「有効」になっているか | 使っていないのに有効のままの部品 |
| 開発が続いているか | プラグインの説明で最終更新日を見る | 何年も更新されていない部品 |
| 何に使っているか | 制作会社に「この部品は何の機能ですか」と聞く | 誰も役割を説明できない部品 |
| 予約やフォームに関わるか | 予約カレンダー・フォーム・求人の部品を特定する | 入口になる部品が古いまま |
ポイント
使っていないプラグインは、更新するより「止めて削除する」ほうが安全な場合があります。削除してよいかは、制作会社に役割を確かめてから判断してください。
予約を止めずに更新する進め方
更新ボタンを押すだけなら一瞬ですが、予約カレンダーが動かなくなると患者さんにも受付にも影響が出ます。次の順番で進めると、トラブルが起きても戻しやすくなります。
- バックアップを取る更新の前に、ホームページ一式と、予約データがある場合はそのデータの控えを取ります。戻せる状態を作ってから作業するのが基本です。
- 予約の少ない時間を選ぶ休診日や診療終了後など、Web予約が入りにくい時間に作業します。連休前の予約が集中する時期は避けます。
- 1つずつ更新するまとめて更新すると、どれが原因で不具合が出たのか分からなくなります。予約やフォームの部品は1つずつ更新します。
- 実際に予約とフォームを試すテスト用の予約を入れ、確認メールが医院と患者さん側の両方に届くかを確かめます。終わったらテストの予約は取り消します。
- 記録を残すいつ、どの部品を、どの版に更新したかをメモしておくと、次に不具合が出たときの手がかりになります。
更新したあとにメールが届かなくなった場合は、Web予約や問い合わせのメールが届かない時の確かめ方を参考にしてください。また、土台のPHPを上げるときにも同じ注意が必要です。PHPの脆弱性、歯科医院のホームページは何を確かめる？もあわせてご覧ください。
誰が更新するかを決めておく
プラグインの更新で一番困るのは、院内も制作会社も「相手がやっていると思っていた」という状態です。保守契約を結んでいても、契約にプラグインの更新が含まれていないことがあります。次の点を一度確かめておくと、役割がはっきりします。
- プラグインの更新は、保守契約に含まれているか
- 更新は定期的に行うのか、頼んだときだけなのか
- 更新の前にバックアップを取ってもらえるか
- 更新で不具合が出た場合、元に戻してもらえるか
- 院内で更新してよい部品と、触らないほうがよい部品はどれか
院内で更新を担当する場合も、予約カレンダーのように患者さんに直接関わる部品だけは、制作会社と相談しながら進めると安心です。
また、管理画面に入れる人が多いほど、誰がいつ何を変えたのかが分かりにくくなります。更新を担当する人を決め、ログインのIDもその人専用にしておくと、もし不具合が出ても経緯をたどりやすくなります。退職したスタッフのIDが残ったままになっていないかも、あわせて確かめておきたい点です。詳しくは管理画面のIDとパスワード、院内で使い回していませんか？でまとめています。
更新の見落としを防ぐために
日々の診療の中で、プラグインの更新状況を毎週見に行くのは大変です。HPドクターの「AIみまもり」は、AIが貴院のホームページを週3回（月・水・金）診断し、変化があった時だけお知らせします。気になる表示や、更新してよいか迷う部品があれば、AIにそのまま相談できます。
料金は月額1,500円で、14日間は無料です。今の制作会社との契約はそのままでかまいません。人に直接相談したい場合は、月額20,000円・50,000円（税別、作業は別途お見積もり）の助言プランもあります。まずは14日間無料のAIみまもりからお試しください。
まずは14日間、AIに見守らせてください
今の制作会社との契約はそのままで、貴院のサイトをAIが週3回診断し、変化があった時だけお知らせします。人に相談したい方は、無料で担当者にご相談いただけます。
14日間無料で始める まずは人に相談するよくあるご質問
更新ボタンを押すと、予約カレンダーが壊れることはありますか？
まれに、更新後に表示が崩れたり動かなくなったりすることがあります。そのため、バックアップを取り、予約の少ない時間に1つずつ更新し、終わったらテスト予約で動作を確かめる進め方をおすすめします。
使っていないプラグインはそのままでもよいですか？
使っていなくても有効のままだと、弱点の入口になることがあります。役割を制作会社に確かめたうえで、不要なら止めて削除するのが安全です。
外部の予約サービスを使っている場合も、プラグインの更新は必要ですか？
予約サービス本体の更新はサービス側が行います。ただし、ホームページに予約ボタンや埋め込みを表示するためのプラグインを使っている場合は、その部品の更新は必要です。
WordPressの管理画面にログインできません。どうすればよいですか？
まずは制作会社に、管理画面のIDと、プラグインの更新を誰が担当しているかを確かめてください。ログイン情報の扱いについては、院内で共有する場合の注意もあわせて確認しておくと安心です。
この記事は、歯科医院のホームページの見守りと相談を担当する「HPドクター」編集部がまとめました。
