パソコンのチャット画面にIDとパスワードを打ち込もうとして、手を止めて考えている企業のWEB担当者
制作会社・外注管理約14分

制作会社に渡すID・パスワード｜安全な共有のしかたと回収の手順

「サーバーのIDとパスワードを送ってください」

制作会社からそう連絡が来て、チャットの入力欄にパスワードを打ち込んだところで、指が止まる。送信ボタンの上でカーソルがしばらく浮いたまま——そんな数秒を過ごしたことは、ありませんか。

送らないと作業が進まない。でも、なんとなく引っかかる。

その引っかかりは、たぶん正しい感覚です。そして、これまで普通に送ってきた人も、責められることではまったくありません。制作会社にアカウント情報を渡すのは日常的な業務ですし、渡さなければサイトの改修も更新もできません。急ぎの案件で、他に手段がないまま送ったこともあると思います。

今日整理したいのは、「渡してはいけない」という話ではありません。渡し方と、終わったあとの片づけ方の話です。

結論：やることは3つだけです。
①分ける——渡す前に「その人専用のアカウントを作れないか」を確かめる。作れるなら、共有のパスワードは渡さずに済みます。
②渡す——どうしても共有が必要なときは、IDとパスワードの経路を分け、渡した記録を1行残す。
③変える——作業が終わったら、アカウントを止めるか、パスワードを変える。ここが回収です。
全部を今日やらなくて大丈夫です。まずは③の「終わったら変える」を次の1件から始めるだけでも、状態はかなり変わります。

何が起きているのか

WEB担当をしていると、アカウント情報を渡す場面は思った以上に多く出てきます。

ひとつひとつは正当な依頼です。困るのは、渡した瞬間ではなく、そのあと何も起きないことです。

作業は無事に終わる。サイトはきれいになる。請求書が来て、支払いが済んで、案件は完了する。

でも、渡したIDとパスワードは、そのまま生き続けます。

誰も悪くありません。制作会社が悪用するわけでもない。ただ、「終わったので消しておきますね」と言ってくれる仕組みがどこにもないだけです。案件が終わったあとにアカウントを止めるのは、渡した側——つまり自社の仕事だからです。

そして数年経つと、こうなります。

この状態が今すぐ何かを引き起こすわけではありません。何年もそのままで、何も起きない会社のほうが多いと思います。

ただ、いざというときに効いてきます。制作会社を乗り換えることになったとき。担当者が退職したとき。社内でセキュリティの棚卸しを求められたとき。そのときに「誰がどこまで入れるのか分からない」状態だと、確認だけで何日もかかってしまいます。

もうひとつ、地味に大きいのが責任の切り分けです。共有のパスワードを何社にも渡していると、万一サイトに手が加わったときに、どこで何が起きたのかを追いにくくなります。逆にアカウントが分かれていれば、「この作業はこのアカウントから」と静かに分かります。これは疑うためではなく、お互いを守るための仕組みです。

手順を小さく分ける

アカウント情報を分けて発行し、経路を分けて渡し、作業が終わったら変える、という3つの手順を左から順に並べた図
覚えるのは3つだけ。「分ける」「渡す」「変える」の順に進みます

一度に体制を整えようとすると重たくなります。次の案件の1件から、順番に試していきましょう。

①分ける：渡す前に「専用アカウントを作れないか」を見る（10分）

いちばん効くのが、この最初の一歩です。多くのサービスは、パスワードを共有しなくても、相手専用のアカウントを追加できます。

渡す対象相手専用のアカウントを作れるか目安
WordPressなどCMS作れる「ユーザー」→新規追加。相手のメールアドレスで発行
レンタルサーバーFTPアカウントは作れることが多いコントロールパネル本体は共有のみ、という場合あり
GA4・Search Console作れる（権限付与）Googleアカウント単位で招待。パスワードは不要
Googleビジネスプロフィール作れる（権限付与）「管理者」として招待。オーナーは自社に残す
ドメイン登録事業者作れないことが多いここは慎重に。②の渡し方で対応

CMS（＝コンテンツ管理システム。専門知識がなくてもサイトを更新できる仕組み）やGA4のように、アカウントを分けられるものは分けてしまうのが結局いちばん楽です。あとで止めるときも、その1件を消すだけで済みます。

権限は、その作業に必要なぶんだけにします。記事を入れてもらうだけなら「編集者」で足ります。テーマやプラグインを触る改修なら「管理者」が必要です。分からないときは、いったん低めの権限で渡して、「これだと足りませんでした」と言われてから上げるほうが、お互いに気楽です。

依頼するときの一文は、これで十分です。

いつもお世話になっております。
今回の作業用に、御社専用のアカウントを発行いたします。
ご利用になるメールアドレスをご教示いただけますでしょうか。
（作業完了後、当該アカウントは当社側で停止いたします。再度ご対応が必要になりましたら、あらためて発行いたします。）

括弧の一文を先に書いておくのがコツです。あとから止めるときに、切り出しにくくなりません。「最初からそう決まっていた」という形にしておくと、お互いに事務的に処理できます。

②渡す：どうしても共有するときの渡し方（15分）

ドメイン登録事業者の管理画面のように、アカウントを分けられないものもあります。このときだけ、共有のIDとパスワードを渡します。

まず、気持ちの前提から。これまでメールやチャットにそのまま書いて送っていたとしても、それで実害が出ることはそう多くありません。過度に自分を責めなくて大丈夫です。ただ、メールもチャットも「後から検索で出てくる」場所なので、少し工夫しておくと安心が増えます。

やることは3つです。

1. 経路を分ける IDはメール、パスワードは別の手段（口頭、電話、別のチャットツールなど）で伝えます。片方だけが流出しても、それ単体では使えません。手間は増えますが、1回1分の話です。

2. 期限つきの共有を使う パスワード管理サービスや、1回開くと消えるメモ共有サービスを使うと、リンクの有効期限を設定できます。社内で使っているツールがあれば、その共有機能で十分です。ないなら無理に導入しなくてかまいません。その場合は1の「経路を分ける」だけでも効果があります。

3. 渡した記録を1行残す これがいちばん大事で、いちばん忘れられます。スプレッドシート1枚で足ります。

日付渡した相手対象目的権限停止予定停止した日
8/25○○社・△△さんWordPress商品ページ改修管理者9月末

パスワードそのものは、この表に書きません。書くのは「誰に・何を・いつまで」だけ。パスワード本体は、社内のパスワード管理の場所に置いておきます。この考え方はサイト運用マニュアルの作り方でも整理しています。

なお、二段階認証（ログイン時にスマートフォンなどへ届くコードも入力する仕組み）が設定されているサービスは、コードが自社にしか届かないので、相手だけでは入れません。少し面倒ですが、作業の時間を合わせて、その場でコードを伝えるのがいちばん安全です。「◯日の14時から30分、こちらで待機します」と決めてしまうと、やり取りが1往復で済みます。

③変える：終わったあとの回収（10分）

回収といっても、パスワードを返してもらうわけではありません。こちら側で使えなくするのが回収です。

タイミングは、契約終了時ではなく、案件が終わったときです。「保守契約が続いているから」と全部を開けたままにするより、日常的に使うものだけ残して、スポット作業のぶんは都度閉じるほうが、結果的に管理が軽くなります。

止めるときの連絡も、事務的な一文で足ります。

今回はご対応ありがとうございました。
作業完了に伴い、発行しておりましたアカウントを本日停止いたしました。
次回ご対応の際は、あらためて発行いたしますので、お気軽にお申し付けください。

最後の一行があるだけで、「切られた」という印象になりません。関係を続けるための停止です。

④半年に一度、一覧を眺める（15分）

3つの手順が回り始めても、抜けは出ます。だから半年に1回、ユーザー一覧を上から見る日を作っておきます。

見て、消して、それで終わりです。カレンダーに「4月と10月・アカウント棚卸し」と入れておくと忘れません。年間の予定に組み込む方法はサイト運用の年間スケジュールにまとめています。

それでも迷いやすい3つの場面

「相手専用アカウントを作りたい」と言ったら、嫌がられませんか まずありません。制作会社側も、共有アカウントで作業するリスクは分かっています。むしろ「作業ログが自分のアカウントに残るほうが説明しやすい」と歓迎されることのほうが多いです。もし強く共有を求められた場合は、理由を聞いてみてください。ツールの制約という正当な事情のこともありますし、そこで会話が生まれること自体に意味があります。

もう何年も渡しっぱなしのアカウントがあります 過去のぶんを全部さかのぼる必要はありません。まずWordPressのユーザー一覧だけ見てみましょう。ここがいちばん影響が大きく、いちばん手軽に整理できます。取引の終わった会社の管理者アカウントがあれば、一報を入れたうえで停止します。サーバーやドメインは、そのあとでかまいません。

社内の誰かと共有しているパスワードはどうすれば 外注先と同じ考え方です。ただ社内の場合、退職・異動のタイミングで変えるのがきっかけになります。人事の異動連絡が来たら、WEB関連のアカウントも見る——という流れを自分の中に作っておくと、自然に回ります。ログイン周りの基本はWordPressのログインを守る基本対策もあわせてどうぞ。

今日のチェックリスト

全部にチェックが入らなくて大丈夫です。次の1件で「専用アカウントを作れますか」と聞けたなら、それだけで今日は十分です。

締めに

アカウントの整理は、誰の目にも留まらない仕事です。きれいに片づいても、サイトの見た目は何も変わりません。売上の数字も動きません。報告する場面もないので、社内では誰も知らないままです。

でも、この仕事には静かな価値があります。

渡した相手を疑わずに済むこと。アカウントが分かれていれば、「あの会社にまだ入れる状態なんだよな」という小さな引っかかりを抱えなくていい。相手を信頼したまま、仕組みだけで安心できます。

次の人を困らせないこと。ユーザー一覧に見覚えのない名前が並んでいないサイトを引き継ぐのは、思っている以上にありがたいものです。あなたが席を離れる日、その一覧が次の担当者を助けます。

自分の判断を守ること。万一何かがあったとき、「誰がどこまで入れるか」を説明できる状態にしておくのは、会社を守ると同時に、あなた自身を守ることでもあります。

今日は、送信ボタンの上でカーソルが止まった、あの数秒の話でした。あの引っかかりを感じられた時点で、必要な感覚はもう持っています。

次の依頼のとき、「専用アカウントを発行しますね」と一言添えてみてください。それだけで、渡し方は変わります。一度に体制を作らなくて大丈夫。今日の1件からで、十分間に合います。

アカウントの一覧を整理し終えて、すっきりした表情でパソコンの前に座っている企業のWEB担当者
ひとつ整理するたび、次の人が助かります
※本記事は一般的な実務の考え方をまとめたものです。アカウントの追加可否・権限の名称・二段階認証の設定方法は、ご利用のサーバー会社・CMS・各サービスによって異なります。実際の設定は、各サービスの最新の公式情報をご確認のうえ、社内の情報システム部門や制作会社にご相談ください。

よければ、こちらも

「うちの場合はどう渡せばいいんだろう」と迷ったら、お問い合わせからいつでも声をかけてくださいね。一緒に整理していきましょう。

関連用語