結論
WordPress 7.0のAI機能は、入れただけでは動きません。
AIの会社ごとの連携プラグインを入れ、APIキーを登録して初めて使えます。
保守の面で見るべき点は三つです。
APIキーをどこに置くか、誰がAIを使えるか、外部のAIエージェントにどこまで操作させるかです。
管理画面から登録したAPIキーは、暗号化されずにデータベースに保存されます。
キーは環境変数か wp-config.php の定数に置き、バックアップと検証環境の複製にキーが紛れ込まないようにするのが基本です。
2026年10月29日に、公式サイトで配布されているWordPress 7.0のソースコードと、公式の開発者向け告知を読み合わせて確かめた内容です。
WordPress 7.0で入ったAI関連の機能
WordPress 7.0には、AIにつなぐための土台がコアに入りました。
ただし、文章や画像を作る機能そのものは、別のプラグインを入れて使う仕組みです。
WordPress 7.0は2026年5月20日に公開されました。
公式のリリース告知では、AIの土台、管理画面の配色の刷新、コマンドパレットなどが紹介されています。
AIに関係する部品は次の四つです。
| 部品 | 役割 | コアに入っているか |
|---|---|---|
| AI Client | プラグインがAIのモデルを呼び出すための共通の窓口 | 入っている |
| Connectors (設定メニューの新しい画面) | 外部サービスとの接続とAPIキーを一か所で管理する | 入っている |
| Abilities API | サイトで何ができるかを、機械が読める形で登録する | 入っている (6.9から) |
| AIプラグイン・各社の連携プラグイン・MCP Adapter | タイトルや画像の生成、AIの会社との接続、外部のAIエージェントとの接続 | 入っていない (別に入れる) |
7.0の配布ファイルに同梱されているプラグインは、従来どおり Akismet と Hello Dolly だけでした。
Anthropic・Google・OpenAI の3社は、Connectors画面に最初から候補として並びます。
ただし、実際に呼び出すには各社の連携プラグイン (ai-provider-for-anthropic など) が必要です。
Connectors API の開発者向け告知にも、この3社が最初からの接続先として書かれています。
つまり、7.0に更新しただけで、サイトが勝手にAIの会社と通信を始めることはありません。
保守の判断が必要になるのは、誰かがプラグインを入れてキーを登録したときです。
AIを使わないサイトでも、更新前に確かめること
AI機能を使う予定がないサイトでも、7.0への更新ではPHPのバージョンとエディターの表示方式を先に確かめます。
PHP 7.4未満のサーバーは6.9系に留まる
7.0から、動かすのに必要なPHPのバージョンが7.4以上になりました。
配布ファイルの wp-includes/version.php にも7.4と書かれています。
PHP 7.2と7.3のサポート終了の告知によれば、PHP 7.2・7.3のサイトには7.0が配られず、6.9系のまま残ります。
WordPressの更新の案内に出ている最新版も7.1系になっています。
更新できないまま古い系統に残っていないか、サーバーのPHPから確かめるのが先です。
投稿の編集画面がiframeで表示されるようになる
7.0では、投稿の編集画面をiframeの中に表示する範囲が広がりました。
古い作りのブロックや、編集画面に独自のCSSやJavaScriptを読み込ませているプラグインがあると、見た目や動きが崩れることがあります。
7.0の Field Guide に変更点の一覧があります。
検証環境で編集画面を開き、主要なブロックで崩れがないかを見てから本番を更新します。
APIキーはどこに保存されるか
AIの会社のAPIキーは、環境変数、PHPの定数、データベースの順に探されます。
管理画面から入力したキーは、データベースに暗号化されずに保存されます。
7.0のコア (wp-includes/connectors.php) を読むと、キーを探す順番は次のとおりです。
- 環境変数
Anthropicなら ANTHROPIC_API_KEY のように、会社名の後ろに _API_KEY を付けた名前です。 - PHPの定数
同じ名前で wp-config.php に define します。 - データベース
Connectors画面から入力すると、wp_options に connectors_ai_anthropic_api_key のような名前で保存されます。
開発者向け告知には、データベースのキーは暗号化されず、画面上で伏せ字になるだけだと書かれています。
コアのコードでも、REST API の設定の応答では末尾4文字以外を伏せ字にしています。
一方、データベースの中身は入力したままの文字列です。
保守の面では、ここから三つの注意が出てきます。
バックアップにキーが入る
データベースのバックアップには、APIキーもそのまま入ります。
バックアップの保存先を広い範囲の人が見られる状態だと、キーも同じ範囲に広がります。
検証環境に本番のキーが複製される
本番のデータベースを検証環境に複製すると、本番のキーも一緒に移ります。
検証環境でAIの機能を試したときの利用料が、本番の契約に請求されることになります。
キーは環境変数か定数に置く
環境変数か定数に置けば、キーはデータベースに入りません。
7.0のコードでも、環境変数か定数にキーがある場合は、データベースの値を使わないようになっています。
サーバーで環境変数を設定できない場合は、wp-config.php の定数を使います。
wp-config.php はバックアップの対象と保管の範囲を別に決められるためです。
誰がAIを使えるか、どう止めるか
Connectors画面を開いてキーを登録できるのは、サイトの設定を変える権限 (manage_options) を持つ利用者だけです。
AIの機能そのものは、定数ひとつでサイト全体を止められます。
7.0の管理メニューの定義 (wp-admin/menu.php) では、Connectors画面は「設定」の下にあり、ほかの設定画面と同じ権限で守られています。
通常は管理者だけが開けます。
AIを使わない方針のサイトでは、wp-config.php で WP_AI_SUPPORT を false にします。
コードでは wp_supports_ai という関数がこの定数を見ていて、false のときはAIの会社への接続先が登録されず、AI Client からの生成の呼び出しも止まります。
プラグインからフィルターで切り替えることもできます。
ただし止まるのは AI Client を通る呼び出しです。
AI Client を使わずに、独自にAIの会社と通信するプラグインはこの定数では止まりません。
プラグインを入れるときに、どこと通信するかを確かめる作業は残ります。
WordPress 7.1では、Connectorsの認証方式にアプリケーションパスワードが加わりました (wp-includes/class-wp-connector-registry.php)。
7.0ではAPIキーと「認証なし」の二つでした。
つなぐ先がAIの会社以外にも広がっていくため、接続の一覧は更新のたびに見直すのが確実です。
外部のAIエージェントにどこまで操作させるか
Abilities API で登録された操作は、MCP Adapter を入れると外部のAIエージェントから呼び出せます。
呼び出しは接続に使った利用者の権限で動くため、管理者のアカウントでつながせないことが大事です。
Abilities API は、サイトで何ができるかを、名前・入力・出力・権限の組で登録する仕組みです。
7.0のコア (wp-includes/abilities.php) には、サイト名などのサイト情報、ログイン中の利用者の情報、PHPやデータベースのバージョンなどの環境情報を返す三つの操作が登録されています。
サイト情報と環境情報は管理者だけが呼べ、REST API の wp-abilities/v1 から一覧できます。
利用者の情報はログインしていれば呼べますが、REST API には出しません。
MCP Adapter は、登録された操作を MCP (AIエージェントが外部の道具を呼ぶための共通の取り決め) の形で外に見せるプラグインで、コアには入っていません。
Claude Desktop などのAIエージェントから、HTTPかWP-CLI経由でつなぎます。
保守の面で決めておくことは次の二つです。
- AIエージェント専用の利用者を作る
エージェントは、接続に使った利用者の権限で操作します。管理者で接続すると、プラグインが登録した書き込みや削除の操作も呼べてしまいます。必要な権限だけを持つ専用の利用者を作り、アプリケーションパスワードもその利用者に発行します。 - プラグインが登録した操作を一覧で確かめる
プラグインを入れたり更新したりすると、そのプラグインが登録した操作が増えることがあります。更新のあとに一覧を見て、外に出したくない操作が増えていないかを確かめます。
更新のときに保守担当が見る項目
7.0以降の更新では、表示や動作の確認に加えて、AIの接続とキーの置き場所を毎回見ます。
| 確かめること | 見る場所 | 問題があったときの対処 |
|---|---|---|
| サーバーのPHPが7.4以上か | サーバーの管理画面、またはサイトヘルス | PHPを上げてから更新する。上げられないうちは6.9系の保守を続ける |
| 編集画面がiframe表示で崩れないか | 検証環境の投稿編集画面 | 崩れるブロックやプラグインを更新するか、置き換える |
| AIの連携プラグインが入っているか | プラグイン一覧、Connectors画面 | 使う予定がなければ外す。AIを使わない方針なら WP_AI_SUPPORT を false にする |
| APIキーがデータベースに入っていないか | Connectors画面に出るキーの出どころ | 環境変数か定数に移し、データベースの値を消す |
| 検証環境に本番のキーが移っていないか | 検証環境のConnectors画面 | 検証用のキーに差し替えるか、削除する |
| 外部エージェントの接続に使う利用者の権限 | ユーザー一覧、アプリケーションパスワード | 専用の利用者に絞り、使っていないパスワードは取り消す |
Connectors画面には、キーが環境変数・定数・データベースのどこから来ているかが表示されます。
これが「データベース」になっていたら、置き場所を移す合図です。
当社の運用保守での扱い
当社のWordPress運用保守では、コアとプラグインの更新、監視、バックアップに加えて、ここで挙げたAIの接続とキーの置き場所も更新のたびに確かめます。
料金は、単一サイトの Core が月60,000円、マーケティング部署の技術パートナーとして実装のレビューや検証環境での公開前チェックまで含む Partner が月200,000円、複数サイトをまとめて見る Multi が月300,000円です (いずれも税別)。
契約は1か月単位で、最低契約期間はありません。
内容の違いはWordPress運用保守のサービス紹介と料金ページにまとめています。
AIの機能を社内で使うかどうか、キーをどこに置くかが決まっていない段階でも、現状の確認から相談できます。
お問い合わせフォームから、お使いのWordPressとPHPのバージョンを添えてご連絡ください。
よくある質問
WordPress 7.0に更新すると、AIの利用料が勝手にかかりますか？
更新しただけではかかりません。
AIの会社につなぐには、連携プラグインを入れてAPIキーを登録する必要があります。
利用料は、キーを発行したAIの会社との契約に請求されます。
検証環境に本番のキーが複製されていると、検証で使った分も同じ契約に請求されるため注意してください。
AI機能を使わないなら、何もしなくてよいですか？
PHPのバージョンと編集画面の表示の確認は、AIを使うかどうかに関係なく必要です。
AIを使わない方針がはっきりしているなら、wp-config.php で WP_AI_SUPPORT を false にしておくと、AI Client を通るAIの呼び出しが止まります。
管理画面で入力したAPIキーは安全ですか？
画面上は伏せ字で表示されますが、データベースには暗号化されずに保存されます。
データベースのバックアップや複製にもそのまま入るため、環境変数か wp-config.php の定数に置く方が扱いやすくなります。
暗号化はWordPressの開発側で検討中と告知されています。
MCP Adapter を入れると、AIエージェントがサイトを自由に操作できますか？
エージェントが呼べるのは、Abilities API に登録された操作のうち、接続に使った利用者の権限で許されたものだけです。
管理者で接続すると呼べる範囲が広くなるため、必要な権限だけを持つ専用の利用者でつなぐことをおすすめします。
この記事の執筆・運営
株式会社Neo Vision (ブランド名: Neovision / 東京都中央区銀座) が運営しています。
本記事は、WordPress.org が公開しているリリース告知・開発者向け告知と、公式サイトで配布されているWordPress 7.0のソースコードに基づいています。
数値の書き方と、誤りが判明したときの直し方は訂正ポリシーに定めています。
