WordPressのセキュリティ問題という「構造的課題」
WordPressはWeb全体の40%以上で使われるCMSですが、長年にわたりセキュリティ脆弱性の96%がプラグインに起因するという構造的な問題を抱えてきました。プラグインがPHPのフルアクセス権限でデータベースやファイルシステムに直接触れる設計が、攻撃者にとって格好の標的となっています。
2026年4月1日、Cloudflareはこの課題に正面から取り組む新CMS「EmDash」をオープンソース（MITライセンス）でプレビューリリースしました。
EmDashの設計思想 — 3つの柱
1. フルスタックTypeScript
WordPressがPHPベースなのに対し、EmDashは全コードがTypeScriptで書かれています。Astro 6.0のインテグレーションとして動作し、フロントエンドからバックエンドまで一貫した型安全な開発が可能です。
2. サンドボックス型プラグインモデル
EmDashの最大の特徴は、プラグインのセキュリティモデルです。
| 項目 | WordPress | EmDash |
|---|---|---|
| プラグイン実行環境 | PHPの同一プロセス | V8アイソレート（サンドボックス） |
| DBアクセス | 直接可能 | 不可（API経由のみ） |
| 権限管理 | なし（フルアクセス） | マニフェストで明示宣言 |
| ファイルシステム | 直接アクセス可 | アクセス不可 |
各プラグインはCloudflare WorkersのDynamic Worker内で完全に隔離された環境で実行されます。マニフェストファイルで read:content、email:send といった権限を明示的に宣言し、それ以外の操作は一切できません。
3. AIネイティブ設計
EmDashは「AIエージェントがCMSを操作する」ことを前提に設計されています。
- MCPサーバー内蔵: 全インスタンスにModel Context Protocolサーバーが付属。AIエージェントが記事の作成・編集・公開を直接実行可能
- Portable Text: コンテンツをHTMLではなく構造化JSON形式で保存。AIがパースなしに読み書きできる
- Agent Skills: プラグイン開発やWordPressからの移行をAIエージェントが自律的に実行できるドキュメント
セットアップ方法
ローカル環境で試す
npm create emdash@latestこれだけで対話式セットアップが始まり、ローカルのSQLiteデータベースでEmDashが起動します。
Cloudflareにデプロイ
Cloudflareダッシュボードからワンクリックデプロイにも対応。D1（SQLite互換データベース）とR2（オブジェクトストレージ）を自動プロビジョニングし、アイドル時はゼロにスケールダウンするサーバーレス構成で運用できます。
WordPressからの移行
- WXRファイル（WordPress eXtended RSS）のインポートに対応
- EmDash Exporterプラグインを使った直接移行も可能
技術アーキテクチャの詳細
データベース層
Kysely（型安全なSQLクエリビルダー）を採用し、複数のバックエンドに対応しています。
- Cloudflare D1 — サーバーレスSQLite
- Turso — 分散SQLite
- PostgreSQL — 従来型RDBMS
- ローカルSQLite — 開発環境
ストレージ層
S3互換APIで統一されており、以下のいずれでも動作します。
- Cloudflare R2
- AWS S3
- ローカルファイルシステム
ライセンス
MITライセンスで、WordPressのGPLよりも寛容です。プラグインやテーマの作者は自身のライセンスを自由に選択できます。
コミュニティの反応
好意的な声
Yoastの創業者 Joost de Valkが自身のサイトをEmDashに移行開始したことは、WordPress界隈で大きな話題となりました。プラグインのセキュリティモデルに対する評価は概ね高く、「WordPressの最大の弱点を正しく解決している」という声が多く見られます。
懐疑的な声
- 「WordPressのエコシステムは数十年かけて構築されたもの。プラグイン数万個が揃うまでには時間がかかる」
- 「エイプリルフール（4/1）に発表するのはマーケティングとして疑問」
- 「Cloudflareへのロックインが懸念される」（ただし、Node.jsでも動作すると明記されている）
全体としては「方向性は正しいが、エコシステムが空」という現実的な評価が主流です。
まとめ — 今すぐ移行すべきか？
EmDashはv0.1.0のプレビュー段階であり、本番サイトの移行にはまだ早いでしょう。しかし、以下のような開発者には触っておく価値があります。
- WordPressのプラグインセキュリティに不安を感じている
- TypeScriptでフルスタック開発をしたい
- AIエージェントとCMSの統合に関心がある
- サーバーレスアーキテクチャで運用コストを最適化したい
CMSの選択は事業の根幹に関わる判断です。WordPressと他のノーコードツールの比較についてはノーコードでホームページを作る方法で詳しく解説しています。また、Jamstackアーキテクチャとの比較に興味がある方はJamstack×ヘッドレスCMS導入事例も参考になるでしょう。
emdashcms.com でプレイグラウンドを試すか、npm create emdash@latest でローカル環境を構築して、次世代CMSの手触りを確かめてみてください。
