エックスサーバーが8月6日、XServer for WordPressをAPIに対応させました。ただ、5月に登場したXServer MCP Serverの対応は、公開資料では確認できません。同じ会社は1月に、AIクローラーを一括遮断する機能を出したばかりです。締め出しと明け渡しのおよそ7か月を、58本のエンドポイントから読み解きます。
エックスサーバー株式会社は2026年8月6日、REST API「XServer API」の対応サービスを拡大し、WordPress専用ホスティング『XServer for WordPress』に対応した。専用管理画面「WPパネル」の主要な操作を、AIエージェントや外部プログラムから実行できる。
対応するのはサイトの作成・削除、ステージング環境の作成、バックアップの作成・復元、WordPress本体やプラグイン・テーマの管理、WordPressユーザーとセキュリティの設定、ドメインとDNSレコード、PHPバージョン、ログ、Cron、SSHの各設定である。
APIキーは複数作成でき、キーごとに対象の契約やサイト、権限、IPアドレス制限を設定できる。リクエスト数の上限はプランによって異なる。
From: 
AIエージェントや外部プログラムから各種操作を実行できる「XServer API」が『XServer for WordPress』に対応
【編集部解説】
「AIエージェントから」と書かれているが、今日届いたのはAPIである
見出しの言葉に引っ張られる前に、確認しておきたい差分があります。
エックスサーバーは2026年4月16日に「XServer API」を提供開始し、5月12日には「XServer MCP Server」と「XServer CLI」を追加しました。MCPサーバーがあれば、Claude DesktopやCursorのようなAIアシスタントに設定を数行書き足すだけで、自然言語の指示がそのままサーバー操作になります。「ステージングを作って」と打てば動く、という状態です。
ただし、この5月12日の対応が及んだのは『エックスサーバー』と『XServerビジネス』の2サービスで、『XServer for WordPress』は含まれていませんでした。そして本日の発表で追加されたのも、REST APIまでです。
for WordPressのマニュアル「管理ツール」の項目に並ぶのは、XServerアカウント、契約管理、WPパネル、ファイルマネージャ、AIチャット、そしてXServer APIの6つ。MCP ServerやCLIの項目はありません。開発者向けサイトのAIスキル一覧も、用意されているのは xserver と xbiz の2種類だけです。そして更新履歴の書きぶりが、いちばん分かりやすい。6月4日と7月16日の項目には「API・コマンドライン（CLI）・MCP・Agent Skillから操作できるようになりました」と明記されているのに対し、8月6日のXServer for WordPress APIの項目は「REST APIの提供を開始しました」とだけ書かれています。少なくとも更新履歴上、for WordPressへのMCP・CLI・Agent Skill対応は示されていません。
つまり現時点でfor WordPressの契約者がAIエージェントにサーバーを触らせたい場合、APIキーを発行したうえで、AI側から叩くための繋ぎ込みを自前で用意する必要があります。幸いOpenAPI仕様のJSONが公開されているので、そこからツール定義を生成する道はありますが、5月に本体側が得た「設定ファイルに数行」という手軽さとは、まだ距離があります。逆にいえば、REST API自体はAIエージェントからの利用を前提に案内されているため、接続処理さえ用意すれば自動操作は可能です。
もっとも、4月16日のAPI公開から5月12日のMCP対応まで26日でした。ただしfor WordPressについて同様の予定が公表されているわけではありません。今日の発表を読むうえでは、「AIエージェント対応の第一段階が来た」と捉えるのが実態に近いと考えます。
WPパネルの主要操作が、広く外から叩ける
公開されたAPIリファレンスを数えると、エンドポイントは58本、カテゴリは17です（APIキー情報を1カテゴリ・1本として含めた集計）。
内訳を眺めると、この範囲設定にはかなりの踏み込みがあります。サイトの新規作成と削除。ステージング環境の複製。バックアップの作成と復元。プラグインのインストールと有効化。WordPressユーザーの作成と権限付与。国外アクセス制限の切り替え。DNSレコードの追加。SSH公開鍵の登録——鍵ペアをサーバー側で生成させることもでき、その場合、秘密鍵はレスポンスで一度だけ返ります。
読み取り系だけを開けて様子を見る、という慎重な出し方もあり得たはずですが、そうはなっていません。後述する制約はあるものの、運用の中身をかなり広く外部に開いた設計です。
同日の更新履歴では、XServerドメインAPIの提供開始と、APIキーの発行単位の刷新も公表されています。キーはサーバーアカウント単位からXServerアカウント単位となり、1つのキーに複数のサーバーアカウントと、サーバー管理・ドメイン・XServer for WordPressなど複数サービスの権限をまとめて設定できるようになりました。横断運用がしやすくなる一方、複数サービスの権限を1本に集約した場合、そのキーの漏洩時に生じる影響範囲も広がりえます。後述する権限設定とIPアドレス制限は、この点からも重要です。
WordPress側の動きと重ねると、この時期に出てきた意味が見えてきます。WordPressでは、6.9でサーバー側のAbilities APIが導入され、2026年5月20日公開の7.0では、コアにAI Clientとクライアント側のAbilities APIが加わりました。さらに、登録されたAbilitiesをMCP経由で公開する公式のMCP Adapterが、WordPressコアとは別のパッケージとして提供されています。CMSの内側は、WordPressプロジェクト自身が開こうとしている。そこにホスティング事業者が、CMSの外側——サイトそのものの作成や削除、サーバー設定という層——を開いた。上と下の両方から、WordPressサイトはAIエージェントに触れる対象になりつつあります。
1月は「AIを締め出す」機能を出していた
同じ会社の直近の登場は、2026年1月7日の「AIクローラー遮断設定」でした。サーバーパネルからワンクリックで20種類以上の生成AI向けクローラーを一括でブロックする機能で、対象にはXServer for WordPressの全プランも含まれていました。
一見すると「AIを遮断する機能」と「AIから操作できるAPI」は逆方向に見えます。しかし前者はサイト公開者がクローラーからのアクセスを制御する機能で、後者は契約者が鍵と権限を設定して外部操作を許可する仕組みです。分かれ目はAIかどうかではなく、アクセスや操作の許可を利用者側が管理できるかどうかにあります。およそ7か月を挟んだ2つの機能は、その一点で一貫しています。
日本のレンタルサーバー市場でも、この方向は同時多発的です。GMOペパボはロリポップ！でAIエージェントクラウド、AIホームページ、ゼロトラストリンクと立て続けに投入しています。国内のホスティング事業者でも、AIエージェントを意識した機能の投入が相次ぎ始めています。
権限は細かい。ただし不可逆な操作が同じ列に並んでいる
for WordPressのAPIキーは、「対象のご契約」と「対象のサイト」という2軸で範囲を絞れます。権限は「すべての操作」「読み取り専用」「カスタム」の3種類で、カスタムなら17カテゴリごとに読み・書きを個別指定できます。有効期限とIPアドレス制限も設定可能です。粒度としては十分に細かい部類でしょう。
それでも、渡す相手が自律的に判断して動くエージェントであることを踏まえると、注意しておきたい点がいくつかあります。
サイト削除は復元できません。本番環境を削除すると、紐づくステージング環境も一緒に消えます。バックアップからの復元は現在の内容を上書きし、取り消せません。「一覧を確認して不要なものを整理して」という曖昧な指示が、そのまま不可逆な結果に届く経路が存在します。
一方で、歯止めと読める設計も入っています。for WordPressには不正アクセス対策をまとめて有効化する「セキュリティ自動最適化モード」があり、これが有効なサイトでは、一部のセキュリティ設定をAPIから無効化できません。設定一覧のレスポンスには is_disable_locked というフラグが用意され、ロック対象がどれかを呼び出し側が事前に判別できるようになっています。エージェントを含む外部呼び出しからは解除できない、安全側の制約として機能すると読めます。
非同期処理には Idempotency-Key ヘッダーが用意されており、タイムアウトで応答を受け取れなかったときに同じキーで再送しても、処理は重複実行されません。リトライを繰り返しがちなエージェントとの相性を考えた仕様です。
導入前に確認しておきたい制約
実務で効いてくる制約が、リリース本文ではなくAPIリファレンス側に書かれています。
マルチサイト環境では、プラグイン、テーマ、WordPress本体の更新、ユーザー管理、セキュリティ設定、サイトURL変更、ステージング作成、手動バックアップが利用できません。複数ブランドのサイトをマルチサイトで束ねている企業ほど、今回の恩恵が薄くなる構造です。
テーマ管理APIからインストール・更新できるのは、WordPress.org公式リポジトリのテーマに限られます。for WordPressの契約特典である「Xwrite」やCocoonといった提供テーマは、このAPIでは入れられず、更新もできません。ただしCocoonは、サイトを新規作成する際の初期テーマとしてなら指定できます。テーマの無効化APIも提供されていません。DNSレコードは同社ネームサーバー利用ドメインが対象で、NSレコードは扱えません。ログAPIはキーワードと行数で取得範囲を絞る形で、アクセスログはこれに加えて日付も指定できます。全期間を一括で取り出す仕様ではありません。
レート制限は契約単位で、同じ契約で複数キーを発行しても合算されます。上限はベーシックが毎分60回・1日1万回・同時5接続、スタンダードが毎分120回・1日3万回・同時10接続、プレミアムとエンタープライズが毎分300回・1日10万回・同時20接続です。サイト作成やバックアップは非同期処理で、進捗確認のポーリングは15〜30秒間隔が推奨されています。同一契約から5本を超えるリクエストを同時に投げる設計では、ベーシックの同時接続上限が先に制約になります。
留保
最後に、現時点で判断材料が揃っていない部分を3つ挙げておきます。
効果をどう測るか。リリースが掲げる効能は「管理画面へのログインや手動操作の手間の削減」です。しかし削減幅を示す数値は公表されていません。何サイトを何人で回している事業者が、どの作業で、どれだけ短縮できるのか。この輪郭は各社が自分の運用に当てて見積もるほかありません。
AIエージェントに任せられる範囲は、まだ実証されていない。APIが58本あることと、エージェントに58本すべてを安全に任せられることは別の話です。プロンプトインジェクションによってAIが意図しない操作へ誘導されるリスクは、MCPをめぐる議論で繰り返し指摘されてきました。書き込み権限を持つキーを自律エージェントに渡す前に、まずは読み取り専用キーで挙動を観察する段取りを、強く勧めます。
費用の扱いが明示されていない。APIは全プランが対象です。ただし、追加料金の有無を示す記載は、8月6日時点の発表、マニュアル、料金ページのいずれでも確認できませんでした。導入時にはサポートへの確認が必要です。
なお、記事中の料金・スペックは2026年8月6日時点の公開情報に基づくものです。同社は9月15日17時までのキャンペーン価格を適用中で、掲載価格はその期間限定のものを含みます。
【関連記事】
エックスサーバーが国内初「AIクローラー遮断設定」提供開始。ChatGPT・Gemini・Claudeを一括ブロック
エックスサーバーが1月に投入したAIクローラー遮断設定を報じた記事。XServer for WordPress全プランも対象だった。
WordPress 7.0「Armstrong」公開、AIクライアント標準搭載でCMSが生成AI時代へ
WordPress 7.0がコアにAIクライアントを搭載した経緯を伝える記事。CMS側から見たAI開放の動きを扱っている。
WordPress 7.1、AIに読まれるCMSへ ─ シェア41.5%が問う「エージェント時代の生き残り方」
開発中の7.1でAbilities APIやMCPが進む状況を追う。AIから使われるCMSという設計思想について論じている。
GMOペパボ「ロリポップ！ゼロトラストリンク」Linux対応｜AIエージェントを社内環境へ安全接続
GMOペパボがAIエージェントを社内環境へ安全接続する機能をLinuxに拡張した。国内ホスティング各社の動向が分かる記事。
【編集部後記】
APIリファレンスに、一行だけ性格の違う記述があります。認証の失敗が短時間に続くと、キーの照合より前に、IPアドレス単位で一時的にブロックされる。人間なら二度三度で手を止めますが、エージェントは失敗の理由を推測しながら再試行を重ねます。
止まるのは、そのエージェントだけではありません。同じ送信元グローバルIPを共有する、正しいキーを持った別の処理まで巻き添えになりうる。自動化を設計するとき最初に想像しておくべきは、うまくいったときの効率ではなく、間違えたときの巻き添えの範囲かもしれません。
【用語解説】
REST API
HTTPの標準的な作法（GET・POST・PUT・DELETE）でサーバー上の資源を操作する、最も普及したAPIの形式。curlやPythonなど、使い慣れた道具からそのまま呼び出せる。
エンドポイント
APIで呼び出せる個々の操作の入り口。1つの操作が1つのURLと1つのHTTPメソッドの組み合わせに対応する。
WPパネル
XServer for WordPress専用の管理画面。サイト作成、バックアップ、プラグイン・テーマ管理、セキュリティ設定などを行う。今回のAPIは、この画面の機能を外部から呼べるようにしたもの。
APIキー
APIの利用者を識別する認証情報。XServer for WordPressでは xs_ で始まる文字列で、発行時にのみ全文が表示される。漏洩すればサーバーの不正操作につながる。
MCP（Model Context Protocol）
AIモデルと外部ツールを接続するための共通規格。2024年11月にAnthropicが公開し、業界標準として普及しつつある。対応サーバーがあれば、AIアシスタント側は設定を書き足すだけで外部システムを操作できる。
OpenAPI仕様
APIの仕様を機械可読な形式（JSONやYAML）で記述する標準。これがあると、各言語のクライアントコードやAIエージェント用のツール定義を自動生成できる。
ステージング環境
本番サイトの複製として用意する検証用の環境。プラグイン更新やデザイン変更を、公開中のサイトに影響を与えずに試すために使う。
レート制限
一定時間内に受け付けるAPIリクエスト数の上限。XServer for WordPressでは契約単位で適用され、複数のAPIキーを発行しても合算される。
Idempotency-Key
同一のリクエストが重複して実行されるのを防ぐためのヘッダー。通信が途切れて応答を受け取れなかったときに同じキーで再送すると、処理は繰り返されず初回と同じ結果が返る。
マルチサイト
1つのWordPressで複数のサイトを運用する機能。XServer for WordPressのAPIでは、この構成のサイトに対してプラグイン・テーマ・ユーザー管理などの操作が利用できない。
セキュリティ自動最適化モード
XServer for WordPressが備える、推奨されるセキュリティ設定を自動で適用する機能。有効なサイトでは、一部の設定をAPIから無効化できない。
プロンプトインジェクション
悪意ある指示を入力に紛れ込ませ、AIに本来の制約を逸脱した動作をさせる攻撃。外部ツールの操作権限を持つAIエージェントでは、誤動作が実際の操作として外部に及ぶ。
Abilities API
WordPressの機能を、定義済みの入出力や権限とともに登録・公開する仕組み。サーバー側APIはWordPress 6.9で導入され、7.0ではクライアント側で利用するJavaScript APIが加わった。
【参考リンク】
XServer for WordPress（外部）
法人向けWordPress専用ホスティングサービス。共有2プランと仮想専用2プランがあり、専用管理画面「WPパネル」を備える。
XServer for WordPress API リファレンス（外部）
XServer for WordPress向けAPIの公式リファレンス。17カテゴリ58本の仕様とOpenAPI定義を公開している。
XServer API（マニュアル）（外部）
APIキーの発行手順、権限とIP制限の設定、プラン別のレート制限をまとめた公式マニュアル。本件の一次資料にあたるページ。
XServer AI スキル（外部）
エックスサーバーとXServerビジネス向けのAgent Skill配布ページ。for WordPress向けのスキルは掲載されていない。
更新履歴（API / CLI）（外部）
API・CLI・MCP・Agent Skillの更新履歴。8月6日にfor WordPress APIとドメインAPIの追加が載る。
料金プラン比較（外部）
XServer for WordPressの料金プラン。掲載価格は2026年9月15日17時までのキャンペーン価格が適用中である。
【参考記事】
エックスサーバー株式会社、AIエージェントからのサーバー操作を可能にする「XServer API」の提供を開始（外部）
XServer API本体の提供開始を告げたリリース。対象は2サービスで、契約者は追加料金なしで利用できると明記している。
エックスサーバー株式会社、AIエージェントによるサーバー操作に対応する「XServer MCP Server」と公式CLI「XServer CLI」の提供を開始（外部）
API公開から26日後にMCP ServerとCLIが追加された経緯を伝える。対象はエックスサーバーとXServerビジネスの2つ。
XServer API提供開始、AIエージェントで操作可能に（外部）
XServer API提供開始時の解説記事。APIキーの発行場所と、追加料金なしという利用条件を分かりやすく整理している。
エックスサーバー株式会社、企業のサイト運営におけるセキュリティ課題を解決―― 法人向けWordPress専用ホスティングサービス『XServer for WordPress』の提供を開始（外部）
XServer for WordPressの提供開始リリース。セキュリティ自動最適化モードの効果を自社集計の数値とともに示す。
XServer公式MCP×Claude Codeでサーバー運用を自然言語化｜実機検証ガイド【2026年5月】（外部）
MCP Server提供開始を受けて実機で接続を検証した記事。公式リリースにはない導入手順と時系列の情報を補完している。
