ハクソク

世界を動かす技術を、日本語で。

EmDash – プラグインのセキュリティ問題を解決するWordPressの精神的後継者

2026年4月2日原文(blog.cloudflare.com)

概要

  • ソフトウェア開発コストの大幅な低減とAIエージェントによる高速開発の事例紹介
  • WordPressに代わる新CMS「EmDash」の特徴と技術的優位性
  • EmDashによるプラグインセキュリティ問題の抜本的解決策
  • 柔軟なビジネスモデル（x402対応）とサーバーレス運用の実現
  • EmDashがもたらすオープンで拡張性の高い新しいパブリッシング基盤の提案

EmDash：WordPressの精神的後継CMS

  • EmDash は、WordPressの成功と課題を踏まえてゼロから設計された 新しいオープンソースCMS
  • TypeScript で完全に記述、サーバーレス対応、自己ホスティングや任意のプラットフォームでの運用が可能
  • Astro を基盤に採用、コンテンツ重視サイト向けに最速クラスのWebフレームワーク
  • プラグインは Dynamic Worker 上で安全にサンドボックス実行、WordPressの根本的なセキュリティ問題を解決
  • MITライセンス で公開、GitHubにてソースコード入手可能
  • WordPressコードを一切流用せず、より柔軟なライセンスと拡張性を実現
  • すでにCloudflareアカウントやNode.jsサーバー上で v0.1.0プレビュー版 のデプロイが可能
  • 管理画面も EmDash Playground で体験可能

WordPressの功績と限界

  • WordPressは オープンソースによる出版革命 を実現し、世界中の開発者・クリエイターコミュニティを形成
  • 24年の歴史を持ち、インターネットの40%以上を支えるCMS
  • 近年では、AstroやTypeScriptフレームワークなど新しい選択肢の台頭
  • 今後もWordPressの役割は残るが、より多様なパブリッシング基盤の拡大余地
  • EmDashは「誰でも使える・インストールできる・低コスト」な 新世代オープンCMS を目指す

WordPressプラグインセキュリティ問題の抜本解決

  • WordPressプラグインの 96%がセキュリティ問題の原因
  • プラグインはPHPで書かれ、 データベースやファイルシステムへ直接アクセス できる構造
  • 全権限を持つため、インストール時点で全てを信頼する必要
  • EmDashでは各プラグインが 独立したサンドボックス（Dynamic Worker） で動作
  • プラグインは 必要な権限（capabilities）をmanifestで宣言
  • OAuthのように、インストール前に 明確な権限確認と制御が可能
  • 例：メール送信プラグインは「read:content」「email:send」権限のみを宣言し、他の操作は不可
  • 外部ネットワークアクセスも 必要なホスト名のみ許可
  • 管理者は 権限ベースでインストール可否を制御 でき、より安全な運用が可能

プラグイン・マーケットプレイスのロックイン解消

  • WordPress公式マーケットプレイスは 手動審査・GPLライセンス強制 など高い参入障壁
  • プラグインの評価・信頼性も 中央集権的な仕組みに依存
  • EmDashプラグインは 任意のライセンス選択が可能
  • プラグインは EmDash本体と独立して動作・コード共有なし
  • サンドボックス化により、 コードを見せずに安全に配布・利用可能
  • 開発者・運営者は マーケットプレイスの審査やロックインから解放
  • インストール時に 必要権限のみ明示、利用者がリスクを正確に把握・判断可能
  • オープンなエコシステムとして、 NPMやPyPIのような自由な拡張文化 を促進

x402による新しいビジネスモデル

  • x402 はインターネットネイティブな オンデマンド決済標準
  • EmDashは x402を標準サポート、サブスクリプション不要で コンテンツ単位課金 が可能
  • サイト管理者は 課金対象・金額・ウォレットアドレス を設定するだけ
  • HTTP 402レスポンスによる 自動化されたペイウォール 実装
  • AI時代に対応した 持続可能な収益化モデル をすべてのEmDashサイトに内蔵

サーバーレス時代のスケール・トゥ・ゼロ対応

  • WordPressは従来型の サーバー管理・スケーリング が必須
  • EmDashは Cloudflareのworkerd（V8 isolate） を活用した サーバーレスアーキテクチャ
  • リクエスト時のみインスタンス起動、 アイドル時はゼロコスト
  • CPUタイム課金 でコスト最適化、トラフィック急増にも即応
  • Cloudflare for Platformsを利用すれば、 グローバル規模のスケーラビリティ を実現
  • Node.js環境でも運用可能、柔軟なデプロイ選択肢

EmDashがもたらす未来

  • オープンソースCMSの新たな標準 として、WordPressの精神を継承しつつ現代的な課題を解決
  • セキュアかつ拡張性の高い プラグインエコシステム の実現
  • 誰もが参加できる 柔軟なビジネスモデルと開発コミュニティ
  • サーバーレス・AI時代に最適化された 次世代パブリッシング基盤

Hackerたちの意見

この新しいCMSの名前はEmDashです。WordPressの精神的な後継者だと思っています。完全にTypeScriptで書かれています。サーバーレスですが、自分のハードウェアや好きなプラットフォームで動かすこともできます。プラグインは安全にサンドボックス化されていて、Dynamic Workersを通じて独自のアイソレートで動作します。これにより、WordPressのプラグインアーキテクチャの根本的なセキュリティ問題を解決しています。私にとって、これはCMSが進むべき方向とは真逆のように思えます。むしろ、ウェブサイトのルーツに戻って、静的ファイルで構成されたウェブサイトをシンプルにするべきです。そうすれば、速くてキャッシュしやすく、サーバーサイドレンダリングされたウェブサイトよりもずっと扱いやすいです。でももちろん、そうすると自分たちの「ワーカー」製品を売れなくなるから、彼らがこのように作った理由が少しわかる気がします。少なくとも、自分たちのものを試すために作ったのかもしれません。ただ、実際に「根本的なセキュリティ問題」を解決しているかは疑問ですが、それは今後見ていく必要がありますね。

└

確かに。でも、静的ファイルを簡単にキャッシュできるウェブサイトにホスティングしたい場合、Cloudflareもこの製品を提供してるよね？

└

VercelとNextJSを思い出すな。人気のフレームワークデザインが彼らのインフラに制約されているか、最適に動作するけど、自己ホスティングすると痛みや変なことがある（例えばミドルウェア）。ベンダーロックインは大きな赤信号だね。

└

そうなると、WordPressと互換性のない全く新しいものを作ることになるね。どうやら、WordPressから人を引き離すことが提案されているみたい。新しいフレームワークを探してゼロから何かを作る人を集めるだけじゃないと思う。最近の訴訟も何かしらの勢いを与えているんじゃないかな。

└

この段落を読んで、マジでエイプリルフールのネタかと思ったわ。

└

これ、確かにそうだと思う。ただ、私が関わったノンコーディングのクライアントは、開発者に何度も連絡しなくてもUIでちょっとした編集ができるのが好きなんだよね。WordPressの問題は、（この解決策もその問題をほとんど再現してるみたいだけど）とにかく重すぎて使いづらいこと。最近のSaaSやソフトウェアのUIとは全然違うよ。意味のない管理通知がいっぱいあって、サイドバーは5マイルも長いし、ユーザーが見る98%は意味がない。クライアントが必要な部分だけを編集できる、軽量でミニマルなUIを作るのが、ほとんどの場合で一番の解決策だと思う。ページビルダーはいつもクライアントが開発者に「修正」してもらうための悪夢に変わっちゃうしね。なんでこんなに多くの人が、WordPressが何十年もかけて蓄積した無駄やごちゃごちゃを続ける必要があると思ってるのか、よくわからないな。

└

でも「CMSのルーツに戻る」ってのは、WordPressエコシステムの本質じゃないよ。プラグインの絶対的な銀河があって、デジタル体験を「箱の中」に提供してくれるのがWordPressなんだ。eコマース、CRM、フォーム管理、決済、イベントカレンダー用のプラグインをインストールするだけでいいんだよ。それらはすべてテンプレートシステムとMySQLデータベースにプラグインされる。よく知られた評判の良いプラグイン（WooCommerce、Gravity Forms、Yoast SEOなど）がたくさんあって、インストール数も多いけど、感染する可能性のある怪しいプラグインもたくさんある。Cloudflareは既存のプラグインアーキテクチャの欠点に直接対処していて、EmDashがオールインワンのデジタル体験を提供するニッチを埋めることを意図しているんだよ、ただのシンプルなCMSじゃなくて。

└

どうやらローカルのコンポーネントを自由にプラグインできるようにしたみたいだね？ただ、セキュリティモデルはMACのコンテナ化された環境が手元にあることを前提にしてるから、DIYしたいならDHHの「once」みたいなのがソフトなミニマル依存関係になるかもね。

WordPressの価値はコードにあるとは思わないな。最近WordPressを学んでいるけど、内部にはあまり感心していない。WordPressはエコシステムとサポートのおかげで価値があるんだ。10年後もWordPressは存在していると確信しているよ。EmDashのサポートプランはどうなるんだろう？コミットはほとんど一人の開発者から来ているみたいだし。E: あ、これエイプリルフールのジョークだと思った、恥ずかしい。E2: どうやらジョークじゃないみたい。

└

いつでもhttps://textpattern.com/があるよ。これもWordPressと同じくらい古い（それ以上？）し、コードも良く書かれているよ。（https://textpattern.org/も見てみて。）

└

顔にパイを塗られるかもしれないけど、彼らは私のセリフを盗んだよ。https://github.com/HatmanStack/kill-wordpress

└

Cloudflareはエイプリルフールのジョークをしないよ。実際、1.1.1.1は2018年の4月1日にリリースされて、今では世界で最も使われているDNSサービスの一つになっているんだ。

Hacker Newsで議論の続きを見る