ハクソク

世界を動かす技術を、日本語で。

EmDash – プラグインのセキュリティ問題を解決するWordPressの精神的後継者

54日前原文(blog.cloudflare.com)

概要

  • ソフトウェア開発コストの大幅な低減とAIエージェントによる高速開発の事例紹介
  • WordPressに代わる新CMS「EmDash」の特徴と技術的優位性
  • EmDashによるプラグインセキュリティ問題の抜本的解決策
  • 柔軟なビジネスモデル（x402対応）とサーバーレス運用の実現
  • EmDashがもたらすオープンで拡張性の高い新しいパブリッシング基盤の提案

EmDash：WordPressの精神的後継CMS

  • EmDash は、WordPressの成功と課題を踏まえてゼロから設計された 新しいオープンソースCMS
  • TypeScript で完全に記述、サーバーレス対応、自己ホスティングや任意のプラットフォームでの運用が可能
  • Astro を基盤に採用、コンテンツ重視サイト向けに最速クラスのWebフレームワーク
  • プラグインは Dynamic Worker 上で安全にサンドボックス実行、WordPressの根本的なセキュリティ問題を解決
  • MITライセンス で公開、GitHubにてソースコード入手可能
  • WordPressコードを一切流用せず、より柔軟なライセンスと拡張性を実現
  • すでにCloudflareアカウントやNode.jsサーバー上で v0.1.0プレビュー版 のデプロイが可能
  • 管理画面も EmDash Playground で体験可能

WordPressの功績と限界

  • WordPressは オープンソースによる出版革命 を実現し、世界中の開発者・クリエイターコミュニティを形成
  • 24年の歴史を持ち、インターネットの40%以上を支えるCMS
  • 近年では、AstroやTypeScriptフレームワークなど新しい選択肢の台頭
  • 今後もWordPressの役割は残るが、より多様なパブリッシング基盤の拡大余地
  • EmDashは「誰でも使える・インストールできる・低コスト」な 新世代オープンCMS を目指す

WordPressプラグインセキュリティ問題の抜本解決

  • WordPressプラグインの 96%がセキュリティ問題の原因
  • プラグインはPHPで書かれ、 データベースやファイルシステムへ直接アクセス できる構造
  • 全権限を持つため、インストール時点で全てを信頼する必要
  • EmDashでは各プラグインが 独立したサンドボックス（Dynamic Worker） で動作
  • プラグインは 必要な権限（capabilities）をmanifestで宣言
  • OAuthのように、インストール前に 明確な権限確認と制御が可能
  • 例：メール送信プラグインは「read:content」「email:send」権限のみを宣言し、他の操作は不可
  • 外部ネットワークアクセスも 必要なホスト名のみ許可
  • 管理者は 権限ベースでインストール可否を制御 でき、より安全な運用が可能

プラグイン・マーケットプレイスのロックイン解消

  • WordPress公式マーケットプレイスは 手動審査・GPLライセンス強制 など高い参入障壁
  • プラグインの評価・信頼性も 中央集権的な仕組みに依存
  • EmDashプラグインは 任意のライセンス選択が可能
  • プラグインは EmDash本体と独立して動作・コード共有なし
  • サンドボックス化により、 コードを見せずに安全に配布・利用可能
  • 開発者・運営者は マーケットプレイスの審査やロックインから解放
  • インストール時に 必要権限のみ明示、利用者がリスクを正確に把握・判断可能
  • オープンなエコシステムとして、 NPMやPyPIのような自由な拡張文化 を促進

x402による新しいビジネスモデル

  • x402 はインターネットネイティブな オンデマンド決済標準
  • EmDashは x402を標準サポート、サブスクリプション不要で コンテンツ単位課金 が可能
  • サイト管理者は 課金対象・金額・ウォレットアドレス を設定するだけ
  • HTTP 402レスポンスによる 自動化されたペイウォール 実装
  • AI時代に対応した 持続可能な収益化モデル をすべてのEmDashサイトに内蔵

サーバーレス時代のスケール・トゥ・ゼロ対応

  • WordPressは従来型の サーバー管理・スケーリング が必須
  • EmDashは Cloudflareのworkerd（V8 isolate） を活用した サーバーレスアーキテクチャ
  • リクエスト時のみインスタンス起動、 アイドル時はゼロコスト
  • CPUタイム課金 でコスト最適化、トラフィック急増にも即応
  • Cloudflare for Platformsを利用すれば、 グローバル規模のスケーラビリティ を実現
  • Node.js環境でも運用可能、柔軟なデプロイ選択肢

EmDashがもたらす未来

  • オープンソースCMSの新たな標準 として、WordPressの精神を継承しつつ現代的な課題を解決
  • セキュアかつ拡張性の高い プラグインエコシステム の実現
  • 誰もが参加できる 柔軟なビジネスモデルと開発コミュニティ
  • サーバーレス・AI時代に最適化された 次世代パブリッシング基盤

Hackerたちの意見

この新しいCMSの名前はEmDashです。WordPressの精神的な後継者だと思っています。完全にTypeScriptで書かれています。サーバーレスですが、自分のハードウェアや好きなプラットフォームで動かすこともできます。プラグインは安全にサンドボックス化されていて、Dynamic Workersを通じて独自のアイソレートで動作します。これにより、WordPressのプラグインアーキテクチャの根本的なセキュリティ問題を解決しています。私にとって、これはCMSが進むべき方向とは真逆のように思えます。むしろ、ウェブサイトのルーツに戻って、静的ファイルで構成されたウェブサイトをシンプルにするべきです。そうすれば、速くてキャッシュしやすく、サーバーサイドレンダリングされたウェブサイトよりもずっと扱いやすいです。でももちろん、そうすると自分たちの「ワーカー」製品を売れなくなるから、彼らがこのように作った理由が少しわかる気がします。少なくとも、自分たちのものを試すために作ったのかもしれません。ただ、実際に「根本的なセキュリティ問題」を解決しているかは疑問ですが、それは今後見ていく必要がありますね。

└

確かに。でも、静的ファイルを簡単にキャッシュできるウェブサイトにホスティングしたい場合、Cloudflareもこの製品を提供してるよね？

└

VercelとNextJSを思い出すな。人気のフレームワークデザインが彼らのインフラに制約されているか、最適に動作するけど、自己ホスティングすると痛みや変なことがある（例えばミドルウェア）。ベンダーロックインは大きな赤信号だね。

└

そうなると、WordPressと互換性のない全く新しいものを作ることになるね。どうやら、WordPressから人を引き離すことが提案されているみたい。新しいフレームワークを探してゼロから何かを作る人を集めるだけじゃないと思う。最近の訴訟も何かしらの勢いを与えているんじゃないかな。

└

この段落を読んで、マジでエイプリルフールのネタかと思ったわ。

└

これ、確かにそうだと思う。ただ、私が関わったノンコーディングのクライアントは、開発者に何度も連絡しなくてもUIでちょっとした編集ができるのが好きなんだよね。WordPressの問題は、（この解決策もその問題をほとんど再現してるみたいだけど）とにかく重すぎて使いづらいこと。最近のSaaSやソフトウェアのUIとは全然違うよ。意味のない管理通知がいっぱいあって、サイドバーは5マイルも長いし、ユーザーが見る98%は意味がない。クライアントが必要な部分だけを編集できる、軽量でミニマルなUIを作るのが、ほとんどの場合で一番の解決策だと思う。ページビルダーはいつもクライアントが開発者に「修正」してもらうための悪夢に変わっちゃうしね。なんでこんなに多くの人が、WordPressが何十年もかけて蓄積した無駄やごちゃごちゃを続ける必要があると思ってるのか、よくわからないな。

└

でも「CMSのルーツに戻る」ってのは、WordPressエコシステムの本質じゃないよ。プラグインの絶対的な銀河があって、デジタル体験を「箱の中」に提供してくれるのがWordPressなんだ。eコマース、CRM、フォーム管理、決済、イベントカレンダー用のプラグインをインストールするだけでいいんだよ。それらはすべてテンプレートシステムとMySQLデータベースにプラグインされる。よく知られた評判の良いプラグイン（WooCommerce、Gravity Forms、Yoast SEOなど）がたくさんあって、インストール数も多いけど、感染する可能性のある怪しいプラグインもたくさんある。Cloudflareは既存のプラグインアーキテクチャの欠点に直接対処していて、EmDashがオールインワンのデジタル体験を提供するニッチを埋めることを意図しているんだよ、ただのシンプルなCMSじゃなくて。

└

どうやらローカルのコンポーネントを自由にプラグインできるようにしたみたいだね？ただ、セキュリティモデルはMACのコンテナ化された環境が手元にあることを前提にしてるから、DIYしたいならDHHの「once」みたいなのがソフトなミニマル依存関係になるかもね。

WordPressの価値はコードにあるとは思わないな。最近WordPressを学んでいるけど、内部にはあまり感心していない。WordPressはエコシステムとサポートのおかげで価値があるんだ。10年後もWordPressは存在していると確信しているよ。EmDashのサポートプランはどうなるんだろう？コミットはほとんど一人の開発者から来ているみたいだし。E: あ、これエイプリルフールのジョークだと思った、恥ずかしい。E2: どうやらジョークじゃないみたい。

└

いつでもhttps://textpattern.com/があるよ。これもWordPressと同じくらい古い（それ以上？）し、コードも良く書かれているよ。（https://textpattern.org/も見てみて。）

└

顔にパイを塗られるかもしれないけど、彼らは私のセリフを盗んだよ。https://github.com/HatmanStack/kill-wordpress

└

Cloudflareはエイプリルフールのジョークをしないよ。実際、1.1.1.1は2018年の4月1日にリリースされて、今では世界で最も使われているDNSサービスの一つになっているんだ。

└

WordPressって、すごく悪い開発者やマーケティング担当者がひどいコードを書いても許されるから、コストを気にするクライアントにとっては超低コストなソリューションを提供できるのが価値なんだよね。グローバルDBハンドルが欲しいって？じゃあ、テーブル全部削除しちゃおう！やったね！

└

うーん、WP.comと.orgの対立やWPエンジン、マットのことについて、WordPressの「オープンソース」ドラマを追っておいた方がいいかもね。

└

これがエイプリルフールのネタじゃないってことは保証するよ。Cloudflareはそんなことしないから。これは本当のプロジェクトなんだ。

└

CFの仕事はすごいね。このスレッドの多くの人が、これがジョークかどうか迷ってるみたい。まるでHNの人たち向けの微妙にバランスの取れたエイプリルフールみたいだ。

CloudflareがバックアップしたWordPressのスピリチュアルな後継者って理論上は素晴らしいけど、ダイナミックワーカーによるプラグインの隔離って、Cloudflareのランタイムでしか機能しないんだよね。他のホストでは、存在意義を正当化するセキュリティモデルがないTypeScriptのCMSに過ぎない。オープンソースだけど、アーキテクチャ的にはロックインされてる。

└

これ見逃してた。結局、あんまり解決できてないんだね。少なくとも他のランタイムと互換性があるのはいいけど。でも、Cloudflareのソフトウェアが（バイブスロップであることを除いて）Cloudflareのインフラを好むなんて、誰が予想しただろう。これじゃ、ソフトウェアを採用するのがかなり難しくなるよね。

└

オープンソースだけど、アーキテクチャ的にはロックインされてる。まさにその通りだね。Cloudflareの新しいビジネスモデルは、人気のあるOSSプロジェクトを見つけて、Cloudflareのインフラでしか動かないバイブコーディングされた代替品を作ることなんだ。

EmDashはWordPressの機能と互換性を持つことを目指しているが、EmDashを作成するためにWordPressのコードは使用されていない。それにより、より緩やかなMITライセンスの下でオープンソースプロジェクトをライセンスすることができる。ハハ、最近のCleanroom As A Serviceのローンチを考えると、他の人のコードをすぐに簡単にライセンスウォッシュできるっていうのは本当に面白いタイミングだね。私は彼らがそれをやったとは言わないけど、皮肉なタイミングだよね。

└

Malusは（よく作られた）風刺だね。

これが「バイブスロップ」じゃないって納得させてよ。もしCloudflareが最近、ソフトウェア開発の哲学を根本的に変えたなら、Astroをベースにしてプログラム管理用のAPIも付いてるこのプロジェクトは実際に面白いかも。でも、彼らが「ソフトウェア開発のコスト」についてそんなに喜んでるのに、エコシステムやコミュニティ、プロジェクト管理にはあまり深く踏み込んでないのを見ると、これが価値のあるプロジェクトになるとは思えないな。前のバイブコーディングのデモとは違って、今回のは実際に動くけどさ。

└

最初の数文を読んでみて… > でも、過去2ヶ月間、私たちのエージェントはさらに野心的なプロジェクトに取り組んできました。それは、WordPressのオープンソースプロジェクトをゼロから再構築することです。彼らはAI OSSトロールマーケティングの腕を磨いていて、すべてのステップがどんどん進んでいます。実際に彼らが生産で使っているバイブコーディングされたプロジェクトをオープンソースにし始めたら、もっと真剣に受け止めるつもり。

└

これのメインエンジニアだよ。Astroのコアチームにも2年間いて、リアルなオープンソースソフトウェアとコミュニティについては理解してると思う。投稿にもあるように、これにはかなりエージェントの時間を使ったけど、これはバイブコーディングされた週末プロジェクトじゃない。1月中旬からフルタイムで取り組んでるんだ。

└

AIでコーディングしたからって、手抜きってわけじゃない。正しい人の手にかかれば、AIは実際に良いものになることもあるよ。ここ数ヶ月で特にそうなってきたね。

「セキュリティを解決する」って、聞いたことある中で一番のエイプリルフールネタだね。

精神的に空っぽだな。今のところ、これは本物の内容というより、マーケティング資料みたいに見える。

このコメントを読んで、少数派になっちゃったみたいだけど、この発表を見て結構嬉しいよ。「良い」基準の、テーマやプラグインサポートがある無料のCMSが、WordPressの問題なしに出てくるのは大歓迎だね。（その問題は多いけどね：ライセンス、信頼、ドラマ、セキュリティ、コスト）。ここにいる人たちのシニシズムは、そもそもWordPressのターゲット市場じゃないからかな？ 良いオープンソースで手頃なCMSを探してる非技術系の友達や家族には何を勧めてたの？ WordPressには正しい「アイデア」があるけど、実装が間違ってるんだよね。

[遅延]

新しいCMSを作ったのはすごいけど、管理インターフェースや公開フローの見た目を超えて、これがWordPressの「精神的後継者」だとは全然思えないな。これは、サーバーレスの世界のためにゼロから設計されたCMSだよ。プラグインが使うことに特化した、厳格で明確なAPIがあるけど、WPのようにコア機能を直接呼び出したり上書きしたりするわけじゃない。それでも、その利点はCFの独自機能（D1データベース、画像・メディアストレージ用のR2、作業を実行するためのワーカーなど）を基にして作られたCMSから来てるみたい。ウェブはCFの統合をもっと減らすべきだよ。