WordPressで作られたサイトと、静的サイト（あらかじめHTMLとして書き出しておき、サーバー側でプログラムを動かさない構成）の運用負担を比べると、差がいちばん出るのは「プラグインの更新」です。更新作業が具体的にどんな手間とリスクを生むのかを説明します。
プラグイン更新は「終わらない作業」です
WordPress本体は、問い合わせフォーム、SEO設定、画像の圧縮、ページの装飾など、機能の多くをプラグインという追加プログラムで補っています。1つのサイトで10〜20個のプラグインが動いているのは珍しくありません。
これらのプラグインは、開発者によって不定期にアップデートが配布されます。理由は新機能の追加だけでなく、見つかった不具合やセキュリティ上の欠陥（脆弱性）を塞ぐためです。つまり更新は「気が向いたらやること」ではなく、欠陥が見つかるたびに追いかけ続ける作業になります。プラグインの数が多いサイトでは、更新通知が月に何度も届くこともあります。
更新を怠ると何が起きるか
プラグインの脆弱性は、公開されたデータベースで一覧になっており、誰でも検索できます。攻撃者は個別のサイトを狙うというより、「このプラグインのこのバージョンを使っているサイト」を自動で探し回るプログラムを動かしています。狙われて初めて気づくのではなく、機械的に見つかる仕組みができているということです。
実際に突破されると起きるのは、次のようなことです。
- サイトの内容が改ざんされ、無関係な広告や別サイトへの誘導リンクが埋め込まれる
- 管理画面ごと乗っ取られ、パスワードを変えられて締め出される
- 問い合わせフォームなどに入力されたデータが盗まれる
- 検索エンジンに警告が表示されたり、検索結果での扱いが下げられたりする
なぜサーバー側でプログラムが動き続ける構成が狙われやすいのかは、セキュリティへの考え方で整理しています。
更新作業そのものにも手間とリスクがある
では更新さえすればいいかというと、そう単純でもありません。プラグイン同士は互いに影響し合っていることが多く、1つを更新した途端に別の機能が動かなくなる、表示が崩れるといった不具合が起きることがあります。本番のサイトでいきなり更新し、壊れてから気づくわけにはいかないため、本来はテスト用の環境で動作を確認してから本番に反映する、という手順を踏む必要があります。
確認を省けば見逃しのリスクが残り、きちんと確認するなら毎回時間がかかります。
静的サイトではこの手間がそもそも発生しません
静的サイトには、更新すべきプラグインという概念自体がありません。あらかじめ用意したHTMLを配信するだけの構成のため、WordPressのプラグインを狙う自動探索の対象になる部分がありません。
ただし、これは万能ということではありません。静的サイトでも、外部のサービス（フォームの送信先など）と連携している部分があれば、その連携先の設定や鍵の管理が甘ければ問題は起こり得ます。「攻撃される穴の数が構造的に少ない」という話であって、「何もしなくていい」という意味ではない点は分けて考える必要があります。
結局、何が減って何が変わらないのか
WordPressでの運用では、脆弱性情報を追いかけ、更新を検証し、反映するという作業が継続的に発生します。これは一度やって終わりではなく、サイトを公開している限り続く作業です。静的サイトはこの継続的な作業自体がなくなる一方で、更新のたびに開発者へ依頼する、あるいは自分でHTMLを書き換える手間は残ります。「日常の細かい更新のしやすさ」と「継続的なセキュリティ対応の有無」は、どちらを取るかというトレードオフとして考えるのが実態に近いところです。