脆弱性の96%はプラグインから EmDashはWordPressを作り直す

3行まとめ

• WordPressの発想をサーバーレスで作り直したCMS「EmDash」
• プラグインは隔離された箱の中で動き、申告した権限しか使えない
• 記事は構造化されたJSONで保存され、見た目と切り離される

何が起きたか

EmDashは、TypeScriptで書かれたフルスタックのCMSです。GitHubで公開され、いまはベータプレビューの段階にあります。

動く場所はCloudflare（D1・R2・Workers）か、SQLiteを積んだNode.jsサーバー。PHPは使いません。

狙いは明快です。WordPressを支配的にした3つの要素を、サーバーレスと型安全の土台に置き直すこと。拡張性、管理画面の使いやすさ、プラグインの生態系の3つです。

npm create emdash@latest で雛形が作れます。ブログ・マーケティング・ポートフォリオの3種類のテンプレートが最初から入っています。

なぜ難しい・何がすごいか

引っかかるのは「プラグインを隔離する」の中身です。

WordPressのプラグインは、入れた瞬間にサイトの全権を持ちます。データベースもファイルもユーザー情報も触れる。だから1つの穴が全体の陥落につながります。

WordPressの脆弱性の96%はプラグイン由来だ、とEmDashは指摘しています。

EmDashのプラグインは、本体から切り離された領域で動きます。Cloudflareの「Dynamic Worker Loaders」という仕組みを使います。さらに各プラグインは、自分が使う機能を先に申告します。

「コンテンツを読む」「メールを送る」と書いたプラグインには、その2つしかできません。

たとえ話

家の管理を業者に頼むとします。玄関の合鍵を渡せば掃除も修理もしてもらえますが、渡した相手が悪意を持ったとき、止める手立てがありません。

申告制はこれを、用事ごとの入館証に変えます。郵便受けだけ開く証、ガスの元栓だけ触れる証。中の人が入れ替わっても、開く扉は増えません。

用語ミニ辞典

• Portable Text: 文章を構造化されたJSONで持つ形式。表示のHTMLと切り離して保存できる
• Worker isolate: プログラムを他と混ざらない小部屋で動かすCloudflareの実行単位
• capability manifest: プラグインが「自分はこれを使う」と宣言する権限の一覧
• FTS5: SQLiteに内蔵されている全文検索の仕組み
• Astro integration: Astro製のサイトに機能を後付けする拡張の形式

技術者向けの深掘り

導入は astro.config.mjs に integration を足すところから始まります。読み込むと、管理画面・REST API・認証・メディアライブラリ・プラグイン機構がまとめて付いてきます。

export default defineConfig({
  integrations: [emdash({ database: d1() })],
});

コンテンツ型の定義はコードではなくデータベース側にあります。管理画面で作ったコレクションが、実際のSQLテーブルになります。npx emdash types が現在のスキーマからTypeScriptの型を吐きます。

取得はAstroのLive Collections経由です。記事を足すたびにビルドし直す必要はありません。

移植性は抽象層で確保しています。SQLはKysely、保管はS3 API。D1でもTursoでもPostgreSQLでも、R2でもS3でもローカルファイルでも動きます。

これは自分に関係ある？

• WordPressを運用している人: WXR形式のエクスポート、REST API、WordPress.comからの取り込みに対応します。移行の下見はできる段階です
• これからサイトを作る人: 認証はパスキーが既定で、OAuthとマジックリンクが控えます。権限は管理者・編集者・投稿者・寄稿者の4段階
• AIに作業させたい人: CLIとMCPサーバーが同梱され、ClaudeなどのAIツールがサイトを直接操作できます

注意点が1つあります。プラグインのサンドボックスはDynamic Workersに依存します。これはCloudflareの有料アカウント（月5ドルから）が前提です。

無料のまま使うなら、設定ファイルの worker_loaders を外してプラグイン機構を切ることになります。

ちなみにこの「かみくだき」はEmDashを使用しています。