EmDashとは？CloudflareのAIネイティブCMSが変えるWeb制作の未来

WordPressでサイトを運用していて、プラグインのセキュリティアップデートに追われた経験はないでしょうか。私自身、クライアント案件でプラグインの脆弱性対応に何度も時間を取られ、もっと根本的な解決策はないものかと感じていました。2026年4月、Cloudflareが公開した「EmDash」は、まさにそうした課題に対する一つの回答と言えるかもしれません。

この記事では、EmDashの技術的な特徴からWordPressとの比較、実際の導入手順、そして使ってみた所感までを包括的にまとめています。CMS選定の判断材料としてお役立ていただければ幸いです。

EmDashとは何か——WordPressの「精神的後継者」

EmDashは、Cloudflareが開発したフルスタックTypeScript製のオープンソースCMSです。公式ブログでは「the spiritual successor to WordPress（WordPressの精神的後継者）」と位置づけられており、WordPressが築いた拡張性・管理画面のUX・プラグインエコシステムといった強みを、サーバーレスかつ型安全な基盤の上で再構築するという思想で設計されています。

フレームワークにはコンテンツ駆動サイトで高いパフォーマンスを発揮するAstroを採用し、MITライセンスでGitHubに公開されています。現在はv0.1.0のデベロッパープレビュー段階ですが、発表直後から多くのエンジニアの注目を集めました。

最初に触れたとき、管理画面のUIがWordPressとかなり似ていることに驚きました。学習コストの低さを意図した設計だと感じましたが、中身はまったく別物です。

なぜCloudflareがCMSを開発したのか

Cloudflareは元々CDNやDDoS対策で知られる企業ですが、近年はWorkers・D1・R2・Pages・AIといったプラットフォームサービスを急速に拡充しています。EmDashの登場は、これらのサービス群を一つのユースケースとして統合する動きと捉えるのが自然でしょう。

WordPressが世界のWebサイトの約4割を占めているという事実は、裏を返せばCMS市場が依然として巨大であることを意味します。Cloudflareが自社インフラと最も親和性の高いCMSを提供することで、開発者エコシステムごとプラットフォームに取り込む狙いがあるのではないかと私は見ています。実際、EmDashはCloudflareのダッシュボードからワンクリックに近い操作でデプロイでき、D1やR2のセットアップもほぼ自動化されています。この垂直統合の体験は、他のヘッドレスCMSにはない魅力です。

WordPress比較で見るEmDashの技術的優位性

同じように「WordPressから乗り換えるべきか」と悩んでいる方も多いのではないでしょうか。以下に主要な比較ポイントを整理しました。

プラグインのセキュリティモデル

特に注目すべきはプラグインのセキュリティモデルです。Cloudflareの発表によると、WordPressのセキュリティ問題の96%はプラグインに起因しており、2025年には過去2年間の合計を上回る高深刻度の脆弱性が報告されました。EmDashでは各プラグインがDynamic Workerとして隔離実行され、マニフェストで明示的に宣言したリソースにしかアクセスできません。この設計により、悪意あるプラグインや脆弱性のあるプラグインが本体やデータに影響を及ぼすリスクが大幅に低減されています。

私も検証環境で試したところ、プラグインの権限管理がブラウザ拡張機能のパーミッションモデルに近い印象を受けました。一概にすべての問題が解決されるとは言えない部分もありますが、アーキテクチャレベルでの安全性向上は大きな前進ではないでしょうか。

TypeScript統一がもたらす開発体験

WordPressではPHPでバックエンドを書き、フロントエンドではJavaScriptを扱い、テーマのテンプレート構文も覚える必要がありました。EmDashではフロントエンドもバックエンドもプラグインもすべてTypeScriptで完結します。

これは単に「言語が一つで済む」という表面的なメリットにとどまりません。型安全であることにより、コンテンツモデルの定義がそのままエディタのバリデーションやAPIレスポンスの型に反映されます。たとえばカスタムフィールドを追加した際、テンプレート側で存在しないフィールド名を参照していればビルド時に検出できます。WordPressでは実行時にしか分からなかったエラーが、開発時点で潰せるのは実務上非常にありがたい点です。

Passkey認証とゼロトラストの思想

EmDashではパスワード認証が廃止され、Passkey（パスキー）が標準の認証方式として採用されています。パスワードの使い回しやブルートフォース攻撃といった、WordPressの管理画面で長年課題となっていた攻撃ベクトルが構造的に排除されます。

管理画面へのログイン時は、端末の生体認証やセキュリティキーで完結するため、パスワード管理の手間からも解放されます。クライアントに納品するサイトの場合、「パスワードを忘れた」という問い合わせが減るだけでもサポートコストの削減につながるのではないかと感じています。

導入手順——ローカル環境からCloudflareデプロイまで

EmDashの導入はシンプルです。以下にローカル環境でのセットアップからCloudflareへのデプロイまでの手順をまとめました。

ローカル環境での起動

ローカルではSQLiteが自動で使用され、マイグレーションも初回リクエスト時に自動実行されるため、データベースの手動セットアップは不要です。最初は見落としていたのですが、初回アクセス時のPasskey登録がそのまま管理者アカウントの作成になります。

開発サーバーが立ち上がると localhost:4321 で管理画面にアクセスできます。Astroベースのホットリロードが効いているため、テンプレートやコンテンツモデルの変更が即座に画面に反映される点は快適でした。WordPressのローカル環境構築でDockerやMAMPの設定に苦戦した経験がある方ほど、この手軽さに驚くのではないでしょうか。

Cloudflareへのデプロイ

Cloudflareダッシュボードの「Workers & Pages」からEmDashテンプレートを選択すれば、数クリックでデプロイが完了します。本番環境ではCloudflare D1（分散SQLiteデータベース）とR2（オブジェクトストレージ）が自動的に利用されます。

CLIからのデプロイも可能で、npx wrangler deploy コマンド一つで本番環境に反映できます。CI/CDパイプラインへの組み込みも容易なため、GitHubにプッシュしたら自動デプロイという運用も実現しやすい構成です。

WordPressからの移行

WordPressからの移行も想定されており、以下の3つの方法が提供されています。

1. WXRファイル（WordPress標準エクスポート）のインポート
2. WordPress REST API経由での直接取り込み
3. EmDash Exporterプラグインの利用

投稿・固定ページ・メディア・タクソノミーが移行対象となり、コンテンツの規模にもよりますが数分程度で完了します。

移行時に注意すべき点として、WordPressのショートコードやページビルダー固有のブロックはそのまま変換されません。Advanced Custom Fields（ACF）で定義した複雑なカスタムフィールドも、EmDash側のコンテンツモデルへの手動マッピングが必要です。とはいえ、通常の投稿やページであれば概ねスムーズに移行できる印象でした。

AIネイティブ設計が開く新しい可能性

EmDashの最大の特徴の一つが、AIエージェントを「一級市民」として扱うアーキテクチャです。すべてのEmDashインスタンスにはMCP（Model Context Protocol）サーバーが標準搭載されており、Claude、Cursor、その他のAIエージェントからプログラマティックにコンテンツタイプの作成、エントリの管理、プラグインの設定、デプロイまでを実行できます。

MCPサーバーがもたらす運用の自動化

MCPサーバーが組み込まれているということは、たとえば「先週公開した記事の中でPVが低いものの見出しを改善案とともにリストアップして」といったリクエストを、AIエージェントがCMSのデータに直接アクセスして処理できるということです。従来であれば管理画面を開いてアナリティクスと突き合わせ、一つずつ記事を確認するという手作業が必要でしたが、その一連のフローをAIとの対話で完結できる可能性があります。

私がとくに期待しているのは、コンテンツ運用の定型作業の自動化です。下書きの作成、メタディスクリプションの生成、画像のalt属性の付与、公開スケジュールの管理など、人間が判断すべき部分とAIに委ねられる部分を柔軟に切り分けられる設計になっています。

x402によるマイクロペイメント対応

また、x402というHTTPネイティブなマイクロペイメントの標準規格にも対応しており、ペイウォール付きコンテンツの配信や、AIエージェントによる自動課金アクセスも可能です。

x402はHTTPステータスコード402（Payment Required）を活用した仕組みで、コンテンツへのアクセス時にプログラマティックに少額決済を処理します。これにより、AIエージェントが有料コンテンツを購読して情報を取得するという、これまでにないコンテンツ消費の形が技術的に可能になります。メディア運営者にとっては新しいマネタイズ手段として注目に値するでしょう。

AとBで悩む場面でもありますが、「AIに任せる運用」と「人間が管理画面で操作する運用」のどちらにも最適化されている点は、2026年のCMSとして適切な設計判断だと感じました。

パフォーマンスとインフラコスト

Cloudflareのエッジネットワーク上で動作するEmDashは、パフォーマンス面でも注目すべき特性を持っています。

Astroはデフォルトで静的HTMLを出力するため、ページの初期表示速度は非常に高速です。動的な機能が必要な部分だけをアイランドアーキテクチャで部分的にハイドレーションする設計のため、JavaScriptの転送量も最小限に抑えられます。Core Web Vitalsのスコアを確保しやすい構成と言えるでしょう。

インフラコストについても触れておくと、Cloudflare Workersの無料プランでは1日あたり10万リクエストまで対応可能です。D1の無料枠は5GBのストレージと500万行の読み取り、R2は10GBのストレージと月間1,000万回のクラスA操作が含まれます。小〜中規模のサイトであれば無料枠の範囲で運用できるケースも多いでしょう。WordPressの場合、レンタルサーバーやマネージドホスティングの月額費用が発生するため、コスト面でも比較検討の材料になります。

ただし、Cloudflareのプラットフォームにロックインされる側面があることは認識しておくべきです。D1やR2はCloudflare固有のサービスであり、将来的に別のインフラへ移行する際にはデータ移行の手間が発生します。

現時点での注意点と今後の展望

EmDashはまだv0.1.0のプレビュー段階であり、本番環境での利用には慎重な判断が必要です。プラグインエコシステムはこれから構築されていく段階ですし、日本語ドキュメントも十分とは言えません。

実際に触ってみて感じた具体的な課題をいくつか挙げておきます。まず、プラグインの数がまだ圧倒的に少ないため、WordPressであれば数分で実現できていた機能（問い合わせフォーム、多言語対応、高度なSEO設定など）を自前で実装する場面が出てきます。また、テーマやテンプレートの選択肢も限られており、デザインの自由度という面ではWordPressのテーマエコシステムに遠く及びません。コミュニティも立ち上がったばかりのため、トラブルシューティングの情報をWeb上で探しにくいのも現状です。

どのようなプロジェクトに向いているか

現時点でEmDashの採用が適しているのは、以下のようなケースだと考えています。

• TypeScriptに慣れた開発チームが新規にコンテンツサイトを構築する場合
• セキュリティ要件が厳しく、プラグイン起因の脆弱性を構造的に排除したい場合
• Cloudflareのインフラをすでに活用しており、統合的な運用を目指す場合
• AIエージェントを活用したコンテンツ運用の自動化を試みたい場合

逆に、既存のWordPressサイトで安定稼働しており、プラグインの豊富さが業務上不可欠な場合は、無理に移行する必要はないでしょう。

今後のロードマップに期待すること

しかし、TypeScript統一による開発体験の向上、サンドボックス化されたプラグインによるセキュリティの根本的改善、そしてAIネイティブなアーキテクチャは、次世代CMSの方向性を明確に示しています。振り返ると、WordPressが20年以上にわたりWebの約4割を支えてきた実績は偉大ですが、技術的負債が限界に達しつつあるのも事実です。

Cloudflareという巨大プラットフォーム企業がバックについていることで、継続的な開発リソースとインフラの安定性は期待できます。今後、プラグインエコシステムが充実し、テーマの選択肢が広がり、コミュニティが成熟していけば、WordPressの有力な代替候補として存在感を増していくのではないでしょうか。

新規プロジェクトでモダンなCMS選定を検討されている方や、WordPress運用のセキュリティ負担に課題を感じている方にとって、EmDashは有力な選択肢の一つになるでしょう。aduceでもクライアントのWeb制作やCMS選定に関するご相談を承っておりますので、EmDashの導入検討や技術的な評価が必要な場合はこちらからお気軽にご連絡ください。