La era de los gobiernos comprando software propietario costoso y de código cerrado está llegando a su fin. Desde la NASA hasta la Casa Blanca, las webs del sector público están pasando a WordPress.
¿Por qué? En 2026, las fuerzas impulsoras son la Soberanía Digital, la Accesibilidad y el movimiento “Dinero Público, Código Público”.
Esta guía explica por qué WordPress es una opción sólida para el GovTech moderno, analizando cada aspecto desde la seguridad nacional hasta la eficiencia presupuestaria.
Conozca más sobre la auditoría de seguridad WordPress en WPPoland.
1. Qué es “Dinero público, código público”
Si una ciudad construye un sistema digital de reserva de parques utilizando dinero de los contribuyentes, ¿por qué debería ese código ser propiedad de una corporación privada?
La iniciativa “Dinero Público, Código Público” (Public Money, Public Code) argumenta que el software pagado por el público debería estar disponible para el público. Este principio fundamental está transformando la forma en que los gobiernos de todo el mundo adquieren y desarrollan tecnología.
Riesgos de un CMS propietario para la administración
- CMS Propietario: Usted alquila el software. Si deja de pagar, su sitio web desaparece. No puede compartir sus mejoras con ciudades vecinas. Cada mejora que financia con dinero público queda encerrada detrás de una licencia corporativa.
- Dependencia del proveedor: Cuando el proveedor decide aumentar los precios (algo que ocurre regularmente), el gobierno no tiene alternativa. Están atrapados en un contrato que consume recursos públicos sin generar valor compartido.
- Falta de transparencia: El código propietario no puede ser auditado independientemente. En una era de ciberamenazas crecientes, esta falta de transparencia es un riesgo de seguridad nacional.
Ventajas de WordPress como código abierto
- WordPress (Código Abierto): Usted es dueño del código. Si la Ciudad de Varsovia construye un excelente plugin de “Reporte de Baches”, la Ciudad de Cracovia puede usarlo gratuitamente. Esto es gobierno eficiente.
- Colaboración intermunicipal: Múltiples ciudades pueden contribuir al desarrollo de una misma solución, distribuyendo los costos y multiplicando los beneficios.
- Auditoría pública: Cualquier experto en seguridad puede auditar el código, identificar vulnerabilidades y proponer mejoras. Esta transparencia fortalece la confianza ciudadana.
Quién respalda la campaña dinero público, código público
La campaña la impulsa la Free Software Foundation Europe (FSFE). Su carta abierta pide leyes que obliguen a publicar bajo una licencia de software libre y de código abierto el software financiado con dinero público para la administración. Según la página de la campaña de la FSFE, la han firmado más de 200 organizaciones de la sociedad civil y más de 31.000 personas.
Ejemplos destacados
El principio ya aparece en leyes y en programas de coalición municipales:
- Estados Unidos: la SHARE IT Act, firmada el 23 de diciembre de 2024 como Public Law 118-187, obliga a las agencias federales a publicar metadatos sobre su código desarrollado a medida y a compartir ese código con otras agencias. Quedan excluidos los sistemas de seguridad nacional, el código clasificado y el código con riesgos para la privacidad (FedScoop).
- Unión Europea: el Reglamento sobre la Europa Interoperable, Reglamento (UE) 2024/903, entró en vigor el 11 de abril de 2024. Los organismos públicos deben evaluar la interoperabilidad antes de adoptar decisiones vinculantes sobre servicios públicos digitales transfronterizos, y esa obligación de evaluación se aplica desde enero de 2025 (webinar de la Comisión Europea sobre el reglamento).
- Múnich: tras pasar sus puestos de trabajo al sistema LiMux, basado en Linux, el consejo municipal votó en noviembre de 2017 volver a Windows. El acuerdo de coalición de mayo de 2020 adoptó después el principio “dinero público, código público”: el código fuente del software municipal debe publicarse salvo que contenga datos confidenciales o personales (LiMux en Wikipedia).
- España: el Centro de Transferencia de Tecnología de la administración, en el Portal de Administración Electrónica, publica soluciones que las administraciones pueden reutilizar.
Qué significa la licencia GPL para un plugin municipal
WordPress se distribuye bajo la GPLv2 o posterior, y la posición del proyecto es que los plugins y temas son obras derivadas que heredan la GPL (página de la licencia de WordPress). Cuando una ciudad entrega su plugin a un municipio vecino, quien lo recibe puede ejecutarlo, estudiarlo, modificarlo y redistribuirlo.
La licencia no obliga a publicar. El código que se queda dentro de una sola administración nunca se distribuye, así que las obligaciones de la GPL de compartir el código fuente no llegan a activarse. El deber de publicar procede de las reglas de contratación y de políticas como la SHARE IT Act o el acuerdo de coalición de Múnich. Un pliego para un proyecto WordPress debe fijar por tanto quién es el titular del código hecho a medida, bajo qué licencia se publica y en qué repositorio público va a estar.
2. Seguridad de WordPress para webs del gobierno
“¡Pero WordPress es hackeado!” Solo el WordPress barato y mal gestionado es hackeado.
El WordPress Empresarial para Gobierno es una bestia completamente diferente. La arquitectura de seguridad para el sector público en 2026 incorpora múltiples capas de protección que cumplen con los estándares más exigentes del mundo.
Autorización FedRAMP
Líderes en hosting como WordPress VIP han logrado la autorización FedRAMP “Authority to Operate”. Esto significa que cumplen con los estrictos controles de seguridad requeridos por el Gobierno Federal de EE.UU., incluyendo:
- Cifrado de datos en reposo y en tránsito
- Monitoreo continuo de amenazas 24/7/365
- Planes de recuperación ante desastres probados
- Controles de acceso basados en roles con autenticación multifactor
- Segregación de datos entre inquilinos
FedRAMP es el programa federal de EE.UU. que autoriza servicios en la nube para su uso por las agencias federales. WordPress VIP, operado por Automattic, obtuvo su primera autorización FedRAMP en 2021 y anunció en abril de 2025 la autorización de nivel FedRAMP Moderate (WordPress VIP). En el lado de Drupal, Acquia recibió una autorización del Departamento del Tesoro de EE.UU. en 2016, y en octubre de 2024 Acquia Cloud Next alcanzó el estado Authorized (Acquia).
La lista de referencia es el FedRAMP Marketplace. El estado actual y el nivel de impacto deben comprobarse allí antes de una decisión de compra, porque las páginas de los proveedores pueden ir con retraso. La autorización cubre la plataforma de hosting. Los plugins, el tema, el código propio y la configuración que una agencia despliega encima siguen siendo responsabilidad de la agencia.
Sistemas de archivos inmutables
El servidor es de “solo lectura”. Incluso si un hacker encontrara una vulnerabilidad, no puede escribir un archivo malicioso en el servidor. Esta arquitectura elimina completamente uno de los vectores de ataque más comunes contra sitios WordPress.
WordPress incluye dos constantes para esto. DISALLOW_FILE_EDIT desactiva el editor de archivos de plugins y temas en wp-admin. DISALLOW_FILE_MODS bloquea además la instalación y actualización de plugins y temas desde el panel y desactiva también el editor de archivos (documentación de wp-config de WordPress).
Implementación técnica:
- El sistema de archivos de producción se monta como solo lectura, con una ubicación aparte con escritura para los archivos multimedia
- Las actualizaciones se despliegan a través de pipelines CI/CD controlados
- Cada despliegue se firma digitalmente y se verifica antes de activarse
- Los registros de auditoría capturan cada intento de modificación del sistema de archivos
SSO (Single Sign-On)
Los empleados gubernamentales inician sesión utilizando sus credenciales seguras de Active Directory / Azure AD, incorporando 2FA y claves de hardware (YubiKey).
Beneficios del SSO gubernamental:
- Revocación instantánea de acceso cuando un empleado deja la organización
- Políticas de contraseña centralizadas que cumplen con estándares NIST
- Registro completo de cada acceso para auditoría
- Integración con sistemas de identidad gubernamental existentes
Arquitectura Zero Trust
La publicación especial NIST SP 800-207, finalizada en agosto de 2020, describe el zero trust como un conjunto de conceptos que trasladan la protección desde perímetros de red fijos hacia los usuarios, los dispositivos y los recursos a los que acceden (NIST SP 800-207).
En 2026, los sitios gubernamentales implementan el modelo “Zero Trust”:
- Cada solicitud se autentica y autoriza independientemente
- No se asume confianza basada en la ubicación de la red
- Micro-segmentación entre componentes del sistema
- Monitoreo continuo de comportamiento anómalo
3. Accesibilidad WCAG 2.2 en webs de la administración pública
Los gobiernos tienen un mandato legal (la Directiva de accesibilidad web en Europa, Sección 508 en EE.UU.) de ser accesibles para todos los ciudadanos. Esta no es una opción; es un requisito legal con consecuencias reales por incumplimiento.
Por qué los page builders propietarios no son accesibles
Los “Page Builders” propietarios frecuentemente generan código desordenado e inaccesible (sopa de divs). Esta generación automática de HTML carece de la estructura semántica necesaria para lectores de pantalla y tecnologías de asistencia.
Problemas comunes:
- Encabezados fuera de orden jerárquico
- Imágenes sin texto alternativo significativo
- Formularios sin etiquetas asociadas correctamente
- Contraste de color insuficiente
- Navegación por teclado rota
HTML accesible con bloques Gutenberg o WordPress headless
WordPress Headless o Bloques Gutenberg Personalizados permiten a los desarrolladores producir HTML semántico y limpio, alineado con los criterios de WCAG 2.2 AA.
Ventajas clave:
- Control total sobre la estructura HTML de cada componente
- Pruebas de accesibilidad automatizadas integradas en el pipeline de desarrollo
- Bloques personalizados que fuerzan patrones accesibles por defecto
- Compatibilidad nativa con tecnologías de asistencia
Qué compromete el núcleo de WordPress en accesibilidad
Los estándares de código de WordPress establecen que el código nuevo o modificado que se publica en WordPress debe cumplir WCAG 2.2 en el nivel AA (estándares de accesibilidad del código de WordPress). Ese compromiso cubre a WordPress en sí. Los temas y plugins de terceros quedan fuera, así que cada uno que instale una administración necesita su propia auditoría.
Accesibilidad de la web de la NASA en WordPress
NASA relanzó nasa.gov en WordPress en 2023. La ley 21st Century IDEA Act, citada en el informe IDEA Act 2021 de la NASA, exige que, en la mayor medida posible, todo sitio web federal nuevo o rediseñado sea accesible conforme a la Sección 508.
Qué ley de accesibilidad se aplica a las webs de la administración
La EAA es la norma más citada, pero la Directiva (UE) 2019/882 cubre productos y servicios de operadores económicos privados y se aplica desde el 28 de junio de 2025. Los sitios web y aplicaciones de los organismos del sector público están sujetos a la Directiva (UE) 2016/2102, transpuesta en España por el Real Decreto 1112/2018. Para empresas privadas, la EAA en Europa añade obligaciones propias.
| Quién | Instrumento legal | Norma técnica | Plazo |
|---|---|---|---|
| Organismos públicos de la UE | Directiva (UE) 2016/2102 | EN 301 549, que para contenido web remite a WCAG 2.1 AA | Webs nuevas 23 de septiembre de 2019, webs existentes 23 de septiembre de 2020, aplicaciones móviles 23 de junio de 2021 |
| Sector privado de la UE | Acta Europea de Accesibilidad (UE) 2019/882 | EN 301 549 | Se aplica desde el 28 de junio de 2025 |
| Agencias federales de EE.UU. | Sección 508 | WCAG 2.0 AA, incorporadas por referencia (Section508.gov) | En vigor |
| Estados y gobiernos locales de EE.UU. | Norma web del ADA Title II | WCAG 2.1 AA | 26 de abril de 2027 para 50.000 habitantes o más, 26 de abril de 2028 para entidades menores y distritos especiales |
El Departamento de Justicia de EE.UU. publicó la norma del Title II el 24 de abril de 2024 y aplazó los plazos con una norma provisional del 20 de abril de 2026 (ADA.gov). La directiva europea exige también a cada organismo público:
- Cumplir los requisitos de EN 301 549, que remiten a WCAG 2.1 nivel AA
- Documentar el cumplimiento a través de declaraciones de accesibilidad
- Realizar auditorías automáticas y manuales periódicas
- Gestionar un mecanismo de retroalimentación para ciudadanos
4. Cómo soportar picos de tráfico en una web gubernamental
Cuando una pandemia golpea, o un desastre natural ocurre, los sitios web gubernamentales experimentan picos de tráfico repentinos. Un servidor que genera cada página bajo demanda puede caer justo cuando los ciudadanos más necesitan información.
WordPress estático para información crítica
Para páginas de información crítica, frecuentemente usamos “Generación de Sitios Estáticos” (Simply Static / Headless).
Cómo funciona:
- La página se convierte en un archivo HTML plano y se distribuye a miles de nodos CDN globales.
- No hay base de datos que sobrecargar, y la CDN sigue sirviendo copias en caché si el origen cae.
Arquitectura de resiliencia
Capas de protección:
- CDN global: Contenido servido desde ubicaciones de borde cercanas al lector
- Failover automático: Si un nodo falla, el tráfico se redirige al siguiente
- Caché de página completa: Las páginas estáticas se sirven desde la memoria, sin necesidad de procesamiento del servidor
- Escalado automático: La infraestructura se expande automáticamente en respuesta a picos de tráfico
La diferencia está en la arquitectura: WordPress permite desacoplar la capa de entrega de la capa de gestión de contenido.
Comunicación multicanal
En 2026, la comunicación de crisis no se limita al sitio web. WordPress como hub central permite:
- Publicación simultánea en web, apps móviles y pantallas informativas
- Actualizaciones en tiempo real a través de la API REST
- Distribución automática de alertas a sistemas de notificación de emergencia
- Integración con redes sociales para máxima difusión
5. Modelo de licencia de WordPress frente a Sitecore y AEM en la administración pública
Los CMS empresariales propietarios se licencian con una cuota recurrente que cada proveedor cotiza de forma individual. Es dinero de los contribuyentes gastado en alquiler de software.
Redirección del presupuesto
Con WordPress:
- Licencia: $0.
- Cambio Presupuestario: El presupuesto de licencias puede redirigirse al Desarrollo de Funcionalidades. En lugar de pagar por el derecho a usar el software, el gobierno paga para mejorar el software para los ciudadanos.
Interoperabilidad y reutilización
Cuando una ciudad desarrolla una funcionalidad en WordPress, puede compartirla con otras administraciones:
- Sistemas de reserva de citas en línea
- Portales de transparencia y datos abiertos
- Sistemas de participación ciudadana
- Plataformas de tramitación electrónica
Drupal vs WordPress vs Sitecore vs Adobe Experience Manager para sitios web gubernamentales
La selección de CMS gubernamental a menudo se reduce a cuatro contendientes. Así es como se comparan en los criterios que más importan para despliegues del sector público.
La matriz de criterios abajo es una comparación cualitativa frente a la documentación pública de Drupal, Sitecore y Adobe Experience Manager.
| Criterio | WordPress | Drupal | Sitecore | Adobe Experience Manager |
|---|---|---|---|---|
| Coste de licencia | Gratuito (código abierto) | Gratuito (código abierto) | Licencia comercial, cotizada por el proveedor | Licencia comercial, cotizada por el proveedor |
| Hosting FedRAMP | WordPress VIP (autorizado) | Acquia (autorizado) | Consultar el FedRAMP Marketplace | Consultar el FedRAMP Marketplace |
| Cumplimiento WCAG 2.2 AA | Control total sobre la salida HTML | Control total sobre la salida HTML | Dependiente del proveedor | Dependiente del proveedor |
| Disponibilidad de desarrolladores | Gran reserva de talento | Reserva de talento consolidada | Perfiles especializados | Perfiles especializados |
| UX del editor de contenido | Editor de bloques Gutenberg (intuitivo) | Módulo Paragraphs (curva de aprendizaje más pronunciada) | Basado en componentes (complejo) | Basado en componentes (complejo) |
| Multisite / multi-agencia | Multisite nativo | Organic Groups / multisite | Sitecore XM Cloud | Sites (multi-tenant) |
WordPress gana en coste, experiencia del editor y disponibilidad de talento. Drupal gana en modelado de contenido estructurado para datos gubernamentales complejos (portales censales, bases de datos regulatorias). Sitecore y AEM solo se justifican cuando la organización ya tiene acuerdos enterprise y equipos de proveedores dedicados.
Para la mayoría de sitios web gubernamentales (portales de información, directorios de servicios, sitios de noticias, intranets internas), WordPress cubre la mayor parte de la funcionalidad requerida sin cuotas de licencia. El resto (motores de workflow complejos, federación de datos multijurisdiccional) puede abordarse mediante WordPress headless con microservicios especializados.
6. Webs del gobierno hechas con WordPress
La Casa Blanca (whitehouse.gov)
El sitio funcionó con Drupal desde 2009 y se relanzó en WordPress el 15 de diciembre de 2017 (eWeek). En enero de 2021 se relanzó de nuevo sobre WordPress y el editor de bloques, con participación de la agencia 10up (Matt Mullenweg, 10up).
NASA (nasa.gov)
El informe IDEA Act 2021 de la NASA registra la elección de WordPress como futuro CMS de la agencia. El mismo informe indica que en 2021 se eliminaron 158 dominios públicos y que la Dirección de Misiones Científicas estaba consolidando más de 30 sitios principales, cerca de la mitad del tráfico de la NASA en el año fiscal 2021. El nuevo sitio principal entró en beta pública en agosto de 2023, construido y alojado con WordPress VIP y su socio Lone Rock Point (WordPress VIP).
thisisFINLAND (finland.fi)
Figura en el escaparate de WordPress.org, producido por el Ministerio de Asuntos Exteriores de Finlandia y publicado por la Finland Promotion Board.
Gov.uk (Reino Unido)
Utiliza estándares abiertos y componentes modulares. No funciona con WordPress: el Government Digital Service desarrolla sus propias aplicaciones de publicación y publica su código fuente en GitHub, lo que convierte a GOV.UK en un caso de referencia para dinero público, código público y no para un CMS concreto.
7. Cómo implementar WordPress en la administración pública
Arquitectura recomendada para 2026
- La solicitud del ciudadano llega primero a una CDN con cortafuegos de aplicaciones web (WAF).
- Un balanceador de carga reparte el tráfico entre los servidores de aplicación.
- WordPress funciona en modo headless como back-end editorial.
- El contenido se expone mediante la API REST o GraphQL.
- Un frontend construido con Astro o Next.js genera las páginas.
- Una caché de borde global sirve las páginas generadas a los ciudadanos.
Lista de verificación de seguridad gubernamental
- Autorización FedRAMP o equivalente local verificada
- SSO con MFA implementado para todos los usuarios
- Sistema de archivos inmutable en producción
- Monitoreo de seguridad 24/7 activo
- Plan de respuesta a incidentes documentado y probado
- Auditorías de seguridad periódicas por terceros independientes
- Cifrado end-to-end para datos sensibles
- Registro completo de auditoría para cumplimiento
Gestión del cambio organizacional
La migración a WordPress no es solo un cambio tecnológico; requiere gestión del cambio:
- Capacitación del personal en la nueva plataforma
- Documentación de procesos y flujos de trabajo
- Periodo de transición con soporte técnico dedicado
- Métricas de adopción y satisfacción del usuario
8. Tendencias GovTech con WordPress hasta 2028
Tendencias 2026-2028
- IA para servicios ciudadanos: Chatbots inteligentes basados en RAG que responden preguntas de los ciudadanos utilizando contenido oficial
- Identidad digital: Integración con sistemas de identidad digital nacionales para autenticación segura
- Datos abiertos: WordPress como plataforma para portales de datos abiertos gubernamentales
- Participación ciudadana: Herramientas de consulta y votación integradas en el CMS
WordPress para la participación ciudadana
En 2026, WordPress no es solo un CMS para el gobierno; es una herramienta de democracia digital. Permite:
- Transparencia total a través de código auditable
- Participación ciudadana a través de formularios y comentarios moderados
- Acceso universal a la información pública
- Interoperabilidad entre diferentes niveles de gobierno
9. Conclusión
Usar WordPress en el gobierno no es solo una decisión técnica; es una decisión ética. Apoya los valores de apertura, transparencia y accesibilidad que los gobiernos democráticos buscan mantener.
La combinación de código abierto, comunidad global, estándares de seguridad empresarial y accesibilidad nativa hace de WordPress la única opción lógica para el sector público en 2026. Los gobiernos que continúan invirtiendo en software propietario están desperdiciando recursos públicos y limitando la innovación digital.
En WPPoland, ayudamos a entidades del sector público a migrar de sistemas propietarios obsoletos a stacks modernos de código abierto seguros y eficientes. Nuestra experiencia en desarrollo WordPress empresarial y seguridad nos posiciona como el socio ideal para proyectos GovTech.
¿Su organización gubernamental está lista para el cambio digital? Contacte con WPPoland para comenzar su migración a WordPress hoy.
Recursos relacionados
- Desarrollo WordPress profesional - Servicios empresariales de desarrollo
- Auditoría de seguridad WordPress - Seguridad de nivel gubernamental
- Optimización de velocidad WordPress - Rendimiento para sitios de alto tráfico
- Migración a Astro y Next.js - Arquitecturas headless modernas
- Rediseño WordPress - Modernización de sitios gubernamentales existentes
