WordPress for regjering og offentlig sektor

#Hvorfor offentlig sektor velger WordPress i 2026

Tiden da regjeringer kjøpte dyr, proprietær programvare med lukket kildekode er forbi. Fra NASA til Det hvite hus går nettsteder i offentlig sektor over til WordPress.

Hvorfor? I 2026 er drivkreftene Digital suverenitet, Tilgjengelighet og bevegelsen “Public Money, Public Code”.

Denne guiden forklarer hvorfor WordPress er et sterkt valg for moderne GovTech.

#1. Åpen kildekode i offentlig sektor

Hvis en by bygger et digitalt parkreserveringssystem med skattepenger, hvorfor skal den koden eies av et privat selskap?

Initiativet “Public Money, Public Code” argumenterer for at programvare betalt av offentligheten skal være tilgjengelig for offentligheten.

• Proprietært CMS: Du leier programvaren. Hvis du slutter å betale, forsvinner nettstedet ditt. Du kan ikke dele forbedringene dine med nabobyene.
• WordPress (Open Source): Du eier koden. Hvis Oslo kommune bygger en flott plugin for “Rapportering av hull i veien”, kan Bergen kommune bruke den gratis. Dette er effektiv forvaltning.

#Hvem står bak kampanjen Public Money, Public Code

Kampanjen drives av Free Software Foundation Europe (FSFE). Det åpne brevet krever lover om at offentlig finansiert programvare for forvaltningen skal publiseres under en fri og åpen kildekode-lisens. Ifølge kampanjesiden til FSFE har mer enn 200 sivilsamfunnsorganisasjoner og over 31 000 enkeltpersoner signert.

Prinsippet står nå i lover og i koalisjonsavtaler i byer:

• USA: SHARE IT Act, signert 23. desember 2024 som Public Law 118-187, pålegger føderale etater å publisere metadata om skreddersydd kode og dele koden med andre etater. Unntatt er systemer for nasjonal sikkerhet, gradert kode og kode med personvernrisiko (FedScoop).
• EU: Forordningen om et interoperabelt Europa, forordning (EU) 2024/903, trådte i kraft 11. april 2024. Offentlige organer må vurdere interoperabilitet før de tar bindende beslutninger om grenseoverskridende digitale offentlige tjenester, og plikten til denne vurderingen har gjeldt siden januar 2025 (Europakommisjonens webinar om forordningen).
• München: Etter å ha flyttet arbeidsstasjonene til det Linux-baserte LiMux vedtok bystyret i november 2017 å gå tilbake til Windows. Koalisjonsavtalen fra mai 2020 tok deretter inn prinsippet “offentlige penger, offentlig kode”: kildekoden til byens programvare skal publiseres så lenge den ikke inneholder fortrolige data eller personopplysninger (LiMux på Wikipedia).

#Hva GPL-lisensen betyr for en plugin laget for en kommune

WordPress er utgitt under GPLv2 eller senere, og prosjektets standpunkt er at plugins og temaer er avledede verk som arver GPL (WordPress sin lisensside). Når en kommune gir sin plugin videre til en nabokommune, kan mottakeren kjøre den, studere den, endre den og dele den videre.

Lisensen krever ikke publisering. Kode som blir værende i én virksomhet, blir aldri distribuert, så GPL-pliktene om å dele kildekoden utløses aldri. Plikten til å publisere kommer fra anskaffelsesregler og føringer som SHARE IT Act eller koalisjonsavtalen i München. En konkurranse om et WordPress-prosjekt bør derfor fastsette hvem som eier den skreddersydde koden, under hvilken lisens den utgis og i hvilket offentlig kodelager den skal ligge.

#2. Er WordPress sikkert nok for offentlige nettsteder

“Men WordPress blir hacket!” Bare billig, dårlig administrert WordPress blir hacket.

Enterprise Government WordPress er et helt annet beist.

1. FedRAMP-autorisasjon: Hosting-ledere som WordPress VIP har oppnådd FedRAMP “Authority to Operate”. Dette betyr at de oppfyller de strenge sikkerhetskontrollene som kreves av USAs føderale regjering.
2. Uforanderlige filsystemer: Serveren er “skrivebeskyttet”. Selv om en hacker fant en sårbarhet, kan de ikke skrive en ondsinnet fil til serveren.
3. SSO (Single Sign-On): Regjeringsansatte logger inn med sine sikre Active Directory / Azure AD-legitimasjon, som omfatter 2FA og maskinvarenøkler (YubiKey).

#Hva FedRAMP-autorisasjon dekker for WordPress-hosting

FedRAMP er det føderale programmet i USA som godkjenner skytjenester for bruk i føderale etater. WordPress VIP, drevet av Automattic, fikk sin første FedRAMP-driftstillatelse i 2021 og kunngjorde autorisasjon på nivået FedRAMP Moderate i april 2025 (WordPress VIP). På Drupal-siden fikk Acquia driftstillatelse fra det amerikanske finansdepartementet i 2016, og i oktober 2024 nådde Acquia Cloud Next status som Authorized (Acquia).

Den gjeldende listen er FedRAMP Marketplace. Sjekk status og beskyttelsesnivå der før en anskaffelsesbeslutning, fordi leverandørsider kan henge etter. Autorisasjonen gjelder hostingplattformen. Plugins, tema, egen kode og konfigurasjonen som en etat kjører på toppen, forblir etatens ansvar.

#Hvordan gjøre filsystemet i WordPress skrivebeskyttet

WordPress har to konstanter for dette. DISALLOW_FILE_EDIT slår av filredigereren for plugins og temaer i wp-admin. DISALLOW_FILE_MODS blokkerer i tillegg installasjon og oppdatering av plugins og temaer fra adminpanelet og slår av filredigereren samtidig (WordPress-dokumentasjonen for wp-config). Med DISALLOW_FILE_MODS satt når koden produksjon bare gjennom utrullingsprosessen:

• Produksjonsfilsystemet monteres skrivebeskyttet, med et eget skrivbart område for medieopplastinger.
• Oppdateringer av kjerne, plugins og temaer rulles ut gjennom en kontrollert CI/CD-pipeline.
• Hver versjon bygges fra en gjennomgått commit, slik at koden som kjører kan spores tilbake til en godkjent endring.
• Revisjonslogger registrerer hvert forsøk på å endre filer på serveren.

#Hva enkel pålogging gir et CMS i offentlig sektor

Med SSO blir identitetsleverandøren det ene stedet der ansattes tilgang gis og fjernes:

• Tilgangen fjernes sentralt den dagen en ansatt slutter.
• Regler for passord og flerfaktorautentisering settes én gang i identitetsleverandøren og gjelder alle systemer.
• Hver pålogging logges for revisjon.
• CMS-et kobles til identitetssystemene virksomheten allerede drifter.

#Nulltillitsarkitektur for et offentlig nettsted på WordPress

NIST Special Publication 800-207, ferdigstilt i august 2020, beskriver nulltillit (zero trust) som et sett med konsepter som flytter beskyttelsen bort fra faste nettverksgrenser og over til brukere, enheter og ressursene de bruker (NIST SP 800-207). I en WordPress-stack betyr det:

• Hver forespørsel til adminområdet og API-et autentiseres og autoriseres for seg.
• Å sitte på kontornettet gir ingen tillit.
• Webservere, database og admintilgang kjører i separate nettverkssegmenter.
• Uvanlig atferd, som pålogginger på rare tidspunkter eller masseendringer av innhold, overvåkes løpende.

#3. WCAG 2.2 og universell utforming i WordPress

Regjeringer har et lovpålagt mandat (webdirektivet i EU, Section 508 i USA) om å være tilgjengelige for alle innbyggere. For private virksomheter legger EAA i Europa til egne plikter.

Proprietære “Sidebyggere” genererer ofte rotete, utilgjengelig kode (div-suppe). Headless WordPress eller Custom Gutenberg Blocks lar utviklere sende ut semantisk, ryddig HTML som følger kriteriene i WCAG 2.2 AA.

• Case Study: NASA relanserte nasa.gov på WordPress i 2023. 21st Century IDEA Act, sitert i NASAs IDEA Act-rapport for 2021, krever at hvert nytt eller redesignet føderalt nettsted så langt det er praktisk mulig er tilgjengelig i samsvar med Section 508.

#Hvilken tilgjengelighetslov gjelder for offentlige nettsteder

Tilgjengelighetsdirektivet EAA er den loven som oftest siteres, men direktiv (EU) 2019/882 omfatter produkter og tjenester fra private markedsaktører. Nettsteder og apper fra offentlige organer faller inn under webdirektivet, direktiv (EU) 2016/2102. I Norge er webdirektivet tatt inn i forskrift om universell utforming av IKT-løsninger. I USA går skillet mellom føderale etater og delstater og kommuner.

Det amerikanske justisdepartementet publiserte Title II-regelen 24. april 2024 og utsatte fristene i en midlertidig regel av 20. april 2026 (ADA.gov). EU-direktivet krever også at hvert offentlig organ publiserer en tilgjengelighetserklæring og tilbyr en tilbakemeldingsfunksjon for brukere som møter en barriere, og medlemsstatene fører tilsyn og rapporterer til Kommisjonen.

#Hva WordPress-kjernen forplikter seg til om tilgjengelighet

Kodestandardene i WordPress sier at ny eller endret kode som utgis i WordPress, skal samsvare med WCAG 2.2 på nivå AA (WordPress sine kodestandarder for tilgjengelighet). Forpliktelsen gjelder WordPress selv. Temaer og plugins fra tredjeparter faller utenfor, så hver av dem som en virksomhet installerer, trenger sin egen revisjon.

Sidebyggere som genererer markup automatisk, svikter som regel på de samme stedene:

• Overskrifter utenfor hierarkisk rekkefølge.
• Bilder uten meningsfull alternativ tekst.
• Skjemafelt uten riktig tilknyttede etiketter.
• For lav fargekontrast.
• Ødelagt tastaturnavigasjon.

Egne blokker løser dette ved kilden. Utvikleren styrer HTML-strukturen i hver komponent, kan tvinge fram tilgjengelige mønstre som standard (et obligatorisk felt for alternativ tekst, et fast overskriftsnivå) og kjøre automatiske tilgjengelighetstester i byggepipelinen før noe når redaksjonen.

#4. Skalering av offentlige nettsteder under kriser

Når en pandemi rammer, eller en naturkatastrofe inntreffer, ser offentlige nettsteder plutselige trafikktopper. En server som lager hver side på forespørsel, kan da gå ned.

Statisk WordPress: For kritiske informasjonssider bruker vi ofte “Static Site Generation” (Simply Static / Headless).

• Siden konverteres til en ren HTML-fil og distribueres til tusenvis av globale CDN-noder.
• Det er ingen database å overbelaste, og CDN-et fortsetter å levere kopier fra cache hvis opprinnelsesserveren går ned.

#Hvilke lag holder et offentlig nettsted oppe under last

1. Globalt CDN: innholdet leveres fra kantlokasjoner nær leseren.
2. Automatisk failover: hvis én node faller ut, går trafikken til neste.
3. Helsidecache: statiske sider serveres fra minnet uten å kjøre PHP eller spørre databasen.
4. Autoskalering: opprinnelsesinfrastrukturen får mer kapasitet når trafikken stiger.

#Hvordan ett CMS forsyner nettsted, apper og varsler

Krisekommunikasjon går utover nettstedet. Gjennom REST-API-et i WordPress kan det samme innholdet publiseres på nettstedet, i mobilapper og på offentlige informasjonsskjermer, og sendes videre til systemer for nødvarsling. Redaksjonen oppdaterer én kilde, og hver kanal viser den samme teksten.

#5. Lisensmodell for WordPress vs Sitecore og AEM i offentlig sektor

Proprietære Enterprise CMS lisensieres mot en løpende avgift som leverandøren priser individuelt. Det er skattebetalernes penger brukt på programvareleie.

Med WordPress:

• Lisens: 0 kr.
• Budsjettforskyvning: Lisensbudsjettet kan flyttes til Funksjonsutvikling. I stedet for å betale for retten til å bruke programvaren, betaler regjeringen for å forbedre programvaren for innbyggerne.

#Hva én kommune kan gjenbruke fra en annen

Når en kommune utvikler en funksjon i WordPress og publiserer den under GPL, kan andre virksomheter ta den i bruk:

• Timebestilling på nett.
• Portaler for åpenhet og åpne data.
• Verktøy for innbyggermedvirkning og høringer.
• Skjemaer for elektronisk saksbehandling.

#Drupal vs WordPress vs Sitecore vs Adobe Experience Manager for offentlige nettsteder

Valg av CMS i offentlig sektor ender ofte med fire kandidater. Slik kommer de ut på kriteriene som betyr mest i offentlige prosjekter.

Matrisen nedenfor er en kvalitativ sammenligning med den offentlige produktdokumentasjonen for Drupal, Sitecore og Adobe Experience Manager.

WordPress vinner på kostnad, redaktøropplevelse og tilgang på fagfolk. Drupal vinner på strukturert innholdsmodellering for komplekse forvaltningsdata (folketellingsportaler, regelverksdatabaser). Sitecore og AEM er bare forsvarlige når virksomheten allerede har enterprise-avtaler og egne leverandørteam.

For de fleste offentlige nettsteder, altså informasjonsportaler, tjenestekataloger, nyhetssider og interne intranett, dekker WordPress det meste av funksjonaliteten som trengs, uten lisensavgifter. Resten (komplekse arbeidsflytmotorer, datadeling på tvers av forvaltningsnivåer) kan løses med headless WordPress og spesialiserte mikrotjenester.

#6. Offentlige nettsteder som bruker WordPress

• Det hvite hus (whitehouse.gov): Nettstedet gikk på Drupal fra 2009 og ble relansert på WordPress 15. desember 2017 (eWeek). I januar 2021 ble det relansert igjen på WordPress og blokkredigereren, med byrået 10up involvert (Matt Mullenweg, 10up).
• NASA (nasa.gov): NASAs IDEA Act-rapport for 2021 slår fast valget av WordPress som etatens fremtidige CMS. Ifølge samme rapport ble 158 offentlige domener fjernet i 2021, og Science Mission Directorate konsoliderte mer enn 30 toppnettsteder, rundt halvparten av NASAs trafikk i budsjettåret 2021. Det nye hovednettstedet gikk i offentlig beta i august 2023, bygget og driftet med WordPress VIP og partneren Lone Rock Point (WordPress VIP).
• thisisFINLAND (finland.fi): Står i WordPress.org-showcasen, produsert av Finlands utenriksdepartement og utgitt av Finland Promotion Board.
• Gov.uk: Bruker åpne standarder og modulære komponenter. Nettstedet kjører ikke på WordPress: Government Digital Service utvikler egne publiseringsapplikasjoner og publiserer kildekoden på GitHub, så GOV.UK er et referansetilfelle for public money, public code og ikke for et bestemt CMS.

#7. Hvordan innføre WordPress i offentlig forvaltning

#Anbefalt arkitektur for 2026

1. Innbyggerens forespørsel treffer først et CDN med brannmur for webapplikasjoner (WAF).
2. En lastbalanserer fordeler trafikken på applikasjonsserverne.
3. WordPress kjører headless som redaksjonell bakside.
4. Innholdet eksponeres gjennom REST-API eller GraphQL.
5. En frontend bygget med Astro eller Next.js gjengir sidene.
6. En global kantcache leverer de ferdige sidene til innbyggerne.

#Sikkerhetssjekkliste for offentlige virksomheter

• FedRAMP-autorisasjon eller lokal tilsvarende ordning hos hostingleverandøren kontrollert
• SSO med MFA for alle brukere
• Uforanderlig filsystem i produksjon
• Sikkerhetsovervåking døgnet rundt
• Dokumentert og testet plan for håndtering av hendelser
• Regelmessige sikkerhetsrevisjoner fra uavhengige tredjeparter
• Kryptering av sensitive data under overføring og lagring
• Fullstendig revisjonslogg for etterlevelse

#8. Konklusjon

Å bruke WordPress i regjeringen er ikke bare et teknisk valg; det er et etisk valg. Det støtter verdiene om åpenhet, gjennomsiktighet og tilgjengelighet som demokratiske regjeringer streber etter.

Hos WPPoland hjelper vi offentlige virksomheter med å migrere fra gamle proprietære systemer til sikre, moderne Open Source-stacker.

Se vår WordPress-sikkerhetsrevisjon.