WordPress dla rządu i sektóra publicznego

Era rządów kupujących drogie, własnościowe oprogramowanie o zamkniętym kodzie dobiega końca. Od NASA po Biały Dom, serwisy sektora publicznego przechodzą na WordPressa.

Dlaczego? W 2026 roku siłami napędowymi są Suwerenność Cyfrowa, Dostępność i ruch „Publiczne Pieniądze, Publiczny Kod”.

Ten przewodnik wyjaśnia, dlaczego WordPress jest mocnym wyborem dla nowoczesnego GovTech.

#1. Dlaczego „Publiczne pieniądze, publiczny kod” dotyczy WordPressa

Jeśli miasto buduje cyfrowy system rezerwacji parków za pieniądze z podatków, dlaczego ten kod miałby być własnością prywatnej korporacji?

Inicjatywa „Publiczne Pieniądze, Publiczny Kod” argumentuje, że oprogramowanie opłacone przez społeczeństwo powinno być dostępne dla społeczeństwa.

• Własnościowy CMS: Wynajmujesz oprogramowanie. Jeśli przestaniesz płacić, Twoja strona znika. Nie możesz dzielić się ulepszeniami z sąsiednimi miastami.
• WordPress (Open Source): Jesteś właścicielem kodu. Jeśli Miasto Warszawa zbuduje świetną wtyczkę do „Zgłaszania Dziur w Drodze”, Miasto Kraków może jej użyć za darmo. To jest efektywny rząd.

#Kto stoi za kampanią „Publiczne pieniądze, publiczny kod”

Kampanię prowadzi Free Software Foundation Europe (FSFE). Jej list otwarty domaga się przepisów, zgodnie z którymi oprogramowanie dla administracji finansowane z pieniędzy publicznych jest udostępniane na wolnej i otwartej licencji. Według strony kampanii FSFE podpisało go ponad 200 organizacji społecznych i ponad 31 000 osób.

Zasada trafia już do ustaw i do programów koalicji miejskich:

• Stany Zjednoczone: ustawa SHARE IT Act, podpisana 23 grudnia 2024 roku jako Public Law 118-187, nakazuje agencjom federalnym publikować metadane o kodzie tworzonym na zamówienie i udostępniać ten kod innym agencjom. Wyłączone są systemy bezpieczeństwa narodowego, kod niejawny i kod niosący ryzyko dla prywatności (FedScoop).
• Unia Europejska: akt o interoperacyjnej Europie, rozporządzenie (UE) 2024/903, wszedł w życie 11 kwietnia 2024 roku. Podmioty publiczne muszą ocenić interoperacyjność przed podjęciem wiążących decyzji o transgranicznych cyfrowych usługach publicznych, a obowiązek tej oceny obowiązuje od stycznia 2025 roku (webinar Komisji Europejskiej o akcie).
• Monachium: po przeniesieniu stanowisk pracy na linuksowy system LiMux rada miasta zagłosowała w listopadzie 2017 roku za powrotem do Windowsa. Umowa koalicyjna z maja 2020 roku przyjęła potem zasadę „publiczne pieniądze, publiczny kod”: kod źródłowy oprogramowania miejskiego ma być publikowany, o ile nie zawiera danych poufnych ani osobowych (LiMux w Wikipedii).

#Co licencja GPL oznacza dla wtyczki zamówionej przez miasto

WordPress jest wydawany na licencji GPLv2 lub nowszej, a projekt stoi na stanowisku, że wtyczki i motywy są utworami zależnymi, które dziedziczą GPL (strona licencji WordPressa). Gdy miasto przekaże swoją wtyczkę sąsiedniej gminie, gmina ta może ją uruchamiać, analizować, zmieniać i przekazywać dalej.

Licencja nie wymusza publikacji. Kod, który zostaje w jednym urzędzie, nigdy nie jest rozpowszechniany, więc obowiązki GPL dotyczące udostępnienia źródeł w ogóle nie powstają. Obowiązek publikacji wynika z reguł zamówień i z polityk takich jak SHARE IT Act czy umowa koalicyjna Monachium. Przetarg na projekt WordPress powinien więc określać, kto jest właścicielem kodu tworzonego na zamówienie, na jakiej licencji zostanie wydany i w jakim publicznym repozytorium będzie leżał. W polskich zamówieniach oznacza to zapisy o przeniesieniu autorskich praw majątkowych albo o licencji, wymienione z nazwy pola eksploatacji.

#2. Jakie bezpieczeństwo WordPressa wymaga sektor publiczny

„Ale WordPressa hakują!” Tylko tanie, źle zarządzane WordPressy są hakowane.

Rządowy Enterprise WordPress to inna bestia.

1. Autoryzacja FedRAMP: Liderzy hostingu jak WordPress VIP uzyskali „Authority to Operate” FedRAMP. Oznacza to, że spełniają rygorystyczne kontrole bezpieczeństwa wymagane przez Rząd Federalny USA.
2. Niezmienne Systemy Plików: Serwer jest „tylko do odczytu” (read-only). Nawet jeśli haker znajdzie lukę, nie może zapisać złośliwego pliku na serwerze.
3. SSO (Single Sign-On): Pracownicy rządowi logują się używając swoich bezpiecznych poświadczeń Active Directory / Azure AD, obejmujących 2FA i klucze sprzętowe (YubiKey).

#Co obejmuje autoryzacja FedRAMP przy hostingu WordPressa

FedRAMP to program rządu federalnego USA, który dopuszcza usługi chmurowe do użytku przez agencje federalne. WordPress VIP, prowadzony przez Automattic, uzyskał pierwsze zezwolenie FedRAMP w 2021 roku, a w kwietniu 2025 roku ogłosił autoryzację na poziomie FedRAMP Moderate (WordPress VIP). Po stronie Drupala Acquia otrzymała zezwolenie od Departamentu Skarbu USA w 2016 roku, a w październiku 2024 roku Acquia Cloud Next uzyskała status Authorized (Acquia).

Rozstrzygająca jest lista w FedRAMP Marketplace. Aktualny status i poziom ochrony trzeba sprawdzić tam przed decyzją zakupową, bo strony dostawców mogą być nieaktualne. Autoryzacja obejmuje platformę hostingową. Wtyczki, motyw, własny kod i konfiguracja serwisu, które agencja na niej uruchamia, pozostają odpowiedzialnością agencji.

#Jak ustawić system plików WordPressa tylko do odczytu

WordPress ma do tego dwie stałe. DISALLOW_FILE_EDIT wyłącza edytor plików wtyczek i motywów w wp-admin. DISALLOW_FILE_MODS blokuje dodatkowo instalację i aktualizację wtyczek oraz motywów z panelu i przy okazji wyłącza edytor plików (dokumentacja wp-config WordPressa). Przy ustawionej stałej DISALLOW_FILE_MODS kod trafia na produkcję wyłącznie przez proces wdrożenia:

• Produkcyjny system plików jest zamontowany tylko do odczytu, z osobnym zapisywalnym miejscem na media.
• Aktualizacje rdzenia, wtyczek i motywów przechodzą przez kontrolowany pipeline CI/CD.
• Każde wydanie jest budowane z przejrzanego commita, więc działający kod da się prześledzić do zatwierdzonej zmiany.
• Logi audytowe rejestrują każdą próbę zmiany plików na serwerze.

#Co daje logowanie jednokrotne w CMS urzędu

Przy SSO dostawca tożsamości staje się jedynym miejscem, w którym nadaje się i odbiera dostęp pracownikom:

• Dostęp jest odbierany centralnie w dniu odejścia pracownika z organizacji.
• Zasady haseł i uwierzytelniania wieloskładnikowego ustawia się raz, u dostawcy tożsamości, dla wszystkich systemów.
• Każde logowanie jest zapisywane na potrzeby audytu.
• CMS dołącza do systemów tożsamości, które administracja już utrzymuje.

#Architektura zero trust dla rządowej strony na WordPressie

Publikacja NIST SP 800-207, ukończona w sierpniu 2020 roku, opisuje zero trust jako zestaw koncepcji, które przenoszą ochronę ze stałych granic sieci na użytkowników, urządzenia i zasoby, z których korzystają (NIST SP 800-207). W stosie WordPressa oznacza to:

• Każde żądanie do panelu i do API jest uwierzytelniane i autoryzowane osobno.
• Obecność w sieci biurowej nie daje żadnego zaufania.
• Serwery WWW, baza danych i dostęp administracyjny działają w oddzielnych segmentach sieci.
• Nietypowe zachowania, takie jak logowania o dziwnych porach albo masowe zmiany treści, są monitorowane na bieżąco.

#3. Jak wdrożyć WCAG 2.2 z założenia w WordPressie

Rządy mają mandat prawny (dyrektywa o dostępności stron internetowych w UE, Section 508 w USA), aby być dostępnymi dla wszystkich obywateli.

Własnościowe „Page Buildery” często generują niechlujny, niedostępny kod (zupa divów). Headless WordPress lub Custom Gutenberg Blocks pozwalają deweloperom generować semantyczny, nieskazitelny HTML zgodny z kryteriami WCAG 2.2 AA.

• Case Study: NASA uruchomiła nasa.gov na WordPressie w 2023 roku. Ustawa 21st Century IDEA Act, przytoczona w raporcie NASA z 2021 roku, wymaga, aby w możliwie najszerszym zakresie każda nowa lub przebudowana federalna strona WWW była dostępna zgodnie z Section 508.

#Które prawo o dostępności obejmuje strony administracji

Europejski akt o dostępności (EAA) cytuje się najczęściej, ale dyrektywa (UE) 2019/882 dotyczy produktów i usług prywatnych podmiotów gospodarczych. Strony i aplikacje podmiotów publicznych podlegają dyrektywie (UE) 2016/2102 o dostępności stron internetowych, w Polsce wdrożonej ustawą z 4 kwietnia 2019 roku o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych. W USA granica przebiega między agencjami federalnymi a administracją stanową i lokalną.

Departament Sprawiedliwości USA opublikował przepis Title II 24 kwietnia 2024 roku i przesunął terminy tymczasowym przepisem z 20 kwietnia 2026 roku (ADA.gov). Dyrektywa unijna wymaga też, by każdy podmiot publiczny opublikował deklarację dostępności i zapewnił mechanizm zgłaszania barier przez użytkowników, a państwa członkowskie monitorują zgodność i raportują o niej Komisji.

#Do czego zobowiązuje się rdzeń WordPressa w sprawie dostępności

Standardy kodowania WordPressa stanowią, że nowy lub zmieniony kod wydawany w WordPressie ma spełniać WCAG 2.2 na poziomie AA (standardy dostępności w kodzie WordPressa). To zobowiązanie dotyczy samego WordPressa. Motywy i wtyczki firm trzecich są poza nim, więc każda instalowana przez urząd wymaga osobnego audytu.

Page buildery generujące znaczniki automatycznie zwykle zawodzą w tych samych miejscach:

• Nagłówki poza kolejnością hierarchiczną.
• Obrazy bez sensownego tekstu alternatywnego.
• Pola formularzy bez poprawnie powiązanych etykiet.
• Za niski kontrast kolorów.
• Zepsuta nawigacja klawiaturą.

Własne bloki naprawiają to u źródła. Deweloper kontroluje strukturę HTML każdego komponentu, może wymusić dostępne wzorce domyślnie (obowiązkowe pole tekstu alternatywnego, stały poziom nagłówka) i uruchamiać automatyczne testy dostępności w pipeline budowania, zanim cokolwiek trafi do redakcji.

#4. Jak skalować WordPressa w komunikacji kryzysowej

Gdy uderza pandemia lub klęska żywiołowa, strony rządowe notują nagłe skoki ruchu. Serwer, który generuje każdą stronę na żądanie, może wtedy paść.

Statyczny WordPress: Dla stron z informacjami krytycznymi często używamy „Generowania Stron Statycznych” (Simply Static / Headless).

• Strona jest konwertowana na zwykły plik HTML i dystrybuowana do tysięcy globalnych węzłów CDN.
• Nie ma bazy danych do przeciążenia, a CDN dalej serwuje kopie z cache, gdy serwer źródłowy padnie.

#Które warstwy utrzymują stronę urzędu pod obciążeniem

1. Globalny CDN: treść jest serwowana z lokalizacji brzegowych blisko czytelnika.
2. Automatyczne przełączanie awaryjne: gdy jeden węzeł padnie, ruch przechodzi na następny.
3. Cache całych stron: strony statyczne są serwowane z pamięci, bez uruchamiania PHP i zapytań do bazy.
4. Autoskalowanie: infrastruktura źródłowa dostaje dodatkową moc, gdy ruch rośnie.

#Jak jeden CMS zasila stronę, aplikacje i alerty

Komunikacja kryzysowa wykracza poza stronę WWW. Przez REST API WordPressa ten sam wpis może trafić na stronę, do aplikacji mobilnych i na publiczne ekrany informacyjne, a także do systemów powiadamiania o zagrożeniach. Redakcja aktualizuje jedno źródło, a każdy kanał pokazuje ten sam tekst.

#5. Model licencji WordPress vs Sitecore i AEM w administracji publicznej

Własnościowe CMS klasy enterprise są licencjonowane za cykliczną opłatę, wycenianą indywidualnie przez dostawcę. To pieniądze podatników wydane na czynsz za oprogramowanie.

Z WordPressem:

• Licencja: 0 $.
• Przesunięcie Budżetu: Budżet licencyjny może zostać przesunięty na Rozwój Funkcji. Zamiast płacić za prawo do używania oprogramowania, rząd płaci za ulepszanie oprogramowania dla obywateli.

#Co jeden urząd może przejąć od drugiego

Gdy miasto zbuduje funkcję w WordPressie i opublikuje ją na licencji GPL, inne urzędy mogą ją przejąć:

• Internetowa rezerwacja wizyt.
• Portale przejrzystości i otwartych danych.
• Narzędzia partycypacji i konsultacji społecznych.
• Formularze do elektronicznego załatwiania spraw.

#Drupal vs WordPress vs Sitecore vs Adobe Experience Manager dla stron rządowych

Wybór CMS dla administracji często sprowadza się do czterech kandydatów. Tak wypadają w kryteriach, które w projektach sektora publicznego ważą najwięcej.

Poniższa macierz to jakościowe porównanie z publiczną dokumentacją produktów Drupal, Sitecore i Adobe Experience Manager.

WordPress wygrywa kosztem, wygodą redakcji i dostępnością specjalistów. Drupal wygrywa w strukturalnym modelowaniu treści dla złożonych danych administracji (portale spisowe, bazy regulacyjne). Sitecore i AEM mają uzasadnienie tylko wtedy, gdy organizacja ma już umowy enterprise i dedykowane zespoły dostawcy.

Dla większości stron administracji, czyli portali informacyjnych, katalogów usług, serwisów aktualności i intranetów, WordPress pokrywa większość wymaganych funkcji bez opłat licencyjnych. Resztę (złożone silniki obiegu spraw, federacja danych z wielu jurysdykcji) da się obsłużyć przez headless WordPress z wyspecjalizowanymi mikrousługami.

#6. Jakie case studies pokazuje WordPress w sektorze publicznym

• Biały Dom (whitehouse.gov): Strona działała na Drupalu od 2009 roku i ruszyła na WordPressie 15 grudnia 2017 roku (eWeek). W styczniu 2021 roku wystartowała ponownie na WordPressie i edytorze blokowym, przy udziale agencji 10up (Matt Mullenweg, 10up).
• NASA (nasa.gov): Raport NASA z 2021 roku odnotowuje wybór WordPressa jako przyszłego CMS agencji. Ten sam raport podaje, że w 2021 roku wyłączono 158 publicznych domen, a dyrekcja misji naukowych (SMD) konsolidowała ponad 30 głównych serwisów, odpowiadających za około połowę ruchu NASA w roku budżetowym 2021. Nowa strona główna weszła w publiczną betę w sierpniu 2023 roku, zbudowana i hostowana z WordPress VIP i jego partnerem Lone Rock Point (WordPress VIP).
• thisisFINLAND (finland.fi): Figuruje w galerii WordPress.org, tworzony przez fińskie Ministerstwo Spraw Zagranicznych i publikowany przez Finland Promotion Board.
• Gov.uk: Używa otwartych standardów i modułowych komponentów. Nie działa na WordPressie: Government Digital Service rozwija własne aplikacje redakcyjne i publikuje ich kod źródłowy na GitHubie, więc GOV.UK jest wzorcem dla zasady „publiczne pieniądze, publiczny kod”, a nie dla konkretnego CMS.

#7. Jak wdrożyć WordPressa w administracji publicznej

#Zalecana architektura na 2026 rok

1. Żądanie obywatela trafia najpierw do CDN z zaporą aplikacji webowych (WAF).
2. Load balancer rozkłada ruch na serwery aplikacji.
3. WordPress działa headless jako zaplecze redakcyjne.
4. Treści są udostępniane przez REST API albo GraphQL.
5. Frontend zbudowany w Astro lub Next.js renderuje strony.
6. Globalny cache brzegowy serwuje wyrenderowane strony obywatelom.

#Lista kontrolna bezpieczeństwa dla administracji

• Sprawdzona autoryzacja FedRAMP albo lokalny odpowiednik u dostawcy hostingu
• SSO z MFA dla wszystkich użytkowników
• Niezmienny system plików na produkcji
• Całodobowy monitoring bezpieczeństwa
• Udokumentowany i przetestowany plan reagowania na incydenty
• Regularne audyty bezpieczeństwa przez niezależne podmioty
• Szyfrowanie danych wrażliwych w transmisji i w spoczynku
• Pełny log audytowy na potrzeby zgodności

#8. Podsumowanie

Używanie WordPressa w rządzie to nie tylko wybór techniczny; to wybór etyczny. Wspiera wartości otwartości, przejrzystości i dostępności, do których dążą demokratyczne rządy.

W WPPoland pomagamy podmiotom sektora publicznego migrować z przestarzałych systemów własnościowych na bezpieczne, nowoczesne stosy Open Source.

Zobacz nasz audyt bezpieczeństwa WordPress, jeśli chcesz uporządkować ryzyka i zabezpieczenia serwisu.