WordPress para governo e setor público 2026: Segurança e open source

#Porque escolher WordPress para governo e setor público em 2026

A era de governos a comprar software proprietário caro e de código fechado está a acabar. Da NASA à Casa Branca, os sites do setor público estão a passar para WordPress.

Porquê? Em 2026, as forças motrizes são Soberania Digital, Acessibilidade e o movimento “Dinheiro Público, Código Público”.

Este guia explica porque o WordPress é uma escolha sólida para GovTech moderno.

#1. O que significa “Dinheiro público, código público” no WordPress

Se uma cidade constrói um sistema digital de reserva de parques usando impostos, porque é que esse código deve ser propriedade de uma empresa privada?

A iniciativa “Dinheiro Público, Código Público” argumenta que o software pago pelo público deve estar disponível ao público.

• CMS Proprietário: Aluga o software. Se parar de pagar, o seu site desaparece. Não pode partilhar as suas melhorias com cidades vizinhas.
• WordPress (Open Source): É dono do código. Se a Cidade de Lisboa constrói um ótimo plugin de “Reportar Buracos”, a Cidade do Porto pode usá-lo gratuitamente. Isto é governo eficiente.

#Quem está por trás da campanha dinheiro público, código público

A campanha é dinamizada pela Free Software Foundation Europe (FSFE). A sua carta aberta pede legislação que obrigue a publicar sob uma licença de software livre e de código aberto o software financiado com dinheiro público para a administração. Segundo a página da campanha da FSFE, mais de 200 organizações da sociedade civil e mais de 31 000 pessoas assinaram-na.

O princípio já aparece em leis e em programas de coligação municipais:

• Estados Unidos: o SHARE IT Act, assinado a 23 de dezembro de 2024 como Public Law 118-187, obriga as agências federais a publicar metadados sobre o código desenvolvido por medida e a partilhar esse código com outras agências. Ficam de fora os sistemas de segurança nacional, o código classificado e o código com riscos para a privacidade (FedScoop).
• União Europeia: o Regulamento Europa Interoperável, Regulamento (UE) 2024/903, entrou em vigor a 11 de abril de 2024. Os organismos públicos têm de avaliar a interoperabilidade antes de tomarem decisões vinculativas sobre serviços públicos digitais transfronteiriços, e essa obrigação de avaliação aplica-se desde janeiro de 2025 (webinar da Comissão Europeia sobre o regulamento).
• Munique: depois de passar os postos de trabalho para o LiMux, baseado em Linux, a câmara municipal votou em novembro de 2017 o regresso ao Windows. O acordo de coligação de maio de 2020 adotou depois o princípio “dinheiro público, código público”: o código-fonte do software municipal deve ser publicado, salvo se contiver dados confidenciais ou pessoais (LiMux na Wikipedia).

#O que a licença GPL significa para um plugin de uma câmara municipal

O WordPress é distribuído sob a GPLv2 ou posterior, e a posição do projeto é que plugins e temas são obras derivadas que herdam a GPL (página da licença do WordPress). Quando uma câmara entrega o seu plugin a um município vizinho, quem o recebe pode executá-lo, estudá-lo, alterá-lo e redistribuí-lo.

A licença não obriga à publicação. O código que fica dentro de uma única administração nunca é distribuído, por isso as obrigações da GPL de partilhar o código-fonte nunca chegam a aplicar-se. O dever de publicar vem das regras de contratação e de políticas como o SHARE IT Act ou o acordo de coligação de Munique. Um caderno de encargos para um projeto WordPress deve por isso definir a quem pertence o código feito por medida, sob que licença é publicado e em que repositório público vai ficar.

#2. Como endurecer a segurança WordPress ao nível nacional

“Mas o WordPress é hackeado!” Apenas WordPress barato e mal gerido é hackeado.

WordPress Governamental Empresarial é um animal diferente.

1. Autorização FedRAMP: Líderes de alojamento como WordPress VIP atingiram a “Authority to Operate” FedRAMP. Isto significa que cumprem os rigorosos controlos de segurança exigidos pelo Governo Federal dos EUA.
2. Sistemas de Ficheiros Imutáveis: O servidor é “apenas de leitura”. Mesmo que um hacker encontrasse uma vulnerabilidade, não pode escrever um ficheiro malicioso no servidor.
3. SSO (Single Sign-On): Funcionários governamentais fazem login usando as suas credenciais seguras Active Directory / Azure AD, englobando 2FA e chaves de hardware (YubiKey).

#O que a autorização FedRAMP cobre no alojamento WordPress

O FedRAMP é o programa federal dos EUA que autoriza serviços de nuvem para uso pelas agências federais. O WordPress VIP, operado pela Automattic, obteve a primeira autorização de operação FedRAMP em 2021 e anunciou em abril de 2025 a autorização ao nível FedRAMP Moderate (WordPress VIP). Do lado do Drupal, a Acquia recebeu uma autorização do Departamento do Tesouro dos EUA em 2016, e em outubro de 2024 a Acquia Cloud Next atingiu o estado Authorized (Acquia).

A lista de referência é o FedRAMP Marketplace. O estado atual e o nível de impacto devem ser confirmados lá antes de uma decisão de compra, porque as páginas dos fornecedores podem estar desatualizadas. A autorização cobre a plataforma de alojamento. Plugins, tema, código próprio e a configuração que uma agência instala por cima continuam a ser responsabilidade da agência.

#Como pôr o sistema de ficheiros do WordPress só de leitura

O WordPress tem duas constantes para isto. DISALLOW_FILE_EDIT desativa o editor de ficheiros de plugins e temas no wp-admin. DISALLOW_FILE_MODS bloqueia também a instalação e a atualização de plugins e temas a partir do painel e desativa o editor de ficheiros ao mesmo tempo (documentação do wp-config do WordPress). Com DISALLOW_FILE_MODS definido, o código só chega à produção pelo processo de implementação:

• O sistema de ficheiros de produção é montado só de leitura, com uma área separada com escrita para os ficheiros multimédia.
• As atualizações do núcleo, dos plugins e dos temas passam por um pipeline CI/CD controlado.
• Cada versão é construída a partir de um commit revisto, para que o código em execução possa ser associado a uma alteração aprovada.
• Os registos de auditoria guardam cada tentativa de alterar ficheiros no servidor.

#O que o início de sessão único traz a um CMS da administração

Com SSO, o fornecedor de identidade passa a ser o único sítio onde o acesso dos funcionários é dado e retirado:

• O acesso é retirado de forma central no dia em que alguém sai da organização.
• As regras de palavras-passe e de autenticação multifator são definidas uma vez, no fornecedor de identidade, para todos os sistemas.
• Cada início de sessão fica registado para auditoria.
• O CMS liga-se aos sistemas de identidade que a administração já mantém.

#Arquitetura zero trust para um site governamental em WordPress

A NIST Special Publication 800-207, finalizada em agosto de 2020, descreve o zero trust como um conjunto de conceitos que tiram a proteção dos perímetros fixos de rede e a colocam nos utilizadores, nos dispositivos e nos recursos a que acedem (NIST SP 800-207). Aplicado a uma stack WordPress, isso significa:

• Cada pedido à área de administração e à API é autenticado e autorizado por si só.
• Estar na rede do escritório não dá confiança nenhuma.
• Servidores web, base de dados e acesso de administração correm em segmentos de rede separados.
• Comportamentos invulgares, como inícios de sessão a horas estranhas ou alterações de conteúdo em massa, são monitorizados em contínuo.

#3. Como cumprir Acessibilidade WCAG 2.2 no setor público

Os governos têm um mandato legal (a diretiva de acessibilidade da web na UE, Section 508 nos EUA) para serem acessíveis a todos os cidadãos.

“Construtores de Páginas” proprietários geram frequentemente código desarrumado e inacessível (sopa de divs). Headless WordPress ou Blocos Gutenberg Personalizados permitem aos programadores produzir HTML semântico e limpo, alinhado com os critérios WCAG 2.2 AA.

• Estudo de Caso: A NASA relançou o nasa.gov em WordPress em 2023. A lei 21st Century IDEA Act, citada no relatório IDEA Act 2021 da NASA, exige que, na medida do possível, todo o site federal novo ou redesenhado seja acessível de acordo com a Section 508.

#Que lei de acessibilidade se aplica aos sites da administração pública

O Ato Europeu de Acessibilidade é a lei mais citada, mas a Diretiva (UE) 2019/882 abrange produtos e serviços de operadores económicos privados. Os sites e aplicações dos organismos do setor público estão sujeitos à diretiva de acessibilidade da web, Diretiva (UE) 2016/2102, transposta em Portugal pelo Decreto-Lei n.º 83/2018. Nos EUA, a divisão faz-se entre agências federais e governos estaduais e locais.

O Departamento de Justiça dos EUA publicou a regra do Title II a 24 de abril de 2024 e adiou os prazos com uma regra provisória de 20 de abril de 2026 (ADA.gov). A diretiva europeia exige ainda que cada organismo público publique uma declaração de acessibilidade e ofereça um mecanismo de feedback para utilizadores que encontrem uma barreira, e os Estados-Membros monitorizam o cumprimento e reportam à Comissão.

#Com o que o núcleo do WordPress se compromete em acessibilidade

As normas de código do WordPress estabelecem que o código novo ou alterado lançado no WordPress deve estar em conformidade com as WCAG 2.2 no nível AA (normas de acessibilidade do código WordPress). Esse compromisso cobre o próprio WordPress. Temas e plugins de terceiros ficam de fora, por isso cada um que a administração instale precisa da sua própria auditoria.

Os construtores de páginas que geram marcação automaticamente costumam falhar nos mesmos pontos:

• Títulos fora da ordem hierárquica.
• Imagens sem texto alternativo com significado.
• Campos de formulário sem etiquetas corretamente associadas.
• Contraste de cor insuficiente.
• Navegação por teclado partida.

Os blocos próprios resolvem isto na origem. O programador controla a estrutura HTML de cada componente, pode impor padrões acessíveis por omissão (um campo obrigatório de texto alternativo, um nível de título fixo) e correr testes automáticos de acessibilidade no pipeline de build antes de algo chegar à redação.

#4. Como escalar WordPress na comunicação de crise

Quando uma pandemia atinge, ou um desastre natural ocorre, os sites governamentais veem picos de tráfego repentinos. Um servidor que gera cada página a pedido pode ir abaixo.

WordPress Estático: Para páginas de informação crítica, usamos frequentemente “Geração de Site Estático” (Simply Static / Headless).

• A página é convertida num ficheiro HTML simples e distribuída para milhares de nós CDN globais.
• Não há base de dados para sobrecarregar, e a CDN continua a servir cópias em cache se a origem cair.

#Que camadas mantêm um site da administração online sob carga

1. CDN global: o conteúdo é servido a partir de localizações de edge perto do leitor.
2. Failover automático: se um nó falhar, o tráfego passa para o seguinte.
3. Cache de página inteira: as páginas estáticas são servidas a partir da memória, sem executar PHP nem consultar a base de dados.
4. Escalonamento automático: a infraestrutura de origem ganha capacidade quando o tráfego sobe.

#Como um CMS alimenta site, aplicações e alertas

A comunicação de crise vai além do site. Através da REST API do WordPress, o mesmo conteúdo pode ser publicado no site, em aplicações móveis e em ecrãs públicos de informação, e enviado para sistemas de alerta de emergência. A redação atualiza uma única fonte, e todos os canais mostram o mesmo texto.

#5. Modelo de licença do WordPress vs Sitecore e AEM no setor público

Os CMS empresariais proprietários são licenciados com uma taxa recorrente, cotada individualmente pelo fornecedor. Isso é dinheiro dos contribuintes gasto em aluguer de software.

Com WordPress:

• Licença: 0 €.
• Mudança de Orçamento: O orçamento das licenças pode ser mudado para Desenvolvimento de Funcionalidades. Em vez de pagar pelo direito de usar o software, o governo paga para melhorar o software para os cidadãos.

#O que uma administração pode reaproveitar de outra

Quando uma câmara desenvolve uma funcionalidade em WordPress e a publica sob a GPL, outras administrações podem adotá-la:

• Marcação de atendimento online.
• Portais de transparência e dados abertos.
• Ferramentas de participação e consulta pública.
• Formulários para tramitação eletrónica de processos.

#Drupal vs WordPress vs Sitecore vs Adobe Experience Manager para sites governamentais

A escolha de um CMS para a administração pública acaba muitas vezes em quatro candidatos. É assim que se comparam nos critérios que mais pesam em projetos do setor público.

A matriz abaixo é uma comparação qualitativa com a documentação pública de produto do Drupal, do Sitecore e do Adobe Experience Manager.

O WordPress ganha em custo, experiência do editor e disponibilidade de talento. O Drupal ganha na modelação estruturada de conteúdo para dados complexos da administração (portais de recenseamento, bases de dados regulatórias). Sitecore e AEM só se justificam quando a organização já tem contratos enterprise e equipas dedicadas do fornecedor.

Para a maioria dos sites da administração, ou seja, portais de informação, diretórios de serviços, sites de notícias e intranets internas, o WordPress cobre a maior parte da funcionalidade necessária sem taxas de licença. O resto (motores de workflow complexos, federação de dados entre várias jurisdições) pode ser resolvido com WordPress headless e microsserviços especializados.

#6. Que estudos de caso mostram WordPress no setor público

• A Casa Branca (whitehouse.gov): O site correu em Drupal desde 2009 e foi relançado em WordPress a 15 de dezembro de 2017 (eWeek). Em janeiro de 2021 foi relançado de novo em WordPress e no editor de blocos, com a participação da agência 10up (Matt Mullenweg, 10up).
• NASA (nasa.gov): O relatório IDEA Act 2021 da NASA regista a escolha do WordPress como futuro CMS da agência. O mesmo relatório indica que em 2021 foram removidos 158 domínios públicos e que a Direção de Missões Científicas estava a consolidar mais de 30 sites principais, cerca de metade do tráfego da NASA no ano fiscal de 2021. O novo site principal entrou em beta pública em agosto de 2023, construído e alojado com o WordPress VIP e o parceiro Lone Rock Point (WordPress VIP).
• thisisFINLAND (finland.fi): Consta da montra do WordPress.org, produzido pelo Ministério dos Negócios Estrangeiros da Finlândia e publicado pelo Finland Promotion Board.
• Gov.uk: Usa padrões abertos e componentes modulares. Não corre em WordPress: o Government Digital Service desenvolve as suas próprias aplicações de publicação e publica o código-fonte no GitHub, o que faz do GOV.UK um caso de referência para dinheiro público, código público e não para um CMS em particular.

#7. Como implementar WordPress na administração pública

#Arquitetura recomendada para 2026

1. O pedido do cidadão chega primeiro a uma CDN com firewall de aplicações web (WAF).
2. Um balanceador de carga distribui o tráfego pelos servidores de aplicação.
3. O WordPress corre em modo headless como back-end editorial.
4. O conteúdo é exposto pela REST API ou por GraphQL.
5. Um frontend construído com Astro ou Next.js gera as páginas.
6. Uma cache de edge global serve as páginas geradas aos cidadãos.

#Lista de verificação de segurança para a administração

• Autorização FedRAMP ou equivalente local do fornecedor de alojamento verificada
• SSO com MFA para todos os utilizadores
• Sistema de ficheiros imutável em produção
• Monitorização de segurança 24 horas por dia
• Plano de resposta a incidentes documentado e testado
• Auditorias de segurança regulares por terceiros independentes
• Cifragem de dados sensíveis em trânsito e em repouso
• Registo de auditoria completo para conformidade

#8. Quando o setor público deve adotar WordPress

Usar WordPress no governo não é apenas uma escolha técnica; é uma escolha ética. Apoia os valores de abertura, transparência e acessibilidade pelos quais os governos democráticos lutam.

Na WPPoland, ajudamos entidades do setor público a migrar de sistemas proprietários legados para stacks Open Source modernos e seguros.

Veja os nossos serviços de segurança WordPress.