Alojamiento administrado de WordPress para sitios web gubernamentales: una guía

La gente suele suponer que un sitio web gubernamental tiene que funcionar en una pila especialmente aprobada y bloqueada, y que, por lo tanto, WordPress está descartado. Para la mayoría de los sitios estatales y locales, eso está mal. Para algunos sistemas federales, es exactamente lo correcto. La habilidad consiste en saber en qué lado de la línea se encuentra tu sitio.

Lo que realmente te quita el alojamiento administrado de WordPress

Un equipo web de tres personas del condado no tiene tiempo de parchear PHP a medianoche. El alojamiento gestionado traslada ese trabajo a la plataforma. En WP Engine, eso significa:

• Un firewall de aplicaciones web administrado y protección contra DDoS frente al sitio
• Actualizaciones automatizadas de WordPress, plugins y PHP, que se anulan cuando uno se porta mal
• EverCache y una CDN global, por lo que un aviso de repunte tras una tormenta no arruina la página de inicio
• Copias de seguridad diarias y un entorno de ensayo para probar los cambios antes de que se publiquen
• Soporte de WordPress las 24 horas del día, los 7 días de la semana, cuando algo no funciona

Nada de eso hace que un sitio sea accesible o esté bien construido. Hace que sea más difícil de controlar y más fácil mantenerse actualizado, que es la mayor parte de lo que un sitio público necesita de su anfitrión.

Leyendo la documentación de seguridad

Los equipos de compras piden pruebas, no adjetivos. WP Engine se somete a auditorías SOC 2 anuales y cuenta con la certificación ISO 27001. Estos dos documentos responden a la mayor parte de un cuestionario de seguridad estatal o local. Podemos solicitar el informe SOC 2 y el certificado ISO en su nombre para que sus revisores vean la información real.

Ahora la línea que importa. WP Engine no está autorizado por FedRAMP. Si su sistema es un sistema federal que necesita un entorno autorizado por FedRAMP, WordPress en un servidor administrado estándar no lo aprobará, y fingir que va a hacer perder el tiempo a todos. En esos casos, construimos y alojamos en [AWS GovCloud] (/govcloud).

Sección 508 WordPress: el alojamiento no lo cubre

Supongamos que el portal de permisos de su ciudad funciona con WordPress y un residente que usa un lector de pantalla no puede pasar del selector de fechas. El anfitrión no hizo nada malo. El tema y el plugin sí.

La conformidad con la sección 508, y el estándar AA de las WCAG 2.1 que la sustenta, reside en el código y el contenido: la estructura de los encabezados, las etiquetas de los formularios, el contraste de colores, las rutas del teclado, el manejo de los PDF y lo que los editores suban el mes que viene. Esto implica auditar el tema, revisar los complementos antes de instalarlos, probarlos con tecnología de asistencia real y brindar orientación a los editores para que el sitio no se desvíe. Nuestros [servicios de la Sección 508] (/508-services) incluyen auditorías, correcciones y documentación de VPAT, y se adaptan de forma natural a una compilación de WordPress.

¿A quién se adapta esta configuración

Ciudades, condados, distritos escolares, agencias estatales, universidades públicas y autoridades de tránsito o servicios públicos que administran un sitio de información pública. También se ajusta a los sitios de tipo marketing que mantienen los contratistas federales. No es adecuado para sitios donde el sitio almacena datos federales regulados o donde un contrato establece un nivel de autorización.

Cómo trabajamos en estos proyectos

Somos miembros del programa de agencias de socios de WP Engine, y nuestros proyectos cuentan con el respaldo de un equipo especializado de socios de WP Engine, un gerente sénior de desarrollo de socios y una contraparte técnica. Nuestros propios ingenieros se encargan del diseño, los temas y los complementos, la migración y la corrección de la accesibilidad, y pueden integrarlos en tu equipo. Más información sobre la [asociación con WP Engine] (/wp-engine) y nuestro [trabajo gubernamental] más amplio (/government).

Qué preguntarle a cualquier proveedor antes de firmar

Solicita el informe SOC 2 y el certificado ISO 27001 y comprueba las fechas. Pregunte directamente si la plataforma está autorizada por FedRAMP y qué harán si su sistema lo necesita. Pregunte quién hace las pruebas de accesibilidad y con qué herramientas. Al final, pregunta quién es el propietario de las cuentas y, al final, del código. Pregúntate cuál es el plan de reversión cuando una actualización automática de un plugin rompe un formulario. Vale la pena preseleccionar a un proveedor que responda de forma limpia, con documentos. Si quieres comparar notas, [contacta con nosotros] (/contact).