Hospedagem gerenciada de WordPress para sites governamentais: um guia

As pessoas geralmente presumem que um site governamental precisa ser executado em uma pilha especialmente aprovada e bloqueada e, portanto, que o WordPress está fora de questão. Para a maioria dos sites estaduais e locais, isso está errado. Para alguns sistemas federais, está exatamente correto. A habilidade é saber em que lado da linha seu site está.

O que a hospedagem gerenciada do WordPress realmente tira do seu prato

Uma equipe web de três pessoas do condado não tem tempo para corrigir o PHP à meia-noite. Movimentos de hospedagem gerenciada que funcionam para a plataforma. No WP Engine, isso significa:

• Um firewall gerenciado para aplicativos da web e proteção contra DDoS na frente do site
• Atualizações automatizadas de WordPress, plug-in e PHP, com reversão quando alguém se comporta mal
• EverCache e uma CDN global, portanto, um pico após um aviso de tempestade não nivela a página inicial
• Backups diários e um ambiente de teste para testar as alterações antes de elas entrarem em operação
• Suporte WordPress 24 horas por dia, 7 dias por semana, quando algo quebra fora do horário comercial

Nada disso torna um site acessível ou bem construído. Isso torna mais difícil acessá-lo e mais fácil manter-se atualizado, o que é a maior parte do que um site voltado para o público precisa de seu hospedeiro.

Lendo a documentação de segurança

As equipes de compras pedem evidências, não adjetivos. O WP Engine passa por auditorias SOC 2 anuais e possui a certificação ISO 27001. Esses dois documentos respondem à maior parte de um questionário de segurança estadual ou local. Podemos solicitar o relatório SOC 2 e o certificado ISO em seu nome para que seus revisores vejam a realidade.

Agora, a linha que importa. O WP Engine não está autorizado pelo FedRAMP. Se seu sistema for federal e precisar de um ambiente autorizado pelo FedRAMP, o WordPress em um host gerenciado padrão não será aprovado, e fingir que isso desperdiçará o tempo de todos. Nesses casos, em vez disso, criamos e hospedamos em [AWS GovCloud] (/govcloud).

Seção 508 WordPress: a hospedagem não cobre isso

Digamos que o portal de licenças da sua cidade seja executado no WordPress e um residente usando um leitor de tela não consiga passar do seletor de datas. O anfitrião não fez nada de errado. O tema e um plugin funcionaram.

A conformidade com a seção 508 e o padrão WCAG 2.1 AA por trás dela estão no código e no conteúdo: estrutura do título, rótulos de formulários, contraste de cores, caminhos de teclado, manuseio de PDF e o que os editores enviarão no próximo mês. Isso significa auditar o tema, verificar os plug-ins antes de serem instalados, testar com tecnologia assistiva real e dar orientação aos editores para que o site não mude. Nossos [serviços da Seção 508] (/508-services) incluem auditorias, remediação e documentação do VPAT, e eles se encaixam naturalmente em uma versão do WordPress.

Para quem essa configuração se adequa

Cidades, condados, distritos escolares, agências estaduais, universidades públicas e autoridades de trânsito ou de serviços públicos que administram um site de informações públicas. Ele também se encaixa nos sites de estilo de marketing que os empreiteiros federais mantêm. Ele se encaixa menos bem quando o site armazena dados federais regulamentados ou quando um contrato indica um nível de autorização.

Como trabalhamos nesses projetos

Somos membros do Programa de Parceiros da WP Engine Agency e nossos projetos são apoiados por uma equipe dedicada de parceiros da WP Engine, um gerente sênior de desenvolvimento de parceiros e um colega técnico. Nossos próprios engenheiros fazem o design, o trabalho com o tema e o plug-in, a migração e a correção da acessibilidade, e podem se integrar à sua equipe. Saiba mais sobre a [parceria com o WP Engine] (/wp-engine) e nosso [trabalho governamental] mais amplo (/government).

O que perguntar a qualquer fornecedor antes de assinar

Solicite o relatório SOC 2 e o certificado ISO 27001 e verifique as datas. Pergunte diretamente se a plataforma está autorizada pelo FedRAMP e o que eles farão se seu sistema precisar dela. Pergunte quem testa a acessibilidade e com quais ferramentas. Pergunte quem é o proprietário das contas e do código no final. Pergunte qual é o plano de reversão quando uma atualização automática de plug-in quebra um formulário. Vale a pena selecionar um fornecedor que responda de forma limpa, com documentos. Se você quiser comparar notas, [fale conosco] (/contact).