Desenvolvimento web para o setor público: administração e empresas públicas

Q: Que garantias de segurança podem dar a um organismo público?

Estamos certificados desde setembro de 2026 no Esquema Nacional de Segurança espanhol (ENS), categoria média, e na ISO/IEC 27001, o referencial reconhecido em toda a Europa. O ENS (Real Decreto 311/2022) aplica-se também às empresas que prestam serviços à administração espanhola, e as categorias MÉDIA e ALTA exigem certificação por uma entidade acreditada. Tens o detalhe na nossa página de certificações.

Construímos, migramos e mantemos sites e plataformas de organismos públicos: acessíveis segundo a norma EN 301 549, seguros segundo o Esquema Nacional de Segurança espanhol (ENS), no qual estamos certificados, em software livre e sem perder um único URL quando chega a hora de mudar de versão. Quinze sites de barcelona.cat e o site da empresa pública de energia da Generalitat da Catalunha comprovam-no.

Falar do meu projeto Ver o que fazemos

15 Sites de barcelona.cat desenvolvidos e migrados para Drupal 10
ENS Categoria média, certificado em 2026
RELI Inscritos como concorrentes desde 2019

01 · Requisitos O que o negócio precisa
02 · Arquitetura Decisões documentadas
03 · Código Revisto e testado
04 · Implantação Automática e reversível
05 · Desempenho Core Web Vitals no verde
06 · Evolução A tua equipa pede, nós entregamos
Cada métrica marca a iteração seguinte

Scroll

Definição

O que é o desenvolvimento web para o setor público?

É a conceção, o desenvolvimento e a manutenção de sites, portais e plataformas da administração, de organismos e de empresas públicas, com os requisitos que a lei lhes impõe e que um site privado não tem: acessibilidade obrigatória, segurança demonstrável, transparência, várias línguas oficiais e contratação por concurso.

Na Europa, a acessibilidade dos sites e apps do setor público assenta na norma EN 301 549, que remete formalmente para as WCAG 2.1 nível AA. Em Portugal, o setor público deve cumprir o Decreto-Lei 83/2018; em Espanha, o Real Decreto 1112/2018. Na segurança, o Esquema Nacional de Segurança espanhol (Real Decreto 311/2022) aplica-se também às empresas que prestam serviços à administração, e a ISO/IEC 27001 é o referencial reconhecido em toda a Europa.

Resumo

Resumo executivo

O que um organismo público pede a quem lhe faz o site, e como o cumprimos.

Um site público não se pode permitir o que um site privado às vezes permite: que um leitor de ecrã não o consiga percorrer, que uma migração parta ligações que estão há anos em newsletters e motores de pesquisa, ou que o fornecedor seja o único que sabe publicar. Por isso a fasquia não é só técnica. É acessibilidade comprovada, segurança que se demonstra num caderno de encargos, software livre que o organismo pode levar para outro fornecedor e equipas de comunicação que publicam sozinhas.

Já o fizemos em escala. Durante quatro anos desenvolvemos e mantivemos quinze sites do Institut de Cultura de Barcelona dentro de barcelona.cat (festivais, museus e órgãos de participação) e migrámo-los de Drupal 7, 8 e 9 para Drupal 10, conservando conteúdos e URL. E desenvolvemos em Laravel o site da L’Energètica, a empresa pública de energia da Generalitat da Catalunha, com portal da transparência, emprego público e canal de denúncias em quatro línguas, num contrato adjudicado em dezembro de 2023.

Trabalhamos com os mesmos controlos que a administração exige: estamos certificados no ENS categoria média, na ISO/IEC 27001 e na ISO/IEC 42001 desde setembro de 2026, e inscritos no registo de empresas concorrentes da Catalunha desde 2019. Concorremos a concursos públicos e preparamos a proposta técnica a pensar em quem redigiu o caderno de encargos.

15 Sites de barcelona.cat
D7→D10 Migração com conteúdos e URL
3 Certificações: ENS, ISO 27001 e ISO 42001

O que inclui

O que um site público tem de cumprir

Os requisitos que verificamos em cada projeto, do caderno de encargos à manutenção.

Acessibilidade WCAG 2.2 AA, que cobre as WCAG 2.1 AA para as quais remete a EN 301 549, verificada à mão com teclado e leitor de ecrã
Declaração de acessibilidade conforme à EN 301 549, publicada e atualizada a cada alteração do site
Segurança conforme ao ENS: acessos pessoais, registo de atividade, cópias de segurança, patches e gestão de vulnerabilidades
Software livre: Drupal, Laravel ou a stack que o organismo definir, com o código e os dados na sua posse
Várias línguas oficiais por site, com fluxos de tradução que a equipa de comunicação controla
Transparência, emprego público e canal de denúncias, com perfis que separam o que publica cada departamento
Migrações sem perder URL: inventário, redirecionamentos e conteúdos verificados antes de desligar a versão antiga
Deploys rastreáveis: configuração em git e pipeline, nada alterado à mão em produção
Autonomia editorial: manual de conteúdos e formação para que o dia a dia não dependa do fornecedor

Pontos-chave

O que fazemos para organismos públicos

Seis tipos de projeto que vemos na administração, em entidades intermunicipais e em empresas públicas.

01
Sites institucionais e de equipamentos

Sites de câmaras municipais, institutos públicos, museus, festivais e serviços públicos, com tipos de conteúdo pensados para quem publica todos os dias. Dentro da plataforma corporativa do organismo quando existe, como fizemos com os perfis e temas de barcelona.cat, e não contra ela.
02
Ecossistemas de muitos sites

Quando um organismo tem dezenas de sites, o problema é que nenhum fique para trás na versão. A mesma receita de deploy, a mesma base de componentes e a mesma fasquia de acessibilidade e segurança para todos. Explicamos tudo em desenvolvimento Drupal.
03
Migrações de versão e de plataforma

De Drupal 7, 8 ou 9 para Drupal 10, ou de um CMS sem suporte para um com suporte. Inventário do que existe, migração de conteúdos e de URL, redirecionamentos e verificação antes da mudança. Foi o que fizemos com os quinze sites do ICUB.
04
Acessibilidade e declaração de acessibilidade

Auditoria WCAG 2.2 AA, correção no código (sem overlays) e declaração de acessibilidade conforme à EN 301 549. Se só precisas desta parte, tens tudo em acessibilidade web.
05
Plataformas à medida para empresas públicas

Quando o CMS não chega: painéis com perfis por departamento, emprego público com candidaturas e documentação, canal de denúncias com histórico e dados que vêm dos sistemas do organismo. Como o site da L’Energètica em Laravel.
06
Manutenção e segurança contínua

Patches, cópias de segurança, monitorização e evoluções, com o registo de cada intervenção à vista. Contamos tudo em manutenção de sites e, se o organismo precisar de gerir o seu próprio sistema de gestão de segurança, em Nexo SGSI.

Porquê

Contratação pública: concorremos a concursos

O que pede um caderno de encargos técnico e o que trazemos na proposta.

A maioria dos projetos públicos chega por concurso. Estamos inscritos no registo de empresas concorrentes da Catalunha (RELI) desde novembro de 2019 e temos registo ativo no SAM.gov, o sistema de contratação federal dos Estados Unidos. Os cadernos de encargos de sites públicos costumam pedir o mesmo: referências comparáveis, equipa com perfis definidos, um plano de acessibilidade, segurança certificada e um plano de transição para receber e devolver o serviço. Preparamos a proposta técnica respondendo ponto a ponto a esses critérios, com projetos reais por trás e não com um modelo. Se o teu organismo está a redigir o caderno de encargos, também te podemos dizer o que é razoável pedir.

proposta-tecnica.yaml

# O que comprovamos numa proposta

seguranca:

ens: categoria média, certificado

iso_27001: certificado

acessibilidade:

objetivo: WCAG 2.2 AA (EN 301 549)

registos:

- RELI (Catalunha), desde 2019

- SAM.gov (Estados Unidos)

transicao:

código, dados e acessos do organismo

Média ENS
Desde 2019 RELI
WCAG 2.2 AA Acessibilidade

Como trabalhamos

Do caderno de encargos ou da primeira reunião a um site que o organismo gere sozinho.

01
Inventário

Levantamento do que existe antes de mexer em nada: sites, versões, módulos, conteúdos, URL, integrações, acessos e quem publica o quê. Sem inventário, uma migração pública perde ligações.
02
Arquitetura e acessibilidade desde o desenho

Tipos de conteúdo, perfis por departamento, línguas e modelos pensados para cumprir as WCAG 2.2 AA desde o primeiro componente, e não corrigidos no fim.
03
Desenvolvimento e migração

Configuração versionada em git, deploys por pipeline, migração de conteúdos com os seus URL e redirecionamentos do que muda. Cada entrega é verificada com teclado e leitor de ecrã.
04
Entrada em produção

A versão antiga continua a funcionar até à mudança. Verificamos conteúdos, ligações e formulários antes e depois, com reversão preparada.
05
Formação e autonomia

Manual de conteúdos e formação aos editores, para que a equipa de comunicação publique sem depender de nós. E manutenção, se o organismo quiser.

Para quem

É para ti?

Encaixa quando o site é um serviço público e tem de cumprir a lei, não apenas funcionar.

Para quem

Câmaras municipais, comunidades intermunicipais e institutos públicos com sites para migrar ou refazer.
Empresas públicas e entidades do setor empresarial do Estado que precisam de transparência, emprego público e canal de denúncias no site.
Organismos com muitos sites (equipamentos, festivais, museus) que ficaram em versões sem suporte.
Serviços que preparam um concurso para o site e procuram um fornecedor certificado com projetos públicos comparáveis.
Entidades do setor público que têm de cumprir a EN 301 549 ou o Decreto-Lei 83/2018 e não sabem em que ponto estão.

Para quem não

Contratos que só procuram o preço mais baixo por um modelo: a nossa proposta assenta em acessibilidade real e em migrações que não perdem nada.
Projetos que exigem a categoria ALTA do ENS: hoje estamos certificados na categoria MÉDIA.
Organismos que só querem uma auditoria de acessibilidade pontual: o nosso serviço de acessibilidade web serve-te melhor.

Entregáveis

O que entregamos

O que fica nas mãos do organismo no fim.

Incluído

Site ou plataforma em produção, com código e configuração no repositório do organismo
Relatório de acessibilidade WCAG 2.2 AA e declaração de acessibilidade conforme à EN 301 549
Mapa dos URL migrados e redirecionamentos dos que mudam
Pipeline de deploy e documentação técnica
Manual de conteúdos e formação aos editores
Plano de transição para que outro fornecedor possa continuar, se o organismo o decidir

Não incluído

Alojamento, licenças de terceiros e certificados de domínio (orçamentados à parte ou fornecidos pelo organismo)

A prova

Projetos públicos que o comprovam

Durante quatro anos desenvolvemos e mantivemos quinze sites do Institut de Cultura de Barcelona em barcelona.cat: os festivais da cidade, os seus museus e os seus órgãos de participação, em catalão, castelhano e inglês. Migrámos o ecossistema de Drupal 7, 8 e 9 para Drupal 10 conservando conteúdos e URL, republicámos 22 exposições virtuais do Arquivo Municipal e formámos as equipas de comunicação para publicarem sozinhas. Para a L’Energètica, a empresa pública de energia renovável da Generalitat da Catalunha, desenvolvemos entre 2024 e 2025 um site à medida em Laravel com portal da transparência segundo a lei catalã 19/2014, emprego público, canal de denúncias e quatro línguas; desde 2026 é alojado por outro fornecedor e continua online com o nosso código, que é exatamente o que um organismo público deve poder fazer. Em acessibilidade, o portal da Fundació Ampans cumpre as WCAG 2.1 AA.

15 Sites de barcelona.cat desenvolvidos e migrados
22 Exposições virtuais republicadas em Drupal 10
4 Línguas do site da L’Energètica
2009 A desenvolver sites desde

Para o CTO

Resumo para o responsável técnico

Como o construímos por dentro.

Em Drupal trabalhamos com a configuração exportada para git e deploys por pipeline (GitLab CI no caso do ICUB, com ambientes locais DDEV), para que uma alteração de estrutura seja revista e implementada, e não feita à mão em produção. A mesma receita serve para quinze sites. As migrações de versão começam por um inventário de módulos, temas e URL, e os conteúdos são migrados com os seus caminhos; o que muda leva o seu redirecionamento.

A acessibilidade é testada em cada entrega com axe-core e à mão com teclado e leitor de ecrã, porque as ferramentas automáticas só detetam uma parte das barreiras. A segurança segue os controlos com que estamos certificados no ENS: acesso com chave pessoal de cada técnico, credenciais num cofre cifrado, cópias verificadas, patches por alerta de segurança e registo de cada intervenção. Para sites multilingues com muito volume, a tradução pode apoiar-se em IA conservando o HTML e as ligações, como na L’Energètica, com o original sempre intacto.

Tecnologias

Drupal 10
Laravel
PHP 8.3
MySQL
PostgreSQL
Redis
Twig
GitLab CI/CD
DDEV
axe-core

Configuração versionada e deploys por pipeline
Migrações com inventário prévio, URL conservados e redirecionamentos
Acessibilidade testada em cada entrega, automática e manualmente
Acessos pessoais, credenciais cifradas e registo de intervenções
Código e dados do organismo, sem dependência do fornecedor

Riscos e como os cobrimos

Os riscos que evitamos

O que vemos quando nos chega um site público herdado.

01
Uma migração que parte as ligações de newsletters, motores de pesquisa e outros sites

Mitigação
Inventário de URL antes de começar, migração dos conteúdos com os seus caminhos e redirecionamento de tudo o que muda, verificado antes de desligar a versão antiga.
02
Sites que ficam numa versão sem suporte

Mitigação
Uma só receita de deploy e um calendário de atualizações para todo o ecossistema, para que nenhum site fique para trás.
03
Acessibilidade que cumpre no dia do lançamento e se perde com o uso

Mitigação
Componentes acessíveis por defeito, verificação em cada entrega e formação aos editores sobre o que depende deles: textos alternativos, títulos e documentos.
04
Ficar preso a um fornecedor que é o único que sabe publicar

Mitigação
Software livre, código e dados do organismo, documentação e plano de transição. A L’Energètica mudou de fornecedor em 2026 e o site continua a funcionar.

Tecnologias

Tecnologias e normas

Com as que construímos e verificamos sites públicos.

Drupal 10
Laravel
PHP
Symfony
MySQL
PostgreSQL
Redis
GitLab CI/CD
WCAG 2.2
EN 301 549
WAI-ARIA
axe-core
ENS
ISO/IEC 27001

Perguntas frequentes

Perguntas frequentes sobre sites para o setor público

O que nos perguntam os responsáveis de comunicação e de sistemas.

Que regras de acessibilidade tem de cumprir um site público?

Na Europa, a acessibilidade dos sites e apps do setor público assenta na norma EN 301 549, que cita formalmente as WCAG 2.1 nível AA. Em Portugal, o setor público deve cumprir o Decreto-Lei 83/2018; em Espanha, o Real Decreto 1112/2018. Nós auditamos e desenvolvemos segundo as WCAG 2.2 AA, que cobrem esses critérios e acrescentam os novos da versão 2.2.

Que garantias de segurança podem dar a um organismo público?

Estamos certificados desde setembro de 2026 no Esquema Nacional de Segurança espanhol (ENS), categoria média, e na ISO/IEC 27001, o referencial reconhecido em toda a Europa. O ENS (Real Decreto 311/2022) aplica-se também às empresas que prestam serviços à administração espanhola, e as categorias MÉDIA e ALTA exigem certificação por uma entidade acreditada. Tens o detalhe na nossa página de certificações.

Concorrem a concursos públicos?

Sim. Estamos inscritos no registo de empresas concorrentes da Catalunha (RELI) desde 7 de novembro de 2019 e temos registo ativo no SAM.gov (Estados Unidos). Preparamos a proposta técnica com projetos públicos comparáveis, as nossas certificações de segurança e um plano de acessibilidade e de transição.

Porquê Drupal para um site público?

Porque é software livre, maduro em ambientes institucionais, forte em várias línguas, perfis e fluxos de publicação, e com uma comunidade que publica os seus alertas de segurança. Não é a única opção: quando o projeto precisa de lógica própria (emprego público, canal de denúncias, dados de outros sistemas) usamos Laravel, como na L’Energètica.

Como migram um site público sem perder URL nem posicionamento?

Começamos por um inventário de todos os URL e conteúdos. Migramos os conteúdos conservando os seus caminhos, redirecionamos tudo o que muda e verificamos antes de desligar a versão antiga. Foi assim que migrámos os quinze sites do ICUB de Drupal 7, 8 e 9 para Drupal 10.

E se o meu organismo ainda usa Drupal 7?

O Drupal 7 já não tem suporte da comunidade, por isso cada vulnerabilidade nova fica sem patch oficial. O prudente é planear a migração para Drupal 10 com inventário prévio, como projeto com orçamento próprio, sem esperar por um incidente.

O código e os dados são do organismo?

Sim. Trabalhamos com software livre e deixamos o código, a configuração e os dados nas mãos do organismo, com documentação e um plano de transição. Se um dia decidir mudar de fornecedor, pode: o site da L’Energètica é alojado por outro fornecedor desde 2026 e continua online com o nosso código.

Podem trabalhar dentro da plataforma corporativa de uma grande câmara municipal?

Sim, e é o habitual nas grandes autarquias. Em barcelona.cat trabalhámos dentro da plataforma Drupal da Câmara Municipal de Barcelona, sobre os seus perfis e temas corporativos, desenvolvendo os tipos de conteúdo e as vistas de que cada equipamento precisava.

Quanto custa um site para um organismo público?

Depende do número de sites, da migração, das integrações e do que o caderno de encargos fixar. Não publicamos uma tabela de preços: depois de rever o inventário ou o caderno de encargos, damos um orçamento fechado por fases. Se o projeto for a concurso, o valor é fixado pelo próprio procedimento.

Trabalham com organismos públicos fora de Espanha?

Trabalhamos em português, inglês, espanhol, catalão, francês, alemão e neerlandês, com a norma europeia de acessibilidade EN 301 549 como referência e a ISO/IEC 27001 como referencial de segurança reconhecido na Europa. As nossas referências públicas são hoje espanholas: a Câmara Municipal de Barcelona e a Generalitat da Catalunha.

Próximo passo