# Índice dos Sites Municipais: Acessibilidade, RGPD e Segurança Medição pública e repetível dos sites das 308 câmaras municipais portuguesas em três frentes. Cada critério é uma pergunta de **sim ou não**, medida da mesma forma em todos os sites, com a **prova guardada** e a data da medição. Nada aqui é opinião: se não conseguimos provar, não conta. Edição de estreia: **2026-09** (primeira medição a 25 de Setembro de 2026). --- ## 1. O que é medido, em linguagem simples ### Acessibilidade (6 critérios que contam + 1 informativo) | Critério | Passa quando | Referência | |---|---|---| | Zoom não bloqueado | Nenhuma página da amostra impede a ampliação: o último `meta viewport` não tem `user-scalable=no` nem `maximum-scale` abaixo de 2 | WCAG 2.1, 1.4.4 (AA) | | Língua declarada | Todas as páginas da amostra têm `lang` válido no `` | WCAG 2.1, 3.1.1 (A) | | Imagens com texto alternativo | Nenhuma imagem **visível** aparece sem `alt` e sem outro nome (title, aria-label, aria-labelledby). `alt=""`, `role="presentation"` e `aria-hidden` são decorativas assumidas e não contam. Imagens com menos de 8×8 px (pixéis de contagem) não contam | WCAG 2.1, 1.1.1 (A) | | Campos de formulário com nome | Nenhum campo visível aparece sem rótulo (`label`, aria-label, aria-labelledby, title) **nem** placeholder. Os que só têm placeholder são registados mas **não contam** | WCAG 2.1, 1.3.1, 3.3.2, 4.1.2 (A) | | Contraste de texto | Nenhum texto fica abaixo de 4,5:1 (3:1 em letra grande) **com a falha confirmada nos pixéis** da captura (ver 3.1) | WCAG 2.1, 1.4.3 (AA) | | Declaração de Acessibilidade | A inicial tem uma ligação para a Declaração (directa, ou a um salto de uma ligação de acessibilidade, legal, política, termos, privacidade ou cookies da inicial: observação «ligação indirecta», decisão do utilizador de 26/09/2026) e ela segue o modelo do DL 83/2018 (página, ou PDF confirmado pelo tipo de ficheiro). Observações sem baixar a nota: endereço sem `/acessibilidade` (e `/acessibilidade` não leva lá), PDF em vez de página, falta de ligação no rodapé das páginas da amostra. Estados na ficha: `ligada_da_inicial`, `publicada_sem_ligacao` (encontrada por endereço habitual, mapa do site ou outra página, sem ligação da inicial: não cumpre), `fora_do_modelo`, `nao_encontrada`. Regra de 26/09/2026 | DL 83/2018, art. 7.º e art. 8.º, n.º 2 | | Selo (informativo) | Selo de Usabilidade e Acessibilidade com data pública de atribuição há menos de 12 meses. **Não entra na pontuação** | ARTE | ### RGPD (4 critérios) Tudo medido numa **sessão de browser limpa, sem cookies anteriores e sem nenhum clique**. O que acontece nesse intervalo acontece antes de qualquer consentimento. | Critério | Passa quando | Referência | |---|---|---| | Sem cookies de rastreio antes do consentimento | O site não grava cookies identificadores de analítica, publicidade ou redes sociais (lista de nomes e domínios conhecidos). Cookies técnicos isentos (sessão, CSRF, balanceadores, o registo do próprio consentimento) não contam | Lei 41/2004, art. 5.º | | Sem envio de medição antes do consentimento | O browser não **envia dados de medição ou eventos** a serviços de analítica, publicidade ou redes sociais (endereços de recolha na secção 5: `/g/collect` do Google Analytics, `/tr` da Meta, `/api/stats` do YouTube...). **Carregar o script** (GTM, gtag, SDK) sem enviar medição **não conta**: fica na ficha como informação. Decisão de método de 25/09/2026 | Lei 41/2004, art. 5.º; RGPD, art. 6.º | | Recusar ao mesmo nível de aceitar | O aviso de cookies tem um botão de recusa no primeiro nível («Rejeitar», «Recusar», «Desativar cookies não essenciais», «Apenas necessários»...). Aviso de consentimento implícito («ao continuar a navegar aceita», só «OK», «Continuar» ou «Fechar») sem botão de recusa: falha. Aviso cujos botões não se deixam ler como aceitar ou recusar: «não medível». Sem aviso e sem rastreio: «não se aplica». Sem aviso **e** com rastreio: falha. Se a primeira leitura apanhar um painel de acessibilidade (tem «Limpar cookies»), o painel é escondido e a leitura repete-se, sem clicar | Orientações CEPD 05/2020 | | Política de privacidade ligada da inicial | Há ligação para a política de privacidade ou de protecção de dados na página inicial | RGPD, art. 12.º e 13.º | ### Segurança (11 critérios) Só leitura de páginas públicas e cabeçalhos. **Sem sondagens intrusivas, sem varrimento de portas, sem tentativas de login, sem pedidos a caminhos administrativos.** O único pedido fora da navegação normal é `readme.html`, e só em sites WordPress (é um ficheiro público do próprio WordPress). | Critério | Passa quando | |---|---| | HTTPS | A inicial serve-se em HTTPS com certificado aceite pelo Chrome | | http redirecciona para https | Um pedido a `http://` acaba em `https://`. Porta 80 sem resposta: «não se aplica» | | HSTS | `Strict-Transport-Security` com `max-age` maior que zero | | Recusa TLS 1.0 e 1.1 | Um aperto de mão TLS 1.0 e outro 1.1 são recusados pelo servidor (RFC 8996) | | Content-Security-Policy | Cabeçalho ou `meta http-equiv` com CSP | | Protecção contra enquadramento | `X-Frame-Options` DENY/SAMEORIGIN ou `frame-ancestors` na CSP | | X-Content-Type-Options | `nosniff` | | Referrer-Policy | Presente e diferente de `unsafe-url` | | Sem conteúdo misto | Nenhuma página da amostra pede imagens, scripts, estilos ou iframes por `http://`, nem envia formulários por `http://` | | Não expõe versões de software | Nem `meta generator` (do CMS **ou de plugins**, por exemplo «qTranslate-X 3.4.6.8»; decisão de 25/09/2026), nem `Server`, `X-Powered-By` ou `X-AspNet-Version`, nem `readme.html` mostram números de versão | | Sem bibliotecas JS vulneráveis | Nenhuma biblioteca carregada está numa versão da lista da secção 5. A versão lê-se **no próprio browser** (`jQuery.fn.jquery`, etc.), não no nome do ficheiro | --- ## 2. A amostra: igual para todos e escolhida por regra - **Página inicial + 4 páginas** do menu principal (5 por câmara). - **Menu principal** = o elemento `