The Structural Silence of Drupal in Brazil
We analyzed over 21,000 Brazilian domains. What we found reveals a silent contradiction between stability and risk.
Code and Soul
Engineering Team
There is a silent contradiction operating in the digital platforms of some of Brazil's largest companies. It's not a bug. It's not a visible failure. It's something deeper: the growing distance between what the platform was designed to deliver and what the operation demands today.
Analisamos mais de 21 mil domínios brasileiros. Encontramos cerca de 300 operando Drupal. O número não surpreende. Drupal nunca foi uma plataforma de massa. Sempre foi a escolha de quem precisa de controle estrutural, interoperabilidade, governança de conteúdo em escala. Telecomunicações, saúde, governo, financeiro. Operações onde o site não é um canal, é infraestrutura.
O que surpreende é o estado dessas instalações.
67% operate without official support
Two-thirds of the Drupal installations we identified in Brazil run versions that no longer receive security patches. Drupal 7, launched in 2011 and discontinued in 2023, still supports the majority. Drupal 8, discontinued since 2021, follows.
Apenas 26% migraram para Drupal 10 ou 11.
Migrating an enterprise Drupal platform is not switching versions. It's rethinking architecture, integrations, content flows, permissions, personalization. It's an engineering project, not an upgrade.
Isso não é negligência. É inércia estrutural. E quando a plataforma "funciona", a urgência desaparece. Até que não funciona mais.
O problema é que "funcionar" e "estar seguro" são coisas diferentes. E a distância entre as duas cresce a cada mês sem suporte.
Análise baseada em varredura de 21.148 domínios .br realizada em abril de 2026.
The distribution reveals the profile
The concentration by sector is not accidental. Government leads by far. Courts, city halls, federal agencies. Drupal has always been strong in government: security, accessibility, permission control, multilanguage. But most run Drupal 7, which means public infrastructure exposed without security coverage.
Serviços financeiros e benefícios aparecem em segundo. Plataformas que processam dados sensíveis, operam sob regulação e dependem de integrações com múltiplos sistemas.
Saúde opera na intersecção mais delicada: dados de pacientes, integrações com sistemas hospitalares, e uma experiência digital que precisa ser acessível e confiável.
In financial services, the platform version is not a technical choice. It's a compliance decision. In healthcare, the risk of operating without support is not technical. It's clinical.
What the version says about the operation
The Drupal version a company runs is, in practice, a silent indicator of how it thinks about its digital platform. Drupal 7 indicates a platform built over a decade ago that survived through stability. The module ecosystem has disintegrated. Specialized developers are increasingly rare.
Drupal 8 e 9 são estados de transição. A arquitetura mudou radicalmente entre 7 e 8: Symfony, Composer, configuração como código. Quem chegou até aqui já investiu na modernização, mas parou no meio do caminho. A janela de migração do 9 para o 10 é a mais suave que a plataforma já ofereceu. Mas janelas se fecham.
Drupal 10 and 11 indicate operations that actively invest in the platform. But the version alone doesn't say enough. Most modern installations underutilize what Drupal can deliver.
Headless, personalização comportamental, busca semântica, integrações em tempo real. A plataforma suporta, mas a implementação raramente explora.
A distância entre o que a maioria opera e o que a plataforma pode entregar é o gap real.
The self-hosted illusion
Most installations we identified operate on their own infrastructure. Few use specialized managed hosting like Acquia or Pantheon. This provides flexibility but transfers all responsibility for security, performance, and scalability to the internal team. There is, however, a third path that the Brazilian market still underutilizes: running Drupal on scalable, highly resilient cloud-native infrastructure, purpose-built for the operation. At Code and Soul, we architect environments where Drupal runs on managed containers on AWS, distributed behind load balancers with automatic health checks and failover across availability zones. RDS Multi-AZ databases with automatic backups, read replicas, and encryption. CloudFront as a global CDN with HTTP/2 and H3 up front. WAF with SQLi rules and rate limiting protecting the application. And CI/CD pipelines that run automated security scans — OWASP ZAP, Nuclei, TLS validation — before any deploy touches production. The practical difference: Drupal remains Drupal, with its modules, permissions, and content workflows. But the infrastructure that sustains the operation scales horizontally on demand, recovers automatically from failures, and costs proportional to actual usage. This is not generic managed hosting with a limited dashboard. It is scalable infrastructure designed for the specific context of your Drupal operation, with the same rigor applied to financial-grade platforms.
When Drupal runs an unsupported version on self-hosted infrastructure, the company is operating without a safety net. Managed hosting solves part of the problem. But a purpose-built cloud-native architecture for Drupal solves the whole problem: patches applied via pipeline, WAF blocking attacks before they reach the application, elastic scalability during traffic spikes, and cost that follows actual demand — not a fixed monthly invoice.
Não é que self-hosted seja errado. É que exige um nível de maturidade operacional que nem toda organização tem, e raramente reconhece que não tem.
O que não aparece nos dados
Números mostram versões e domínios. Não mostram a complexidade por trás de cada instalação. Quantos módulos custom existem. Quantas integrações dependem da plataforma. Quantas pessoas publicam conteúdo diariamente. Qual é o custo real de uma hora de downtime.
Em operações de telecom, já vimos plataformas Drupal com mais de 60 módulos customizados, busca semântica com NLP, personalização comportamental em tempo real e pipelines de publicação que vão do design system direto para produção. Drupal como sistema operacional de experiência, não como CMS.
Esse é o potencial. A distância entre o que a maioria opera e o que a plataforma pode entregar é o gap real.
The stability paradox
Drupal's biggest risk in Brazil is not technical. It's perceptual. The platform is so stable that it masks its own aging. A well-configured Drupal 7 can run for years without visible incidents. This creates a false sense of security that postpones the decision to evolve until the migration cost becomes disproportionate.
The stability that protected the operation for a decade is the same one preventing its evolution.
For those operating Drupal today
This is not an argument to migrate. It's an argument to decide consciously. If the platform runs on Drupal 7 or 8, the question is not whether it works. It's whether you have visibility into the risks you're accumulating, and whether the decision to maintain is deliberate or by omission.
Se opera em Drupal 9, a janela de migração para o 10 é a mais limpa que a história da plataforma já ofereceu. A complexidade não vai diminuir com o tempo.
Se opera em Drupal 10 ou 11, a pergunta é se a implementação atual está extraindo o que a plataforma pode entregar. Headless, personalização, busca inteligente, integrações complexas. O Drupal moderno é uma plataforma de experiência, não um gerenciador de páginas.
Em todos os casos, a decisão mais cara é a que não é tomada.
Análise baseada em varredura de 21.148 domínios .br realizada em abril de 2026. Dados de detecção via fingerprinting HTTP com validação manual de versão.
Code and Soul — Engenharia aplicada para plataformas que não podem falhar.
"The stability that protected the operation for a decade is the same one preventing its evolution. In all cases, the most expensive decision is the one not made."
Continuity: Intelligence, Engineering and Strategy
The thinking behind this article connects directly to Code and Soul's vision: systems that learn, platforms that evolve, and applied intelligence that transforms complex operations into sustainable competitive advantage.
