DrupalCon Europe se realizó en Rotterdam del 28 de septiembre al 1 de octubre de 2026. En el Driesnote del 29 de septiembre de 2026, Dries Buytaert mostró Drupal CMS, Drupal Canvas, Drupal AI y una demo en la que un asistente de IA despublica una página respetando los permisos del editor. Si decides qué entra al roadmap de un portal enterprise, la pregunta útil después de ver eso es cuánto de lo mostrado tiene hoy una versión estable cubierta por el equipo de seguridad de Drupal.
El mensaje de fondo del keynote fue que Drupal va por delante de su reputación. Como evidencia, Dries contó que un agente de programación con IA, probado en junio, no mencionó Drupal CMS ni los Site Templates. Cerrar esa brecha exige comunicar mejor, y para quien opera plataformas exige además saber con precisión qué está listo.
Aquí ordenamos lo anunciado por nivel de madurez, con el estado de cada pieza leído en su página oficial el 15 de octubre de 2026. Si leíste nuestra lectura del programa antes del evento, este texto parte de lo que pasó después.
¿Cómo se ordena lo anunciado en Rotterdam según su madurez?
Lo anunciado se reparte en tres niveles: dos piezas estables, tres en beta y tres en alfa o experimento. La tabla resume el estado de cada una el 15 de octubre de 2026.
| Pieza | Estado | Cobertura de avisos de seguridad | Uso razonable hoy |
| Drupal Canvas 1.12.0 | Estable, 25 sep 2026 | Sí | Producción, con Drupal 11.3 o superior |
| Drupal AI 1.5.1 | Estable, 14 oct 2026 | Sí | Producción, con Drupal 10.5 o 11.2 o superior |
| Tool API 1.0.0-beta11 | Beta, 1 oct 2026 | Aún sin versión estable con soporte | Piloto en staging |
| MCP Server 2.0.0-beta6 | Beta, 14 oct 2026 | Aún sin versión estable con soporte | Piloto en staging |
| Canvas Tools 1.0.0-beta2 | Beta, 29 sep 2026 | No cubierto | Piloto en staging |
| Agent Access 1.0.0-alpha2 | Alfa, 25 sep 2026 | No cubierto | Laboratorio |
| Canvas Headless | Experimental, desactivado por defecto | No aplica | Prueba de concepto |
| Atributos PHP para Tool API | Prototipo en rama experimental | No aplica | Observar |
Una versión estable con cobertura significa que el Drupal Security Team publica avisos y correcciones para ese proyecto. Agent Access y Canvas Tools indican en su página que no tienen esa cobertura, y Tool API y MCP Server indican que todavía no existe una versión estable con soporte. Los estados cambian con rapidez: las últimas betas de Tool API y MCP Server son del 1 y del 14 de octubre de 2026. Antes de decidir, confirma cada fila en la página del proyecto.
01. ¿Qué de lo anunciado ya está estable?
Drupal Canvas y Drupal AI tienen versión estable cubierta por el equipo de seguridad de Drupal. Canvas 1.12.0 se publicó el 25 de septiembre de 2026 y pide Drupal 11.3 o superior. Drupal AI 1.5.1 salió el 14 de octubre de 2026 y funciona con Drupal 10.5 o con 11.2 y superiores.
Drupal es un CMS open source, y Drupal CMS, antes conocido como Starshot, es el producto que reúne Site Templates, recipes, Drupal AI y Canvas sobre Drupal Core. En Rotterdam, Dries anunció soporte multilingüe en Canvas, y el recap de Acquia, firmado por Martin Anderson-Clutz, precisa que Drupal CMS 2.2 trae selector de idioma en el instalador y traducción en Canvas, con revisión y traducción opcional con IA. Acquia es proveedor del ecosistema Drupal y publica ese análisis desde su posición de actor primario.
Para un arquitecto, el requisito de versión de Canvas convierte la migración en condición previa: un portal en Drupal 10 no puede instalarlo, mientras que Drupal AI sí corre en Drupal 10.5. Los criterios de esa migración están en Drupal 11 y tres razones para migrar tu portal enterprise en 2026. Y si lo que evalúas es quién usa Canvas en tu organización, el análisis de Drupal CMS para marketers cubre la decisión enterprise. La página de Drupal resume cómo encaja la plataforma en un portal enterprise.
02. ¿Qué está en beta y se puede pilotear?
Tool API, MCP Server y Canvas Tools están en beta, y ninguno tiene hoy una versión estable con cobertura de avisos de seguridad. Los tres forman la superficie con la que un agente de IA opera Drupal.
Tool API, en el módulo drupal/tool, es un framework para definir lógica ejecutable con entradas y salidas tipadas, validación y control de acceso. Una misma definición se puede usar desde agentes de IA, clientes MCP, ECA, Drush o código PHP. MCP Server, el servidor MCP de Drupal, expone herramientas, recursos y prompts a asistentes de IA mediante el Model Context Protocol, por STDIO o por HTTP. Canvas Tools permite que un agente de IA cree páginas y plantillas de Canvas con operaciones tipadas, y guarda cada cambio como borrador hasta que una persona lo publica.
Matt Glaman presentó en Rotterdam una charla sobre componentes SDC, Canvas y agent skills, y los datos de su entrada de blog sirven de referencia para lo que hay detrás. Canvas Tools expone 21 operaciones: tres son destructivas (borrar una página, borrar un componente y descartar el autoguardado) y las otras 18 escriben en un borrador. Glaman reporta además que Canvas no tiene API pública, así que Canvas Tools depende de versiones concretas de Canvas, y que actualizar a Canvas 1.11.0 obligó a adaptar el puente. El acceso remoto por HTTP exige OAuth, y el módulo que lo resuelve está en alfa.
Glaman también cambió su plan de MCP a la línea de comandos. Un agente de programación que ya trabaja en la terminal puede llamar a Drush sin servidor, transporte ni autenticación adicionales, y concluye que MCP solo importa cuando el sitio no está en tu máquina. Para tu arquitectura eso separa dos casos. El agente de desarrollo que trabaja junto al código se resuelve con la CLI. El agente que opera un sitio remoto en nombre de un editor necesita MCP, OAuth y los permisos de esa persona.
En la demo del Driesnote, un editor le pide a un asistente despublicar una página; Drupal verifica los permisos del editor y aplica las reglas de publicación del sitio. Ese es el modelo de gobierno que conviene exigir a cualquier piloto: el agente actúa con los permisos de quien lo usa. esinergia tiene un desarrollador dedicado a la Drupal AI Initiative y contribuye de forma continua a drupal.org, y desde esa posición la recomendación para un portal enterprise es tratar estas betas como cualquier dependencia sin versión estable: primero en staging y con alcance de solo lectura. La página de Drupal AI resume cómo aplicamos IA sobre Drupal en portales enterprise.
03. ¿Qué sigue siendo experimental o alfa?
Agent Access está en alfa, Canvas Headless es experimental y los atributos PHP para Tool API son un prototipo en una rama experimental. Ninguna de las tres tiene hoy cobertura de seguridad.
Agent Access es una receta que reúne Simple OAuth, Tool API y MCP Server para conectar Drupal con asistentes de IA como ChatGPT. Cada persona se conecta con su propia cuenta de Drupal y se aplican sus permisos. La versión 1.0.0-alpha2 salió el 25 de septiembre de 2026, requiere Drupal 11.4 o superior y no está cubierta por la política de avisos de seguridad; su página advierte que puede tener vulnerabilidades divulgadas públicamente. Un portal con datos de pacientes o de estudiantes necesita esperar a una versión con cobertura antes de ponerla en producción.
Canvas Headless permite que el editor de Canvas muestre su vista previa a través de una aplicación frontend propia, y que los componentes de esa aplicación se coloquen en una página desde el editor. Drupal.org lo presenta como soporte oficial para cinco frameworks, con Angular añadido recientemente. El quickstart de Acquia lo describe como experimental: llegó en Canvas 1.9.0 el 29 de julio de 2026, está desactivado por defecto, puede cambiar o eliminarse sin aviso y su SDK está por debajo de la versión 1.0. Requiere Node.js 22 o superior y trae plantillas para Next.js, Astro, Nuxt y TanStack Start. La vista previa depende de cookies de terceros particionadas, y entre plantillas hay diferencias de comportamiento: la de TanStack Start no envía el encabezado content-security-policy en la ruta de componentes.
En el keynote, Dries mostró un caso real con Canvas Headless y Astro: el sitio de Blue Drop Labs, ya en vivo, que publicó un artículo al día siguiente. Es un resultado reportado por el propio proyecto. Canvas Headless muestra la distancia entre anunciado y listo: el anuncio la llama disponible y la documentación la marca experimental. Para decisiones de arquitectura headless con Drupal, sigue vigente el criterio de nuestra página de Drupal headless.
Los atributos PHP para Tool API son un cambio que Dries y Matt Glaman prototiparon: el módulo de álbum de fotos de Dries necesitaba unas 1.000 líneas de código adicionales para exponer sus capacidades como herramientas, y con atributos quedó en unas 20. Es un único módulo en una rama experimental, así que la cifra no se generaliza a otros proyectos.
¿Qué conviene decidir esta semana si operas un portal enterprise en Drupal?
Conviene decidir tres cosas: la versión base de Drupal, un piloto en staging y quién aprueba lo que un agente de IA puede tocar. Ninguna depende de que Tool API o MCP Server lleguen a estable.
01. Versión base. Canvas pide Drupal 11.3 o superior y Agent Access pide 11.4 o superior. Drupal 10 llega a fin de vida el 9 de diciembre de 2026, y el calendario de Drupal prevé Drupal 12.0.0 estable la semana del 7 de diciembre de 2026, con la aclaración de que no todas las ventanas de release se usan. Si tu arquitectura DXP sigue en Drupal 10, esa fecha ordena el resto.
02. Un piloto en staging. Elige una sola superficie, por ejemplo Canvas Tools para armar borradores de páginas, y empieza con herramientas de solo lectura. Si el equipo necesita una referencia de qué es un DXP antes de ampliar el alcance, este análisis lo cubre.
03. Quién aprueba. Define por escrito qué puede hacer un agente sin revisión y qué exige aprobación de una persona. The DropTimes plantea que la decisión sobre qué combinaciones son lo bastante maduras gira alrededor de permisos, revisión humana y trazabilidad. La tabla traduce esos tres criterios a condiciones de un piloto.
| Condición | Cómo se ve en la práctica |
| El agente actúa con los permisos de una persona | Modelo de Agent Access y de la demo del Driesnote: cada usuario se conecta con su cuenta |
| Borrador antes que publicación | Canvas Tools guarda los cambios como borrador hasta que una persona los publica |
| Operaciones destructivas con aprobación | En Canvas Tools, tres de las 21 operaciones están marcadas como destructivas |
| Trazabilidad de cada llamada | Registro de qué herramienta ejecutó el agente y con qué entradas, definido antes del piloto |
Preguntas frecuentes sobre el Driesnote de DrupalCon Rotterdam 2026
¿Qué se anunció en el Driesnote de DrupalCon Rotterdam 2026?
Dries Buytaert presentó el estado de Drupal el 29 de septiembre de 2026: soporte multilingüe en Canvas, componentes de código en React, Canvas Headless con cinco frameworks, la demo de Drupal AI y un cambio en Tool API con atributos PHP. Anunció también el Drupal Advocacy Program, que da créditos de contribución por difundir Drupal, y un Rosetta Sprint de cuatro días con maintainers, sin fecha confirmada. El detalle está en el resumen oficial de drupal.org.
¿Drupal Canvas está listo para producción?
Sí, Drupal Canvas está listo para producción. La versión 1.12.0 es estable desde el 25 de septiembre de 2026, tiene cobertura de avisos de seguridad y pide Drupal 11.3 o superior. Dentro de Canvas, Canvas Headless es experimental y Canvas Tools está en beta.
¿Qué es Tool API y qué relación tiene con MCP?
Tool API es un framework de Drupal para definir lógica ejecutable con entradas y salidas tipadas, validación y control de acceso. MCP Server expone esas herramientas a asistentes de IA mediante el Model Context Protocol (MCP), un protocolo abierto para que un asistente de IA use las herramientas de otro sistema. Los dos están en beta al 15 de octubre de 2026 y ninguno tiene todavía una versión estable con soporte de seguridad.
¿Cuándo sale Drupal 12?
El calendario de Drupal core prevé Drupal 12.0.0 candidato a release la semana del 9 de noviembre de 2026 y la versión estable la semana del 7 de diciembre de 2026. La página del calendario aclara que no hay garantía de que todas las ventanas se usen para publicar una versión nueva. Si tu portal sigue en una versión anterior, la página de modernización y migraciones describe cómo abordamos esas actualizaciones.
¿Qué viene después de Rotterdam?
El Rosetta Sprint apunta a que Drupal describa sus capacidades una sola vez, de forma legible para agentes de IA, otros sistemas y personas. Reunirá a maintainers clave durante cuatro días y todavía no tiene fecha ni sede. Tool API va en esa dirección, y según Glaman llegará, al menos en parte, al core.
Cuando Tool API y MCP Server tengan versión estable, quien ya haya definido qué puede hacer un agente en su portal y quién lo aprueba la pondrá en producción primero. Ese trabajo no depende de la versión y se puede empezar con las betas de hoy.