WCAG 3.3.8 Přístupné ověřování (minimum)

Kritérium úspěšnosti 3.3.8 je ve WCAG 2.2 nové. Pomáhá lidem s kognitivním postižením, potížemi s pamětí nebo učením a s dyslexií, kterým zapamatování hesla, přepisování kódu nebo řešení hádanky může zablokovat přístup k účtu. V e-shopu se týká přihlášení, registrace, obnovy hesla, dvoufázových kódů a CAPTCHA. Jde o úroveň AA a v normě EN 301 549 je uvedeno jako článek 9.3.3.8. Na harmonizovanou normu EN 301 549 odkazuje i český zákon č. 424/2023 Sb.

Co kritérium vyžaduje

Test kognitivních funkcí nesmí být vyžadován v žádném kroku procesu ověřování, pokud daný krok nenabízí alespoň jedno z následujícího:

• Alternativa: jiný způsob ověření, který na testu kognitivních funkcí nezávisí;
• Mechanismus: mechanismus, který uživateli pomůže, například podpora správců hesel nebo kopírování a vkládání;
• Rozpoznávání objektů: test spočívá v rozpoznání objektů;
• Osobní obsah: test spočívá v identifikaci netextového obsahu, který uživatel webu sám poskytl (například fotografie, kterou nahrál).

Test kognitivních funkcí je úkol, při kterém si uživatel musí informace zapamatovat, zpracovat nebo přepsat: zapamatovat si heslo nebo gesto, přepsat znaky zobrazené na obrazovce, hláskovat, počítat, řešit hádanky. Zadání jména, e-mailové adresy nebo telefonního čísla testem kognitivních funkcí není.

Výjimky pro rozpoznávání objektů a osobní obsah platí jen na úrovni AA; kritérium 3.3.9 úrovně AAA je nepřipouští.

Typické chyby v e-shopu

• pole pro heslo blokuje vkládání nebo nastavuje atributy a skripty, které brání správcům hesel ho vyplnit, a jiný způsob přihlášení neexistuje;
• dvoufázový kód rozdělený do šesti samostatných políček, která vložený kód odmítnou;
• textová CAPTCHA (přepište zkreslená písmena) nebo matematická otázka jako jediná možnost;
• zvuková CAPTCHA jako „alternativa“, která vyžaduje přepsat, co slyšíte;
• požadavek na „2., 5. a 7. znak“ hesla;
• bezpečnostní otázka jako „jméno vašeho prvního mazlíčka“ jako jediná cesta k obnovení účtu.

Jak to zkontrolovat

Automaticky: náš nástroj pro toto kritérium nemá pravidlo. Nepřihlašuje se, proto je potřeba ruční kontrola.

Ručně: otestujte přihlášení, registraci, obnovu hesla a každý dvoufázový krok. Zkuste heslo uložit a vyplnit správcem hesel. Vložte heslo a jednorázový kód ze schránky. Zapište si každou CAPTCHA a co po vás chce. U každého kroku s úkolem na paměť nebo přepis hledejte alternativu (přihlašovací odkaz e-mailem, passkey) nebo mechanismus (vkládání, automatické vyplňování).

Jak to opravit

• Povolte vkládání a automatické vyplňování: použijte autocomplete="current-password", new-password a one-time-code a vkládání neblokujte.
• Pro jednorázové kódy použijte jedno vstupní pole, nebo zajistěte, aby rozdělená pole přijala vložený kód.
• Jako alternativu nabídněte přihlašovací odkaz e-mailem, passkeys nebo přihlášení přes sociální sítě.
• Textové a matematické CAPTCHA nahraďte možností, která nevyžaduje kognitivní test; W3C doporučuje pokud možno se vyhnout i rozpoznávání objektů.

Související kritéria

• 3.3.7 Opakované zadávání — nenuťte uživatele v procesu znovu psát údaje.
• 1.3.5 Určení účelu vstupu — autocomplete u vstupních polí.
• Kontrolní seznam WCAG 2.2 — další nová kritéria ve WCAG 2.2.

Časté otázky

Jsou podle WCAG 3.3.8 hesla stále povolena?

Ano, pokud uživatel dostane pomoc s jejich zadáním: správci hesel mohou pole vyplnit a vkládání je povoleno. Blokování vkládání nebo automatického vyplňování v poli pro heslo je chybou, pokud není nabídnut jiný způsob přihlášení bez kognitivního testu.

Je CAPTCHA podle WCAG 2.2 AA povolena?

CAPTCHA, která po uživatelích chce jen rozpoznat objekty (například vybrat obrázky s jízdním kolem), je na úrovni AA povolena díky výjimce pro rozpoznávání objektů. CAPTCHA s přepisem textu, počítáním nebo hádankou potřebuje alternativu.

Je přijatelný jednorázový kód přes SMS nebo e-mail?

Ano, pokud uživatelé mohou kód vložit nebo ho nechat vyplnit prohlížečem. Samostatná políčka pro každou číslici, která vložený kód odmítnou, jsou chybou. Přihlašovací odkaz e-mailem uvádí W3C jako dostatečnou techniku.

Je zadání e-mailové adresy testem kognitivních funkcí?

Ne. W3C uvádí, že běžné identifikátory jméno, e-mail a telefonní číslo se za testy kognitivních funkcí nepovažují.