WCAG 3.3.8 Dostępne uwierzytelnianie (minimum)

Kryterium sukcesu 3.3.8 jest nowe w WCAG 2.2. Pomaga osobom z niepełnosprawnościami poznawczymi, trudnościami z pamięcią lub w uczeniu się oraz z dysleksją, którym konieczność zapamiętania hasła, przepisania kodu lub rozwiązania łamigłówki może odciąć dostęp do konta. W sklepie dotyczy to logowania, rejestracji, resetu hasła, kodów uwierzytelniania dwuskładnikowego i CAPTCHA. To poziom AA; w normie EN 301 549 kryterium to występuje jako punkt 9.3.3.8.

Czego wymaga kryterium

Test funkcji poznawczych nie może być wymagany na żadnym etapie procesu uwierzytelniania, chyba że ten etap zapewnia co najmniej jedno z poniższych:

• Alternatywa: inna metoda uwierzytelniania, która nie opiera się na teście funkcji poznawczych;
• Mechanizm: mechanizm pomagający użytkownikowi, na przykład obsługa menedżerów haseł lub kopiowania i wklejania;
• Rozpoznawanie obiektów: test polega na rozpoznaniu obiektów;
• Treść osobista: test polega na zidentyfikowaniu treści nietekstowej, którą użytkownik przekazał serwisowi (na przykład przesłanego przez niego zdjęcia).

Test funkcji poznawczych to zadanie wymagające od użytkownika zapamiętania, przekształcenia lub przepisania informacji: zapamiętania hasła lub wzoru, wpisania znaków pokazanych na ekranie, literowania, obliczeń, łamigłówek. Wpisanie imienia i nazwiska, adresu e-mail lub numeru telefonu nie jest testem funkcji poznawczych.

Wyjątki dotyczące rozpoznawania obiektów i treści osobistej obowiązują tylko na poziomie AA; kryterium AAA 3.3.9 Dostępne uwierzytelnianie (wzmocnione) ich nie dopuszcza.

Typowe błędy w sklepie internetowym

• pole hasła blokuje wklejanie albo ma atrybuty i skrypty, które uniemożliwiają menedżerom haseł jego wypełnienie, a innej metody logowania nie ma;
• kod uwierzytelniania dwuskładnikowego podzielony na sześć osobnych okienek, które odrzucają wklejony kod;
• tekstowa CAPTCHA (wpisz zniekształcone litery) lub pytanie matematyczne jako jedyna opcja;
• dźwiękowa CAPTCHA jako „alternatywa”, która wymaga przepisania tego, co słychać;
• prośba o podanie „2., 5. i 7. znaku” hasła;
• pytanie bezpieczeństwa w rodzaju „imię Twojego pierwszego zwierzaka” jako jedyna droga odzyskania konta.

Jak to sprawdzić

Automatycznie: nasz skaner nie ma reguły dla tego kryterium. Nie loguje się, dlatego potrzebna jest kontrola ręczna.

Ręcznie: należy przetestować logowanie, rejestrację, reset hasła i każdy krok uwierzytelniania dwuskładnikowego. Spróbować zapisać i uzupełnić hasło menedżerem haseł. Wkleić hasło i kod jednorazowy ze schowka. Zanotować każdą CAPTCHA i to, czego wymaga. Przy każdym kroku z zadaniem pamięciowym lub przepisywaniem poszukać alternatywy (link w e-mailu, klucz dostępu – passkey) lub mechanizmu (wklejanie, autouzupełnianie).

Jak to naprawić

• Pozwolić na wklejanie i autouzupełnianie: stosować autocomplete="current-password", new-password i one-time-code i nie blokować wklejania.
• Używać jednego pola na kod jednorazowy albo sprawić, by pola podzielone przyjmowały wklejony kod.
• Oferować jako alternatywę link logowania w e-mailu, klucze dostępu (passkeys) lub logowanie przez media społecznościowe.
• Zastąpić tekstowe i matematyczne CAPTCHA rozwiązaniem, które nie wymaga testu funkcji poznawczych; W3C radzi w miarę możliwości unikać także rozpoznawania obiektów.

Powiązane kryteria

• 3.3.7 Zbędne ponowne wprowadzanie danych — bez wpisywania tych samych danych ponownie w jednym procesie.
• 1.3.5 Określenie pożądanej wartości — autouzupełnianie w polach formularzy.
• Lista kontrolna WCAG 2.2 — pozostałe nowe kryteria w WCAG 2.2.

Najczęstsze pytania

Czy hasła są nadal dozwolone według WCAG 3.3.8?

Tak, jeśli użytkownik otrzymuje pomoc w ich wpisaniu: menedżery haseł mogą wypełnić pole, a wklejanie jest dozwolone. Blokowanie wklejania lub autouzupełniania w polu hasła nie spełnia kryterium, chyba że oferowana jest inna metoda logowania bez testu funkcji poznawczych.

Czy CAPTCHA jest dozwolona według WCAG 2.2 AA?

CAPTCHA, która wymaga jedynie rozpoznania obiektów (na przykład wybrania zdjęć z rowerem), jest dozwolona na poziomie AA na mocy wyjątku dotyczącego rozpoznawania obiektów. CAPTCHA z przepisywaniem tekstu, działaniami matematycznymi lub łamigłówkami wymaga alternatywy.

Czy kod jednorazowy przez SMS lub e-mail jest dopuszczalny?

Tak, jeśli użytkownik może wkleić kod lub pozwolić przeglądarce go uzupełnić. Osobne okienka na każdą cyfrę, które odrzucają wklejony kod, nie spełniają kryterium. Link logowania wysyłany e-mailem W3C wymienia jako technikę wystarczającą.

Czy wpisanie adresu e-mail to test funkcji poznawczych?

Nie. W3C mówi, że popularne identyfikatory — imię i nazwisko, adres e-mail i numer telefonu — nie są uznawane za testy funkcji poznawczych.