WCAG 3.3.8 Autentificare accesibilă (minim)

Criteriul de succes 3.3.8 este nou în WCAG 2.2. Îi ajută pe oamenii cu dizabilități cognitive, dificultăți de memorie sau de învățare și dislexie, pentru care reținerea unei parole, retastarea unui cod sau rezolvarea unui puzzle îi pot bloca în afara contului. Într-un magazin, acest lucru privește autentificarea, înregistrarea, resetarea parolei, codurile de autentificare în doi pași și CAPTCHA-urile. Este de nivelul AA și apare în EN 301 549 drept clauza 9.3.3.8; Legea 232/2022 se bazează pe standardul armonizat EN 301 549.

Ce cere criteriul

Un test al funcției cognitive nu trebuie cerut la niciun pas al unui proces de autentificare, cu excepția cazului în care pasul respectiv oferă cel puțin una dintre următoarele:

• Alternativă: o altă metodă de autentificare care nu se bazează pe un test al funcției cognitive;
• Mecanism: un mecanism care îl ajută pe utilizator, cum ar fi suportul pentru managerii de parole sau copierea și lipirea;
• Recunoașterea obiectelor: testul constă în recunoașterea unor obiecte;
• Conținut personal: testul constă în identificarea unui conținut non-text furnizat site-ului de utilizator (de exemplu, o fotografie încărcată de acesta).

Un test al funcției cognitive este o sarcină care îi cere utilizatorului să rețină, să manipuleze sau să transcrie informații: reținerea unei parole sau a unui model, tastarea caracterelor afișate pe ecran, ortografierea, calcule, puzzle-uri. Introducerea unui nume, a unei adrese de e-mail sau a unui număr de telefon nu este un test al funcției cognitive.

Excepțiile pentru recunoașterea obiectelor și pentru conținutul personal se aplică doar la nivelul AA; criteriul AAA 3.3.9 nu le permite.

Greșeli tipice într-un magazin online

• câmpul de parolă blochează lipirea sau setează atribute și scripturi care îi împiedică pe managerii de parole să îl completeze, fără nicio altă metodă de autentificare;
• un cod de autentificare în doi pași împărțit în șase casete separate care resping un cod lipit;
• un CAPTCHA text (tastați literele distorsionate) sau o întrebare de matematică drept unică opțiune;
• un CAPTCHA audio care cere transcrierea a ceea ce auziți ca „alternativă”;
• cererea „caracterului al 2-lea, al 5-lea și al 7-lea” din parolă;
• o întrebare de securitate precum „numele primului animal de companie” drept unică modalitate de recuperare.

Cum se verifică

Automat: verificatorul nostru nu are nicio regulă pentru acest criteriu. Nu se autentifică, așa că este nevoie de o verificare manuală.

Manual: testați autentificarea, înregistrarea, resetarea parolei și orice pas de autentificare în doi pași. Încercați să salvați și să completați parola cu un manager de parole. Lipiți din clipboard o parolă și un cod unic. Notați fiecare CAPTCHA și ce vă cere să faceți. Pentru fiecare pas cu o sarcină de memorare sau de transcriere, căutați o alternativă (link prin e-mail, passkey) sau un mecanism (lipire, completare automată).

Cum se remediază

• Permiteți lipirea și completarea automată: folosiți autocomplete="current-password", new-password și one-time-code și nu blocați lipirea.
• Folosiți un singur câmp pentru codurile unice sau faceți ca și câmpurile împărțite să accepte un cod lipit.
• Oferiți ca alternativă un link de autentificare prin e-mail, passkeys sau autentificarea prin rețele sociale.
• Înlocuiți CAPTCHA-urile cu text și calcule cu o opțiune care nu necesită un test cognitiv; W3C recomandă evitarea, pe cât posibil, și a recunoașterii obiectelor.

Criterii conexe

• 3.3.7 Introducere redundantă — nu îi puneți pe utilizatori să tasteze din nou date într-un proces.
• 1.3.5 Identificarea scopului datelor introduse — autocomplete pentru câmpurile de introducere.
• Lista de verificare WCAG 2.2 — celelalte criterii noi din WCAG 2.2.

Întrebări frecvente

Mai sunt permise parolele conform WCAG 3.3.8?

Da, dacă utilizatorul este ajutat să le completeze: managerii de parole pot completa câmpul, iar lipirea este permisă. Blocarea lipirii sau a completării automate în câmpul de parolă încalcă criteriul, cu excepția cazului în care este oferită o altă metodă de autentificare fără test cognitiv.

Este permis un CAPTCHA conform WCAG 2.2 AA?

Un CAPTCHA care le cere utilizatorilor doar să recunoască obiecte (de exemplu, să aleagă imaginile cu o bicicletă) este permis la nivelul AA în baza excepției pentru recunoașterea obiectelor. CAPTCHA-urile cu transcriere de text, calcule sau puzzle-uri au nevoie de o alternativă.

Este acceptabil un cod unic trimis prin SMS sau e-mail?

Da, dacă utilizatorii pot lipi codul sau îl pot lăsa pe browser să îl completeze. Casetele separate pentru fiecare cifră care resping un cod lipit încalcă criteriul. Un link de autentificare trimis prin e-mail este enumerat de W3C drept tehnică suficientă.

Este introducerea adresei de e-mail un test al funcției cognitive?

Nu. W3C precizează că identificatorii obișnuiți — numele, e-mailul și numărul de telefon — nu sunt considerați teste ale funcției cognitive.