WCAG 3.3.8 Доступная аутентификация (минимум)

Критерий успеха 3.3.8 появился в WCAG 2.2. Он помогает людям с когнитивными нарушениями, трудностями с памятью или обучением и дислексией: для них необходимость запомнить пароль, перепечатать код или решить головоломку может закрыть доступ к собственному аккаунту. В магазине это касается входа, регистрации, сброса пароля, кодов двухфакторной аутентификации и CAPTCHA. Это уровень AA, в EN 301 549 он представлен как пункт 9.3.3.8. Тот же стандарт принят в Украине как ДСТУ EN 301 549:2022.

Что требует критерий

Тест когнитивной функции не должен требоваться ни на одном шаге процесса аутентификации, если только этот шаг не предоставляет хотя бы одно из следующего:

• Альтернатива: другой способ аутентификации, который не опирается на тест когнитивной функции;
• Механизм: механизм помощи пользователю, например поддержка менеджеров паролей или копирования и вставки;
• Распознавание объектов: тест состоит в распознавании объектов;
• Личный контент: тест состоит в определении нетекстового контента, который пользователь сам предоставил сайту (например, загруженной им фотографии).

Тест когнитивной функции — это задача, которая требует от пользователя запомнить, преобразовать или переписать информацию: вспомнить пароль или графический ключ, ввести символы с экрана, написать слово по буквам, посчитать, решить головоломку. Ввод имени, адреса эл. почты или номера телефона тестом когнитивной функции не является.

Исключения для распознавания объектов и личного контента действуют только на уровне AA; критерий уровня AAA 3.3.9 их не допускает.

Типичные ошибки в интернет-магазине

• поле пароля блокирует вставку или содержит атрибуты и скрипты, мешающие менеджерам паролей его заполнить, и другого способа входа нет;
• код двухфакторной аутентификации разбит на шесть отдельных ячеек, которые не принимают вставленный код;
• текстовая CAPTCHA (введите искажённые буквы) или арифметический пример как единственный вариант;
• аудио-CAPTCHA в роли «альтернативы», которая требует записать услышанное;
• запрос «2-го, 5-го и 7-го символа» пароля;
• контрольный вопрос вроде «кличка вашего первого питомца» как единственный способ восстановить доступ.

Как проверить

Автоматически: в нашей проверке нет правила для этого критерия. Она не входит в аккаунт, поэтому нужна ручная проверка.

Вручную: протестируйте вход, регистрацию, сброс пароля и любой шаг двухфакторной аутентификации. Попробуйте сохранить и подставить пароль через менеджер паролей. Вставьте пароль и одноразовый код из буфера обмена. Отметьте каждую CAPTCHA и что она просит сделать. Для каждого шага с задачей на память или переписывание найдите альтернативу (ссылка по email, ключ доступа passkey) или механизм (вставка, автозаполнение).

Как исправить

• Разрешите вставку и автозаполнение: используйте autocomplete="current-password", new-password и one-time-code и не блокируйте вставку.
• Используйте одно поле для одноразовых кодов или сделайте так, чтобы разделённые поля принимали вставленный код.
• Предложите в качестве альтернативы ссылку для входа по email, ключи доступа (passkeys) или вход через соцсети.
• Замените текстовые и арифметические CAPTCHA вариантом, который не требует когнитивного теста; W3C советует по возможности избегать и распознавания объектов.

Связанные критерии

• 3.3.7 Избыточный ввод — не заставляйте пользователей повторно вводить данные в процессе.
• 1.3.5 Определение назначения поля ввода — autocomplete для полей ввода.
• Чек-лист WCAG 2.2 — другие новые критерии WCAG 2.2.

Частые вопросы

Можно ли по-прежнему использовать пароли согласно WCAG 3.3.8?

Да, если пользователю помогают их ввести: менеджеры паролей могут заполнить поле, а вставка разрешена. Блокировка вставки или автозаполнения в поле пароля — нарушение, если не предложен другой способ входа без когнитивного теста.

Допустима ли CAPTCHA по WCAG 2.2 AA?

CAPTCHA, которая только просит распознать объекты (например, выбрать картинки с велосипедом), на уровне AA допустима по исключению для распознавания объектов. Для CAPTCHA с переписыванием текста, арифметикой или головоломками нужна альтернатива.

Подходит ли одноразовый код по SMS или email?

Да, если пользователь может вставить код или позволить браузеру подставить его. Отдельные ячейки для каждой цифры, которые не принимают вставленный код, — нарушение. Ссылку для входа по email W3C называет достаточной техникой.

Является ли ввод адреса эл. почты тестом когнитивной функции?

Нет. W3C говорит, что распространённые идентификаторы — имя, email и номер телефона — не считаются тестами когнитивной функции.