WCAG 3.3.8 Доступна автентифікація (мінімальні вимоги)

Критерій успіху 3.3.8 новий у WCAG 2.2 (в оригіналі — Accessible Authentication (Minimum)). Він допомагає людям з когнітивними порушеннями, труднощами з пам'яттю чи навчанням і дислексією, для яких запам'ятати пароль, переписати код чи розв'язати головоломку може означати втрату доступу до акаунта. У магазині це стосується входу, реєстрації, відновлення пароля, двофакторних кодів і CAPTCHA. Це рівень AA, і в EN 301 549 він є пунктом 9.3.3.8 (в Україні — ДСТУ EN 301 549:2022).

Що вимагає критерій

Тест когнітивних функцій не можна вимагати на жодному кроці процесу автентифікації, якщо цей крок не надає щонайменше одного з варіантів:

• Альтернатива: інший спосіб автентифікації, який не спирається на тест когнітивних функцій;
• Механізм: механізм допомоги користувачеві, як-от підтримка менеджерів паролів чи копіювання й вставлення;
• Розпізнавання об'єктів: тест полягає в розпізнаванні об'єктів;
• Особистий вміст: тест полягає в ідентифікації нетекстового вмісту, який користувач сам надав сайту (наприклад, завантаженого фото).

Тест когнітивних функцій — це завдання, яке вимагає від користувача запам'ятати, перетворити чи переписати інформацію: запам'ятати пароль чи візерунок, ввести символи, показані на екрані, написати слово, обчислити, розв'язати головоломку. Введення імені, адреси email чи номера телефону не є тестом когнітивних функцій.

Винятки для розпізнавання об'єктів і особистого вмісту діють лише на рівні AA; критерій рівня AAA 3.3.9 їх не допускає.

Типові помилки в інтернет-магазині

• поле пароля блокує вставлення або має атрибути й скрипти, що не дають менеджерам паролів його заповнити, і немає іншого способу входу;
• двофакторний код, розбитий на шість окремих клітинок, які не приймають вставленого коду;
• текстова CAPTCHA (введіть спотворені літери) чи арифметичне питання як єдиний варіант;
• аудіо-CAPTCHA, що як «альтернатива» вимагає переписати почуте;
• запит «2-го, 5-го і 7-го символу» пароля;
• контрольне питання на кшталт «кличка вашого першого улюбленця» як єдиний шлях відновлення.

Як перевірити

Автоматично: у нашого сканера немає правила для цього критерію. Він не входить в акаунти, тож потрібна ручна перевірка.

Вручну: перевірте вхід, реєстрацію, відновлення пароля і кожен двофакторний крок. Спробуйте зберегти й заповнити пароль менеджером паролів. Вставте з буфера обміну пароль і одноразовий код. Запишіть кожну CAPTCHA і що вона просить зробити. Для кожного кроку із завданням на пам'ять чи переписування шукайте альтернативу (посилання на email, ключ доступу passkey) або механізм (вставлення, автозаповнення).

Як виправити

• Дозвольте вставлення й автозаповнення: використовуйте autocomplete="current-password", new-password і one-time-code і не блокуйте вставлення.
• Використовуйте одне поле введення для одноразових кодів або зробіть так, щоб розділені поля приймали вставлений код.
• Пропонуйте як альтернативу посилання для входу на email, ключі доступу (passkeys) чи вхід через соцмережі.
• Замініть текстові й арифметичні CAPTCHA варіантом, який не потребує когнітивного тесту; W3C радить по можливості уникати й розпізнавання об'єктів.

Пов'язані критерії

• 3.3.7 Повторне введення даних — не змушуйте користувачів повторно вводити дані в процесі.
• 1.3.5 Призначення полів уведення — autocomplete на полях введення.
• Чек-лист WCAG 2.2 — інші нові критерії WCAG 2.2.

Часті запитання

Чи дозволені паролі за WCAG 3.3.8?

Так, якщо користувачеві допомагають їх ввести: менеджери паролів можуть заповнити поле, а вставлення дозволене. Блокування вставлення чи автозаповнення в полі пароля — порушення, якщо не запропоновано інший спосіб входу без когнітивного тесту.

Чи дозволена CAPTCHA за WCAG 2.2 AA?

CAPTCHA, яка лише просить розпізнати об'єкти (наприклад, вибрати зображення з велосипедом), дозволена на рівні AA за винятком для розпізнавання об'єктів. CAPTCHA з переписуванням тексту, арифметикою чи головоломками потребує альтернативи.

Чи прийнятний одноразовий код через SMS чи email?

Так, якщо користувачі можуть вставити код або дозволити браузеру його заповнити. Окремі клітинки для кожної цифри, які не приймають вставленого коду, — порушення. Посилання для входу на email W3C наводить як достатню техніку.

Чи є введення адреси email тестом когнітивних функцій?

Ні. W3C каже, що поширені ідентифікатори — ім'я, email і номер телефону — не вважаються тестами когнітивних функцій.