Nieuw in WCAG 2.2
Succescriterium 3.3.8 Toegankelijke authenticatie (minimum)
Een cognitieve functietest (zoals het onthouden van een wachtwoord of het oplossen van een puzzel) is bij geen enkele stap van een authenticatie proces verplicht, tenzij die stap ten minste een van de volgende opties biedt:
- Alternatief: Een andere authenticatiemethode die niet afhankelijk is van een cognitieve functietest.
- Mechanisme: Er is een mechanisme beschikbaar om de gebruiker te helpen bij het voltooien van de cognitieve functietest.
- Objectherkenning: De cognitieve functietest is gericht op het herkennen van objecten.
- Persoonlijke content: De cognitieve functietest is gericht op het identificeren van niet-tekstuele content die de gebruiker aan de website heeft verstrekt.
Toegankelijke authenticatie (minimum) begrijpen (Engelstalig)
Zorg dat mensen kunnen inloggen zonder dat ze een cognitieve functietest moeten uitvoeren. Dit is vooral belangrijk voor mensen met een cognitieve, taal- of leerbeperking die moeite kunnen hebben met bijvoorbeeld het onthouden van wachtwoorden.
Onder een cognitieve functietest vallen taken taak die vereist dat iemand informatie onthoudt, bewerkt of overschrijft.
Een cognitieve functietest mag alleen gebruikt worden bij het inloggen als er minstens één van deze opties beschikbaar is:
- Een alternatieve inlogmethode
- Een hulpmiddel om de test te kunnen voltooien
- Een test gebaseerd op het herkennen van objecten
- Een test gebaseerd op persoonlijke content die de gebruiker eerder heeft aangeleverd
Wachtwoorden zijn óók een vorm van cognitieve functietest; mensen moeten iets onthouden. Als je toch wachtwoorden wil gebruiken, dan moet je zorgen dat:
- Mensen het wachtwoord kunnen kopiëren en plakken
- Wachtwoordmanagers kunnen werken
Bij twee-factor authenticatie moet je ook opletten. Codes die mensen handmatig moeten overtypen zijn niet toegankelijk. Zorg dat gebruikers deze kunnen kopiëren en plakken.
Hoe pas je dit toe?
- Vermijd cognitieve functietests bij het inloggen op een website.
- Vervang CAPTCHA’s door alternatieven die niet vragen om een puzzel of rekensom op te lossen.
- Zorg dat wachtwoordmanagers kunnen werken.
- Maak het mogelijk om wachtwoorden en codes te kopiëren en plakken.
- Stuur inloglinks via e-mail.
- Bied inloggen via een externe dienst aan (zoals Google, Facebook, Microsoft).
- Gebruik inloggen met vingerafdruk of gezichtsherkenning.
Voor wie is dit belangrijk?
- Mensen die een cognitieve, taal- of leerbeperking hebben.
Wie is verantwoordelijk?
- Ontwikkelaar
Hoe toets je dit?
Benodigdheden
- Testaccount(s)
- Wachtwoordmanager
Testprocedure
Test 1: Inloggen (contenttest)
- Inventariseer de pagina
- Bepaal welke authenticatie processen er zijn:
- Inlogformulier voor bestaande accounts
- Tweefactorauthenticatie (2FA)
- Wachtwoordherstel
- Accountherstel
- Gebruikersnaam of wachtwoord wijzigen
- Bepaal voor elke stap welke authenticatiemethoden beschikbaar zijn:
- Gebruikersnaam en wachtwoord
- Eenmalige code (via e-mail, SMS of app)
- CAPTCHA
- Externe provider (OAuth, zoals “Inloggen met Google”)
- Biometrische authenticatie (vingerafdruk, gezichtsherkenning, iris-scan)
- QR-code scannen
- Hardware-authenticatie (USB-token)
- Bepaal voor elke authenticatiemethode of er een cognitieve functietest verplicht is:
- Onthouden (wachtwoord, gebruikersnaam, patronen)
- Overschrijven (codes typen die je ontvangt)
- Correct spellen (exacte invoer van tekens)
- Berekenen (rekenopgaven oplossen)
- Oplossen (raadsels of puzzels)
- Bepaal welke authenticatie processen er zijn:
- Doorloop het authenticatieproces
- Start het inlogproces met een testaccount
- Volg alle stappen van begin tot eind
- Let op alle momenten waar een cognitieve functietest verplicht is
- Controleer voor elke stap met een cognitieve functietest
- Voor wachtwoorden:
- Test of de browser het wachtwoord automatisch kan invullen (autocomplete)
- Test of een wachtwoordmanager het wachtwoord kan invullen
- Kopieer een wachtwoord en test of je het kunt plakken in het wachtwoordveld
- Controleer of het plakken niet wordt geblokkeerd
- Voor eenmalige codes (OTP):
- Ontvang een eenmalige code via e-mail, SMS of app
- Kopieer de code
- Test of je de code kunt plakken in het invoerveld
- Controleer of het plakken niet wordt geblokkeerd
- Voor CAPTCHAs tijdens authenticatie:
- Bepaal welk type CAPTCHA aanwezig is
- Controleer of het een CAPTCHA met objectherkenning is:
- Selecteer alle afbeeldingen met een specifiek object (verkeerslichten, zebrapaden)
- Objecten herkennen in video of audio
- Controleer of een CAPTCHA die letters of cijfers laat overtikken een alternatief heeft
- Voor wachtwoorden:
Test 2: Alternatief inloggen
Let op: alleen als de primaire methode een niet-ondersteunde cognitieve functietest bevat
- Zoek naar alternatieve inlogmethoden op de pagina
- Controleer of een van de volgende beschikbaar is:
- Inloggen via externe provider (OAuth)
- Biometrische authenticatie
- QR-code scannen
- Hardware-authenticatie (USB-token)
Beoordeling
- Authenticatieprocessen moeten niet vereisen dat een cognitieve functietest wordt uitgevoerd, tenzij:
- Er een alternatief beschikbaar is
- Er een ondersteuningsmechanisme beschikbaar is
- De functietest is gericht op het herkennen van objecten
- De functietest is gericht op het herkennen van content die de gebruiker heeft verstrekt