Succescriterium 3.3.8 Toegankelijke authenticatie (minimum)
Een cognitieve functietest (zoals het onthouden van een wachtwoord of het oplossen van een puzzel) is bij geen enkele stap van een authenticatie proces verplicht, tenzij die stap ten minste een van de volgende opties biedt:
- Alternatief: Een andere authenticatiemethode die niet afhankelijk is van een cognitieve functietest.
- Mechanisme: Er is een mechanisme beschikbaar om de gebruiker te helpen bij het voltooien van de cognitieve functietest.
- Objectherkenning: De cognitieve functietest is gericht op het herkennen van objecten.
- Persoonlijke content: De cognitieve functietest is gericht op het identificeren van niet-tekstuele content die de gebruiker aan de website heeft verstrekt.
Noot 1‘Objectherkenning’ en ‘Persoonlijke content’ kunnen worden weergegeven door afbeeldingen, video of audio.
Noot 2Voorbeelden van mechanismen die aan dit criterium voldoen, omvatten:
- ondersteuning van wachtwoordinvoer door wachtwoordmanagers om de geheugenbehoefte te verminderen, en
- kopiëren en plakken om de cognitieve belasting van opnieuw intypen te verminderen.
Toegankelijke authenticatie (minimum) begrijpen (Engelstalig)
Zorg dat mensen kunnen inloggen zonder iets te onthouden, over te typen of op te lossen. Vraag je dat toch, dan moet je ze daarbij helpen. Sommige mensen met een cognitieve beperking of leerbeperking, zoals dyslexie of dyscalculie, kunnen geen wachtwoord onthouden of een code foutloos overtypen. Zonder hulp komen ze niet binnen.
Een cognitieve functietest is een taak waarbij iemand informatie moet onthouden, bewerken of overtypen. Bijvoorbeeld:
- een gebruikersnaam, wachtwoord of patroon onthouden
- een code of tekens overtypen
- een woord correct spellen
- een rekensom maken
- een puzzel oplossen
Een naam, e-mailadres of telefoonnummer invullen telt niet als cognitieve functietest. Die gegevens zijn persoonlijk en overal hetzelfde.
Vraagt een stap om een cognitieve functietest? Dan moet die stap minstens één van deze opties bieden:
- een andere manier om in te loggen, zonder test
- een hulpmiddel om de test uit te voeren, zoals een wachtwoordmanager of plakken
- een test waarbij mensen objecten herkennen, zoals foto’s met een fiets aanwijzen
- een test waarbij mensen een afbeelding, filmpje of geluid herkennen dat ze zelf eerder hebben aangeleverd
Dit geldt voor élke stap. Bij tweefactorauthenticatie moeten dus beide stappen voldoen. Een beveiligingsvraag zoals “Wat is de naam van je eerste huisdier?” telt niet als persoonlijke content. Die vraagt om onthouden en typen, niet om herkennen.
Het succescriterium geldt voor inloggen, tweefactorauthenticatie en het herstellen of wijzigen van je wachtwoord. Ook een CAPTCHA (een test die controleert of je een mens bent) die pas na een paar foute pogingen verschijnt, telt mee. Het aanmaken van een account valt er niet onder.
Een wachtwoord is een cognitieve functietest: mensen moeten het onthouden. Een wachtwoord mag, als mensen het kunnen plakken en een wachtwoordmanager het kan invullen.
Bij een eenmalige code via e-mail, sms of app moeten mensen de code kunnen plakken. Tweefactorauthenticatie zonder code is geen cognitieve functietest. Denk aan een melding die je op je telefoon bevestigt, of een USB-sleutel.
Hoe pas je dit toe?
- Bied een manier om in te loggen zonder cognitieve functietest, zoals:
- een inloglink via e-mail
- een passkey (inloggen met vingerafdruk, gezichtsherkenning of de pincode van het apparaat)
- inloggen via een externe dienst, zoals Google of Microsoft
- een QR-code die je scant met een app
- Sta plakken toe in velden voor gebruikersnaam, wachtwoord en code.
- Blokkeer automatisch invullen niet. Geef het veld voor de gebruikersnaam
autocomplete="username"en het wachtwoordveldautocomplete="current-password". - Gebruik je een CAPTCHA? Kies dan een CAPTCHA waarin mensen objecten herkennen, of bied een manier zonder CAPTCHA.
Voor wie is dit belangrijk?
- Mensen die een cognitieve, taal- of leerbeperking hebben.
Wie is verantwoordelijk?
Hoe toets je dit?
Benodigdheden
- Testaccount(s)
- Toegang tot de mailbox en telefoon van het testaccount
- Wachtwoordmanager
Uitzonderingen
Geen uitzonderingen
Geldt alleen voor:
- stappen in een authenticatieproces die een cognitieve functietest vereisen
Testprocedure
Test 1: Authenticatie
- Inventariseer de pagina
- Bepaal welke authenticatieprocessen er zijn:
- Inloggen met een bestaand account
- Tweefactorauthenticatie
- Wachtwoord herstellen
- Account herstellen
- Gebruikersnaam, e-mailadres of wachtwoord wijzigen
- Bepaal welke authenticatieprocessen er zijn:
- Verken elk authenticatieproces met een testaccount
- Doorloop elke aangeboden authenticatiemethode van begin tot eind
- Probeer ook een paar keer in te loggen met een fout wachtwoord
- Bepaal welke stappen er zijn
- Bepaal voor elke stap welke authenticatiemethoden er zijn:
- Gebruikersnaam en wachtwoord
- Eenmalige code (via e-mail, sms of app)
- Inloglink via e-mail
- CAPTCHA
- Externe dienst (OAuth, bijvoorbeeld “Inloggen met Google”)
- Passkey, vingerafdruk of gezichtsherkenning
- Melding op een apparaat die bevestigd moet worden
- QR-code scannen
- Hardwaresleutel (bijvoorbeeld een USB-sleutel)
- Bepaal voor elke authenticatiemethode of die een cognitieve functietest vereist:
- Onthouden (bijvoorbeeld een gebruikersnaam, wachtwoord of patroon)
- Overtypen (bijvoorbeeld een code of de tekens uit een CAPTCHA)
- Correct spellen
- Rekenen (bijvoorbeeld een rekensom in een CAPTCHA)
- Een puzzel oplossen
- Controleer voor elke stap met een cognitieve functietest of minstens één van de volgende waar is:
- Of er in dezelfde stap een andere authenticatiemethode zonder cognitieve functietest is
- Of er een mechanisme is dat helpt bij het uitvoeren van de cognitieve functietest
- Of de cognitieve functietest gericht is op het herkennen van objecten (bijvoorbeeld alle foto’s met een fiets selecteren)
- Of de cognitieve functietest gericht is op het identificeren van niet-tekstuele content die de gebruiker zelf heeft aangeleverd (bijvoorbeeld een zelf geüploade foto kiezen)
Let op: Alleen als een stap om een gebruikersnaam, wachtwoord of code vraagt en er geen andere authenticatiemethode zonder cognitieve functietest is.
- Test plakken in elk veld voor een gebruikersnaam, wachtwoord of code
- Kopieer de waarde uit een wachtwoordmanager, e-mail of sms
- Plak de waarde met Command + V (macOS) of Control + V (Windows)
- Plak de waarde via het contextmenu
- Controleer voor elk veld:
- Of de waarde te plakken is
- Of de volledige waarde in het veld of de velden komt
- Of het veld om de volledige waarde vraagt en niet om een deel ervan (bijvoorbeeld alleen het derde, vierde en zesde teken teken van het wachtwoord)
- Test automatisch invullen in elk veld voor een gebruikersnaam of wachtwoord
- Laat de browser het veld invullen
- Laat een wachtwoordmanager het veld invullen
- Controleer voor elk veld:
- Of het veld automatisch in te vullen is door de browser of een wachtwoordmanager
Belangrijk om te weten
- Een naam, e-mailadres of telefoonnummer invullen is geen cognitieve functietest.
- Tweefactorauthenticatie zonder code, zoals bevestigen op een apparaat of een hardwaresleutel, is geen cognitieve functietest.
- Bij een code op een tweede apparaat valt het overzetten van de code buiten de test. Ga ervan uit dat de code op het klembord staat en controleer alleen of plakken werkt.
- Een CAPTCHA die pas verschijnt na foute pogingen telt ook mee.
- Een audio-CAPTCHA waarin tekens moeten worden overgetypt, is geen authenticatiemethode zonder cognitieve functietest.
- Objectherkenning geldt alleen voor herkennen. Een opdracht als “vermenigvuldig het aantal katten met het aantal honden” valt er niet onder.
- Persoonlijke content geldt alleen voor niet-tekstuele content, zoals een foto. Een beveiligingsvraag valt er niet onder.
- Bij inloggen via een externe dienst (OAuth) moet de inlogstap bij die dienst ook voldoen. Een wachtwoordveld bij die dienst voldoet als plakken en automatisch invullen werken.
- De meeste browsers en wachtwoordmanagers negeren
autocomplete="off"bij inlogvelden. Rapporteer een geblokkeerd veld alleen als automatisch invullen in de test echt mislukt.
Beoordeling
- Voor elke stap in een authenticatieproces die een cognitieve functietest vereist, moet minstens één van de volgende zaken gelden:
- Er is in dezelfde stap een andere authenticatiemethode zonder cognitieve functietest
- Er is een mechanisme dat helpt bij het uitvoeren van de cognitieve functietest
- De cognitieve functietest is gericht op het herkennen van objecten
- De cognitieve functietest is gericht op het identificeren van niet-tekstuele content die de gebruiker zelf heeft aangeleverd
- Alleen als er geen andere authenticatiemethode zonder cognitieve functietest is:
- Voor een veld voor een gebruikersnaam, wachtwoord of code moet minstens één van de volgende zaken gelden:
- Het veld staat plakken toe
- Het veld is automatisch in te vullen door de browser of een wachtwoordmanager
- Een veld voor een wachtwoord of code moet om de volledige waarde vragen, niet om een deel ervan
- Voor een veld voor een gebruikersnaam, wachtwoord of code moet minstens één van de volgende zaken gelden: