Succescriterium 3.3.8 Toegankelijke authenticatie (minimum)
Een cognitieve functietest (zoals het onthouden van een wachtwoord of het oplossen van een puzzel) is bij geen enkele stap van een authenticatie proces verplicht, tenzij die stap ten minste een van de volgende opties biedt:
- Alternatief: Een andere authenticatiemethode die niet afhankelijk is van een cognitieve functietest.
- Mechanisme: Er is een mechanisme beschikbaar om de gebruiker te helpen bij het voltooien van de cognitieve functietest.
- Objectherkenning: De cognitieve functietest is gericht op het herkennen van objecten.
- Persoonlijke content: De cognitieve functietest is gericht op het identificeren van niet-tekstuele content die de gebruiker aan de website heeft verstrekt.
Noot 1‘Objectherkenning’ en ‘Persoonlijke content’ kunnen worden weergegeven door afbeeldingen, video of audio.
Noot 2Voorbeelden van mechanismen die aan dit criterium voldoen, omvatten:
- ondersteuning van wachtwoordinvoer door wachtwoordmanagers om de geheugenbehoefte te verminderen, en
- kopiëren en plakken om de cognitieve belasting van opnieuw intypen te verminderen.
Toegankelijke authenticatie (minimum) begrijpen (Engelstalig)
Zorg dat mensen kunnen inloggen zonder iets te onthouden, over te typen of op te lossen. Vraag je dat toch, dan moet je ze daarbij helpen. Sommige mensen met een cognitieve beperking of leerbeperking, zoals dyslexie of dyscalculie, kunnen geen wachtwoord onthouden of een code foutloos overtypen. Zonder hulp komen ze niet binnen.
Een cognitieve functietest is een taak waarbij iemand informatie moet onthouden, bewerken of overtypen. Bijvoorbeeld:
- een gebruikersnaam, wachtwoord of patroon onthouden
- een code of tekens overtypen
- een woord correct spellen
- een rekensom maken
- een puzzel oplossen
Een naam, e-mailadres of telefoonnummer invullen telt niet als cognitieve functietest. Die gegevens zijn persoonlijk en overal hetzelfde.
Vraagt een stap om een cognitieve functietest? Dan moet die stap minstens één van deze opties bieden:
- een andere manier om in te loggen, zonder test
- een hulpmiddel om de test uit te voeren, zoals een wachtwoordmanager of plakken
- een test waarbij mensen objecten herkennen, zoals foto’s met een fiets aanwijzen
- een test waarbij mensen een afbeelding, filmpje of geluid herkennen dat ze zelf eerder hebben aangeleverd
Dit geldt voor élke stap. Bij tweefactorauthenticatie moeten dus beide stappen voldoen. Een beveiligingsvraag zoals “Wat is de naam van je eerste huisdier?” telt niet als persoonlijke content. Die vraagt om onthouden en typen, niet om herkennen.
Het succescriterium geldt voor inloggen, tweefactorauthenticatie en het herstellen of wijzigen van je wachtwoord of e-mailadres. Ook opnieuw inloggen tijdens een bezoek telt mee, bijvoorbeeld als je je wachtwoord moet invoeren voor een betaling. En een CAPTCHA (een test die controleert of je een mens bent) die pas na een paar foute pogingen verschijnt, telt ook mee. Het aanmaken van een account valt er niet onder.
Een wachtwoord is een cognitieve functietest: mensen moeten het onthouden. Een wachtwoord mag, als mensen het kunnen plakken of als een wachtwoordmanager het kan invullen.
Bij een eenmalige code via e-mail, sms of app moeten mensen de code kunnen plakken of automatisch laten invullen. Tweefactorauthenticatie zonder code is geen cognitieve functietest. Denk aan een melding die je op je telefoon bevestigt, of een USB-sleutel.
Hoe pas je dit toe?
- Bied een manier om in te loggen zonder cognitieve functietest, zoals:
- een inloglink via e-mail
- een passkey (inloggen met vingerafdruk, gezichtsherkenning of de pincode van het apparaat)
- inloggen via een externe dienst, zoals Google of Microsoft
- een QR-code die je scant met een app
- Sta plakken toe in velden voor gebruikersnaam, wachtwoord en code.
- Vraag om het hele wachtwoord of de hele code, niet om losse tekens. Staat een code in meerdere vakjes, zorg dan dat plakken alle vakjes vult.
- Blokkeer automatisch invullen niet. Geef het veld voor de gebruikersnaam
autocomplete="username"en het wachtwoordveldautocomplete="current-password". - Gebruik liever geen CAPTCHA bij inloggen. Heb je er toch een nodig, kies dan een CAPTCHA waarin mensen objecten herkennen.
Voor wie is dit belangrijk?
- Mensen die een cognitieve, taal- of leerbeperking hebben.
Wie is verantwoordelijk?
Hoe toets je dit?
Benodigdheden
- Testaccount(s)
- Toegang tot de mailbox en telefoon van het testaccount
- Wachtwoordmanager
Uitzonderingen
Geen uitzonderingen
Geldt alleen voor:
- stappen in een authenticatieproces die een cognitieve functietest vereisen
Testprocedure
Test 1: Authenticatie
- Inventariseer de pagina
- Bepaal welke authenticatieprocessen er zijn:
- Inloggen met een bestaand account
- Opnieuw inloggen binnen een sessie (bijvoorbeeld het wachtwoord bevestigen voor een betaling of het wijzigen van gegevens)
- Wachtwoord herstellen
- Account herstellen
- Gebruikersnaam, e-mailadres of wachtwoord wijzigen
- Bepaal welke authenticatieprocessen er zijn:
- Verken elk authenticatieproces met een testaccount
- Doorloop elke aangeboden authenticatiemethode van begin tot eind
- Probeer ook een paar keer in te loggen met een fout wachtwoord (soms verschijnt dan pas een CAPTCHA)
- Bepaal welke stappen er zijn (bijvoorbeeld een tweede stap voor tweefactorauthenticatie)
- Bepaal voor elke stap welke authenticatiemethoden er zijn:
- Gebruikersnaam of e-mailadres en wachtwoord
- Eenmalige code (via e-mail, sms of app)
- Inloglink via e-mail
- CAPTCHA
- Beveiligingsvraag
- Een zelf aangeleverde afbeelding kiezen
- Patroon (bijvoorbeeld een veegpatroon)
- Externe dienst (OAuth, bijvoorbeeld “Inloggen met Google”)
- Passkey, vingerafdruk of gezichtsherkenning
- Melding op een apparaat die bevestigd moet worden
- QR-code scannen
- Hardwaresleutel (bijvoorbeeld een USB-sleutel)
- Bepaal voor elke authenticatiemethode of die een cognitieve functietest vereist:
- Onthouden (bijvoorbeeld een wachtwoord, een zelfgekozen gebruikersnaam, een patroon of het antwoord op een beveiligingsvraag)
- Overtypen (bijvoorbeeld een code of de tekens uit een CAPTCHA)
- Correct spellen
- Rekenen (bijvoorbeeld een rekensom in een CAPTCHA)
- Een puzzel oplossen
- Controleer voor elke stap met een cognitieve functietest of minstens één van de volgende waar is:
- Of er in dezelfde stap een andere authenticatiemethode zonder cognitieve functietest is
- Of de cognitieve functietest gericht is op het herkennen van objecten (bijvoorbeeld alle foto’s met een fiets selecteren)
- Of de cognitieve functietest gericht is op het identificeren van niet-tekstuele content die de gebruiker zelf heeft aangeleverd (bijvoorbeeld een zelf geüploade foto kiezen)
Let op: Alleen als een stap met een cognitieve functietest geen andere methode, geen objectherkenning en geen eigen content heeft, en om een gebruikersnaam, wachtwoord of code vraagt.
- Test plakken in elk veld voor een gebruikersnaam, wachtwoord of code
- Kopieer de waarde uit een wachtwoordbeheerder, e-mail of sms
- Plak de waarde met Command + V (macOS) of Ctrl + V (Windows)
- Plak de waarde via het contextmenu
- Test automatisch invullen in elk veld voor een gebruikersnaam, wachtwoord of code
- Laat de browser het veld invullen
- Laat een wachtwoordbeheerder het veld invullen
- Controleer voor elk veld of minstens één van de volgende waar is:
- Of de volledige waarde te plakken is in het veld of de velden
- Of het veld automatisch in te vullen is door de browser of een wachtwoordbeheerder
- Controleer voor elk veld voor een wachtwoord of code:
- Of het veld om de volledige waarde vraagt en niet om een deel ervan (bijvoorbeeld alleen het derde, vierde en zesde teken van het wachtwoord)
Belangrijk om te weten
- Een naam, e-mailadres of telefoonnummer invullen is geen cognitieve functietest. Een zelfgekozen gebruikersnaam onthouden is dat wel.
- Een account aanmaken valt niet onder dit succescriterium. Wachtwoord herstellen, account herstellen en gegevens wijzigen vallen er wel onder.
- Automatisch invullen door de browser of een wachtwoordbeheerder telt hier wel als hulp. Dat is anders dan bij 3.3.7 Overbodige invoer. Daar telt het niet mee.
- Blokkeert de website plakken of automatisch invullen? Dan voldoet het veld niet, tenzij er een andere methode zonder cognitieve functietest is.
- Een code in losse vakjes per cijfer slaagt als de hele code in één keer te plakken is.
Beoordeling
- Voor elke stap in een authenticatieproces die een cognitieve functietest vereist, moet minstens één van de volgende zaken gelden:
- Er is in dezelfde stap een andere authenticatiemethode zonder cognitieve functietest
- Er is een mechanisme dat helpt bij het uitvoeren van de cognitieve functietest
- De cognitieve functietest is gericht op het herkennen van objecten
- De cognitieve functietest is gericht op het identificeren van niet-tekstuele content die de gebruiker zelf heeft aangeleverd
- Alleen als er geen andere authenticatiemethode zonder cognitieve functietest is:
- Voor elk veld voor een gebruikersnaam, wachtwoord of code moet minstens één van de volgende zaken gelden:
- De volledige waarde is te plakken in het veld of de velden
- Het veld is automatisch in te vullen door de browser of een wachtwoordmanager
- Een veld voor een wachtwoord of code moet om de volledige waarde vragen, niet om een deel ervan
- Voor elk veld voor een gebruikersnaam, wachtwoord of code moet minstens één van de volgende zaken gelden: