El 3.3.8 a la pràctica: avaluar els mètodes d'autenticació reals

A la lliçó 4 vas veure què exigeix el 3.3.8 Autenticació accessible (mínim) i com fallen els teclats virtuals i els CAPTCHA de transcripció. En una auditoria real, però, l'accés rarament és un simple usuari i contrasenya: hi ha segons factors, codis per SMS, recuperació de clau, plataformes d'identificació de tercers com Cl@ve, certificats electrònics i claus d'accés. Aquesta lliçó recorre aquests mètodes un per un, amb el seu veredicte habitual i un protocol de prova que pots aplicar a qualsevol inici de sessió.

Què compta com a procés d'autenticació

El criteri diu que la prova de funció cognitiva no es pot exigir en cap pas d'un procés d'autenticació. Avalua, per tant, tots els passos, no només la pantalla d'accés:

• Identificació inicial: usuari, correu, document d'identitat i contrasenya.
• Segon factor: codi d'un sol ús, aprovació en una aplicació, clau física.
• Reautenticació: confirmar la identitat abans d'una operació sensible (signar una transferència, canviar el correu del compte).
• Recuperació de l'accés: «He oblidat la contrasenya», desbloqueig del compte, preguntes de seguretat.

Un detall que canvia molts veredictes: a diferència del 3.3.7 Entrada redundant, el 3.3.8 no té excepció de seguretat. Que el banc al·legui que bloqueja l'enganxament «per seguretat» no converteix el bloqueig en conforme. El document explicatiu del W3C recorda, a més, que els gestors de contrasenyes faciliten fer servir claus llargues i diferents a cada lloc, de manera que permetre'ls no rebaixa la seguretat.

Els mètodes un per un

Mètode	Prova cognitiva?	Què cal comprovar	Veredicte habitual
Usuari i contrasenya	Sí: recordar la clau	Que el gestor del navegador l'empleni i que es pugui enganxar	Compleix amb el mecanisme; falla si es bloqueja
Teclat virtual o posicions de la clau	Sí: transcriure o manipular	Si hi ha un altre mètode d'accés sense prova	Falla tret que hi hagi alternativa
Codi per SMS, correu o aplicació	Sí: transcriure el codi	Enganxament, emplenament automàtic del codi o alternativa	Compleix si es pot enganxar o emplenar automàticament
Enllaç màgic o aprovació a l'aplicació	No	Que l'enllaç o l'avís arribin i funcionin amb teclat i lector	Compleix
Clau d'accés (WebAuthn) o biometria	No	Que el lloc ofereixi l'opció i que el diàleg s'activi amb teclat	Compleix
Preguntes de seguretat	Sí: recordar respostes	Enganxament i emplenament automàtic, o una altra via de recuperació	Compleix només amb mecanisme o alternativa
CAPTCHA de selecció d'objectes	Sí, però exceptuada	Que siguin objectes comuns; revisar l'1.1.1 a part	Compleix el 3.3.8, no el 3.3.9
CAPTCHA de text, àudio, càlcul o trencaclosques	Sí	Si hi ha un altre mètode sense prova	Falla tret que hi hagi alternativa

Codis d'un sol ús

Copiar un codi de sis xifres és transcriure. Es compleix quan el camp permet enganxar i, encara millor, quan declara autocomplete="one-time-code", que permet als sistemes mòbils suggerir el codi rebut per SMS. El document Understanding tracta la còpia manual d'un codi entre dos dispositius com a transcripció; per això, si el codi només es pot llegir en un altre aparell i escriure a mà, convé que hi hagi una alternativa, com aprovar l'accés amb una notificació a l'aplicació.

CAPTCHA

Triar les imatges amb semàfors o bicicletes encaixa en l'excepció de reconeixement d'objectes i compleix el 3.3.8 (no el 3.3.9, que l'elimina). Aquest CAPTCHA ha de complir també l'1.1.1 Contingut no textual, que exigeix una alternativa textual que n'identifiqui el propòsit i versions en una altra modalitat sensorial. Els reptes d'arrossegar una peça de trencaclosques són a més moviment d'arrossegament: revisa el 2.5.7, que vas estudiar al curs de Perceptible i Operable. Els CAPTCHA invisibles basats en el comportament no plantegen cap prova a l'usuari mentre no mostrin un repte; quan el mostren, avalua aquest repte.

Infografia · Conceptes clau

Mètodes d'autenticació davant del 3.3.8

Veredicte habitual de cada mètode en una auditoria WCAG 2.2 de nivell AA

• Contrasenya amb gestorCompleix si el gestor de contrasenyes la pot emplenar i es permet enganxar
• Teclat virtualFalla: impedeix els gestors i obliga a manipular la clau, sense alternativa
• Codi per SMS o aplicacióCompleix si es pot enganxar o emplenar automàticament; a mà és transcripció
• Enllaç o aprovacióSense prova cognitiva: n'hi ha prou d'obrir l'enllaç o d'aprovar a l'aplicació
• Clau d'accésSense prova cognitiva: el dispositiu verifica la persona
• CAPTCHA d'objectesCompleix en AA per reconeixement d'objectes; no en AAA (3.3.9)
• CAPTCHA de text o àudioFalla: transcriure el que es veu o se sent és una prova cognitiva
• Certificat electrònicLa selecció la gestiona el navegador; avalua el que hi afegeix el lloc

Llegeix la infografia com a text

Vuit targetes, una per mètode d'autenticació, amb el seu veredicte habitual respecte al 3.3.8 Autenticació accessible (mínim). Contrasenya amb gestor: compleix si el gestor la pot emplenar i es permet enganxar. Teclat virtual o posicions de la clau: falla, perquè impedeix els gestors i obliga a manipular la clau, tret que hi hagi un altre mètode. Codi per SMS o aplicació: compleix si es pot enganxar o emplenar automàticament; transcriure'l a mà és una prova cognitiva. Enllaç màgic o aprovació a l'aplicació: sense prova cognitiva. Clau d'accés o biometria: sense prova cognitiva, el dispositiu verifica la persona. CAPTCHA d'objectes: compleix per l'excepció de reconeixement d'objectes en AA, però no en AAA (3.3.9). CAPTCHA de text o àudio: falla, transcriure és una prova cognitiva. Certificat electrònic: la selecció la gestiona el navegador; s'avalua el que hi afegeix el lloc.

Certificat electrònic, Cl@ve i altres tercers

A l'Administració espanyola l'accés se sol delegar en sistemes comuns. En avaluar una seu electrònica convé separar tres capes:

• El que fa el navegador o el sistema operatiu. El diàleg per triar un certificat electrònic o el que demana el PIN del DNIe pertanyen a l'agent d'usuari o a programari del sistema, no al contingut de l'autor. No s'avaluen amb les WCAG com a contingut de la seu, encara que els pots anotar com a observació si bloquegen les persones usuàries.
• El que aporta la plataforma d'identificació. Si la seu redirigeix a Cl@ve o a una altra passarel·la, aquestes pàgines formen part del procés complet d'accés al tràmit. Pel requisit de processos complets, si fallen, el procés no és conforme. Documenta la troballa com a contingut de tercers i indica qui el gestiona.
• El que hi afegeix la mateixa seu. Pantalles intermèdies, selecció del mètode, avisos: s'avaluen amb normalitat.

El mateix raonament val per a l'accés amb un compte d'un altre proveïdor («Entra amb…») en el comerç electrònic: el pas per la pàgina del proveïdor forma part del procés.

Com construir un accés que compleix

<!-- Incorrecte: bloqueja l'enganxament i confon el gestor de contrasenyes -->
<input type="text" name="clave" autocomplete="off"
       onpaste="return false" maxlength="6">

<!-- Correcte: camps identificats i sense bloquejos -->
<label for="usuario">Correu electrònic</label>
<input id="usuario" type="email" autocomplete="username">
<label for="clave">Contrasenya</label>
<input id="clave" type="password" autocomplete="current-password">

<label for="codigo">Codi rebut per SMS</label>
<input id="codigo" inputmode="numeric" autocomplete="one-time-code">

Els valors username, current-password i one-time-code són tokens de l'atribut autocomplete d'HTML. No són obligatoris per al 3.3.8, però ajuden que el mecanisme del navegador funcioni. El que sí que incompleix és impedir-ho: bloquejar l'esdeveniment d'enganxar, esborrar el camp després de l'emplenament automàtic o substituir-lo per un control gràfic que el gestor no reconeix.

Protocol de prova

1. Desa un compte de prova al gestor de contrasenyes integrat del navegador i torna a entrar: emplena l'usuari i la contrasenya?
2. Esborra els camps i enganxa cada valor amb Ctrl+V (Cmd+V a Mac).
3. Completa el segon factor enganxant el codi; al mòbil, comprova si es suggereix automàticament.
4. Recorre la recuperació de contrasenya i qualsevol reautenticació prèvia a operacions sensibles.
5. Si apareix un CAPTCHA, classifica'l (objectes, text, àudio, trencaclosques) i busca una alternativa sense prova.
6. Documenta cada pas: mètode, prova cognitiva exigida, mecanisme o alternativa disponible i veredicte.

Resum

• El 3.3.8 s'aplica a tots els passos del procés d'autenticació: identificació, segon factor, reautenticació i recuperació; no té excepció de seguretat.
• Les contrasenyes i els codis són proves cognitives que es compleixen amb un mecanisme: gestor de contrasenyes, enganxament o emplenament automàtic, sense bloquejos.
• Els enllaços màgics, l'aprovació a l'aplicació, les claus d'accés i la biometria no exigeixen cap prova cognitiva i serveixen com a alternativa.
• El CAPTCHA d'objectes compleix el 3.3.8 però no el 3.3.9; els de text, àudio, càlcul o trencaclosques fallen sense alternativa, i els d'arrossegament afecten també el 2.5.7.
• Les pàgines de plataformes d'identificació de tercers formen part del procés; els diàlegs del navegador o del sistema no són contingut de l'autor.