Identitat digital, autenticació i pagaments: la propera frontera dels tràmits

Gairebé tots els tràmits importants comencen per demostrar qui ets: entrar a la banca en línia, signar a la seu electrònica, pagar una compra, recollir una recepta. La manera de fer-ho està canviant de pressa: claus d'accés sense contrasenya, biometria, videoidentificació, carteres d'identitat digital al mòbil. Cada canvi pot eliminar barreres històriques o crear-ne de noves. Per a l'expert és una de les tendències amb més impacte real, perquè un error en l'autenticació no fa que un servei s'utilitzi pitjor: impedeix utilitzar-lo. Aquesta lliçó connecta el que ja saps del criteri 3.3.8 amb el que ve.

El punt de partida: 3.3.8 Autenticació accessible (mínim)

WCAG 2.2 va introduir el 3.3.8 Autenticació accessible (mínim), de nivell AA: cap pas del procés d'autenticació no pot dependre d'una prova de funció cognitiva (recordar una contrasenya, transcriure un codi, resoldre un enigma) llevat que hi hagi una alternativa, un mecanisme d'ajuda (per exemple, permetre enganxar i l'emplenament automàtic del gestor de contrasenyes) o que la prova consisteixi a reconèixer objectes o contingut propi aportat per la persona. Els errors més habituals a Espanya continuen sent d'aquest tipus:

• Camps de contrasenya que bloquegen l'enganxada, cosa que impedeix utilitzar gestors de contrasenyes.
• Codis d'un sol ús dividits en sis caselles sense etiqueta, que no accepten enganxar i caduquen en 60 segons sense avís (també afecta el 2.2.1 Temps ajustable).
• «Teclats virtuals» amb posicions aleatòries per introduir la clau, impossibles amb lector de pantalla i molt difícils amb discapacitat motriu o cognitiva.
• CAPTCHA d'imatges o de text distorsionat sense alternativa real.

<!-- Incorrecte: sis caselles sense nom, sense enganxada -->
<input maxlength="1" onpaste="return false"> <input maxlength="1"> …

<!-- Correcte: un sol camp, etiquetat, que admet enganxar i emplenar automàticament -->
<label for="codigo">Codi rebut per SMS (6 xifres)</label>
<input id="codigo" name="codigo" inputmode="numeric"
       autocomplete="one-time-code" aria-describedby="codigo-ayuda">
<p id="codigo-ayuda">Caduca en 10 minuts. No t'ha arribat? Demana'n un altre.</p>

Claus d'accés: la fi de la contrasenya

Les claus d'accés (passkeys) són credencials basades en criptografia de clau pública que es recolzen en l'especificació Web Authentication (WebAuthn) del W3C i en els protocols FIDO. La persona no recorda ni transcriu res: desbloqueja el dispositiu com ho fa sempre (empremta, cara, PIN o patró) i el dispositiu signa el repte del servei. La documentació de comprensió del 3.3.8 esmenta l'autenticació web mitjançant el dispositiu entre les vies per complir el criteri.

Per això, en el radar d'una organització, les claus d'accés solen ser a «Provar» o «Adoptar». Però exigeixen tenir cura de diversos punts:

• Oferir sempre una altra via. No totes les persones tenen un dispositiu compatible ni volen utilitzar biometria. Mantén un mètode alternatiu que també compleixi el 3.3.8 (per exemple, un enllaç o un codi que es pugui enganxar).
• Explicar el procés amb llenguatge clar. «Crear una clau d'accés» és un concepte nou; descriu què passarà, quin diàleg del sistema apareixerà i com recuperar l'accés si es perd el mòbil.
• No trencar els diàlegs del sistema. El diàleg de la clau el pinta el sistema operatiu i sol ser accessible; el problema apareix quan el web l'embolcalla en finestres pròpies, temporitzadors o redireccions que perden el focus.
• Preveure l'assistència. Algunes persones reben ajuda d'un familiar o d'un assistent per als seus tràmits. La recuperació i la delegació (representació, apoderament) han d'estar previstes sense obligar a compartir credencials.

Biometria i videoidentificació

La biometria és còmoda per a moltes persones i una barrera per a d'altres: el reconeixement facial pot fallar amb diferències facials, paràlisi o moviments involuntaris, i l'empremta amb determinades condicions de les mans. L'EN 301 549 (PDF, s'obre en una finestra nova) ho recull en el seu requisit 5.3 Biometria: quan un producte TIC utilitza característiques biològiques, no ha de dependre d'una característica concreta com a únic mitjà d'identificació o control.

Més delicada és la videoidentificació que moltes entitats financeres utilitzen per obrir comptes a distància, a l'empara de la normativa de prevenció del blanqueig de capitals. Sol demanar col·locar el document en un marc, girar-lo fins que «brilli» l'holograma, mirar a la càmera i seguir instruccions parlades amb límit de temps. Per a una persona cega, sorda o amb tremolor, el procés pot ser impossible. Les mesures raonables són: instruccions simultànies en veu i text, avisos sonors i hàptics quan l'enquadrament és correcte, temps ampliable, captura automàtica en lloc de prémer un botó en el moment exacte, possibilitat d'assistència per part d'un agent amb videotrucada accessible i una via presencial equivalent.

Identitat digital pública i carteres europees

A l'Administració espanyola conviuen el certificat electrònic, el DNI electrònic, el sistema Cl@ve en les seves diferents modalitats i les aplicacions de signatura. Cada peça és un punt d'error potencial: finestres emergents de selecció de certificat, aplicacions de signatura que no anuncien el seu estat, codis amb caducitat curta. En auditar una seu electrònica, el procés d'identificació forma part del procés complet i s'ha d'avaluar, com estableix la conformitat de pàgina completa i de processos complets.

L'horitzó immediat és la cartera europea d'identitat digital que introdueix el Reglament (UE) 2024/1183, que modifica el Reglament eIDAS. Cada estat membre ha d'oferir almenys una cartera que permeti identificar-se, presentar credencials (títols, permisos, certificats) i signar des del mòbil a tota la UE. El Reglament recull l'accessibilitat dels mitjans d'identificació i dels serveis de confiança per a les persones amb discapacitat, en línia amb els requisits de la Directiva (UE) 2019/882 (PDF, s'obre en una finestra nova). Per a l'expert, això vol dir que l'app de la cartera, els seus diàlegs de consentiment i les pàgines dels serveis que l'acceptin s'hauran d'avaluar com qualsevol app i web, amb una atenció especial al 3.3.8, al 2.2.1 i al 4.1.2 Nom, funció i valor.

Pagaments i verificació antihumans

• Autenticació reforçada en els pagaments. L'autenticació reforçada exigida per la normativa europea de serveis de pagament (PSD2) es resol sovint amb una notificació a l'app del banc o una finestra dins de la botiga (3-D Secure). Comprova que aquesta finestra rep el focus, té nom, admet enganxar el codi i no caduca sense avís; el comerç electrònic és dins de l'àmbit de la Llei 11/2023 (PDF, s'obre en una finestra nova).
• CAPTCHA invisibles. Els sistemes basats en l'anàlisi de risc eliminen el desafiament per a la majoria, però quan dubten en mostren un de visual. La nota del W3C Inaccessibility of CAPTCHA recull alternatives: verificació per dispositiu, limitació d'intents i comprovacions al servidor.
• Terminals de pagament. Les pantalles tàctils sense tecles físiques en datàfons i quioscos són un retrocés per a les persones cegues; ho reprenem a la lliçó següent.

Resum

• El 3.3.8 Autenticació accessible (mínim) prohibeix dependre de proves cognitives sense alternativa o ajuda: cal permetre enganxar, emplenar automàticament i no fragmentar els codis.
• Les claus d'accés (WebAuthn) eliminen la memòria i la transcripció, però exigeixen alternativa, explicació clara i recuperació de l'accés.
• La biometria no pot ser l'únic mitjà (EN 301 549, 5.3) i la videoidentificació necessita una guia multimodal, temps ampliable i una via assistida.
• La cartera europea d'identitat digital (Reglament (UE) 2024/1183) i els pagaments amb autenticació reforçada s'han d'avaluar com a part del procés complet.