3.3.8 en la práctica: evaluar los métodos de autenticación reales

En la lección 4 viste qué exige 3.3.8 Autenticación accesible (mínimo) y cómo fallan los teclados virtuales y los CAPTCHA de transcripción. En una auditoría real, sin embargo, el acceso rara vez es un simple usuario y contraseña: hay segundos factores, códigos por SMS, recuperación de clave, plataformas de identificación de terceros como Cl@ve, certificados electrónicos y llaves de acceso. Esta lección recorre esos métodos uno a uno, con su veredicto habitual y un protocolo de prueba que puedes aplicar a cualquier inicio de sesión.

Qué cuenta como proceso de autenticación

El criterio dice que la prueba de función cognitiva no puede exigirse en ningún paso de un proceso de autenticación. Evalúa, por tanto, todos los pasos, no solo la pantalla de acceso:

• Identificación inicial: usuario, correo, documento de identidad y contraseña.
• Segundo factor: código de un solo uso, aprobación en una app, llave física.
• Reautenticación: confirmar la identidad antes de una operación sensible (firmar una transferencia, cambiar el correo de la cuenta).
• Recuperación del acceso: «He olvidado mi contraseña», desbloqueo de cuenta, preguntas de seguridad.

Un detalle que cambia muchos veredictos: a diferencia de 3.3.7 Entrada redundante, 3.3.8 no tiene excepción de seguridad. Que el banco alegue que bloquea el pegado «por seguridad» no convierte el bloqueo en conforme. El documento explicativo del W3C recuerda, además, que los gestores de contraseñas facilitan usar claves largas y distintas en cada sitio, de modo que permitirlos no rebaja la seguridad.

Los métodos uno a uno

Método	¿Prueba cognitiva?	Qué comprobar	Veredicto habitual
Usuario y contraseña	Sí: recordar la clave	Que el gestor del navegador la rellene y que se pueda pegar	Cumple con el mecanismo; falla si se bloquea
Teclado virtual o posiciones de la clave	Sí: transcribir o manipular	Si existe otro método de acceso sin prueba	Falla salvo alternativa
Código por SMS, correo o app	Sí: transcribir el código	Pegado, autocompletado del código o alternativa	Cumple si se puede pegar o autocompletar
Enlace mágico o aprobación en app	No	Que el enlace o el aviso lleguen y funcionen con teclado y lector	Cumple
Llave de acceso (WebAuthn) o biometría	No	Que el sitio ofrezca la opción y que el diálogo se active con teclado	Cumple
Preguntas de seguridad	Sí: recordar respuestas	Pegado y autocompletado, u otra vía de recuperación	Cumple solo con mecanismo o alternativa
CAPTCHA de selección de objetos	Sí, pero exceptuada	Que sean objetos comunes; revisar 1.1.1 aparte	Cumple 3.3.8, no 3.3.9
CAPTCHA de texto, audio, cálculo o puzle	Sí	Si existe otro método sin prueba	Falla salvo alternativa

Códigos de un solo uso

Copiar un código de seis cifras es transcribir. Se cumple cuando el campo permite pegar y, mejor aún, cuando declara autocomplete="one-time-code", que permite a los sistemas móviles sugerir el código recibido por SMS. El documento Understanding trata la copia manual de un código entre dos dispositivos como transcripción; por eso, si el código solo puede leerse en otro aparato y escribirse a mano, conviene que exista una alternativa, como aprobar el acceso con una notificación en la app.

CAPTCHA

Elegir las imágenes con semáforos o bicicletas encaja en la excepción de reconocimiento de objetos y cumple 3.3.8 (no 3.3.9, que la elimina). Ese CAPTCHA debe cumplir también 1.1.1 Contenido no textual, que exige una alternativa textual que identifique su propósito y versiones en otra modalidad sensorial. Los retos de arrastrar una pieza de puzle son además movimiento de arrastre: revisa 2.5.7, que estudiaste en el curso de Perceptible y Operable. Los CAPTCHA invisibles basados en comportamiento no plantean prueba al usuario mientras no muestren un reto; cuando lo muestran, evalúa ese reto.

Infografía · Conceptos clave

Métodos de autenticación frente a 3.3.8

Veredicto habitual de cada método en una auditoría WCAG 2.2 de nivel AA

• Contraseña con gestorCumple si el gestor de contraseñas puede rellenarla y se permite pegar
• Teclado virtualFalla: impide los gestores y obliga a manipular la clave, sin alternativa
• Código por SMS o appCumple si se puede pegar o autocompletar; a mano es transcripción
• Enlace o aprobaciónSin prueba cognitiva: basta abrir el enlace o aprobar en la app
• Llave de accesoSin prueba cognitiva: el dispositivo verifica a la persona
• CAPTCHA de objetosCumple en AA por reconocimiento de objetos; no en AAA (3.3.9)
• CAPTCHA de texto o audioFalla: transcribir lo que se ve o se oye es una prueba cognitiva
• Certificado electrónicoLa selección la gestiona el navegador; evalúa lo que añade el sitio

Leer la infografía como texto

Ocho tarjetas, una por método de autenticación, con su veredicto habitual frente a 3.3.8 Autenticación accesible (mínimo). Contraseña con gestor: cumple si el gestor puede rellenarla y se permite pegar. Teclado virtual o posiciones de la clave: falla, porque impide los gestores y obliga a manipular la clave, salvo que exista otro método. Código por SMS o app: cumple si se puede pegar o autocompletar; transcribirlo a mano es una prueba cognitiva. Enlace mágico o aprobación en app: sin prueba cognitiva. Llave de acceso o biometría: sin prueba cognitiva, el dispositivo verifica a la persona. CAPTCHA de objetos: cumple por la excepción de reconocimiento de objetos en AA, pero no en AAA (3.3.9). CAPTCHA de texto o audio: falla, transcribir es prueba cognitiva. Certificado electrónico: la selección la gestiona el navegador; se evalúa lo que añade el sitio.

Certificado electrónico, Cl@ve y otros terceros

En la Administración española el acceso suele delegarse en sistemas comunes. Al evaluar una sede electrónica conviene separar tres capas:

• Lo que hace el navegador o el sistema operativo. El diálogo para elegir un certificado electrónico o el que pide el PIN del DNIe pertenecen al agente de usuario o a software del sistema, no al contenido del autor. No se evalúan con WCAG como contenido de la sede, aunque puedes anotarlos como observación si bloquean a las personas usuarias.
• Lo que aporta la plataforma de identificación. Si la sede redirige a Cl@ve o a otra pasarela, esas páginas forman parte del proceso completo de acceso al trámite. Por el requisito de procesos completos, si fallan, el proceso no es conforme. Documenta el hallazgo como contenido de terceros e indica quién lo gestiona.
• Lo que añade la propia sede. Pantallas intermedias, selección del método, avisos: se evalúan con normalidad.

El mismo razonamiento vale para el acceso con una cuenta de otro proveedor («Entrar con…») en comercio electrónico: el paso por la página del proveedor forma parte del proceso.

Cómo construir un acceso que cumple

<!-- Incorrecto: bloquea el pegado y confunde al gestor de contraseñas -->
<input type="text" name="clave" autocomplete="off"
       onpaste="return false" maxlength="6">

<!-- Correcto: campos identificados y sin bloqueos -->
<label for="usuario">Correo electrónico</label>
<input id="usuario" type="email" autocomplete="username">
<label for="clave">Contraseña</label>
<input id="clave" type="password" autocomplete="current-password">

<label for="codigo">Código recibido por SMS</label>
<input id="codigo" inputmode="numeric" autocomplete="one-time-code">

Los valores username, current-password y one-time-code son tokens del atributo autocomplete de HTML. No son obligatorios para 3.3.8, pero ayudan a que el mecanismo del navegador funcione. Lo que sí incumple es impedirlo: bloquear el evento de pegado, borrar el campo tras el autocompletado o sustituirlo por un control gráfico que el gestor no reconoce.

Protocolo de prueba

1. Guarda una cuenta de prueba en el gestor de contraseñas integrado del navegador y vuelve a entrar: ¿rellena usuario y contraseña?
2. Borra los campos y pega cada valor con Ctrl+V (Cmd+V en Mac).
3. Completa el segundo factor pegando el código; en móvil, comprueba si se sugiere automáticamente.
4. Recorre la recuperación de contraseña y cualquier reautenticación previa a operaciones sensibles.
5. Si aparece un CAPTCHA, clasifícalo (objetos, texto, audio, puzle) y busca una alternativa sin prueba.
6. Documenta cada paso: método, prueba cognitiva exigida, mecanismo o alternativa disponible y veredicto.

Resumen

• 3.3.8 se aplica a todos los pasos del proceso de autenticación: identificación, segundo factor, reautenticación y recuperación; no tiene excepción de seguridad.
• Contraseñas y códigos son pruebas cognitivas que se cumplen con un mecanismo: gestor de contraseñas, pegado o autocompletado, sin bloqueos.
• Enlaces mágicos, aprobación en app, llaves de acceso y biometría no exigen prueba cognitiva y sirven como alternativa.
• El CAPTCHA de objetos cumple 3.3.8 pero no 3.3.9; los de texto, audio, cálculo o puzle fallan sin alternativa, y los de arrastre afectan también a 2.5.7.
• Las páginas de plataformas de identificación de terceros forman parte del proceso; los diálogos del navegador o del sistema no son contenido del autor.