Identidad digital, autenticación y pagos: la próxima frontera de los trámites

Casi todos los trámites importantes empiezan por demostrar quién eres: entrar en la banca en línea, firmar en la sede electrónica, pagar una compra, recoger una receta. La forma de hacerlo está cambiando deprisa: claves de acceso sin contraseña, biometría, vídeo-identificación, carteras de identidad digital en el móvil. Cada cambio puede eliminar barreras históricas o crear otras nuevas. Para el experto es una de las tendencias con más impacto real, porque un fallo en la autenticación no deja usar peor un servicio: impide usarlo. Esta lección conecta lo que ya sabes del criterio 3.3.8 con lo que viene.

El punto de partida: 3.3.8 Autenticación accesible (mínimo)

WCAG 2.2 introdujo 3.3.8 Autenticación accesible (mínimo), de nivel AA: ningún paso del proceso de autenticación puede depender de una prueba de función cognitiva (recordar una contraseña, transcribir un código, resolver un acertijo) salvo que exista una alternativa, un mecanismo de ayuda (por ejemplo, permitir pegar y el autocompletado del gestor de contraseñas) o la prueba consista en reconocer objetos o contenido propio aportado por la persona. Los errores más habituales en España siguen siendo de este tipo:

• Campos de contraseña que bloquean el pegado, lo que impide usar gestores de contraseñas.
• Códigos de un solo uso divididos en seis casillas sin etiqueta, que no aceptan pegar y caducan en 60 segundos sin aviso (también afecta a 2.2.1 Tiempo ajustable).
• «Teclados virtuales» con posiciones aleatorias para introducir la clave, imposibles con lector de pantalla y muy difíciles con discapacidad motriz o cognitiva.
• CAPTCHA de imágenes o de texto distorsionado sin alternativa real.

<!-- Incorrecto: seis casillas sin nombre, sin pegado -->
<input maxlength="1" onpaste="return false"> <input maxlength="1"> …

<!-- Correcto: un solo campo, etiquetado, que admite pegar y autocompletar -->
<label for="codigo">Código recibido por SMS (6 cifras)</label>
<input id="codigo" name="codigo" inputmode="numeric"
       autocomplete="one-time-code" aria-describedby="codigo-ayuda">
<p id="codigo-ayuda">Caduca en 10 minutos. ¿No te ha llegado? Pide otro.</p>

Claves de acceso: el fin de la contraseña

Las claves de acceso (passkeys) son credenciales basadas en criptografía de clave pública que se apoyan en la especificación Web Authentication (WebAuthn) del W3C y en los protocolos FIDO. La persona no recuerda ni transcribe nada: desbloquea el dispositivo como lo hace siempre (huella, cara, PIN o patrón) y el dispositivo firma el reto del servicio. La documentación de comprensión de 3.3.8 menciona la autenticación web mediante el dispositivo entre las vías para cumplir el criterio.

Por eso, en el radar de una organización, las claves de acceso suelen estar en «Probar» o «Adoptar». Pero exigen cuidar varios puntos:

• Ofrecer siempre otra vía. No todas las personas tienen un dispositivo compatible ni desean usar biometría. Mantén un método alternativo que también cumpla 3.3.8 (por ejemplo, enlace o código que se pueda pegar).
• Explicar el proceso con lenguaje claro. «Crear una clave de acceso» es un concepto nuevo; describe qué ocurrirá, qué diálogo del sistema aparecerá y cómo recuperar el acceso si se pierde el móvil.
• No romper los diálogos del sistema. El diálogo de la clave lo pinta el sistema operativo y suele ser accesible; el problema aparece cuando la web lo envuelve en ventanas propias, temporizadores o redirecciones que pierden el foco.
• Contemplar la asistencia. Algunas personas reciben ayuda de un familiar o asistente para sus trámites. La recuperación y la delegación (representación, apoderamiento) deben estar previstas sin obligar a compartir credenciales.

Biometría y vídeo-identificación

La biometría es cómoda para muchas personas y una barrera para otras: el reconocimiento facial puede fallar con diferencias faciales, parálisis o movimientos involuntarios, y la huella con determinadas condiciones de las manos. La EN 301 549 (PDF, se abre en una ventana nueva) lo recoge en su requisito 5.3 Biometría: cuando un producto TIC usa características biológicas, no debe depender de una característica concreta como único medio de identificación o control.

Más delicada es la vídeo-identificación que muchas entidades financieras usan para abrir cuentas a distancia, al amparo de la normativa de prevención del blanqueo de capitales. Suele pedir colocar el documento en un marco, girarlo hasta que «brille» el holograma, mirar a la cámara y seguir instrucciones habladas con límite de tiempo. Para una persona ciega, sorda o con temblor, el proceso puede ser imposible. Las medidas razonables son: instrucciones simultáneas en voz y texto, avisos sonoros y hápticos cuando el encuadre es correcto, tiempo ampliable, captura automática en lugar de pulsar un botón en el momento exacto, posibilidad de asistencia por un agente con videollamada accesible y una vía presencial equivalente.

Identidad digital pública y carteras europeas

En la Administración española conviven el certificado electrónico, el DNI electrónico, el sistema Cl@ve en sus distintas modalidades y las aplicaciones de firma. Cada pieza es un punto de fallo potencial: ventanas emergentes de selección de certificado, aplicaciones de firma que no anuncian su estado, códigos con caducidad corta. Al auditar una sede electrónica, el proceso de identificación forma parte del proceso completo y debe evaluarse, como establece la conformidad de página completa y de procesos completos.

El horizonte inmediato es la cartera europea de identidad digital que introduce el Reglamento (UE) 2024/1183, que modifica el Reglamento eIDAS. Cada Estado miembro debe ofrecer al menos una cartera que permita identificarse, presentar credenciales (títulos, permisos, certificados) y firmar desde el móvil en toda la UE. El Reglamento recoge la accesibilidad de los medios de identificación y de los servicios de confianza para las personas con discapacidad, en línea con los requisitos de la Directiva (UE) 2019/882 (PDF, se abre en una ventana nueva). Para el experto, esto significa que la app de la cartera, sus diálogos de consentimiento y las páginas de los servicios que la acepten deberán evaluarse como cualquier app y web, con especial atención a 3.3.8, 2.2.1 y 4.1.2 Nombre, función, valor.

Pagos y verificación antihumanos

• Autenticación reforzada en pagos. La autenticación reforzada exigida por la normativa europea de servicios de pago (PSD2) se resuelve a menudo con una notificación en la app del banco o una ventana dentro de la tienda (3-D Secure). Comprueba que esa ventana recibe el foco, tiene nombre, admite pegar el código y no caduca sin aviso; el comercio electrónico está dentro del ámbito de la Ley 11/2023 (PDF, se abre en una ventana nueva).
• CAPTCHA invisibles. Los sistemas basados en análisis de riesgo eliminan el desafío para la mayoría, pero cuando dudan muestran uno visual. La nota del W3C Inaccessibility of CAPTCHA recoge alternativas: verificación por dispositivo, limitación de intentos y comprobaciones en el servidor.
• Terminales de pago. Las pantallas táctiles sin teclas físicas en datáfonos y quioscos son un retroceso para personas ciegas; lo retomamos en la siguiente lección.

Resumen

• 3.3.8 Autenticación accesible (mínimo) prohíbe depender de pruebas cognitivas sin alternativa o ayuda: permitir pegar, autocompletar y no fragmentar los códigos.
• Las claves de acceso (WebAuthn) eliminan memoria y transcripción, pero exigen alternativa, explicación clara y recuperación del acceso.
• La biometría no puede ser el único medio (EN 301 549, 5.3) y la vídeo-identificación necesita guía multimodal, tiempo ampliable y vía asistida.
• La cartera europea de identidad digital (Reglamento (UE) 2024/1183) y los pagos con autenticación reforzada deben evaluarse como parte del proceso completo.