Técnica Técnicas generales WCAG 2.2
G181Codificar los datos del usuario como datos ocultos o cifrados en una página de re-autenticación
En resumen
Esta técnica evita que un usuario pierda lo que ha escrito en un formulario cuando su sesión caduca antes de enviarlo: el servidor pasa esos datos, de forma oculta o cifrada, a la página de nuevo inicio de sesión y, una vez autenticado, los recupera para procesarlos o mostrarlos para revisión, sin almacenarlos en el servidor. Beneficia a quienes necesitan más tiempo para completar tareas y es útil cuando guardar datos temporalmente es ilegal o supone un riesgo de seguridad.
Aplicabilidad
Páginas que requieren la autenticación del usuario en las que el tiempo disponible para enviar datos es limitado.
Descripción
Los servidores web que requieren la autenticación del usuario a menudo finalizan la sesión tras un periodo de tiempo establecido si no hay actividad por parte del usuario. Si el usuario no es capaz de introducir los datos con suficiente rapidez y la sesión caduca antes de que los envíe, el servidor exigirá una nueva autenticación antes de continuar. Cuando esto ocurre, el servidor pasa (como datos ocultos) la información del formulario a la página que se utiliza para la re-autenticación. Después, cuando el usuario se vuelve a autenticar, el servidor puede utilizar la información transmitida desde la página de re-autenticación para enviar el formulario directamente o para presentar una página que incluya los datos que van a enviarse, de modo que puedan revisarse. Con esta técnica, el servidor no tiene que almacenar en el servidor ningún dato enviado por el usuario. Se trata de una técnica importante en aquellos casos en los que es ilegal o supone un riesgo de seguridad que el servidor almacene información temporalmente. También resulta útil porque libera al servidor de tener que mantener la información almacenada y volver a vincularla con la sesión recién autenticada.
Si los datos que envían los usuarios son sensibles o presentan un riesgo de seguridad, los autores deben considerar el proceso utilizado para pasar los datos a la página de re-autenticación y, tras la re-autenticación, a la página que procesará los datos originales, con el fin de garantizar que los datos están protegidos.
Ejemplos
- Un usuario ha iniciado sesión para usar un wiki y comienza a editar una página. El tiempo que tarda en completar las modificaciones supera el tiempo que el servidor permite de inactividad de la sesión. Cuando el usuario envía las modificaciones, se le notifica que la sesión ha caducado y se le redirige a una página de inicio de sesión. El script que gestiona el envío original del formulario pasa las modificaciones como una variable a la página de inicio de sesión y, cuando el usuario inicia sesión correctamente, devuelve las modificaciones del usuario al script que gestiona los envíos de formularios, y las modificaciones se procesan como si no hubiera caducado la sesión.
- Un usuario había iniciado sesión en un sitio de compras seguro y rellena parte de la información de un formulario de pedido. Por motivos de seguridad, la sesión caduca a los 30 minutos, pero el usuario no envía el formulario hasta 45 minutos después de cargar la página. Se informa al usuario de la caducidad y se le pide que inicie sesión de nuevo. Si el usuario inicia sesión correctamente, se le presenta el formulario de pedido con todos los datos introducidos previamente, y el usuario puede revisar su envío y enviar el formulario. Si el inicio de sesión no se completa correctamente, el servidor descarta los datos del formulario.
Pruebas
Procedimiento
En un sitio que requiere que el usuario inicie sesión para enviar datos:
- Iniciar sesión y comenzar la actividad con límite de tiempo.
- Dejar que la sesión caduque.
- Enviar los datos.
- Volver a autenticarse.
- Comprobar que el proceso puede continuar y completarse sin pérdida de datos, incluidos los datos originales y cualquier cambio realizado tras la re-autenticación.
- Comprobar que el proceso utilizado para guardar la información enviada en el paso 3 no almacena los datos en el servidor. (Nota: esto requiere conocer la tecnología y las funcionalidades utilizadas para implementar la técnica.)
Resultados esperados
- Las comprobaciones n.º 5 y n.º 6 son verdaderas.
Cómo lo comprobamos en ADDAW
En las auditorías de accesibilidad de ADDAW revisamos cada criterio de conformidad siguiendo este catálogo de técnicas: comprobamos si la web aplica una técnica suficiente y documentamos cada fallo común con capturas y el código afectado, para que el equipo de desarrollo sepa exactamente qué corregir. Los informes siguen la metodología del Observatorio de Accesibilidad y la norma UNE-EN 301 549.
Fuente y licencia
Traducción al español, no oficial, realizada por ADDAW a partir de la técnica G181 del documento «Techniques for WCAG 2.2» del W3C (versión del repositorio público del W3C a 22/10/2026). Copyright © W3C® (MIT, ERCIM, Keio, Beihang). Se publica conforme a la licencia de documentos del W3C. El texto normativo de referencia es el original en inglés; si detecta un error en la traducción, escríbanos.
