Critères de succès

WCAG 3.3.8 Authentification accessible (minimum)

Le critère de succès 3.3.8 exige qu'un test de fonction cognitive - se souvenir d'un mot de passe, résoudre une énigme, recopier un code - ne constitue pas l'unique moyen de mener à bien une authentification, sauf si une autre méthode, un mécanisme d'assistance, ou la reconnaissance d'objets ou l'identification de contenus personnels est disponible. C'est un critère de niveau AA sous la règle 3.3 (Assistance à la saisie), nouveau dans les WCAG 2.2.

Ce qui constitue un « test de fonction cognitive »

Tout ce qui oblige à se souvenir, recopier ou calculer quelque chose de mémoire pour se connecter : mémoriser un mot de passe sans pouvoir l'afficher ni le coller, résoudre un CAPTCHA fondé sur une énigme, recopier manuellement un code depuis une image ou depuis un autre appareil. Pour les personnes présentant certains troubles cognitifs ou de la mémoire, ces tâches peuvent constituer un véritable obstacle à la connexion elle-même, et non un simple désagrément.

Les alternatives admises, dont une au moins est exigée

Une autre méthode : un chemin de connexion n'exigeant pas le test cognitif, comme l'authentification biométrique - empreinte digitale, reconnaissance faciale - ou un lien de connexion envoyé par courriel.

Un mécanisme d'assistance : permettre aux gestionnaires de mots de passe de remplir et de coller les identifiants - plutôt que de bloquer le collage dans les champs de mot de passe, pratique qui va directement à l'encontre de cet aménagement -, ou proposer une bascule « afficher le mot de passe » permettant de vérifier visuellement ce que l'on a saisi, au lieu de s'en remettre à la seule mémoire.

La reconnaissance d'objets : identifier des objets non textuels déjà familiers - une photographie personnelle que l'on a soi-même téléversée, par exemple - plutôt qu'un secret abstrait mémorisé.

L'identification de contenus personnels : identifier un contenu que l'on a personnellement fourni, et non un test abstrait généré par le système.

La non-conformité réelle la plus fréquente : bloquer le collage du mot de passe

Désactiver le collage dans les champs de mot de passe - parfois au nom d'une supposée amélioration de la sécurité - contrarie activement les gestionnaires de mots de passe et oblige à retaper manuellement, de mémoire, des mots de passe longs, complexes et justement mémorisés nulle part. C'est l'une des violations les plus directes et les plus répandues de ce critère, et supprimer ce blocage - en laissant les gestionnaires de mots de passe fonctionner normalement - est généralement la correction la plus efficace et la moins coûteuse.

Ce qui n'est pas exigé

Ce critère n'interdit pas les mots de passe : il exige qu'un test cognitif ne soit pas l'unique chemin, et que les mécanismes d'assistance raisonnables, comme la prise en charge du collage, ne soient pas activement bloqués.

Questions fréquentes

Qu'est-ce que le critère WCAG 3.3.8 ?

Un critère de niveau AA nouveau dans les WCAG 2.2 : la connexion ne doit pas dépendre d'un test de fonction cognitive - se souvenir d'un mot de passe, recopier des caractères, résoudre une énigme - sans alternative accessible.

Qu'est-ce qui satisfait ce critère ?

Prendre en charge les gestionnaires de mots de passe - en autorisant le collage et le remplissage automatique -, proposer une connexion sans mot de passe ou par lien envoyé par courriel, ou recourir à la reconnaissance d'objets ou de contenus personnels plutôt qu'à un test de mémoire ou à une énigme.

Ce critère interdit-il les CAPTCHA ?

Pas entièrement, mais un CAPTCHA exigeant la résolution d'une énigme cognitive est non conforme, sauf si une autre méthode, ou la reconnaissance d'objets ou de contenus non textuels, est également proposée.