Dostępne uwierzytelnianie — minimum

Co oznacza to kryterium

Każdy wymagany etap uwierzytelniania istniejącego użytkownika powinien dać się przejść bez obowiązkowego pamiętania, przepisywania lub rozwiązywania zagadki. Zapewnij skuteczną pomoc, np. pełne wklejenie lub menedżera danych, albo dostępną alternatywę. Na poziomie AA dopuszczono też rozpoznanie obiektów i własnej wcześniejszej treści nietekstowej; nadal mogą one stwarzać inne bariery.

Kryterium pomaga także osobom mającym trudności z czytaniem i przetwarzaniem informacji. To uzasadnienie tagu poznawczego, nie diagnoza użytkownika. Nie przypisano automatycznie wzroku, słuchu, motoryki i wszystkich ikon: dostępność CAPTCHA, pól i alternatyw dla tych potrzeb wymaga także innych kryteriów.

Przykłady błędów i poprawek

Fixture Pracowni modeluje etap MFA istniejącego użytkownika: ten sam syntetyczny kod 482731, lokalny submit i brak dodatkowej metody. Kod próbny zastępuje wartość już dostępną, bez dostarczenia SMS lub wiadomości. Kopiuj kod próbny używa zwykłego UI i systemowego schowka Fluttera; XCTest następnie dotyka pola i wysyła systemowy Cmd+V.

Problem: bad przy wieloznakowym wejściu zachowuje tylko pierwszy znak. Pełny paste daje 4 i odrzucenie, bez innej metody. Skutek: użytkownik musi przepisać cyfry. Poprawka: good przyjmuje pełną zmianę; native value ma 482731, a zwykły submit tworzy zaakceptowany lokalny rekord.

Sześć pól z jednym wklejeniem

Control przyjmuje cały kod w pierwszym polu i rozdziela go do sześciu kontrolerów. Rzeczywisty odczyt pól ma 4 / 8 / 2 / 7 / 3 / 1, a submit przyjmuje 482731. Nie zgłaszaj błędu wyłącznie na podstawie liczby ramek. W bad pojedynczo wpisane cyfry też prowadzą do akceptacji; to kontrola funkcji kosztem transkrypcji, nie pomoc dostępności.

Formularz webowy i ograniczenie providera

W lokalnym HTML/JS wykonano copy, paste, kliknięcia, ręczne wpisanie, cykl, reset i fallback. Kadry i submit pokazują pełną wartość lub obcięcie, ale systemowy trusted clipboard webowy jest NOT-RUN: z 47 zapisanych zdarzeń 40 było trusted, siedem untrusted; copy/paste i input good miały trusted:false. Etykieta Meta+V nie zmienia tego wyniku.

DOM/AX redaguje wartość do <redacted>. valueLength=10, matchesVisibleSource=false i porównanie połączonych pól odnoszą się do tej projekcji API, więc nie dowodzą rzeczywistej długości lub różnicy kodu. Niezależny getter webowy jest NOT-RUN. iOS ma oddzielny systemowy paste i nieredagowany native value. Historyczna kopia pierwszego zapisu webowego ma te same dziewięć JPEG; nie jest drugą unikalną serią.

Dalsze scenariusze — niewykonane

Hasło z blokadą paste i managera wymaga skutecznej pomocy lub alternatywy. Żądanie wybranych znaków hasła wymaga przetworzenia. Audio CAPTCHA z przepisywaniem nie usuwa transkrypcji; recovery też musi mieć właściwą ścieżkę. Obraz dostarczony do zapamiętania przez serwis i osobista odpowiedź tekstowa nie są własną treścią nietekstową użytkownika. Te scenariusze edukacyjne pozostają runtime NOT-RUN.

Kiedy obowiązuje i gdzie są wyjątki

Norma dotyczy każdego wymaganego etapu uwierzytelniania. Dostępny pierwszy ekran nie naprawia niedostępnego MFA, odzyskania konta lub CAPTCHA pojawiającego się dopiero po błędach/ad blockerze. Co najmniej jedna odpowiednia możliwość na danym etapie wystarcza; nie trzeba wdrażać wszystkich metod. Pomoc może pochodzić z treści, platformy, przeglądarki lub AT, lecz musi rzeczywiście działać i sama być dostępna na deklarowanym poziomie.

Test poznawczy obejmuje zapamiętanie, przepisanie lub przetworzenie informacji, poprawną pisownię, obliczenia i puzzle. Stałe osobiste imię, e-mail lub telefon nie są takim testem; specjalnie wymyślony dla serwisu identyfikator może wymagać pamiętania. Początkowe zakładanie konta i wybór username są poza intencją tego kryterium; pomoc przy nich pozostaje dobrą praktyką, nie dodatkowym obowiązkiem 3.3.8.

Wyjątki obiektów i własnych treści mogą korzystać z obrazu, wideo lub audio. Nie występują w AAA 3.3.9. Nie są gwarancją dostępności dla wszystkich potrzeb ani zwolnieniem z innych kryteriów; preferować skuteczną ścieżkę bez testu poznawczego.

Audio CAPTCHA wymagające przepisania usłyszanych znaków nie usuwa transkrypcji. Wybór wybranych znaków hasła również wymaga przetworzenia i przepisania, chyba że działa inna odpowiednia metoda. Sześć pól OTP nie jest automatycznie błędem: może przyjąć cały paste do pierwszego pola i rozdzielić go bez pracy użytkownika.

Dla kodu z drugiego urządzenia transfer między urządzeniami jest poza zakresem oceny treści webowej. Zakładamy dostępność kodu w schowku i badamy faktyczne wklejenie w pole. Nie oznacza to, że samo wyświetlenie kodu lub ręczne wpisanie testowym fill/typeText dowodzi paste. Metody oparte na posiadaniu/biometrii bez przepisywanego kodu nie są testami poznawczymi; WebAuthn pozostawiający modalność urządzenia użytkownikowi nie oznacza, że autor serwisu wymusza pamiętanie PIN. Opcja pokaż hasło może pomagać, ale nie jest normatywnie obowiązkowa w 3.3.8.

Techniki i ich granice

Przeczytano wymaganie i definicje WCAG 2.2, pełne Understanding z 2026-09-06, H100 z 2026-01-12, G218 z 2025-07-15, F109 z 2026-04-27, WCAG2ICT z 2025-12-11 oraz aktualny katalog ACT. Daty pochodzą z treści, nie z domysłu na podstawie pobrania. Pochodzenie publicznych body i zredagowane metadane są zachowane w dowodach technicznych; karta nie dodaje zewnętrznej bibliografii.

• H100 jest techniką wystarczającą, nie normą. Dla procesu tylko e-mail + hasło sprawdza odpowiednie nazwy każdego pola oraz rzeczywisty paste. Poprawne znaczniki/autocomplete pomagają managerowi; atrybut nie zastępuje testu. Tutaj H100 NOT-RUN: wykonano kod MFA, nie logowanie hasłem ani managerem.
• G218 opisuje link otrzymany e-mailem. Test wymaga odebrania wiadomości, otwarcia linku i rzeczywistego zalogowania konta; przy AAA dodatkowo sprawdza brak rozpoznawania obiektów. G218 NOT-RUN: nie wysyłano wiadomości, nie używano konta; lokalna atrapa magic-link nie byłaby pełnym PASS i nie została dodana.
• F109 bada możliwość wprowadzenia całego hasła/kodu w pierwotnym formacie oraz odpowiednią alternatywę. Usterka występuje dopiero przy braku obu. Nasz bad jest własnym odtworzeniem bariery pełnego paste; jego ręczna transkrypcja potwierdza działanie formularza, nie dostępnościowy PASS. Przykłady F109 obejmują częściowe znaki i rozdzielone pola; control ilustruje wyraźną granicę dla pól automatycznie rozdzielających kod.
• Understanding wymienia WebAuthn, OAuth i zestawy metod 2FA także jako potencjalne przyszłe techniki. Nie przypisano im istniejących numerów ani testów. OAuth/WebAuthn/backend NOT-RUN.
• Katalog ACT dla 3.3.8 jawnie wskazuje brak reguł. ACT NOT-RUN; brak reguły nie oznacza zgodności. Własny checker ma wyłącznie zakres fixture i integralności dowodów.

Platformy

Weryfikacja wszystkich poniższych interpretacji: AI, 2026-10-04, przegląd człowieka NOT-RUN. Brak uruchomienia nie jest wyłączeniem platformy; tabela nie rozstrzyga obowiązków prawnych ani EN 301 549, której tu nie oceniano.

Część webową aplikacji hybrydowej oceniać jako WWW, natywną jako oprogramowanie. W badanej fixture modelowany jest tylko lokalny etap MFA, bez sesji serwera lub odblokowania OS.

Rozwiązania w technologiach

Minimalna wspólna poprawka: standardowe pole przechowujące cały tekst, skuteczne paste i semantyczny cel. Hint może wspierać autofill, nie jest dowodem działania. W produkcji sprawdzić wszystkie etapy, walidację i bezpieczny backend; poniższe fragmenty nie implementują bezpieczeństwa ani logowania. Fragmenty innych frameworków są edukacyjne; nie przypisano im niewykonanych wersji.

import 'package:flutter/cupertino.dart';
import 'package:flutter/services.dart';
// W build istniejącego State:
Semantics(
  label: 'Kod weryfikacyjny',
  child: CupertinoTextField(
    controller: code,
    autocorrect: false,
    autofillHints: const [AutofillHints.oneTimeCode],
  ),
);

import SwiftUI
struct VerificationCode: View {
    @State private var code = ""
    let submit: (String) -> Void
    var body: some View {
        VStack {
            TextField("Kod weryfikacyjny", text: $code)
                .textContentType(.oneTimeCode)
                .autocorrectionDisabled()
            Button("Sprawdź kod") { submit(code) }
        }
    }
}

import androidx.compose.foundation.layout.Column
import androidx.compose.material3.Button
import androidx.compose.material3.Text
import androidx.compose.material3.TextField
import androidx.compose.runtime.Composable
import androidx.compose.runtime.getValue
import androidx.compose.runtime.mutableStateOf
import androidx.compose.runtime.remember
import androidx.compose.runtime.setValue

@Composable
fun VerificationCode(submit: (String) -> Unit) {
    var code by remember { mutableStateOf("") }
    Column {
        TextField(value = code, onValueChange = { code = it },
            label = { Text("Kod weryfikacyjny") }, singleLine = true)
        Button(onClick = { submit(code) }) { Text("Sprawdź kod") }
    }
}

import { useState } from 'react';
import { Button, Text, TextInput, View } from 'react-native';
export function VerificationCode({
  submit,
}: {
  submit: (code: string) => void;
}) {
  const [code, setCode] = useState('');
  return (
    <View>
      <Text>Kod weryfikacyjny</Text>
      <TextInput
        accessibilityLabel="Kod weryfikacyjny"
        value={code}
        onChangeText={setCode}
        autoCorrect={false}
        autoComplete="one-time-code"
        contextMenuHidden={false}
      />
      <Button title="Sprawdź kod" onPress={() => submit(code)} />
    </View>
  );
}

<form>
  <label for="code">Kod weryfikacyjny</label>
  <input
    id="code"
    name="code"
    autocomplete="one-time-code"
    inputmode="numeric"
  />
  <button type="submit">Sprawdź kod</button>
</form>

Jak sprawdzić

1. Zidentyfikuj proces istniejącego użytkownika i wszystkie obowiązkowe etapy, alternatywy, MFA, recovery oraz warunkowe CAPTCHA. Nie ograniczaj próby do jednego udanego loginu.
2. Dla każdego testu poznawczego ustal skuteczną pomoc, alternatywę lub konkretny wyjątek AA. Rozpoznawanie obiektu odróżnić od obliczenia, własną treść od dostarczonej przez serwis i tekstowej odpowiedzi.
3. Skopiuj cały syntetyczny kod/hasło zwykłym UI lub do prawdziwego schowka. Użyj systemowego paste; sprawdź pełną rzeczywistą wartość po operacji i normalny submit. fill, typeText i sam atrybut celu nie dowodzą paste/autofill.
4. Sprawdź ten sam paste w bad; zanotuj obcięcie/odrzucenie oraz brak odpowiedniej alternatywy. Dodatkowo ręcznie wpisz cały kod i submituj: to kontrola, że funkcja działa kosztem transkrypcji, nie wynik spełnienia 3.3.8.
5. Dla sześciu pól wklej cały kod raz do pierwszego; sprawdź wszystkie pola i rezultat. Sam screenshot ramek nie wystarczy do zgłoszenia F109.
6. Dla metody alternatywnej sprawdź jej realny skutek i dostępność. G218 wymaga odbioru e-maila i zalogowania; WebAuthn/OAuth i manager potrzebują własnej próby. Niewykonane pozostają NOT-RUN.

Rzeczywiste wykonanie źródła

Dane z 2026-10-04; bez nowego wykonania podczas migracji.

Checker nie ustala z jednego kadru całego logowania, pochodzenia obrazu lub skuteczności alternatywy. Fałszywy alarm może dać sześć pól, działająca inna metoda, wyjątek AA lub OS poza kontrolą autora. Fałszywy PASS: samo autocomplete, atrapa magic-link, ręczne wpisanie uznane za paste albo redagowany getter. Oczekiwania good/bad/control nie należą do wejścia przyszłego zaślepionego walidatora. Lokalna akceptacja nie dowodzi sesji użytkownika ani bezpieczeństwa konta.

Jak sprawdza Clearship

redundant-entry-auth-1 w P0 rozpoznaje uwierzytelnianie po polu bieżącego hasła lub kolejnym kroku takiego procesu. Szuka kodu/hasła, przepisania znaków z obrazka lub obliczenia. Na Androidzie korzysta z paste-1 — próby ACTION_PASTE i długości — oraz autofill-1. Ten kanał nie jest menu/klawiaturowym paste ani pełnym testem menedżera danych.

Kontrolny Android z 8 października 2026 r.: 6/8 usterek, 0/20 fałszywych alarmów, below-threshold. Na iOS brak sygnałów paste/autofill kieruje kody i hasła do człowieka; zestaw rozwojowy z 9 października dał 4/8 i 0/20, pomiar kontrolny NOT-RUN, katalog not-measured. Nie ma podstaw do automatycznego wyniku bez usterek.

Inna kontrolka, wyjątki rozpoznania obiektu/własnej treści, skuteczność alternatywy, pełne login/MFA/recovery, manager, wiadomość i OAuth/WebAuthn wymagają człowieka. Reguła wskazuje także blokadę jednego z kanałów pomocy, więc rzeczywistą wystarczającą drogę trzeba ocenić wobec normy. Metoda nie bada treści webowej. Nieobsługiwane wyzwanie pozostaje pominięciem z ograniczeniem, bez obchodzenia uwierzytelniania. Systemowy paste źródłowego iOS nie oznacza takiego kanału w harnessie.

Powiązane kryteria

• 1.3.5
  Określenie przeznaczenia pola

  Programowy cel pola wspiera pomoc, ale atrybut nie dowodzi jej działania.

• 4.1.2
  Nazwa, rola, wartość

  Semantyka pola nie usuwa obowiązkowej transkrypcji.

• 3.3.1
  Identyfikacja błędu

  Identyfikacja odrzuconego kodu nie zapewnia skutecznego wklejenia.

• 3.3.3
  Sugestie korekty błędów

  Sugestia korekty nie zastępuje pomocy wymaganej w uwierzytelnianiu.

• 3.3.9
  Dostępne uwierzytelnianie — rozszerzone

  AAA pomija wyjątki rozpoznawania obiektów i własnej treści nietekstowej.

  Artykuł nie jest jeszcze dostępny.