Was die Norm sagt
Ein Test kognitiver Fähigkeiten (etwa das Erinnern eines Passworts oder das Lösen eines Rätsels) ist für keinen Schritt eines Authentifizierungsprozesses erforderlich, es sei denn, dieser Schritt bietet mindestens eine der folgenden Möglichkeiten:
Warum das zählt
Einen Code abzutippen, ein CAPTCHA zu lösen oder sich ein Passwort zu merken sind Tests der Denkleistung — und das muss Authentifizierung nicht sein.
Wie ein Fehlschlag aussieht
- fällt durchEin CAPTCHA ohne Alternative.
- fällt durchEinfügen im Passwortfeld zu blockieren, was Passwortmanager kaputt macht.
- fällt durchNach „dem dritten und siebten Zeichen Ihres Merkworts“ zu fragen.
So beheben Sie es
- tunErlauben Sie Einfügen und lassen Sie Passwortmanager das Feld füllen.
- tunUnterstützen Sie Passkeys, E-Mail-Links oder OAuth.
- tunBrauchen Sie eine Bot-Prüfung, nehmen Sie eine, die keine Denkaufgabe verlangt.
Wie A11ySignal es prüft
manuell
Keine automatische Regel kann über dieses Kriterium urteilen, und wir tun nicht so, als wäre es anders. Ein sauberer Scan heißt nicht, dass 3.3.8 erfüllt ist — er heißt, dass nichts fehlschlägt, was wir messen können. Hier braucht es einen Menschen.