Bij het inloggen mag geen cognitieve test worden opgelegd: geen puzzel, geen code die onthouden en overgetypt moet worden, en geen vraag naar iets wat de bezoeker uit zijn hoofd moet weten. De inlog is de plek waar iedere gebruiker langs moet; wat daar misgaat maakt de rest van de dienst onbereikbaar.
Er zijn twee uitwegen. Er mag een alternatief zijn dat de test niet vraagt, of de test mag gaan over het herkennen van objecten of van een plaatje dat de bezoeker zelf heeft aangeleverd. Dit criterium is nieuw in WCAG 2.2 en staat op niveau AA.
Waar het misgaat:
- Een CAPTCHA met vervormde letters. Dat is puur een test.
- Een code uit een sms die overgetypt moet worden in een venster dat de sms bedekt.
- Zes losse vakjes voor die code, waar geen wachtwoordbeheerder mee overweg kan.
- Een beveiligingsvraag over een eerste huisdier of de meisjesnaam van een moeder.
- Plakken blokkeren in het wachtwoordveld.
Dit is de AA-versie en valt onder de wet. 3.3.9 Toegankelijke authenticatie (uitgebreid) is de AAA-versie en laat die uitwegen niet toe: daar mag ook een plaatjespuzzel niet.