Como reduzir barreiras cognitivas na autenticação

A autenticação pode exigir memória (senha), cópia de um código ou solução de desafio. O critério WCAG 2.2 3.3.8, nível AA, trata testes de função cognitiva durante autenticação de contas existentes e prevê exceções: outro método sem esse teste, mecanismo de ajuda, reconhecimento de objetos ou conteúdo pessoal. A orientação abaixo reduz barreiras sem remover controles de segurança.

Reduza esforço sem enfraquecer a conta

• Permita colar e usar gerenciador de senhas. Não bloqueie paste, não impeça preenchimento automático e associe rótulos acessíveis aos campos. Marque corretamente usuário e senha (autocomplete="username" e autocomplete="current-password"). Evite regras de senha que obriguem a memorizar combinações arbitrárias sem explicar uma alternativa segura.
• Ofereça recuperação utilizável. Use link de redefinição com prazo e uso único; informe o que fazer se a mensagem não chegar. Evite perguntas secretas ou fluxo de recuperação que exija lembrar dado difícil. Não revele se um email existe na base.
• Permita códigos de uso único serem colados. Identifique o campo (autocomplete="one-time-code" quando apropriado), aceite o formato válido sem exigir digitação caractere por caractere e explique expiração e reenvio. Não obrigue copiar código entre dispositivos quando houver alternativa compatível.
• Avalie passkeys ou outro método sem senha memorizada. Podem reduzir a necessidade de digitar uma senha, mas a disponibilidade varia por navegador, dispositivo, política da organização e capacidade de recuperação. Mantenha rota alternativa acessível e teste perda/troca de aparelho.
• Revise CAPTCHA e desafios. Não use quebra-cabeças como única forma de login. Se houver etapa cognitiva, ofereça pelo menos um caminho de autenticação que não dependa dela, conforme o critério aplicável; áudio que exige transcrever caracteres continua sendo transcrição.

Teste o fluxo inteiro

1. Percorra login, segundo fator, expiração, recuperação, redefinição e encerramento de sessão, inclusive em teclado e leitor de tela.
2. Teste colagem, autofill, gerenciador de senha, código de um uso e alternativa para dispositivo perdido.
3. Confirme proteção no servidor: limite tentativas e abuso, expiração e uso único, mensagens sem vazamento de conta, armazenamento seguro de senhas e proteção de sessão. Não registre senhas, códigos nem segredos em analytics/logs.
4. Convide pessoas com diferentes métodos autorizados a testar, sem solicitar senhas reais nem guardar credenciais de teste.

A W3C explica Autenticação acessível (mínimo), incluindo colar e gerenciadores de senha como mecanismos de assistência. Esse resumo não substitui uma avaliação de segurança ou acessibilidade.

Conteúdo da biblioteca de Diego Henrich. Confira as fontes citadas e valide orientações que dependem da versão de uma plataforma ou serviço.