A autenticação pode exigir memória (senha), cópia de um código ou solução de desafio. O critério WCAG 2.2 3.3.8, nível AA, trata testes de função cognitiva durante autenticação de contas existentes e prevê exceções: outro método sem esse teste, mecanismo de ajuda, reconhecimento de objetos ou conteúdo pessoal. A orientação abaixo reduz barreiras sem remover controles de segurança.
Reduza esforço sem enfraquecer a conta
- Permita colar e usar gerenciador de senhas. Não bloqueie
paste, não impeça preenchimento automático e associe rótulos acessíveis aos campos. Marque corretamente usuário e senha (autocomplete="username"eautocomplete="current-password"). Evite regras de senha que obriguem a memorizar combinações arbitrárias sem explicar uma alternativa segura. - Ofereça recuperação utilizável. Use link de redefinição com prazo e uso único; informe o que fazer se a mensagem não chegar. Evite perguntas secretas ou fluxo de recuperação que exija lembrar dado difícil. Não revele se um email existe na base.
- Permita códigos de uso único serem colados. Identifique o campo (
autocomplete="one-time-code"quando apropriado), aceite o formato válido sem exigir digitação caractere por caractere e explique expiração e reenvio. Não obrigue copiar código entre dispositivos quando houver alternativa compatível. - Avalie passkeys ou outro método sem senha memorizada. Podem reduzir a necessidade de digitar uma senha, mas a disponibilidade varia por navegador, dispositivo, política da organização e capacidade de recuperação. Mantenha rota alternativa acessível e teste perda/troca de aparelho.
- Revise CAPTCHA e desafios. Não use quebra-cabeças como única forma de login. Se houver etapa cognitiva, ofereça pelo menos um caminho de autenticação que não dependa dela, conforme o critério aplicável; áudio que exige transcrever caracteres continua sendo transcrição.
Teste o fluxo inteiro
- Percorra login, segundo fator, expiração, recuperação, redefinição e encerramento de sessão, inclusive em teclado e leitor de tela.
- Teste colagem, autofill, gerenciador de senha, código de um uso e alternativa para dispositivo perdido.
- Confirme proteção no servidor: limite tentativas e abuso, expiração e uso único, mensagens sem vazamento de conta, armazenamento seguro de senhas e proteção de sessão. Não registre senhas, códigos nem segredos em analytics/logs.
- Convide pessoas com diferentes métodos autorizados a testar, sem solicitar senhas reais nem guardar credenciais de teste.
A W3C explica Autenticação acessível (mínimo), incluindo colar e gerenciadores de senha como mecanismos de assistência. Esse resumo não substitui uma avaliação de segurança ou acessibilidade.