WCAG 3.3.8: المصادقة المتاحة (الحد الأدنى)

ماذا يعني هذا المعيار

المعيار WCAG 3.3.8 المصادقة المتاحة (الحد الأدنى) هو معيار من المستوى AA تم تقديمه في WCAG 2.2. ينص على أن اختبار الوظيفة المعرفية — المُعرَّف بأنه مهمة تتطلب من المستخدم تذكّر المعلومات أو معالجتها أو نسخها — لا يجوز أن يكون الوسيلة الوحيدة لإكمال خطوة من خطوات المصادقة، ما لم يتحقق واحد على الأقل من الشروط التالية:

• طريقة بديلة: توفر مسار مصادقة آخر لا يعتمد على اختبار وظيفة معرفية (على سبيل المثال، رابط سحري يُرسل عبر البريد الإلكتروني، تسجيل الدخول البيومتري، أو مفتاح مرور).
• آلية للمساعدة: يُسمح لوكيل المستخدم أو أداة طرف ثالث بإكمال الخطوة نيابة عن المستخدم — على سبيل المثال، قيام مدير كلمات المرور بملء بيانات الاعتماد تلقائيًا، أو إجراء النسخ واللصق لرمز يُستخدم لمرة واحدة.
• استثناء التعرف على الكائنات: يتضمن اختبار الوظيفة المعرفية تحديد كائن في صورة (على سبيل المثال، اختيار جميع الصور التي تحتوي على إشارة مرور) — هذا النوع من الاختبارات مسموح به في مستوى الحد الأدنى (AA).
• استثناء المحتوى الشخصي: يعتمد الاختبار على محتوى قدّمه المستخدم نفسه، مثل اختيار صورة سبق له تحميلها من شبكة صور.

عمليًا، نموذج تسجيل الدخول الذي يتطلب فقط اسم مستخدم وكلمة مرور يمتثل لهذا المعيار، بشرط أن يسمح النموذج بالتعبئة التلقائية من المتصفح وعمل مديري كلمات المرور (أي أن الحقول تستخدم <input type='password'> القياسي ولا تُمنع من اللصق). اختبار CAPTCHA الذي يتطلب نسخ نص مشوّه دون أي مسار مصادقة بديل يُعد إخفاقًا واضحًا. اختبار CAPTCHA الذي يطلب من المستخدمين اختيار صور تطابق فئة معينة (التعرف على الكائنات) مسموح به في مستوى AA لكنه يُعالَج بشكل أكثر صرامة في مستوى AAA (3.3.9).

ينطبق هذا المعيار على جميع خطوات عملية المصادقة: تسجيل الدخول الأولي، المصادقة المعزَّزة، التحقق متعدد العوامل، استعادة الحساب، وإعادة المصادقة على الجلسة. كما ينطبق على أي عملية تحمي الوصول إلى وظائف معينة، وليس فقط شاشة تسجيل الدخول الأساسية.

أحد الآثار التقنية الرئيسية هو أنه لا يجوز للمطورين استخدام autocomplete='off' في حقول المصادقة، ولا تعطيل اللصق عبر معالجات أحداث JavaScript، ولا كسر دلالات الإدخال القياسية التي تسمح لتقنيات المساعدة والتعبئة التلقائية في المتصفح بالعمل بشكل صحيح.

لماذا يهم هذا المعيار

المصادقة هي بوابة الوصول إلى معظم الخدمات الرقمية التي يعتمد عليها الناس يوميًا — مثل الخدمات المصرفية، بوابات الرعاية الصحية، الخدمات الحكومية، التجارة الإلكترونية، ومنصات التواصل. عندما تفرض هذه البوابة عوائق معرفية، فإنها تستبعد بشكل منهجي جزءًا كبيرًا من السكان.

تشمل الإعاقات المعرفية طيفًا واسعًا: عسر القراءة، عسر الحساب، اضطرابات نقص الانتباه، إصابات الدماغ المكتسبة، الخرف، الإعاقات الذهنية، واضطرابات القلق. تقدّر منظمة الصحة العالمية أن حوالي 1 من كل 6 أشخاص عالميًا يعاني من شكل من أشكال الإعاقة الكبيرة، وتمثل الحالات المعرفية والعصبية واحدة من أكبر الفئات. بالنسبة لهؤلاء المستخدمين، قد تكون مهام مثل نسخ سلسلة من الأحرف المشوّهة بدقة، أو حل لغز بصري تحت ضغط الوقت، أو التبديل بين تطبيق المصادقة ونموذج تسجيل الدخول مستحيلة فعليًا أو مرهقة للغاية.

فكّر في سيناريو ملموس: شخص لديه عسر قراءة يحاول تسجيل الدخول إلى بوابة التأمين الصحي للاطلاع على نتائج الفحوصات. يعرض الموقع اختبار CAPTCHA نصيًا دون بديل صوتي ودون طريقة لتجاوزه. أشكال الحروف المشوّهة غير مميزة لهذا المستخدم، وحقل الإدخال يمنع اللصق. بعد عدة محاولات فاشلة، يتم قفل الحساب. لا يستطيع المستخدم الوصول إلى معلومات طبية حساسة زمنيًا. هذا ليس حالة نادرة افتراضية — بل تجربة روتينية لملايين الأشخاص.

المستخدمون ذوو الإعاقات الحركية الذين يعتمدون على أجهزة التبديل أو تتبع العين يتأثرون أيضًا. قد يكون إعادة كتابة رمز مرور معقد يُستخدم لمرة واحدة من جهاز منفصل، أو سحب مربعات الصور لترتيب معين، أمرًا مستحيلًا جسديًا باستخدام هذه وسائل الإدخال. السماح بالنسخ واللصق أو المصادقة باستخدام مفاتيح المرور يزيل العائق بالكامل.

يمثل كبار السن مجموعة مهمة أخرى. يؤثر التدهور المعرفي المرتبط بالعمر على الذاكرة وسرعة المعالجة، مما يجعل اختبارات CAPTCHA المعقدة ومهام الحفظ متعددة الخطوات صعبة بشكل غير متناسب. ومع تقدم أعمار السكان في تركيا وعالميًا، يزداد المبرر التجاري والتنظيمي للمصادقة المتاحة قوة كل عام.

من منظور سهولة الاستخدام ومعدلات التحويل، يزيد الاحتكاك في مسارات المصادقة مباشرة من معدلات التخلي. منصات التجارة الإلكترونية التي تستبدل اختبارات CAPTCHA النصية بالمصادقة القائمة على المخاطر أو مفاتيح المرور تسجل باستمرار معدلات إكمال تسجيل دخول أعلى وتكاليف دعم أقل مرتبطة بالحسابات المقفلة.

قواعد axe-core ذات الصلة

يُصنَّف المعيار WCAG 3.3.8 على أنه يتطلب اختبارًا يدويًا لأن الأدوات الآلية لا يمكنها تقييم ما إذا كانت عملية المصادقة تفرض اختبار وظيفة معرفية غير متاح بالكامل. يتطلب تحديد ما إذا كان مسار تسجيل الدخول لا يحتوي على مسار بديل، أو ما إذا كان اللصق محظورًا بطريقة تعتمد على السياق، حكمًا بشريًا وتفاعلًا مع مسار مصادقة فعلي. ومع ذلك، تدعم بعض الفحوصات الآلية هذا المعيار:

• مراجعة يدوية — تدقيق مسار المصادقة: يجب على المختبرين المرور بكل خطوة من خطوات المصادقة وتحديد ما إذا كان هناك اختبار وظيفة معرفية، وإذا وُجد، ما إذا كان هناك بديل متوافق أو آلية مساعدة. لا توجد حاليًا قاعدة axe-core تعمل تلقائيًا لهذا المعيار لأن المنطق يعتمد على فهم الغرض وسياق حقول النماذج وواجهة المستخدم المحيطة، وليس فقط على الشيفرة.
• فحوصات سمة autocomplete (ذات صلة): تقوم قاعدة autocomplete-valid في axe-core بالإشارة إلى حقول الإدخال التي لا تُستمد قيم سمة autocomplete فيها من قائمة الرموز الخاصة بـ WCAG 1.3.5. بينما تستهدف هذه القاعدة المعيار 1.3.5 مباشرة، فهي فحص داعم للمعيار 3.3.8: إذا كانت autocomplete='username' وautocomplete='current-password' مفقودة أو مضبوطة بشكل غير صحيح، فلن يتمكن مديرو كلمات المرور من التعبئة التلقائية، مما يزيل آلية المساعدة التي تجعل تسجيل الدخول بكلمة مرور قياسية متوافقًا بموجب 3.3.8.
• اكتشاف حظر اللصق — يدوي: لا يمكن لأدوات الفحص الآلي اكتشاف JavaScript الذي يعترض أحداث paste ويمنعها في حقول المصادقة بشكل موثوق. يجب على المختبر اليدوي محاولة لصق بيانات اعتماد أو رمز لمرة واحدة في كل حقل ذي صلة والتأكد من نجاح العملية.
• اكتشاف بدائل CAPTCHA — يدوي: يمكن لـ axe-core اكتشاف وجود عناصر CAPTCHA الشائعة (مثل إطارات reCAPTCHA) لكنه لا يستطيع تحديد ما إذا كان مسار مصادقة بديل يُقدَّم في مكان آخر على الصفحة أو عبر مسار مختلف. يتطلب هذا التحديد فحصًا يدويًا لتجربة المصادقة الكاملة.

كيفية الاختبار

1. فحص آلي (axe DevTools / Lighthouse): شغّل axe DevTools على كل صفحة مصادقة (تسجيل الدخول، التسجيل، استعادة الحساب، التحقق متعدد العوامل). ابحث عن مخالفات autocomplete-valid في حقول اسم المستخدم وكلمة المرور. في Lighthouse، راجع تدقيق إمكانية الوصول بحثًا عن مشكلات متعلقة بالنماذج. لاحظ أنه لن تشير أي قاعدة آلية بشكل قاطع إلى إخفاق في 3.3.8 — النتائج الآلية هي نقطة بداية فقط.
2. تحديد جميع اختبارات الوظيفة المعرفية: قم يدويًا بحصر كل خطوة في مسار المصادقة. لاحظ أي خطوة تتطلب من المستخدم تذكّر معلومات غير معروضة على الشاشة الحالية، أو نسخ أحرف، أو حل لغز، أو إجراء عملية حسابية. تحقق مما إذا كان لكل خطوة من هذا النوع بديل متوافق (التعرف على الكائنات، المحتوى الشخصي، طريقة تسجيل دخول بديلة، أو آلية مساعدة).
3. اختبار وظيفة اللصق: في كل حقل مصادقة (اسم المستخدم، كلمة المرور، رمز لمرة واحدة، رمز الاستعادة)، حاول لصق نص باستخدام اختصار لوحة المفاتيح (Ctrl+V على Windows/Linux، Cmd+V على macOS). تأكد من ظهور المحتوى الملصوق في الحقل. كرر باستخدام قائمة النقر بالزر الأيمن. إذا كان اللصق محظورًا، فهذا إخفاق ما لم يوجد بديل خالٍ من الوظائف المعرفية.
4. اختبار التعبئة التلقائية باستخدام مدير كلمات المرور: باستخدام متصفح يحتوي على مدير كلمات مرور (مضمن أو عبر إضافة)، احفظ بيانات الاعتماد أثناء التسجيل ثم عد إلى صفحة تسجيل الدخول. تأكد من أن مدير كلمات المرور يمكنه اكتشاف الحقول وتعبئتها تلقائيًا. اختبر في Firefox مع NVDA، وSafari مع VoiceOver (على macOS/iOS)، وChrome مع JAWS لتغطية مجموعات المتصفح + تقنية المساعدة الرئيسية. إذا كانت الحقول تستخدم شيفرة غير قياسية أو JavaScript يمسح القيم المعبأة تلقائيًا، فهذا إخفاق.
5. NVDA + Firefox — استعراض بقارئ الشاشة: تنقّل في نموذج تسجيل الدخول باستخدام لوحة المفاتيح وNVDA فقط. تأكد من إمكانية الوصول إلى كل حقل، وأن تسميات الحقول تُعلن بشكل صحيح، وأن أي عنصر CAPTCHA لديه بديل متاح. إذا كان CAPTCHA بصريًا فقط دون خيار صوتي ودون مسار تسجيل دخول بديل، فسجّل إخفاقًا.
6. VoiceOver + Safari (iOS): على جهاز محمول، حاول تسجيل الدخول باستخدام Face ID أو Touch ID إذا كان الموقع يوفر تسجيل الدخول البيومتري. تأكد من إمكانية الوصول إلى خيار القياسات الحيوية عبر التنقل بالسحب وأن VoiceOver يعلن عنه بشكل صحيح. هذا يؤكد أن البديل الخالي من الوظائف المعرفية متاح عمليًا، وليس موجودًا شكليًا فقط.
7. التحقق من الحدود الزمنية على الخطوات المعرفية: إذا فرض CAPTCHA أو إدخال رمز لمرة واحدة حدًا زمنيًا، فتحقق مما إذا كان بإمكان المستخدم تمديده أو تعطيله (ذو صلة بالمعيار 2.2.1)، وسجّل بشكل منفصل ما إذا كانت الخطوة المحددة بالوقت تشكل اختبار وظيفة معرفية دون بديل.

كيفية الإصلاح

CAPTCHA نصي بدون بديل — غير صحيح

<!-- Fails 3.3.8: only authentication method is transcribing distorted text;
     no alternative login path is offered, and paste is disabled -->
<form action='/login' method='post'>
  <label for='user'>Username</label>
  <input type='text' id='user' name='username'>

  <label for='pass'>Password</label>
  <input type='password' id='pass' name='password'
         autocomplete='off'
         onpaste='return false;'>

  <img src='/captcha-image.png' alt=''>
  <label for='captcha'>Type the characters above</label>
  <input type='text' id='captcha' name='captcha'
         autocomplete='off'
         onpaste='return false;'>

  <button type='submit'>Log in</button>
</form>

CAPTCHA نصي بدون بديل — صحيح

<!-- Passes 3.3.8: text CAPTCHA is replaced with a passkey / magic-link option;
     password field supports autofill and paste so password managers can assist -->
<form action='/login' method='post'>
  <label for='user'>Username or email</label>
  <input type='text' id='user' name='username'
         autocomplete='username'>

  <label for='pass'>Password</label>
  <input type='password' id='pass' name='password'
         autocomplete='current-password'>

  <!-- No CAPTCHA; bot protection handled server-side via risk-based signals -->
  <button type='submit'>Log in</button>
</form>

<!-- Cognitive-function-free alternative always visible -->
<p><a href='/magic-link'>Send me a sign-in link by email instead</a></p>
<p><a href='/passkey-login'>Sign in with a passkey or biometrics</a></p>

حقل رمز لمرة واحدة يحظر اللصق — غير صحيح

<!-- Fails 3.3.8: user must manually type a 6-digit OTP;
     paste is suppressed, forcing a transcription task -->
<label for='otp'>Enter the 6-digit code from your authenticator app</label>
<input type='text' id='otp' name='otp'
       inputmode='numeric'
       maxlength='6'
       autocomplete='off'
       onpaste='event.preventDefault();'
       ondrop='event.preventDefault();'>

حقل رمز لمرة واحدة يحظر اللصق — صحيح

<!-- Passes 3.3.8: paste and autofill are permitted;
     autocomplete='one-time-code' enables OS-level SMS/OTP autofill on mobile -->
<label for='otp'>Enter the 6-digit code from your authenticator app</label>
<input type='text' id='otp' name='otp'
       inputmode='numeric'
       maxlength='6'
       autocomplete='one-time-code'>
<!-- Remove all paste/drop prevention handlers.
     Risk of credential stuffing is managed server-side, not by blocking paste. -->

CAPTCHA لاختيار الصور بدون بديل (مشكلة على مستوى AAA، مقبول في AA) — صحيح في مستوى AA

<!-- Passes 3.3.8 (AA): object recognition CAPTCHAs are explicitly
     exempted at the Minimum level. Selecting images of bicycles
     qualifies as object recognition, not character transcription.
     Note: this would fail 3.3.9 (AAA) — provide an alternative for full conformance. -->
<fieldset>
  <legend>Select all images that contain a bicycle</legend>
  <ul role='list'>
    <li>
      <input type='checkbox' id='img1' name='captcha' value='1'>
      <label for='img1'>
        <img src='/grid/img1.jpg' alt='A city street with parked vehicles'>
      </label>
    </li>
    <!-- additional grid items -->
  </ul>
</fieldset>

الأخطاء الشائعة

• تعيين autocomplete='off' في حقول كلمات المرور: هذا يعطّل التعبئة التلقائية لمدير كلمات المرور، ويزيل آلية المساعدة التي تجعل المصادقة بكلمة مرور قياسية متوافقة. استخدم autocomplete='current-password' بدلًا من ذلك ودع المتصفح يدير تخزين بيانات الاعتماد.
• حظر اللصق باستخدام onpaste='return false;' أو addEventListener('paste', e => e.preventDefault()): هذا يجبر المستخدمين على كتابة بيانات الاعتماد يدويًا، مما يخلق مهمة نسخ غير متاحة. أزل جميع معالجات منع اللصق من حقول المصادقة.
• تقديم خيار مفتاح مرور غير قابل للوصول عبر لوحة المفاتيح: لا يفي البديل البيومتري بالمعيار 3.3.8 إلا إذا كان من الممكن الوصول إليه وتشغيله عبر لوحة المفاتيح وتقنيات المساعدة. زر مفتاح المرور المخفي خلف قائمة تظهر عند التحويم أو المعروض كعنصر <div> غير قابل للتركيز لا يُعد بديلًا متوافقًا.
• استخدام CAPTCHA نصي كاستراتيجية وحيدة لمكافحة الروبوتات: الانتقال إلى اكتشاف الروبوتات القائم على المخاطر على الخادم (تحليل بصمة الجهاز، إيقاع الكتابة، سمعة عنوان IP) يلغي اختبار الوظيفة المعرفية تمامًا دون التضحية بالأمان. الاعتماد فقط على CAPTCHA من جانب العميل هو فشل في إمكانية الوصول وممارسة أمنية سيئة في آن واحد.
• تقسيم رمز لمرة واحدة إلى عدة حقول إدخال ذات حرف واحد وحظر اللصق عبر الحقول: تستخدم بعض التطبيقات ستة حقول <input maxlength='1'> منفصلة لإدخال الرمز وتقدّم التركيز تلقائيًا عبر JavaScript. غالبًا ما يكسر هذا النمط اللصق من مديري كلمات المرور وينتهك 3.3.8 ما لم يتعامل التنفيذ صراحة مع لصق رمز كامل في الحقل الأول وتوزيع الأحرف بشكل صحيح.
• فرض CAPTCHA قائم على الصور في مسارات استعادة الحساب فقط: غالبًا ما تضيف الفرق بدائل تسجيل دخول متاحة إلى صفحة تسجيل الدخول الرئيسية لكنها تنسى المصادقة المعزَّزة، إعادة تعيين كلمة المرور، ومسارات فتح الحساب. كل من هذه الخطوات هي خطوة مصادقة منفصلة ويجب أن تمتثل بشكل مستقل للمعيار 3.3.8.
• اعتبار CAPTCHA الصوتي بديلًا كاملًا لـ CAPTCHA النصي: يعالج البديل الصوتي احتياجات المستخدمين المكفوفين لكنه لا يساعد المستخدمين ذوي الإعاقات المعرفية أو أولئك في البيئات الصاخبة. كما أن اختبارات CAPTCHA الصوتية تفرض متطلب نسخ خاصًا بها. الإصلاح الصحيح هو إزالة CAPTCHA أو توفير مسار لا يحتوي على أي اختبار وظيفة معرفية على الإطلاق.
• إنشاء معرفات حقول الإدخال ديناميكيًا بطريقة تكسر اكتشاف مدير كلمات المرور: عندما تُولَّد سمات id لحقول اسم المستخدم وكلمة المرور عشوائيًا في كل تحميل للصفحة (كتقنية خاطئة لمكافحة الروبوتات)، لا يمكن لمديري كلمات المرور تحديد الحقول بشكل موثوق. هذا يعطّل التعبئة التلقائية فعليًا ويزيل آلية المساعدة المتوافقة.
• افتراض أن عناصر CAPTCHA من طرف ثالث متوافقة تلقائيًا: قد تقدم خدمات CAPTCHA الشائعة نسخًا متاحة، لكنها لا تكون مفعّلة افتراضيًا. يجب على المطورين تكوين النسخة المتاحة صراحة، ويجب عليهم مع ذلك التحقق من أنها تلبي متطلبات المعيار بدلًا من مجرد إضافة نوع جديد من الاختبارات غير المتاحة.
• مسح القيم المعبأة تلقائيًا عبر JavaScript عند التركيز: تقوم بعض النماذج بمسح محتوى الإدخال عندما يتلقى الحقل التركيز لإظهار نص العنصر النائب أو مطالبة بإعادة الإدخال. إذا كان هذا السلوك يمسح القيمة التي ملأها مدير كلمات المرور تلقائيًا، فإنه يجبر على إعادة الإدخال يدويًا ويفشل في المعيار 3.3.8.

العلاقة مع لوائح إمكانية الوصول في تركيا

تُقرّر التعميم الرئاسي 2025/10 في تركيا، المنشور في الجريدة الرسمية رقم 32933 بتاريخ 21 يونيو 2025، التزامات إمكانية الوصول للويب والهواتف المحمولة بما يتماشى مع WCAG 2.2. يفرض التعميم على الجهات المشمولة تحقيق مستوى امتثال AA عبر منتجاتها وخدماتها الرقمية. وبما أن المعيار WCAG 3.3.8 معيار من المستوى AA في WCAG 2.2، فإنه يقع مباشرة ضمن نطاق متطلبات الامتثال الإلزامية التي أدخلها هذا التعميم.

يشمل التعميم مجموعة واسعة من الكيانات في القطاعين العام والخاص. يجب على المؤسسات العامة والهيئات الحكومية تحقيق امتثال كامل لمستوى AA. في القطاع الخاص، ينطبق التعميم على منصات التجارة الإلكترونية، البنوك والمؤسسات المالية، المستشفيات ومقدمي الرعاية الصحية الخاصين، مشغلي الاتصالات الذين لديهم 200,000 مشترك أو أكثر، وكالات السفر، شركات النقل الخاصة، والمدارس الخاصة المرخّصة من قبل وزارة التربية الوطنية (MoNE). بالنسبة لهذه المنظمات، تخلق مسارات المصادقة غير المتاحة — مثل صفحات تسجيل الدخول التي تحتوي على اختبارات CAPTCHA غير مدعومة أو حقول رمز لمرة واحدة تحظر اللصق — تعرضًا تنظيميًا مباشرًا.

يُعد شعار إمكانية الوصول (Erişilebilirlik Logosu)، الصادر عن وزارة الأسرة والخدمات الاجتماعية، علامة الشهادة الرسمية لامتثال إمكانية الوصول الرقمي في تركيا. يتطلب الحصول على هذا الشعار إثبات امتثال لمستوى AA، والذي يشمل المعيار 3.3.8. بالنسبة لمشغلي التجارة الإلكترونية، البنوك، ومقدمي الخدمات الرقمية ذات الحركة العالية الآخرين، يعمل الشعار كإشارة ثقة عامة وقد يُشار إليه في متطلبات المشتريات والمناقصات. ستمنع مسارات المصادقة التي تعتمد على اختبارات معرفية غير متاحة الحصول على الشهادة وتعرّض المنظمة للشكاوى وإجراءات الإنفاذ.

من منظور الامتثال العملي، ينبغي على المنظمات التركية تدقيق كل نقطة تلامس للمصادقة — بما في ذلك تسجيل الدخول، التسجيل، التحقق متعدد العوامل، إعادة تعيين كلمة المرور، وفتح الحساب — مقابل المعيار 3.3.8 قبل التقدّم لتقييم شعار إمكانية الوصول. يُعد استبدال اختبارات CAPTCHA النصية بضوابط قائمة على المخاطر من جانب الخادم، وتمكين autocomplete في جميع حقول بيانات الاعتماد، وتقديم بدائل مثل مفاتيح المرور أو الروابط السحرية من أكثر إجراءات المعالجة تأثيرًا. تُلبّي هذه التغييرات في الوقت نفسه متطلبات اللوائح وتحسّن تجربة المصادقة لما يُقدَّر بـ 8.5 مليون شخص من ذوي الإعاقة في تركيا يستخدمون الخدمات الرقمية.