Login må ikke afhænge af en kognitiv test uden et alternativ

Kontrollen kører på konto- og kassesider, der viser et synligt, aktivt adgangskodefelt. Den vurderer hver formular med et sådant felt eller hele sidens body, når der ikke er nogen formular, så en CAPTCHA i en separat formular ikke tæller med.

En CAPTCHA genkendes på adressen på udbyderens frame, en data-sitekey-attribut eller »captcha« i et id, en class, en src eller en alt. En kognitiv test genkendes på et input, hvis etiket eller tekst i nærheden beder om en udregning eller om tegnene i et billede. Hver af dem rapporteres, når den er synlig, medmindre teksten i formularen eller i op til to omgivende containere nævner en lydmulighed, et loginlink eller en kode sendt på e-mail, en engangskode eller adgangsnøgler (passkeys). En usynlig CAPTCHA alene giver intet fund. Indholdet af en CAPTCHA-frame læses ikke, så kontrollen ikke ser de muligheder, der findes inde i widgetten.

Et adgangskodefelt rapporteres også, når det har autocomplete="off", på feltet selv eller arvet fra formularen, eller når et script annullerer en indsættelse, som kontrollen udfører som test.