Die Anmeldung darf nicht ohne Alternative von einem kognitiven Test abhängen

Die Prüfung läuft auf Kundenkonto- und Checkout-Seiten, die ein sichtbares, aktiviertes Passwortfeld zeigen. Sie bewertet jedes Formular, das ein solches Feld enthält, oder den gesamten Body der Seite, wenn es kein Formular gibt. Ein CAPTCHA in einem separaten Formular zählt deshalb nicht.

Ein CAPTCHA erkennt die Prüfung an der Frame-Adresse seines Anbieters, an einem Attribut data-sitekey oder an „captcha“ in id, class, src oder alt. Einen kognitiven Test erkennt sie an einem Eingabefeld, dessen Beschriftung oder umgebender Text eine Rechenaufgabe stellt oder nach den Zeichen in einem Bild fragt. Ist eines von beiden sichtbar, wird es gemeldet, es sei denn, der Text des Formulars oder von bis zu zwei umgebenden Containern erwähnt eine Audio-Option, einen Anmeldelink oder Code per E-Mail, einen Einmalcode oder Passkeys. Ein unsichtbares CAPTCHA allein ergibt keinen Befund. Den Inhalt eines CAPTCHA-Frames liest die Prüfung nicht. Optionen innerhalb des Widgets sieht sie deshalb nicht.

Ein Passwortfeld wird außerdem gemeldet, wenn es autocomplete="off" trägt, am Feld selbst oder von seinem Formular geerbt, oder wenn ein Skript ein testweise ausgelöstes Einfügeereignis abbricht.