El inicio de sesión no debe depender de una prueba cognitiva sin alternativa

La comprobación se ejecuta en las páginas de la cuenta y del proceso de pago que muestran un campo de contraseña visible y activo. Evalúa cada formulario que contiene un campo así, o todo el cuerpo de la página cuando no hay formulario, de modo que un CAPTCHA en un formulario aparte no cuenta.

Un CAPTCHA se reconoce por la dirección del marco de su proveedor, por un atributo data-sitekey o por «captcha» en un id, class, src o alt; una prueba cognitiva, por un campo cuya etiqueta o texto cercano pide un cálculo o los caracteres de una imagen. Cualquiera de los dos, cuando es visible, se notifica a menos que el texto del formulario, o el de hasta dos contenedores que lo rodean, mencione una opción de audio, un enlace o código de acceso enviado por correo electrónico, un código de un solo uso o las llaves de acceso (passkeys). Un CAPTCHA invisible por sí solo no produce ningún hallazgo. El contenido del marco de un CAPTCHA no se lee, así que la comprobación no ve las opciones que haya dentro del widget.

Un campo de contraseña también se notifica cuando tiene autocomplete="off", en el propio campo o heredado de su formulario, o cuando un script cancela un evento de pegado de prueba.