La connexion ne doit pas dépendre d’un test cognitif sans alternative

Le contrôle s’exécute sur les pages de compte et du tunnel de commande qui affichent un champ de mot de passe visible et activé. Il évalue chaque formulaire contenant un tel champ, ou l’ensemble du corps de la page quand il n’y a pas de formulaire ; un CAPTCHA placé dans un formulaire distinct ne compte donc pas.

Un CAPTCHA est reconnu à l’adresse du cadre de son fournisseur, à un attribut data-sitekey ou à la présence de « captcha » dans un id, une class, un src ou un alt ; un test cognitif, à un champ dont l’étiquette ou le texte voisin demande un calcul ou les caractères d’une image. L’un comme l’autre, s’il est visible, est signalé, sauf si le texte du formulaire, ou de deux conteneurs environnants au plus, mentionne une option audio, un lien ou un code de connexion envoyé par e-mail, un code à usage unique ou des clés d’accès (passkeys). Un CAPTCHA invisible, à lui seul, ne produit aucun constat. Le contenu du cadre d’un CAPTCHA n’est pas lu : le contrôle ne voit donc pas les options proposées dans le widget.

Un champ de mot de passe est aussi signalé quand il a autocomplete="off", posé sur le champ ou hérité de son formulaire, ou quand un script annule un événement de collage simulé par le contrôle.