66. Credenciais — senha e código de uso único

Por que os dois campos moram na MESMA seção — e o que foi descartado. C13 (senha com revelar) e C14 (campo de código/OTP) chegaram na fila como duas lacunas. Viraram uma seção porque são governados pela mesma norma e falham pelo mesmo mecanismo: o SC 3.3.8 Accessible Authentication (Minimum) da WCAG 2.2 proíbe teste de função cognitiva em qualquer etapa da autenticação — memorizar, transcrever, soletrar, calcular. Bloquear o colar, atrapalhar o gerenciador de senha e exigir transcrição são o mesmo defeito nos dois campos, e o conserto é o mesmo. Descartado: duas seções (§66 e §67). Separá-las duplicaria os contratos idênticos — colar, autocomplete, mensagem de erro — e cópia de contrato é a classe de problema que o tokens_bloco.py existe para impedir. Se um dia um dos dois ganhar contrato que o outro não pode ter, a separação nasce por supersede formal, não por conveniência.

66.0 Rodada zero — NÃO VISITADO, com o motivo dito#

E aqui a ausência de leitura visual custa pouco, e é preciso dizer por quê para não parecer conveniência: campo de credencial é o arquétipo do sistema em que a norma é mais densa e mais específica — o SC 3.3.8 chega ao ponto de dizer que colar tem de funcionar. Onde a norma decide, copiar o desenho do vizinho não acrescenta; mede-se contra a norma. É o oposto do §57 (quadro), em que a norma diz pouco e a leitura visual decidiu quase tudo.

66.1 RITO — três rodadas encadeadas#

66.2 Os contratos CD1–CD16#

66.3 Os números medidos#

A prova do CD10, medida em casa e não citada: colado o mesmo 482913 nos dois desenhos, com clipboard real e Ctrl+V —

66.4 O achado da BORDA — e a decisão, tomada depois de ler o gêmeo inteiro#

A guarda de contraste reprovou a borda do campo: --seed-border-default (#C8D6DF) sobre --seed-surface-raised (#FFFFFF) mede 1,49 no claro e 2,32 no escuro. Quando o fundo do campo é igual ao da superfície em volta — que é o caso —, a borda é o único indicador de onde se pode clicar, e o SC 1.4.11 cobra 3:1.

Medidos os quatro candidatos do gêmeo, nos dois temas, contra a superfície elevada:

E aí a leitura do gêmeo mudou a decisão que eu ia tomar. A primeira conclusão desta rodada foi "o §13 declara --seed-field-border (cinza-600, 4,74:1) e esse token não existe no seed-tokens.css; logo, promova-o ao gêmeo". Errado — e o próprio gêmeo diz por quê. O comentário da v1.12 do seed-tokens.css, escrito ao criar o --seed-border-interactive:

"fronteira de COMPONENTE INTERATIVO (SC 1.4.11, piso 3:1) — nenhum outro semântico de borda passava no claro (default 1.49, strong 2.53) … medido contra as seis superfícies 3.38/3.38/3.11/4.50/5.51/5.05, todos ≥3."

O sistema já tinha resolvido esta pergunta, com os mesmos números que eu remedi. Promover o --seed-field-border ao gêmeo criaria um segundo semântico para a mesma coisa — exatamente o drift que o tokens_bloco.py existe para impedir.

Decisão, com supersede formal: o --seed-border-interactive é o semântico canônico de fronteira de controle em todo o sistema. O --seed-field-border do §13 — declarado localmente dentro da banco-formfield.html, nunca no gêmeo — fica SUPERSEDIDO por ele.

E a decisão não é só de consistência: é melhor NOS DOIS TEMAS somados.

O token local é melhor no claro e pior no escuro; o do gêmeo é equilibrado e passa nos dois. Um par que se degrada na inversão é o defeito BT3 do §64 — e o token local se degrada.

Nada muda no gêmeo seed-tokens.css nesta rodada. §65, §66, §67 e §68 já consomem o --seed-border-interactive. O que sobra é migrar a banco-formfield.html do token local para o semântico do gêmeo — artefato estável, então entra por auditoria e não por edição solta (CD-P2).

66.4-b O contraexemplo estava fraco — o gate consertou, e o argumento ficou mais forte#

Apontamento do Rafael, verbatim: "eu tentei colar e não consegui, quando digito o cursor pula pro próximo campo, mas quando clico no backspace não consigo apagar cada campo, era pra ir voltando e apagando."

Ele está certo, e o erro era meu: a primeira versão das seis caixinhas só avançava o foco. Qualquer implementação séria de OTP em caixinhas escreve pelo menos três remendos — avançar ao digitar, voltar apagando no Backspace e navegar por setas. Comparar o campo único com uma versão capenga das caixinhas é espantalho, e argumento apoiado em espantalho cai na primeira vez que alguém implementa direito.

Corrigido: o contraexemplo agora tem os três remendos. E é aqui que o conserto fortalece a tese em vez de enfraquecê-la — porque o argumento verdadeiro nunca foi "caixinhas não funcionam", e sim quanto custa fazê-las funcionar:

Regra de método que sai daqui: contraexemplo tem de estar na MELHOR forma que o desenho concorrente consegue ter. Contraexemplo enfraquecido mede a nossa implementação dele, não a decisão que ele representa — e o placar verde vira autoengano.

A guarda CD10-c passa a medir isso: ela exercita os três remendos no contraexemplo e reprova se algum faltar. E foi provada capaz de reprovar antes de ser aceita: removidos os remendos, o placar vai a 26 · 1.

66.5 Dois defeitos de instrumento na mesma rodada#

Décimo sexto — o parser de cor não entendia HEXADECIMAL (nasceu no §65 e vale para toda guarda do projeto; o registro completo está em 65.4). Resumo: getComputedStyle devolve rgb(), mas o valor de um token lido por getPropertyValue volta como está escrito no gêmeo (#242E34). O regex de dígitos casava só o final e a razão saiu 232,67 — fisicamente impossível — com a guarda emitindo PASS. Regra nova: número fora da faixa [1,00 … 21,00] é MEDIDOR QUEBRADO, não veredito.

Décimo sétimo — a guarda leu a DOCUMENTAÇÃO do contrato como se fosse o contrato violado. A primeira forma do CD16 varria o innerText do <body> inteiro procurando “1º, 3º e 5º caractere”. Ela achou — dentro da própria tabela de contratos da bancada, onde o CD16 cita a frase proibida entre aspas para explicar o que proíbe. O artefato foi reprovado por explicar a si mesmo.

Regra nova: guarda mede o CONTROLE, nunca o texto que descreve o controle. O escopo passou a ser rótulos, legendas, dicas e placeholder dos campos. Mesma família dos defeitos de recorte (8º e 14º): escopo errado inventa achado ou esconde achado — aqui, inventou.

E a guarda foi provada capaz de reprovar antes de ser aceita: injetada a frase proibida num rótulo real, o placar vai a 25 · 1. Guarda que nunca falha não é guarda.

66.6 A bancada e a suíte#

banco-credencial.html v0.1, gerada por validacao/gen-banco-credencial.py sobre validacao/banco-credencial-template.html. Barra fixa e seletor de largura desde a v0.1 (BT1/BT2). Nada nesta bancada envia nada a lugar nenhum, e o selo diz isso.

suite-credencial.mjs — 27 PASS · 0 FAIL · 1 medida. É a primeira suíte do projeto que usa a área de transferência: o contexto do navegador é aberto com permissão de clipboard, o código é escrito nele e colado com Ctrl+V. Colar não se prova lendo atributo.

66.7 Pendências#