WCAG 2.2 (Web Content Accessibility Guidelines 2.2) to międzynarodowy standard dostępności treści internetowych, opublikowany przez W3C we wrześniu 2023 roku. Jego zakres obejmuje:
- Cel: zapewnienie, by strony internetowe, aplikacje i treści cyfrowe były dostępne dla jak najszerszego grona użytkowników, w tym osób z różnymi niepełnosprawnościami (wzrokowymi, słuchowymi, ruchowymi, poznawczymi)
- Podstawa: WCAG 2.2 jest rozszerzeniem WCAG 2.0 i 2.1 – zachowuje te same cztery zasady (Postrzegalność, Funkcjonalność, Zrozumiałość, Solidność).
- Nowe kryteria wprowadzone w 2.2 (9 nowych):
- 2.4.11 Focus Not Obscured (Minimum) – poziom AA
- 2.4.12 Focus Not Obscured (Enhanced) – poziom AAA
- 2.4.13 Focus Appearance – poziom AA
- 2.5.7 Dragging Movements – poziom AA
- 2.5.8 Target Size (Minimum) – poziom AA
- 3.2.6 Consistent Help – poziom A
- 3.3.7 Redundant Entry – poziom A
- 3.3.8 Accessible Authentication (Minimum) – poziom AA
- 3.3.9 Accessible Authentication (Enhanced) – poziom AAA
-
Poziomy zgodności: A, AA, AAA – tak jak w poprzednich wersjach.
Zakres WCAG 2.2 to wszystkie treści cyfrowe (serwisy www, aplikacje mobilne i webowe, dokumenty elektroniczne), które powinny być dostępne dla osób z różnymi ograniczeniami – z uwzględnieniem nowych wymagań związanych m.in. z nawigacją klawiaturą, widocznością fokusa, rozmiarem elementów interaktywnych, powtarzaniem danych czy uwierzytelnianiem bez CAPTCHA.
Audyt stron internetowych w oparciu o OWASP (Open Web Application Security Project) polega na sprawdzeniu aplikacji webowej pod kątem najczęstszych i najgroźniejszych podatności bezpieczeństwa opisanych w OWASP Top 10 oraz innych dobrych praktykach organizacji.
Zakres audytu najczęściej obejmuje OWASP Top 10:
- A01:2021 – Naruszona kontrola dostępu – sprawdzenie, czy użytkownicy nie mogą uzyskać dostępu do danych lub funkcji bez odpowiednich uprawnień.
- A02:2021 – Błędy kryptograficzne – analiza użycia HTTPS/TLS, przechowywania haseł, szyfrowania danych wrażliwych.
- A03:2021 – Wstrzyknięcia – podatność na SQL Injection, Command Injection, LDAP Injection itd.
- A04:2021 – Niezabezpieczony projekt – czy architektura aplikacji przewiduje mechanizmy bezpieczeństwa, czy tylko „łatane” są dziury.
- A05:2021 – Błędna konfiguracja zabezpieczeń – test konfiguracji serwera, nagłówków HTTP (CSP, HSTS), wersjonowania oprogramowania.
- A06:2021 – Podatne i nieaktualne komponenty – weryfikacja bibliotek, frameworków, wersji systemów.
- A07:2021 – Błędy w uwierzytelnianiu i identyfikacji – test logowania, zarządzania sesją, MFA.
- A08:2021 – Błędy integralności danych i oprogramowania – sprawdzenie, czy aplikacja nie pobiera niezaufanych pakietów i aktualizacji.
- A09:2021 – Błędy logowania i monitorowania – test czy system poprawnie loguje i reaguje na incydenty.
- A10:2021 – SSRF – podatność na wykonywanie zapytań serwera do zewnętrznych adresów w imieniu atakującego.