Descripció de la imatge: Rètol de "Fitxa informativa superposada" emmarcat amb cinta de precaució que indica avisos sobre les eines de superposició d'accessibilitat.
La fitxa tècnica superposada, verificada: la nostra evidència tècnica per a cada afirmació
La fitxa tècnica superposada, verificada: la nostra evidència tècnica per a cada afirmació
La comunitat d'accessibilitat ha advertit sobre les eines de superposició durant anys. Vam interceptar el trànsit de producció de quatre superposicions i vam assignar les nostres troballes a cada afirmació de la fitxa informativa de la superposició, proporcionant l'evidència tècnica darrere de cada avís.
Què és la fitxa tècnica superposada?
La Fitxa informativa de la superposició és una declaració impulsada per la comunitat i signada per més de 600 professionals de l'accessibilitat, incloent-hi col·laboradors i editors de les especificacions WCAG, ARIA i HTML, i experts interns en accessibilitat d'empreses com Google, Microsoft, Apple, Shopify, eBay i Target. Fa diverses afirmacions específiques sobre les limitacions i els riscos de les eines de superposició d'accessibilitat.
La nostra investigació (924 sol·licituds HTTP interceptades amb 579 cossos de resposta complets en 14 llocs de comerç electrònic en directe, a més d'instantànies DOM desades amb modificacions superposades integrades) proporciona la primera base d'evidència tècnica a gran escala per verificar cada afirmació amb dades de producció reals. Això és el que hem trobat.
Afirmació 1: «Les superposicions no reparen el codi subjacent»
La fitxa informativa de la superposició indica que les superposicions permeten "modificacions temporals a la interfície d'usuari" en lloc de corregir permanentment el codi font.
Cada capa superposada que hem analitzat opera exclusivament a la capa DOM: modifica els elements després que es carregui la pàgina, no canvia el codi font HTML subjacent. Ho hem confirmat mitjançant quatre mecanismes diferents:
Superposició A carrega fitxers de correcció de JavaScript per lloc que contenen 1.023 defineFix regles que utilitzen setAttribute, attr(), i hideFromAT() per modificar els elements DOM en temps d'execució. Si l'script de superposició s'elimina o no es carrega, totes les correccions desapareixen a l'instant: el codi subjacent no canvia.
La superposició B descarrega un fitxer JSON de correcció d'1,17 MB i aplica correccions a través d'un motor de correcció separat. Les correccions estan vinculades a URL d'imatges específiques: quan es treu la superposició, les 5.068 entrades de text alternatiu desapareixen. Les imatges tornen a no tenir cap text alternatiu.
Superposició C envia un paquet monolític de 794 KB que modifica el DOM mitjançant 227 setAttribute trucades, 82 modificacions de rol i 128 aria-label injeccions. Cap d'aquestes no toca l'HTML del servidor.
Superposició D aplica noms accessibles basats en la configuració mitjançant un motor de 649 KB amb 216 setAttribute trucades. Les correccions només existeixen mentre el motor funciona.
L'eina de monitorització, en canvi, no soluciona gens els problemes: informa dels problemes a un tauler de control per a desenvolupadors. Els desenvolupadors els solucionen al codi font, on les correccions són permanents, es proven i es despleguen a través de les pipelines normals de CI/CD.
Què passa quan la CDN superposada deixa de funcionar?
La fitxa tècnica implica que les correccions de la superposició són temporals. Podem quantificar exactament com de temporals són: si la CDN que serveix el JavaScript de la superposició es desconnecta, totes les correccions desapareixen a l'instant. Les nostres dades mostren la cadena de dependències:
Superposició A: El per lloc active.js (fins a 238 KB) es carrega des d'una única CDN. Si aquesta CDN no és accessible ni que sigui durant 30 segons, cada càrrega de pàgina durant aquesta finestra no rep cap correcció d'accessibilitat. Les 1.023 regles de correcció, les 35 trampes de focus modals i totes les etiquetes ARIA injectades simplement desapareixen.
Superposició B: El motor de correcció depèn de tres dominis externs: una CDN per a scripts, una API per a ajustaments i configuracions, i una CDN independent per a l'API de text alternatiu d'IA. Si algun d'aquests tres falla, es trenquen diferents parts del pipeline de correcció, cosa que pot deixar el DOM en un estat parcialment mutat on algunes correccions s'aplicaven però d'altres no.
Superposició C: Tota la superposició és un únic paquet de 794 KB d'un domini. Aturada de la CDN = desaparició completa del widget. Però com que el MutationObserver de la superposició estava observant el DOM i modificant elements, una càrrega parcial de pàgina on l'observador s'ha inicialitzat però la lògica de correcció no s'ha completat podria deixar el DOM en un estat inconsistent.
L'eina de monitorització no té cap dependència de la CDN per a l'accessibilitat. Si la seva CDN deixa de funcionar, l'únic efecte és que les mètriques de visites a la pàgina deixen de registrar-se. L'accessibilitat del lloc no es veu afectada perquè totes les correccions es troben al codi font; no depenen de la càrrega de cap script de tercers.
Reclamació 2: «No es pot aconseguir el compliment total amb una superposició»
La fitxa tècnica indica que "la incapacitat documentada d'aquests productes per reparar tots els problemes possibles significa que no poden fer que un lloc web compleixi la normativa".
Vam assignar 776 de les regles de correcció de la Superposició A a criteris d'èxit específics de les WCAG. El 26% (203 regles) introdueixen noves infraccions de les WCAG mentre intenten corregir les existents, incloses hideFromAT() trucades que creen cinc errors simultanis de nivell A per instància.
Errors de compliment específics que hem documentat:
WCAG 1.1.1 (Contingut no textual): La superposició B genera text alternatiu d'IA que no supera la prova de "propòsit equivalent": un logotip d'empresa descrit com a "un signe blau i groc", una icona de navegació descrita com a "un simple rectangle negre". 241 entrades tenien menys de 15 caràcters. 323 superaven els 125 caràcters.
WCAG 2.1.1 (Teclat): La capa A amaga els elements interactius de l'arbre d'accessibilitat, fent-los inaccessibles amb el teclat. Els botons de pagament, els controls del carretó i els enllaços dels resultats de la cerca estan ocults per hideFromAT() no pot rebre el focus ni es pot operar mitjançant el teclat.
WCAG 4.1.2 (Nom, Rol, Valor): Injeccions de la superposició A aria-label="true" en 7 elements de 3 llocs web: un error de codi on el nom accessible és la cadena sense sentit "true". També s'aplica la superposició A. role="presentation" fins a 115 elements, eliminant el significat semàntic de taules, encapçalaments i punts de referència.
WCAG 1.3.1 (Informació i relacions): Quan role="presentation" s'aplica a una taula de dades, els lectors de pantalla ja no poden navegar per files i columnes. L'estructura de la taula desapareix de l'arbre d'accessibilitat.
Hem assignat 776 de les regles de correcció de la superposició A a criteris d'èxit específics de les WCAG. El desglossament revela la paradoxa del compliment de la superposició:
| Criteri WCAG | Total de correccions | Genuí | Nociu | Efecte net |
|---|---|---|---|---|
| 4.1.2 Nom, Rol, Valor | 292 | 260 | 32 | Mixt: els errors perjudiquen les correccions genuïnes |
| 2.4.4 Finalitat de l'enllaç | 158 | 108 | 50 | 45 enllaços ocults = propòsit destruït |
| 1.1.1 Contingut no textual | 108 | 28 | 80 | Net negatiu: més perjudici que ajuda |
| 1.3.1 Informació i relacions | 109 | 92 | 17 | Molt útil, però la desqualificació de rols perjudica l'estructura. |
| 2.1.1 Teclat | 36 | 22 | 14 | Els elements ocults esdevenen inaccessibles amb el teclat |
| Altres (6 criteris) | 73 | 69 | 4 | Generalment positiu |
| Total | 776 | 579 (75%) | 197 (25%) |
La fila més alarmant és la WCAG 1.1.1 (Contingut no textual): de 108 regles de correcció dirigides a aquest criteri, 80 són nocius – 52 amaguen imatges d'AT completament a través de hideFromAT(), i 28 marquen les imatges de contingut com a decoratives mitjançant alt=""La superposició crea contingut no textual. menys accessible, no més. Això és exactament el contrari del que requereix la WCAG 1.1.1.
La Comissió Federal de Comerç dels Estats Units va confirmar aquesta troballa quan va multar un proveïdor de superposicions amb 1 milió de dòlars l'abril de 2025, afirmant que l'eina "no ha aconseguit que els components bàsics i essencials del lloc web, com ara menús, encapçalaments, taules, imatges, enregistraments i més, compleixin amb les WCAG".
Afirmació 3: «Les superposicions poden crear noves barreres d'accessibilitat»
La fitxa informativa adverteix que els productes de superposició poden "interposar-se activament en el camí de les persones amb discapacitat".
Vam documentar 141 elements ocults als lectors de pantalla mitjançant hideFromAT(), 115 rols semàntics eliminats mitjançant role="presentation", 63 imatges marcades silenciosament com a decoratives via alt="", i 7 elements sense sentit aria-label="true".
Els exemples més perjudicials es produeixen en els fluxos de pagament i de carretó de la compra:
En una botiga de luxe, els botons d'Amazon Pay, Shop Pay i Klarna estan ocults a la tecnologia assistiva. Un usuari cec a la caixa veu menys opcions de pagament que un usuari vident. Les entrades de quantitat de la cistella i els botons d'actualització estan ocults en una botiga de moda: un usuari cec no pot ajustar la seva comanda.
Els enllaços als resultats de la cerca de productes estan ocults en dos llocs web: el descobriment de productes per part dels usuaris cecs es veu afectat. Les qualificacions per estrelles estan ocultes: els usuaris cecs no poden avaluar la qualitat del producte de la mateixa manera que els usuaris vidents.
L'òrgan de control federal d'Alemanya (BFIT-Bund) va confirmar aquest patró en la seva avaluació conjunta oficial: "Sovint passa que l'ús d'aquestes eines crea barreres addicionals al lloc web que no haurien existit sense l'eina".
Afirmació 4: «Els usuaris ja tindran les eines que necessiten»
La fitxa informativa argumenta que "els usuaris finals als quals aquestes funcions afirmen servir ja tindran les funcions necessàries al seu ordinador".
La superposició C adjunta un MutationObserver a tot el document i intercepta 47 esdeveniments de teclat. Això crea conflictes directes amb lectors de pantalla, eines de navegació de teclat i extensions del navegador que ja utilitzen els usuaris amb discapacitat.
Quan un usuari de lector de pantalla ha configurat les seves dreceres de teclat i preferències de navegació, una superposició que intercepta keydown, keyup, i keypress els esdeveniments poden anul·lar aquestes preferències. Les 47 referències d'esdeveniments de teclat d'Overlay C en el seu paquet de 794 KB representen una superfície d'intercepció de teclat substancial. El motor d'Overlay D conté 282 addEventListener registres, qualsevol dels quals podria entrar en conflicte amb els gestors d'esdeveniments de tecnologia assistiva.
Afirmació 5: El "valor pràctic dels widgets superposats està en gran part exagerat"
La fitxa tècnica indica que les funcions dels widgets, com ara els controls de contrast i mida del text, ofereixen un valor limitat perquè els usuaris ja tenen equivalents a nivell de sistema.
Les superposicions que hem analitzat imposen entre 4 i 84 segons de temps de xarxa acumulat per sessió, descarreguen entre 500 KB i 2,9 MB de JavaScript per pàgina i, en un cas, activen 83 sol·licituds de verificació CORS que consumeixen 38,8 segons de malbaratament de protocol pur, tot per oferir funcions que els sistemes operatius, els navegadors i les tecnologies d'assistència ja proporcionen de forma nativa.
La pitjor pàgina de la superposició B va generar 48 sol·licituds que van consumir 12,8 segons de temps de xarxa. Per contextualitzar-ho, el llindar de Core Web Vitals de Google per a la pintura de contingut més gran "deficient" és de 2,5 segons. La superposició per si sola va superar aquest pressupost per 5 vegades.
La superposició A va dedicar el 75% dels seus 33,9 segons de temps de xarxa a l'anàlisi del comportament: 58 POST de seguiment fins al seu propi punt final. Les sol·licituds CDN relacionades amb l'accessibilitat només van consumir el 25% del temps total. La major part del cost de rendiment és la recopilació de dades del proveïdor, no la millora de l'accessibilitat.
Afirmació 6: «Els propietaris de llocs web haurien d'utilitzar estratègies més robustes, independents i permanents»
La fitxa informativa defensa "l'eliminació de la superposició d'accessibilitat web" en favor d'estratègies d'accessibilitat permanents.
L'eina de monitorització del nostre estudi representa exactament aquest enfocament: escaneja amb axe-core, informa de problemes amb ID de regles estandarditzades i nivells de gravetat, i permet que els desenvolupadors els solucionin al codi font. Zero modificació del DOM, zero seguiment d'usuaris, zero risc de trencament de lloc, zero conflictes PCI DSS. Els resultats de l'escaneig que vam capturar van mostrar puntuacions que oscil·laven entre 53,1 i 100, amb detalls específics de violació (contrast de color, ordre d'encapçalament, etiqueta, punt de referència únic) sobre els quals els desenvolupadors poden actuar immediatament.
La divisió fonamental que revelen les nostres dades és arquitectònica: les superposicions mantenen un conjunt paral·lel de definicions de correccions que reflecteixen l'estructura DOM del lloc i es tornen obsoletes a cada desplegament. Una eina de monitorització escaneja qualsevol DOM existent en el moment de l'escaneig, informa del que troba i comença de nou en el següent escaneig. No hi ha deute tècnic acumulat, ni selectors obsolets, ni entrades de text alternatiu orfes, ni possibilitat d'aplicar la correcció incorrecta a l'element incorrecte.
Més enllà de la fitxa tècnica: què aporten les nostres dades
La nostra investigació ha descobert troballes que van més enllà de l'abast de la fitxa informativa de la superposició:
Conflicte amb PCI DSS 4.0: Les regles de correcció de superposició s'orienten activament als elements de la pàgina de pagament: hem documentat selectors per a #cardNumber, #billingState, botons de pagament i formularis de pagament. Segons el requisit 6.4.3 de la PCI DSS (obligatori des del març del 2025), cada script de pàgina de pagament requereix una autorització documentada i una verificació de la integritat. Les superposicions no compleixen aquest requisit. En un grup de productes de luxe, es comparteixen selectors d'orientació de pagament idèntics entre dos llocs de marca (superposició del 96% de la base de codi), cosa que duplica el radi de ràdio de qualsevol compromís de la cadena de subministrament.
Taxes de mostreig d'escaneig tan baixes com l'1,7%: Vam descobrir que les dades POST d'analítica d'una superposició contenen un samplingRate El camp que només mostra entre l'1,7 i el 4,5% de les sessions activa una anàlisi de compliment. El 95-98% restant reben correccions de DOM sense cap verificació.
Infraccions del RGPD: Tres superposicions envien identificadors d'usuari, dades d'empremtes digitals del dispositiu i anàlisis de comportament abans que es pugui activar qualsevol mecanisme de consentiment; això constitueix un incompliment automàtic segons la sentència Planet49 del TJUE. Una superposició envia un UUID persistent idèntic en totes les càrregues de pàgina, cosa que permet perfils de navegació complets entre pàgines.
Rebuig normatiu alemany: el BFIT-Bund (l'organisme federal de supervisió d'Alemanya) va rebutjar oficialment les superposicions per a les proves de compliment, i els organismes de proves BIK es neguen a emetre segells de compliment a llocs web que utilitzen superposicions. Segons la BFSG (transposició de l'EAA) d'Alemanya, les multes oscil·len entre els 10.000 i els 100.000 € per infracció.
Injecció d'etiquetes de formulari en temps d'execució que empitjora els formularis: El motor de remediació d'una superposició (110 KB) executa 24 regles de mutació DOM en temps d'execució, inclòs un controlador EmptyControls que intenta etiquetar els camps de formulari sense etiquetar. En un formulari de contacte en directe amb set camps, el motor va injectar aria-label valors derivats de l'HTML name atribut en lloc de les etiquetes visibles, cosa que fa que dos camps comparteixin l'etiqueta idèntica «Nom» (de name="first-name" i name="last-name"), tres camps etiquetats amb tipus d'elements genèrics ("Camp de text", "Selecció única", "Àrea de text") i dos que utilitzen descripcions de tipus de validació en lloc de l'etiqueta visible real. La instantània del DOM desada confirma que cada element modificat porta el marcador d'atributs de dades específic del proveïdor de la superposició. L'HTML original tenia etiquetes visibles correctes ("Nom", "Nom de l'empresa", etc.), però els faltava for atributs: una solució senzilla al codi font que el motor d'execució de la capa superior no aconseguia replicar correctament.
JSON de correcció contaminat amb contingut de domini estranger: El JSON de correcció preconstruït d'una capa superior per a un lloc web bancari contenia 7 entrades de text alternatiu, de les quals només 1 era realment del domini propi del banc (amb un text alternatiu d'un sol espai). Les 6 entrades restants descrivien imatges de dominis completament no relacionats: una eina de prova d'accessibilitat polonesa (icones de marcadors ANDI), una API de comparació de preus xinesa (icones de widget de xat), una xarxa de publicitat teaser russa (creativitat publicitària) i la CDN del navegador de Xiaomi (IU de sol·licitud de traducció). L'escàner de la capa superior les havia capturat durant una sessió anterior on la persona que navegava tenia extensions de navegador de tercers i injeccions d'anuncis actives, i havia emmagatzemat permanentment les descripcions generades per IA al fitxer de correcció del banc, descarregat per tots els visitants de cada pàgina. El JSON és accessible públicament a la CDN de la capa superior sense autenticació.
Els avisos de la fitxa informativa, escrits per professionals de l'accessibilitat basant-se en la seva experiència, ara estan corroborats per dades de producció interceptades de 14 llocs de comerç electrònic en directe. Totes les afirmacions importants es mantenen, i la realitat, en diverses àrees, és pitjor del que descriu la fitxa informativa.
Afirmació 7: «Les superposicions soscaven els esforços legítims d'accessibilitat»
La documentació de les afirmacions falses sobreposades adverteix que les superposicions creen una "narrativa falsa que l'accessibilitat està resolta" i són "antitètiques als fonaments de l'ADA".
Una sola superposició només escaneja entre l'1,7 i el 4,5% de les sessions dels visitants. Els operadors del lloc web reben mètriques de compliment basades en aquesta mostra reduïda, cosa que crea una falsa sensació de compliment, mentre que entre el 95 i el 98% de les sessions no es verifiquen mai. Quan una implementació incompleix les regles de correcció, la baixa taxa de mostreig significa que la regressió pot passar desapercebuda durant dies, durant els quals l'operador del lloc web creu que compleix.
El problema més profund és que les superposicions canvien el model mental de "necessitem crear productes accessibles" a "hem instal·lat un widget que gestioni l'accessibilitat". Les nostres dades mostren com es veu això a la pràctica: un minorista de bosses de mà de disseny té 383 regles de correcció a la seva superposició, però l'HTML subjacent encara té tots els problemes d'accessibilitat originals. Si la CDN del proveïdor de la superposició cau durant 30 minuts, totes les barreres tornen a l'instant. El lloc web mai es va solucionar realment.
Reclamació 8: Preocupacions sobre la privadesa i el seguiment
Tot i que no és un dels principals objectius de la fitxa informativa sobre la superposició, els defensors de la discapacitat han plantejat preocupacions sobre la privadesa, ja que assenyalen que les superposicions poden detectar l'ús de tecnologia assistiva.
Les nostres dades interceptades revelen un seguiment que va molt més enllà de la detecció d'AT.
Superposició A: 58 sol·licituds POST d'anàlisi per sessió al seu propi punt final, cadascuna amb un ID de sessió (sid), URL de pàgina completa (pg), ID de càrrega de la pàgina (plid), categoria de dispositiu i tipus d'esdeveniment. El 75% del temps total de xarxa es dedica a aquestes trucades de seguiment.
Superposició B: Un UUID persistent (uid) enviat a cada POST d'afinació: el mateix identificador a totes les pàgines de la sessió, cosa que permet al proveïdor crear un perfil de navegació complet. L'UUID és el mateix; hem observat que no ha canviat a les cinc pàgines d'un lloc web de telecomunicacions.
Superposició C: USER-BEHAVIOR-ANALYTICS Dades POST que inclouen el domini, la versió del widget i els esdeveniments d'interacció. Empremta digital del dispositiu mitjançant navigator.userAgent, navigator.userAgentData, i navigator.maxTouchPointsTres localStorage l'estat persisteix de les claus entre sessions.
Tots tres activen el seguiment en carregar la pàgina, abans que es pugui activar qualsevol mecanisme de consentiment. Segons la sentència Planet49 del TJUE, el seguiment no essencial requereix un consentiment previ. Aquestes superposicions no compleixen automàticament el RGPD a tots els llocs web orientats a la UE.
Reclamació 9: «Les superposicions comporten un risc legal»
La fitxa tècnica assenyala que les superposicions no poden "eliminar el risc legal" malgrat les afirmacions del proveïdor.
El 2024, més de 1.023 empreses que utilitzaven widgets d'accessibilitat van ser demandades per infraccions de l'ADA, el 25% de totes les demandes d'accessibilitat digital aquell any. Només el febrer del 2025, 132 empreses que utilitzaven superposicions van ser demandades. La FTC va multar un proveïdor amb 1 milió de dòlars. Els organismes reguladors d'Alemanya han rebutjat explícitament les superposicions per al compliment de les normes. El risc legal no és hipotètic: està documentat, quantificat i creixent.
La nostra base de dades de casos judicials (8.541 expedients de casos de l'ADA) conté litigis directes que impliquen venedors superposats: tres casos de patents/secrets comercials entre dos venedors (2020-2022), una demanda col·lectiva d'un client contra un venedor (2024) i una demanda activa contra un altre venedor per part d'una petita empresa que va ser demandada tot i utilitzar la superposició (2024, moció de sobreseïment denegada pel magistrat el 2026).
L'eina de monitorització no té cap historial de litigis relacionats amb errors d'accessibilitat, una conseqüència lògica: com que no modifica el DOM, no pot introduir les barreres que desencadenen demandes.
La bretxa de proves ara s'ha tancat
Durant anys, la fitxa informativa de la superposició i els avisos de la comunitat d'accessibilitat sobre les superposicions es basaven en l'experiència professional, informes d'usuaris i proves manuals. Els crítics podien qualificar-les d'anecdòtiques o esbiaixades. La nostra investigació tanca aquesta bretxa proporcionant la primera base d'evidència tècnica a gran escala: dades de producció interceptades de 924 sol·licituds de xarxa, 579 fitxers font extrets de 14 llocs de comerç electrònic en directe durant tres sessions de captura independents, complementades per instantànies DOM desades que conserven les modificacions exactes en temps d'execució que les superposicions injecten a les pàgines de producció.
Totes les afirmacions importants de la fitxa informativa superposada estan avalades per les nostres dades. Diverses afirmacions estan subestimades en relació amb el que hem trobat. I les àrees que la fitxa informativa no cobreix (conflictes PCI DSS, taxes de mostreig d'escaneig, seguiment previ al consentiment del RGPD, rebuig normatiu alemany) representen dimensions de risc addicionals que la comunitat d'accessibilitat va identificar a través de l'experiència però que no podia quantificar prèviament.
L'evidència és al codi. El codi és al trànsit interceptat. El trànsit prové de llocs de producció que donen servei a clients reals. Les conclusions parlen per si soles.