Descripción de la imagen: Cartel con el texto «Ficha informativa sobre superposiciones», enmarcado con cinta de precaución, que contiene advertencias sobre las herramientas de superposición de accesibilidad.
Ficha informativa sobre la superposición, verificada: nuestras pruebas técnicas para cada afirmación
Ficha informativa sobre la superposición, verificada: nuestras pruebas técnicas para cada afirmación
La comunidad dedicada a la accesibilidad lleva años advirtiendo sobre las herramientas de superposición. Hemos interceptado el tráfico de producción de cuatro superposiciones y hemos relacionado nuestros hallazgos con cada una de las afirmaciones recogidas en la ficha informativa sobre superposiciones, aportando así las pruebas técnicas que respaldan cada advertencia.
¿Qué es la ficha informativa sobre superposiciones?
La «Overlay Fact Sheet» es una declaración impulsada por la comunidad y firmada por más de 600 profesionales de la accesibilidad, entre los que se incluyen colaboradores y editores de las especificaciones WCAG, ARIA y HTML, así como expertos internos en accesibilidad de empresas como Google, Microsoft, Apple, Shopify, eBay y Target. En ella se exponen varias afirmaciones concretas sobre las limitaciones y los riesgos de las herramientas de superposición de accesibilidad.
Nuestra investigación —924 solicitudes HTTP interceptadas con 579 cuerpos de respuesta completos en 14 sitios web de comercio electrónico activos, además de instantáneas del DOM guardadas con modificaciones de superposición integradas— ofrece la primera base de pruebas técnicas a gran escala para contrastar cada afirmación con datos reales de producción. Esto es lo que hemos descubierto.
Afirmación 1: «Las superposiciones no corrigen el código subyacente»
La ficha técnica sobre superposiciones indica que estas permiten «modificaciones temporales de la interfaz de usuario», en lugar de modificar de forma permanente el código fuente.
Todas las superposiciones que hemos analizado funcionan exclusivamente en la capa DOM, modificando los elementos una vez que se ha cargado la página, sin alterar el código HTML subyacente. Lo hemos comprobado mediante cuatro mecanismos distintos:
Superposición A carga archivos de corrección de JavaScript por sitio que contienen 1.023 defineFix reglas que utilizan setAttribute, attr(), y hideFromAT() para modificar elementos del DOM en tiempo de ejecución. Si se elimina el script de superposición o no se carga, todas las correcciones desaparecen al instante; el código subyacente permanece inalterado.
Overlay B descarga un archivo JSON de corrección de 1,17 MB y aplica las correcciones mediante un motor de corrección independiente. Las correcciones están vinculadas a direcciones URL de imágenes específicas; cuando se elimina la superposición, desaparecen las 5.068 entradas de texto alternativo. Las imágenes vuelven a quedarse sin ningún texto alternativo.
Superposición C incluye un paquete monolítico de 794 KB que modifica el DOM a través de 227 setAttribute llamadas, 82 modificaciones de roles y 128 aria-label inyecciones. Ninguna de ellas afecta al código HTML del lado del servidor.
Superposición D aplica nombres accesibles basados en la configuración mediante un motor de 649 KB con 216 setAttribute llamadas. Las correcciones solo están activas mientras el motor está en marcha.
La herramienta de supervisión, por el contrario, no soluciona nada: se limita a notificar los problemas a un panel de control para desarrolladores. Los desarrolladores los corrigen en el código fuente, donde las correcciones son permanentes, se prueban y se implementan a través de los procesos habituales de CI/CD.
¿Qué ocurre si el CDN superpuesto deja de funcionar?
La ficha técnica da a entender que las correcciones de la superposición son temporales. Podemos cuantificar exactamente hasta qué punto son temporales: si la CDN que aloja el JavaScript de la superposición deja de estar disponible, todas las correcciones desaparecen al instante. Nuestros datos muestran la cadena de dependencias:
Superposición A: Por sitio active.js (hasta 238 KB) se carga desde un único CDN. Si ese CDN queda inaccesible aunque sea durante 30 segundos, ninguna de las páginas que se carguen durante ese intervalo recibirá correcciones de accesibilidad. Las 1.023 reglas de corrección, las 35 trampas de enfoque modal y todas las etiquetas ARIA inyectadas simplemente desaparecen.
Superposición B: El motor de corrección depende de tres dominios externos: una CDN para scripts, una API para ajustes y configuraciones, y una CDN independiente para la API de texto alternativo de IA. Si alguno de estos tres elementos deja de funcionar, se interrumpen diferentes partes del proceso de corrección, lo que podría dejar el DOM en un estado parcialmente alterado en el que algunas correcciones se han aplicado, pero otras no.
Superposición C: Toda la superposición es un único paquete de 794 KB procedente de un solo dominio. Una interrupción del CDN provocaría la desaparición total del widget. Sin embargo, dado que el MutationObserver de la superposición supervisaba el DOM y modificaba elementos, una carga parcial de la página en la que se inicializara el observador pero no se completara la lógica de corrección podría dejar el DOM en un estado incoherente.
La herramienta de monitorización no depende en absoluto de una CDN para su accesibilidad. Si la CDN deja de funcionar, el único efecto es que dejan de registrarse las métricas de visitas a la página. La accesibilidad del sitio web no se ve afectada, ya que todas las correcciones se encuentran en el código fuente y no dependen de la carga de scripts de terceros.
Afirmación 2: «No es posible lograr el cumplimiento total con una solución superpuesta»
En la ficha informativa se afirma que «la incapacidad demostrada de estos productos para solucionar todos los posibles problemas implica que no pueden garantizar el cumplimiento normativo de un sitio web».
Hemos asignado 776 de las reglas de corrección de la superposición A a criterios de éxito específicos de las WCAG. El 26 % (203 reglas) introduce nuevas infracciones de las WCAG al intentar corregir las ya existentes, entre ellas: hideFromAT() llamadas que generan cinco fallos de nivel A simultáneos por instancia.
Incumplimientos concretos que hemos documentado:
WCAG 1.1.1 (Contenido no textual): Overlay B genera texto alternativo generado por IA que no supera la prueba del «propósito equivalente»: el logotipo de una empresa descrito como «un letrero azul y amarillo» y un icono de navegación descrito como «un simple rectángulo negro». 241 entradas tenían menos de 15 caracteres. 323 superaban los 125 caracteres.
WCAG 2.1.1 (Teclado): La superposición A oculta los elementos interactivos del árbol de accesibilidad, lo que hace que no se pueda acceder a ellos mediante el teclado. Los botones de pago, los controles del carrito y los enlaces de los resultados de búsqueda ocultos por hideFromAT() no puede recibir el foco ni manejarse mediante el teclado.
WCAG 4.1.2 (Nombre, función, valor): Superposición A: inserciones aria-label="true" en 7 elementos repartidos en 3 sitios: un error de código en el que el nombre accesible es la cadena sin sentido «true». La superposición A también se aplica role="presentation" hasta 115 elementos, eliminando el significado semántico de las tablas, los encabezados y los puntos de referencia.
WCAG 1.3.1 (Información y relaciones): Cuando role="presentation" Cuando se aplica a una tabla de datos, los lectores de pantalla ya no pueden navegar por filas y columnas. La estructura de la tabla desaparece del árbol de accesibilidad.
Hemos asignado 776 de las reglas de ajuste de la superposición A a criterios de éxito específicos de las WCAG. El desglose pone de manifiesto la paradoja del cumplimiento de las superposiciones:
| Criterio de las WCAG | Total de correcciones | Original | Nocivo | Efecto neto |
|---|---|---|---|---|
| 4.1.2 Nombre, función, valor | 292 | 260 | 32 | Miscelánea: los errores socavan las soluciones reales |
| 2.4.4 Finalidad del enlace | 158 | 108 | 50 | 45 enlaces ocultos = objetivo frustrado |
| 1.1.1 Contenido no textual | 108 | 28 | 80 | Resultado negativo: hace más daño que bien |
| 1.3.1 Información y relaciones | 109 | 92 | 17 | En general, resulta útil, pero la eliminación de roles perjudica la estructura |
| 2.1.1 Teclado | 36 | 22 | 14 | Los elementos ocultos dejan de ser accesibles mediante el teclado |
| Otros (6 criterios) | 73 | 69 | 4 | En general, positiva |
| Total | 776 | 579 (75 %) | 197 (25 %) |
La fila más preocupante es la de WCAG 1.1.1 (Contenido no textual): de las 108 reglas de corrección relacionadas con este criterio, 80 son perjudiciales – Ocultar por completo 52 imágenes de AT a través de hideFromAT(), y el 28 marca las imágenes del contenido como decorativas a través de alt="". La superposición está creando contenido que no es texto menos accesible, nada más. Esto es exactamente lo contrario de lo que exigen las WCAG 1.1.1.
La Comisión Federal de Comercio de EE. UU. confirmó esta conclusión cuando, en abril de 2025, impuso una multa de un millón de dólares a un proveedor de superposiciones, alegando que la herramienta «no cumple ni ha cumplido con las WCAG en lo que respecta a componentes básicos y esenciales de los sitios web, como menús, encabezados, tablas, imágenes, grabaciones y otros elementos».
Afirmación 3: «Las superposiciones pueden crear nuevas barreras de accesibilidad»
La ficha informativa advierte de que los productos de superposición pueden «suponer un obstáculo real para las personas con discapacidad».
Hemos documentado 141 elementos ocultos a los lectores de pantalla mediante hideFromAT(), 115 roles semánticos extraídos mediante role="presentation", 63 imágenes decorativas sin título a través de alt="", y 7 elementos sin sentido aria-label="true".
Los ejemplos más perjudiciales se dan en los procesos de pago y de la cesta de la compra:
En una tienda de lujo, los botones de Amazon Pay, Shop Pay y Klarna están ocultos para las tecnologías de apoyo. Al pasar por caja, un usuario ciego ve menos opciones de pago que un usuario vidente. En una tienda de moda, los campos para introducir la cantidad del carrito y los botones de actualización están ocultos, por lo que un usuario ciego no puede modificar su pedido.
Los enlaces a los resultados de búsqueda de productos están ocultos en dos sitios web, lo que dificulta que los usuarios ciegos encuentren los productos. Las valoraciones con estrellas están ocultas, por lo que los usuarios ciegos no pueden evaluar la calidad de los productos de la misma manera que los usuarios videntes.
El organismo federal de supervisión de Alemania (BFIT-Bund) confirmó esta tendencia en su evaluación conjunta oficial: «Es frecuente que el uso de este tipo de herramientas genere barreras adicionales en el sitio web que no habrían existido sin ellas».
Afirmación 4: «Los usuarios ya dispondrán de las herramientas que necesitan»
En la ficha informativa se sostiene que «los usuarios finales a los que estas funciones pretenden dirigirse ya disponen de las funciones necesarias en su ordenador».
Overlay C aplica un MutationObserver a todo el documento e intercepta 47 eventos de teclado. Esto genera conflictos directos con los lectores de pantalla, las herramientas de navegación por teclado y las extensiones de navegador de las que ya dependen los usuarios con discapacidad.
Cuando un usuario de un lector de pantalla ha configurado sus atajos de teclado y sus preferencias de navegación, aparece una ventana superpuesta que intercepta keydown, keyup, y keypress Los eventos pueden anular esas preferencias. Las 47 referencias a eventos de teclado de Overlay C en su paquete de 794 KB representan una superficie de interceptación de teclado considerable. El motor de Overlay D contiene 282 addEventListener registros, cualquiera de los cuales podría entrar en conflicto con los controladores de eventos de la tecnología de apoyo.
Afirmación 5: «El valor práctico de los widgets superpuestos está muy sobrevalorado».
En la ficha técnica se indica que las funciones de los widgets, como los controles de contraste y tamaño del texto, aportan un valor limitado, ya que los usuarios ya disponen de equivalentes a nivel del sistema.
Las capas superpuestas que hemos analizado imponen entre 4 y 84 segundos de tiempo de red acumulado por sesión, descargan entre 500 KB y 2,9 MB de JavaScript por página y, en un caso, envían 83 solicitudes CORS de comprobación previa que consumen 38,8 segundos de puro desperdicio de protocolo, todo ello para ofrecer funciones que los sistemas operativos, los navegadores y las tecnologías de asistencia ya proporcionan de forma nativa.
La peor página individual de Overlay B generó 48 solicitudes y consumió 12,8 segundos de tiempo de red. A modo de referencia, el umbral de Google en Core Web Vitals para un valor «deficiente» de Largest Contentful Paint es de 2,5 segundos. Solo la superposición superó ese límite en cinco veces.
Overlay A dedicó el 75 % de sus 33,9 segundos de tiempo de red al análisis de comportamiento: 58 solicitudes POST de seguimiento a su propio punto final. Las solicitudes a la CDN relacionadas con la accesibilidad consumieron solo el 25 % del tiempo total. La mayor parte del coste en términos de rendimiento corresponde a la recopilación de datos por parte del proveedor, y no a la mejora de la accesibilidad.
Afirmación 6: «Los propietarios de sitios web deberían utilizar estrategias más sólidas, independientes y permanentes»
La ficha informativa aboga por «la eliminación de las capas de accesibilidad web» en favor de estrategias de accesibilidad permanentes.
La herramienta de supervisión de nuestro estudio representa exactamente este enfoque: escanear con axe-core, informar de los problemas con identificadores de reglas y niveles de gravedad estandarizados, y dejar que los desarrolladores los corrijan en el código fuente. Cero modificaciones del DOM, cero seguimiento de usuarios, cero riesgo de que el sitio deje de funcionar, cero conflictos con PCI DSS. Los resultados del escaneo que obtuvimos mostraron puntuaciones que oscilaban entre 53,1 y 100, con detalles específicos de las infracciones (contraste de color, orden de los encabezados, etiquetas, puntos de referencia únicos) sobre los que los desarrolladores pueden actuar de inmediato.
La diferencia fundamental que revelan nuestros datos es de carácter arquitectónico: las superposiciones mantienen un conjunto paralelo de definiciones de correcciones que reflejan la estructura DOM del sitio y se desactualizan con cada implementación. Una herramienta de monitorización analiza el DOM existente en el momento del análisis, informa de lo que encuentra y vuelve a empezar desde cero en el siguiente análisis. No hay deuda técnica acumulada, ni selectores obsoletos, ni entradas de texto alternativo huérfanas, ni posibilidad de aplicar una corrección errónea a un elemento equivocado.
Más allá de la ficha informativa: qué aportan nuestros datos
Nuestra investigación ha revelado hallazgos que van más allá del alcance de la ficha informativa de Overlay:
Conflicto con la norma PCI DSS 4.0: Las reglas de corrección de superposición se aplican específicamente a los elementos de la página de pago; hemos documentado los selectores para #cardNumber, #billingState, botones de pago y formularios de pago. Según el requisito 6.4.3 de la norma PCI DSS (obligatorio a partir de marzo de 2025), todos los scripts de las páginas de pago deben contar con una autorización documentada y una verificación de integridad. Las superposiciones no cumplen este requisito. En un grupo de artículos de lujo, se comparten selectores idénticos para el pago en dos sitios web de marcas (con un solapamiento del 96 % en el código), lo que duplica el alcance de cualquier vulneración de la cadena de suministro.
Frecuencias de muestreo de escaneo de tan solo el 1,7 %: Descubrimos que los datos POST de análisis de una superposición contienen un samplingRate Los datos muestran que solo entre el 1,7 % y el 4,5 % de las sesiones activan un análisis de cumplimiento. El 95 %-98 % restante recibe correcciones DOM sin ningún tipo de verificación.
Infracciones del RGPD: tres ventanas emergentes envían identificadores de usuario, datos de huellas digitales de dispositivos y análisis de comportamiento antes de que se active cualquier mecanismo de consentimiento, lo que supone un incumplimiento automático según la sentencia del TJUE en el caso Planet49. Una de estas ventanas emergentes envía un UUID persistente idéntico en todas las cargas de página, lo que permite crear perfiles completos de navegación entre páginas.
Rechazo por parte de las autoridades reguladoras alemanas: La BFIT-Bund (el organismo federal de supervisión de Alemania) ha rechazado oficialmente el uso de superposiciones para las pruebas de conformidad, y los organismos de certificación BIK se niegan a expedir sellos de conformidad a los sitios web que utilicen superposiciones. En virtud de la BFSG alemana (transposición de la EAA), las multas oscilan entre 10 000 y 100 000 euros por infracción.
Inyección de etiquetas en formularios en tiempo de ejecución que empeora los formularios: El motor de corrección de una superposición (110 KB) ejecuta 24 reglas de modificación del DOM en tiempo de ejecución, incluido un controlador EmptyControls que intenta asignar etiquetas a los campos de formulario que carecen de ellas. En un formulario de contacto activo con siete campos, el motor inyectó aria-label valores extraídos del código HTML name atributo en lugar de las etiquetas visibles, lo que da lugar a que dos campos compartan la misma etiqueta «Nombre» (de name="first-name" y name="last-name"), tres campos etiquetados con tipos de elementos genéricos («Campo de texto», «Selección única», «Área de texto») y dos que utilizan descripciones de tipo de validación en lugar de la etiqueta visible real. La instantánea del DOM guardada confirma que cada elemento modificado lleva el marcador de atributo de datos específico del proveedor de la superposición. El HTML original tenía etiquetas visibles correctas («Nombre», «Nombre de la empresa», etc.), pero carecían de for atributos: una sencilla corrección en el código fuente que el motor de ejecución de la superposición no logró replicar correctamente.
Corrección de archivos JSON contaminados con contenido de dominios ajenos: el archivo JSON de corrección predefinido de una superposición para un sitio web bancario contenía siete entradas de texto alternativo, de las cuales solo una procedía realmente del propio dominio del banco (con un texto alternativo que consistía en un único espacio). Las seis entradas restantes describían imágenes de dominios que no tenían nada que ver: una herramienta polaca de pruebas de accesibilidad (iconos de bookmarklet de ANDI), una API china de comparación de precios (iconos de widget de chat), una red publicitaria rusa de teasers (creatividad publicitaria) y el CDN del navegador de Xiaomi (interfaz de usuario de solicitud de traducción). El escáner de la superposición había capturado estos datos durante una sesión anterior en la que la persona que navegaba tenía activas extensiones de navegador de terceros e inyecciones publicitarias, y había almacenado de forma permanente las descripciones generadas por IA en el archivo de corrección del banco, descargado por todos los visitantes en todas las páginas. El JSON es de acceso público en el CDN de la superposición sin necesidad de autenticación.
Las advertencias de la ficha informativa de Overlay, redactadas por profesionales de la accesibilidad basándose en su experiencia, se ven ahora respaldadas por datos de producción recopilados de 14 sitios web de comercio electrónico en funcionamiento. Todas las afirmaciones principales se confirman, y la realidad, en varios aspectos, es peor de lo que describe la ficha informativa.
Afirmación 7: «Las superposiciones socavan los esfuerzos legítimos en materia de accesibilidad»
La documentación sobre las «falsas afirmaciones relativas a las superposiciones» advierte de que estas crean una «falsa impresión de que el problema de la accesibilidad está resuelto» y son «contrarias a los principios fundamentales de la ADA».
Una capa de superposición solo analiza entre el 1,7 % y el 4,5 % de las sesiones de los visitantes. Los administradores del sitio reciben métricas de cumplimiento basadas en esta muestra tan reducida, lo que genera una falsa sensación de cumplimiento, mientras que entre el 95 % y el 98 % de las sesiones nunca se verifican. Cuando una implementación incumple las reglas de corrección, la baja tasa de muestreo hace que la regresión pueda pasar desapercibida durante días, tiempo durante el cual el administrador del sitio cree que cumple con los requisitos.
El problema más profundo es que las capas superpuestas cambian el modelo mental de «tenemos que crear productos accesibles» a «hemos instalado un complemento que se encarga de la accesibilidad». Nuestros datos muestran cómo se traduce esto en la práctica: una tienda online de bolsos de diseño tiene 383 reglas de corrección en su capa superpuesta, pero el código HTML subyacente sigue presentando todos los problemas de accesibilidad originales. Si la red de distribución de contenidos (CDN) del proveedor de la capa superpuesta deja de funcionar durante 30 minutos, todas las barreras reaparecen al instante. El sitio web nunca se corrigió realmente.
Afirmación 8: Preocupaciones sobre la privacidad y el seguimiento
Aunque no es uno de los temas principales de la ficha informativa sobre superposiciones, los defensores de las personas con discapacidad han expresado su preocupación por la privacidad, ya que señalan que las superposiciones pueden detectar el uso de tecnologías de apoyo.
Los datos que hemos interceptado revelan un seguimiento que va mucho más allá de la detección de AT.
Superposición A: 58 solicitudes POST de análisis por sesión a su propio punto final, cada una de las cuales contiene un ID de sesión (sid), URL de la página completa (pg), ID de carga de la página (plid), la categoría del dispositivo y el tipo de evento. El 75 % del tiempo total de conexión a la red se dedica a estas llamadas de seguimiento.
Superposición B: Un UUID persistente (uid) enviado en cada solicitud POST de configuración: el mismo identificador en todas las páginas de la sesión, lo que permite al proveedor crear un perfil de navegación completo. El UUID es el mismo: observamos que no cambiaba en las cinco páginas de un sitio web de telecomunicaciones.
Superposición C: USER-BEHAVIOR-ANALYTICS Datos POST, incluyendo el dominio, la versión del widget y los eventos de interacción. Identificación del dispositivo mediante navigator.userAgent, navigator.userAgentData, y navigator.maxTouchPoints. Tres localStorage claves que mantienen su estado entre sesiones.
Las tres activan el seguimiento al cargarse la página, antes de que pueda activarse cualquier mecanismo de consentimiento. Según la sentencia del TJUE sobre Planet49, el seguimiento no esencial requiere un consentimiento previo expreso. Estas ventanas emergentes incumplen automáticamente el RGPD en todos los sitios web dirigidos a la UE.
Afirmación 9: «Las superposiciones entrañan un riesgo legal»
En la ficha informativa se señala que las soluciones de superposición no pueden «eliminar el riesgo legal», a pesar de lo que afirmen los proveedores.
En 2024, más de 1.023 empresas que utilizaban widgets de accesibilidad fueron demandadas por incumplir la ADA, lo que supuso el 25 % de todas las demandas por accesibilidad digital de ese año. Solo en febrero de 2025, 132 empresas que utilizaban superposiciones fueron demandadas. La FTC multó a un proveedor con 1 millón de dólares. Los organismos reguladores alemanes han rechazado explícitamente las superposiciones para el cumplimiento normativo. El riesgo legal no es hipotético: está documentado, cuantificado y va en aumento.
Nuestra base de datos de casos judiciales (8.541 expedientes relacionados con la ADA) contiene litigios directos en los que están implicados proveedores de soluciones de superposición: tres casos de patentes o secretos comerciales entre dos proveedores (2020-2022), una demanda colectiva interpuesta por un cliente contra un proveedor (2024) y un litigio en curso contra otro proveedor por parte de una pequeña empresa que fue demandada a pesar de utilizar la superposición (2024; moción de desestimación denegada por el juez en 2026).
La herramienta de supervisión no tiene antecedentes de litigios relacionados con fallos de accesibilidad, lo cual es lógico: al no modificar el DOM, no puede introducir las barreras que dan lugar a demandas judiciales.
Ya se ha subsanado la falta de pruebas
Durante años, la ficha informativa sobre superposiciones y las advertencias de la comunidad dedicada a la accesibilidad sobre este tema se basaban en la experiencia profesional, los informes de los usuarios y las pruebas manuales. Los críticos podían descartarlas por considerarlas anecdóticas o sesgadas. Nuestra investigación cierra esa brecha al proporcionar la primera base de evidencia técnica a gran escala: datos de producción interceptados de 924 solicitudes de red y 579 archivos fuente extraídos de 14 sitios de comercio electrónico activos a lo largo de tres sesiones de captura independientes, complementados con instantáneas DOM guardadas que conservan las modificaciones exactas en tiempo de ejecución que las superposiciones inyectan en las páginas de producción.
Todas las afirmaciones principales de la ficha informativa de Overlay están respaldadas por nuestros datos. Varias de ellas se quedan cortas en comparación con lo que hemos constatado. Y los aspectos que la ficha informativa no aborda —los conflictos con la norma PCI DSS, las tasas de muestreo de los análisis, el seguimiento previo al consentimiento en el marco del RGPD y el rechazo por parte de las autoridades reguladoras alemanas— representan dimensiones de riesgo adicionales que la comunidad dedicada a la accesibilidad identificó a partir de su experiencia, pero que hasta ahora no había podido cuantificar.
Las pruebas están en el código. El código se encuentra en el tráfico interceptado. El tráfico procede de sitios de producción que prestan servicio a clientes reales. Los resultados hablan por sí solos.