Het geverifieerde informatieblad: onze technische onderbouwing voor elke bewering

De toegankelijkheidsgemeenschap waarschuwt al jaren voor overlay-tools. We hebben het productieverkeer van vier overlay-diensten geanalyseerd en onze bevindingen gekoppeld aan elke bewering in het Overlay Fact Sheet – waarmee we het technische bewijs leveren voor elke waarschuwing.

Wat is het informatieblad over overlays?

De Overlay Fact Sheet is een door de gemeenschap opgesteld document dat is ondertekend door meer dan 600 toegankelijkheidsdeskundigen – waaronder bijdragers en redacteuren van de WCAG-, ARIA- en HTML-specificaties, en interne toegankelijkheidsexperts van bedrijven als Google, Microsoft, Apple, Shopify, eBay en Target. Het document bevat een aantal specifieke stellingen over de beperkingen en risico’s van overlay-tools voor toegankelijkheid.

Ons onderzoek – 924 onderschepte HTTP-verzoeken met 579 volledige responsteksten verspreid over 14 live e-commercesites, plus opgeslagen DOM-momentopnames met daarin verwerkte overlay-aanpassingen – biedt het eerste grootschalige technische bewijsmateriaal om elke bewering te toetsen aan daadwerkelijke productiegegevens. Dit is wat we hebben ontdekt.

Stelling 1: „Overlays herstellen de onderliggende code niet“

In het informatieblad over overlays staat dat overlays „tijdelijke aanpassingen aan de gebruikersinterface“ mogelijk maken, in plaats van de broncode permanent te wijzigen.

Overlay A laadt per site JavaScript-correctiebestanden met 1.023 defineFix regels die gebruikmaken van setAttribute, attr(), en hideFromAT() om DOM-elementen tijdens de uitvoering aan te passen. Als het overlay-script wordt verwijderd of niet kan worden geladen, verdwijnen alle aanpassingen onmiddellijk – de onderliggende code blijft ongewijzigd.

Overlay B downloadt een JSON-bestand van 1,17 MB met correcties en past deze toe via een aparte correctiemotor. De correcties zijn gekoppeld aan specifieke afbeeldings-URL’s – wanneer de overlay wordt verwijderd, verdwijnen alle 5.068 alt-tekstvermeldingen. De afbeeldingen krijgen dan weer helemaal geen alt-tekst meer.

Overlay C levert een monolithisch pakket van 794 KB dat de DOM via 227 setAttribute oproepen, 82 rolwijzigingen en 128 aria-label injecties. Geen van deze raakt de HTML aan de serverzijde.

Overlay D past configuratiegestuurde toegankelijke namen toe via een engine van 649 KB met 216 setAttribute oproepen. De oplossingen blijven alleen bestaan zolang de engine draait.

De monitoringtool daarentegen lost de problemen helemaal niet op – hij meldt ze aan een ontwikkelaarsdashboard. Ontwikkelaars lossen ze op in de broncode, waar de oplossingen permanent zijn, getest worden en via de gebruikelijke CI/CD-pijplijnen worden geïmplementeerd.

Wat gebeurt er als het overlay-CDN uitvalt?

Uit de factsheet blijkt dat overlay-oplossingen tijdelijk zijn. We kunnen precies aangeven hoe tijdelijk: als het CDN dat het JavaScript van de overlay levert offline gaat, verdwijnen alle oplossingen onmiddellijk. Onze gegevens tonen de afhankelijkheidsketen:

Overlay A: Per locatie active.js (tot 238 KB) wordt geladen via één enkel CDN. Als dat CDN ook maar 30 seconden onbereikbaar is, worden er tijdens die periode bij het laden van elke pagina geen toegankelijkheidsaanpassingen doorgevoerd. De 1.023 aanpassingsregels, 35 modale focusvalkuilen en alle ingevoegde ARIA-labels verdwijnen dan gewoon.

Overlay B: De herstelengine is afhankelijk van drie externe domeinen: een CDN voor scripts, een API voor aanpassingen en configuraties, en een apart CDN voor de AI-alt-text-API. Als een van deze drie uitvalt, vallen verschillende onderdelen van de herstelpijplijn uit – waardoor de DOM mogelijk in een gedeeltelijk gewijzigde toestand achterblijft, waarbij sommige correcties wel zijn toegepast en andere niet.

Overlay C: De volledige overlay bestaat uit één bundel van 794 KB afkomstig van één domein. Een storing in het CDN leidt tot het volledig verdwijnen van de widget. Maar omdat de MutationObserver van de overlay de DOM in de gaten hield en elementen aanpaste, kan een gedeeltelijke paginalading – waarbij de observer wel werd geïnitialiseerd maar de correctielogica niet werd voltooid – ervoor zorgen dat de DOM in een inconsistente toestand achterblijft.

De monitoringtool is voor de toegankelijkheid volledig onafhankelijk van het CDN. Als het CDN uitvalt, heeft dat alleen tot gevolg dat de statistieken over het aantal paginabezoeken niet meer worden geregistreerd. De toegankelijkheid van de site blijft ongewijzigd, omdat alle aanpassingen in de broncode zijn opgenomen – ze zijn niet afhankelijk van het laden van scripts van derden.

Stelling 2: „Volledige naleving is niet haalbaar met een overlay“

In de factsheet staat dat „het feit dat deze producten aantoonbaar niet alle mogelijke problemen kunnen verhelpen, betekent dat ze een website niet aan de voorschriften kunnen laten voldoen.“

Concrete gevallen van niet-naleving die wij hebben vastgesteld:

WCAG 1.1.1 (Niet-tekstuele inhoud): Overlay B genereert AI-alt-tekst die niet voldoet aan de „equivalent purpose“-test – een bedrijfslogo dat wordt omschreven als „een blauw en geel bord“, een navigatiepictogram dat wordt omschreven als „een eenvoudige zwarte rechthoek“. 241 vermeldingen waren korter dan 15 tekens. 323 waren langer dan 125 tekens.

WCAG 2.1.1 (Toetsenbord): Overlay A verbergt interactieve elementen in de toegankelijkheidsstructuur, waardoor ze niet via het toetsenbord kunnen worden bediend. Betaalknoppen, winkelwagenknoppen en links naar zoekresultaten die worden verborgen door hideFromAT() kan geen focus krijgen of via het toetsenbord worden bediend.

WCAG 4.1.2 (Naam, rol, waarde): Overlay A injecteert aria-label="true" op 7 elementen verspreid over 3 locaties – een fout in de code waarbij de toegankelijkheidsnaam de zinloze tekenreeks „true“ is. Overlay A is ook van toepassing role="presentation" tot 115 elementen, waarbij de semantische betekenis uit tabellen, koppen en oriëntatiepunten wordt gehaald.

WCAG 1.3.1 (Informatie en verbanden): Wanneer role="presentation" wordt toegepast op een gegevenstabel, kunnen schermlezers niet langer per rij en kolom navigeren. De tabelstructuur verdwijnt uit de toegankelijkheidsboom.

We hebben 776 van de correctieregels van Overlay A gekoppeld aan specifieke WCAG-succescriteria. Uit deze uitsplitsing blijkt de paradox van de naleving van Overlay:

De meest zorgwekkende categorie is WCAG 1.1.1 (Niet-tekstuele inhoud): van de 108 aanpassingsregels die op dit criterium zijn gericht, 80 zijn schadelijk – 52 afbeeldingen van AT volledig verbergen via hideFromAT(), en 28 markeert inhoudsafbeeldingen als decoratief via alt="". De overlay maakt niet-tekstuele inhoud minder toegankelijk, niet meer dan dat. Dit is precies het tegenovergestelde van wat WCAG 1.1.1 voorschrijft.

De Amerikaanse Federal Trade Commission bevestigde deze bevinding toen zij in april 2025 een boete van 1 miljoen dollar oplegde aan een leverancier van overlay-software, met de opmerking dat de tool „niet voldoet of niet heeft voldaan aan de WCAG-richtlijnen voor fundamentele en essentiële website-onderdelen zoals menu’s, koppen, tabellen, afbeeldingen, video’s en meer.“

Stelling 3: „Overlays kunnen nieuwe toegankelijkheidsbarrières opwerpen“

In de factsheet wordt gewaarschuwd dat overlay-producten „mensen met een beperking actief kunnen hinderen“.

De meest schadelijke voorbeelden doen zich voor bij het afrekenen en in het winkelwagenproces:

Bij een luxe winkelketen worden de knoppen voor Amazon Pay, Shop Pay en Klarna verborgen voor ondersteunende technologie. Een blinde gebruiker ziet bij het afrekenen minder betaalopties dan een ziende gebruiker. Bij een modewinkel zijn de velden voor het invoeren van de hoeveelheid in het winkelmandje en de knoppen om deze bij te werken verborgen – een blinde gebruiker kan zijn bestelling niet aanpassen.

Op twee websites zijn de links naar zoekresultaten verborgen, waardoor blinde gebruikers minder goed producten kunnen vinden. Sterrenbeoordelingen zijn verborgen, waardoor blinde gebruikers de kwaliteit van producten niet op dezelfde manier kunnen beoordelen als ziende gebruikers.

De Duitse federale toezichthoudende instantie (BFIT-Bund) bevestigde dit patroon in haar officiële gezamenlijke beoordeling: „Het komt vaak voor dat het gebruik van dergelijke tools extra drempels op de website creëert die er zonder die tool niet zouden zijn geweest.”

Stelling 4: „Gebruikers beschikken al over de benodigde hulpmiddelen“

In de factsheet wordt gesteld dat „de eindgebruikers voor wie deze functies bedoeld zouden zijn, de benodigde functies al op hun computer hebben.“

Wanneer een gebruiker van een schermlezer zijn sneltoetsen en navigatie-instellingen heeft geconfigureerd, verschijnt er een overlay die keydown, keyup, en keypress bepaalde gebeurtenissen kunnen deze voorkeuren overschrijven. De 47 verwijzingen naar toetsenbordgebeurtenissen in de 794 KB grote bundel van Overlay C vormen een aanzienlijk oppervlak voor het onderscheppen van toetsaanslagen. De engine van Overlay D bevat 282 addEventListener registraties – die allemaal in conflict kunnen komen met de gebeurtenishandlers van ondersteunende technologie.

Stelling 5: De „praktische waarde van overlay-widgets wordt sterk overschat“

In het informatieblad staat dat widgetfuncties zoals instellingen voor contrast en tekstgrootte slechts beperkte meerwaarde bieden, omdat gebruikers al over vergelijkbare functies op systeemniveau beschikken.

De slechtste afzonderlijke pagina van Overlay B genereerde 48 verzoeken, wat 12,8 seconden netwerktijd in beslag nam. Ter vergelijking: de drempelwaarde van Google’s Core Web Vitals voor een „slechte“ Largest Contentful Paint ligt op 2,5 seconden. De overlay alleen al overschreed die limiet met een factor 5.

Overlay A besteedde 75% van zijn 33,9 seconden netwerktijd aan gedragsanalyse – 58 tracking-POST-verzoeken naar zijn eigen eindpunt. De CDN-verzoeken met betrekking tot toegankelijkheid namen slechts 25% van de totale tijd in beslag. Het grootste deel van de prestatiekosten wordt veroorzaakt door het verzamelen van gegevens door de leverancier, niet door verbeteringen op het gebied van toegankelijkheid.

Stelling 6: „Website-eigenaren zouden robuustere, onafhankelijke en duurzame strategieën moeten hanteren“

In de factsheet wordt gepleit voor „het afschaffen van tijdelijke toegankelijkheidslaagjes“ ten gunste van permanente toegankelijkheidsstrategieën.

De fundamentele scheiding die uit onze gegevens naar voren komt, is van architecturale aard: overlays houden een parallelle set van correctiedefinities bij die de DOM-structuur van de site weerspiegelen en bij elke implementatie worden vernieuwd. Een monitoringtool scant de DOM zoals die op het moment van scannen bestaat, rapporteert wat hij aantreft en begint bij de volgende scan weer helemaal opnieuw. Er is geen opgebouwde technische schuld, geen verouderde selectors, geen verweesde alt-tekstvermeldingen en geen kans dat de verkeerde correctie op het verkeerde element wordt toegepast.

Meer dan alleen de feiten: wat onze gegevens extra bieden

Ons onderzoek heeft resultaten opgeleverd die verder gaan dan het toepassingsgebied van het Overlay-informatieblad:

Conflict met PCI DSS 4.0: Regels voor overlay-correcties richten zich specifiek op elementen van de betaalpagina – we hebben selectors gedocumenteerd voor #cardNumber, #billingState, betaalknoppen en afrekenformulieren. Volgens PCI DSS-vereiste 6.4.3 (verplicht vanaf maart 2025) moet voor elk script op een betaalpagina een gedocumenteerde autorisatie- en integriteitscontrole worden uitgevoerd. Overlays voldoen niet aan deze vereiste. Bij een bepaalde groep van luxegoederen worden identieke selectors voor het aansturen van betalingen gedeeld door twee merksites (96% overlap in de codebase), waardoor de omvang van de schade bij een inbreuk in de toeleveringsketen verdubbeld wordt.

Scanfrequenties vanaf slechts 1,7%: We hebben ontdekt dat de POST-gegevens van de analytics van één overlay een samplingRate veld waaruit blijkt dat slechts 1,7–4,5% van de sessies een nalevingsscan activeert. De overige 95–98% krijgt DOM-correcties zonder enige verificatie.

Overtredingen van de AVG: drie overlays verzenden gebruikers-ID’s, gegevens over apparaatvingerafdrukken en gedragsanalyses voordat er sprake is van een toestemmingsmechanisme – wat volgens het arrest van het Hof van Justitie in de zaak Planet49 automatisch neerkomt op niet-naleving. Eén overlay verzendt een permanente UUID die bij elke paginalading identiek is, waardoor volledige profielen van het surfgedrag over verschillende pagina’s heen kunnen worden opgesteld.

Afwijzing door de Duitse toezichthouder: De BFIT-Bund (de Duitse federale toezichthoudende instantie) heeft overlays officieel afgewezen voor conformiteitstests, en BIK-certificeringsinstanties weigeren conformiteitskeurmerken af te geven aan websites die gebruikmaken van overlays. Op grond van de Duitse BFSG (omzetting van de EAA) variëren de boetes van € 10.000 tot € 100.000 per overtreding.

Injectie van formulierlabels tijdens de uitvoering die formulieren verslechtert: De correctiemotor van één overlay (110 KB) voert tijdens de uitvoering 24 regels voor DOM-wijzigingen uit, waaronder een EmptyControls-handler die probeert om niet-gelabelde formuliervelden te labelen. Op een live contactformulier met zeven velden voegde de motor aria-label waarden afgeleid uit de HTML name eigenschap in plaats van de zichtbare labels – waardoor twee velden hetzelfde label „Naam“ hebben (van name="first-name" en name="last-name"), drie velden met algemene elementtypen („Tekstveld“, „Enkele selectie“, „Tekstgebied“) en twee velden waarbij beschrijvingen van het validatietype worden gebruikt in plaats van het daadwerkelijk zichtbare label. De opgeslagen DOM-momentopname bevestigt dat elk gewijzigd element de leveranciersspecifieke marker voor het data-attribuut van de overlay bevat. De oorspronkelijke HTML bevatte weliswaar de juiste zichtbare labels („Voornaam“, „Bedrijfsnaam“, enz.), maar deze misten for attributen – een eenvoudige aanpassing in de broncode die de runtime-engine van de overlay niet correct heeft overgenomen.

Correctie van JSON-bestanden die vervuild zijn met inhoud van andere domeinen: de vooraf samengestelde correctie-JSON van één overlay voor een banksite bevatte 7 alt-tekstvermeldingen – waarvan er slechts 1 daadwerkelijk afkomstig was van het eigen domein van de bank (met een alt-tekst bestaande uit één spatie). De overige 6 vermeldingen beschreven afbeeldingen van totaal niet-gerelateerde domeinen: een Poolse tool voor het testen van toegankelijkheid (ANDI-bookmarklet-pictogrammen), een Chinese API voor prijsvergelijking (chatwidget-pictogrammen), een Russisch advertentienetwerk voor teasers (advertentieontwerp) en Xiaomi's browser-CDN (UI voor vertaalprompt). De scanner van de overlay had deze vastgelegd tijdens een eerdere sessie waarin de persoon die aan het browsen was, browser-extensies van derden en advertentie-injecties actief had – en had de door AI gegenereerde beschrijvingen permanent opgeslagen in het herstelbestand van de bank, dat door elke bezoeker op elke pagina wordt gedownload. De JSON is openbaar toegankelijk op het CDN van de overlay zonder authenticatie.

De waarschuwingen in het Overlay Fact Sheet, opgesteld door toegankelijkheidsexperts op basis van hun ervaring, worden nu gestaafd door productiegegevens die zijn verzameld bij 14 actieve e-commercewebsites. Elke belangrijke bewering blijkt te kloppen – en de werkelijkheid is op verschillende vlakken zelfs nog slechter dan in het Fact Sheet wordt beschreven.

Bewering 7: „Overlays ondermijnen legitieme inspanningen op het gebied van toegankelijkheid“

In de documentatie over „Overlay False Claims“ wordt gewaarschuwd dat overlays een „valse indruk wekken dat de toegankelijkheid is opgelost“ en „in strijd zijn met de grondbeginselen van de ADA“.

Het diepere probleem is dat overlays het denkpatroon verschuiven van „we moeten toegankelijke producten maken“ naar „we hebben een widget geïnstalleerd die de toegankelijkheid regelt“. Onze gegevens laten zien hoe dit er in de praktijk uitziet: een online winkel voor designerhandtassen heeft 383 correctieregels in zijn overlay – maar de onderliggende HTML vertoont nog steeds alle oorspronkelijke toegankelijkheidsproblemen. Als het CDN van de overlay-leverancier 30 minuten uitvalt, zijn alle barrières onmiddellijk weer terug. De site is nooit echt gerepareerd.

Stelling 8: Bezorgdheid over privacy en tracking

Hoewel dit geen hoofdthema is van de informatiebrochure over overlays, hebben belangenbehartigers van mensen met een beperking hun bezorgdheid geuit over de privacy, omdat overlays het gebruik van ondersteunende technologie kunnen detecteren.

Overlay A: 58 POST-verzoeken per sessie naar zijn eigen eindpunt, die elk een sessie-ID bevatten (sid), volledige URL (pg), ID van de geladen pagina (plid), apparaatcategorie en gebeurtenistype. 75% van de totale netwerktijd wordt besteed aan deze tracking-aanroepen.

Overlay B: Een permanente UUID (uid) wordt in elke POST-verzoek meegestuurd – dezelfde identificatiecode op alle pagina’s binnen de sessie, waardoor de aanbieder een volledig surfprofiel kan samenstellen. De UUID blijft hetzelfde – we hebben geconstateerd dat deze op alle vijf pagina’s van een telecomsite ongewijzigd bleef.

Overlay C: USER-BEHAVIOR-ANALYTICS POST-gegevens, waaronder het domein, de widgetversie en interactiegebeurtenissen. Apparaat-fingerprinting via navigator.userAgent, navigator.userAgentData, en navigator.maxTouchPoints. Drie localStorage sleutels die tussen sessies door bewaard blijven.

Alle drie activeren ze hun tracking zodra de pagina wordt geladen – nog voordat er een toestemmingsmechanisme in werking kan treden. Volgens het arrest van het Hof van Justitie van de Europese Unie in de zaak Planet49 is voor niet-essentiële tracking voorafgaande toestemming vereist. Deze overlays zijn op elke website die zich op de EU richt automatisch in strijd met de AVG.

Stelling 9: „Overlays brengen juridische risico’s met zich mee“

In de factsheet wordt opgemerkt dat overlays, ondanks de beweringen van leveranciers, „juridische risico’s niet kunnen uitsluiten“.

Onze database met rechtszaken (8.541 ADA-dossiers) bevat directe rechtszaken waarbij leveranciers van overlay-oplossingen betrokken zijn: drie zaken over octrooien/bedrijfsgeheimen tussen twee leveranciers (2020–2022), een collectieve rechtszaak van een klant tegen één leverancier (2024) en een lopende rechtszaak tegen een andere leverancier door een klein bedrijf dat werd aangeklaagd ondanks het gebruik van de overlay (2024, verzoek tot afwijzing afgewezen door de magistraat in 2026).

De monitoringtool heeft geen geschiedenis van rechtszaken in verband met toegankelijkheidsproblemen – een logisch gevolg: aangezien de tool het DOM niet wijzigt, kan hij geen belemmeringen veroorzaken die aanleiding geven tot rechtszaken.

De bewijskloof is nu gedicht

Jarenlang waren het informatieblad over overlays en de waarschuwingen van de toegankelijkheidsgemeenschap over overlays gebaseerd op professionele ervaring, gebruikersmeldingen en handmatige tests. Critici konden deze afdoen als anekdotisch of bevooroordeeld. Ons onderzoek dicht die kloof door de eerste grootschalige technische bewijsbasis te bieden: onderschepte productiegegevens van 924 netwerkverzoeken, 579 geëxtraheerde bronbestanden verspreid over 14 live e-commerce-sites tijdens drie onafhankelijke vastleggingssessies, aangevuld met opgeslagen DOM-momentopnames die de exacte wijzigingen tijdens de uitvoering vastleggen die overlays in productiepagina's injecteren.

Elke belangrijke bewering in het Overlay-informatieblad wordt onderbouwd door onze gegevens. Sommige beweringen zijn zelfs nog voorzichtiger geformuleerd dan wat we daadwerkelijk hebben vastgesteld. En de onderwerpen die niet in het informatieblad aan bod komen – conflicten met PCI DSS, steekproefpercentages bij scans, tracking vóór toestemming in het kader van de AVG, afwijzing door Duitse toezichthouders – vormen extra risicodimensies die de toegankelijkheidsgemeenschap weliswaar uit ervaring heeft onderkend, maar voorheen niet kon kwantificeren.

Het bewijs staat in de code. De code zit in het onderschepte dataverkeer. Het dataverkeer is afkomstig van productiesites die echte klanten bedienen. De bevindingen spreken voor zich.