Fișa informativă privind suprapunerea, verificată: Dovezile noastre tehnice pentru fiecare afirmație

Comunitatea din domeniul accesibilității avertizează de ani buni cu privire la instrumentele de tip overlay. Am interceptat traficul de producție provenit de la patru astfel de instrumente și am corelat constatările noastre cu fiecare afirmație din fișa informativă privind instrumentele de tip overlay, oferind astfel dovezi tehnice care stau la baza fiecărui avertisment.

Ce este fișa informativă privind suprapunerea?

„Overlay Fact Sheet” este o declarație inițiată de comunitate, semnată de peste 600 de specialiști în accesibilitate – printre care se numără colaboratori și editori ai specificațiilor WCAG, ARIA și HTML, precum și experți interni în accesibilitate din companii precum Google, Microsoft, Apple, Shopify, eBay și Target. Aceasta prezintă o serie de afirmații concrete cu privire la limitările și riscurile instrumentelor de suprapunere pentru accesibilitate.

Cercetarea noastră – 924 de solicitări HTTP interceptate, cu 579 de corpuri complete de răspunsuri, provenite de la 14 site-uri de comerț electronic active, precum și instantanee DOM salvate, cu modificările de suprapunere integrate – oferă prima bază de dovezi tehnice la scară largă care permite verificarea fiecărei afirmații în raport cu datele reale de producție. Iată ce am descoperit.

Afirmația 1: „Suprapunerile nu remediază codul de bază”

Fișa informativă privind suprapunerile precizează că acestea permit „modificări temporare ale interfeței cu utilizatorul”, în loc să modifice definitiv codul sursă.

Suprapunere A încarcă fișiere JavaScript de remediere pentru fiecare site, care conțin 1.023 defineFix reguli care utilizează setAttribute, attr()și hideFromAT() pentru a modifica elementele DOM în timpul rulării. Dacă scriptul de suprapunere este eliminat sau nu se încarcă, toate modificările dispar instantaneu – codul de bază rămâne neschimbat.

Overlay B descarcă un fișier JSON de remediere de 1,17 MB și aplică corecțiile prin intermediul unui motor de remediere separat. Corecțiile sunt asociate cu anumite adrese URL ale imaginilor – atunci când suprapunerea este eliminată, toate cele 5.068 de intrări de text alternativ dispar. Imaginile revin la starea inițială, fără niciun text alternativ.

Suprapunere C include un pachet monolitic de 794 KB care modifică DOM prin intermediul a 227 setAttribute apeluri, 82 de modificări ale rolurilor și 128 aria-label injectări. Niciuna dintre acestea nu afectează codul HTML de pe server.

Suprapunere D aplică nume accesibile bazate pe configurație prin intermediul unui motor de 649 KB cu 216 setAttribute apeluri. Corecțiile sunt valabile doar cât timp motorul funcționează.

Instrumentul de monitorizare, în schimb, nu rezolvă deloc problemele – ci le raportează către un panou de control pentru dezvoltatori. Dezvoltatorii le remediază în codul sursă, unde modificările sunt permanente, testate și implementate prin intermediul fluxurilor normale de CI/CD.

Ce se întâmplă când CDN-ul de suprapunere nu mai funcționează?

Fișa informativă sugerează că soluțiile de tip overlay sunt temporare. Putem cuantifica exact cât de temporare sunt: dacă CDN-ul care găzduiește codul JavaScript al overlay-ului se deconectează, toate soluțiile dispar instantaneu. Datele noastre ilustrează lanțul de dependențe:

Suprapunere A: Pe fiecare site active.js (până la 238 KB) se încarcă de pe un singur CDN. Dacă acel CDN nu este accesibil chiar și pentru 30 de secunde, fiecare încărcare de pagină din acel interval nu beneficiază de nicio îmbunătățire a accesibilității. Cele 1.023 de reguli de îmbunătățire, cele 35 de capcane de focalizare modale și toate etichetele ARIA inserate dispar pur și simplu.

Overlay B: Motorul de remediere depinde de trei domenii externe: un CDN pentru scripturi, un API pentru ajustări și configurări și un CDN separat pentru API-ul de text alternativ generat de IA. Dacă vreunul dintre aceste trei elemente se blochează, diferite părți ale fluxului de remediere se întrerup – ceea ce poate lăsa DOM-ul într-o stare parțial modificată, în care unele remedieri au fost aplicate, iar altele nu.

Overlay C: Întregul overlay este un singur pachet de 794 KB provenind de la un singur domeniu. Întreruperea serviciului CDN = dispariția completă a widgetului. Însă, deoarece MutationObserver-ul overlay-ului monitoriza DOM-ul și modifica elementele, o încărcare parțială a paginii în care observatorul a fost inițializat, dar logica de remediere nu s-a finalizat, ar putea lăsa DOM-ul într-o stare inconsistentă.

Instrumentul de monitorizare nu depinde deloc de CDN în ceea ce privește accesibilitatea. Dacă CDN-ul său nu mai funcționează, singurul efect este că indicatorii privind vizitele pe pagină nu mai sunt înregistrați. Accesibilitatea site-ului nu este afectată, deoarece toate modificările se află în codul sursă – ele nu depind de încărcarea niciunui script de la terți.

Afirmația 2: „Conformitatea deplină nu poate fi atinsă cu o soluție de tip overlay”

Fișa informativă precizează că „incapacitatea dovedită a acestor produse de a remedia toate problemele posibile înseamnă că ele nu pot asigura conformitatea unui site web”.

Nerespectări concrete pe care le-am constatat:

WCAG 1.1.1 (Conținut non-textual): Overlay B generează text alternativ AI care nu îndeplinește criteriul „scopului echivalent” – un logo al companiei descris ca „un semn albastru și galben”, o pictogramă de navigare descrisă ca „un simplu dreptunghi negru”. 241 de intrări aveau sub 15 caractere. 323 depășeau 125 de caractere.

WCAG 2.1.1 (Tastatură): Suprapunerea A ascunde elementele interactive din arborele de accesibilitate, făcându-le inaccesibile prin tastatură. Butoanele de plată, comenzile coșului de cumpărături și linkurile către rezultatele căutării ascunse de hideFromAT() nu poate primi focusul și nu poate fi controlat prin tastatură.

WCAG 4.1.2 (Nume, Rol, Valoare): Suprapunerea A se injectează aria-label="true" pe 7 elemente din 3 pagini – o eroare de cod în care numele accesibil este șirul fără sens „true”. Se aplică și suprapunerea A role="presentation" până la 115 elemente, eliminând semnificația semantică din tabele, titluri și repere.

WCAG 1.3.1 (Informații și relații): Când role="presentation" atunci când se aplică unui tabel de date, cititoarele de ecran nu mai pot naviga pe rânduri și coloane. Structura tabelului dispare din arborele de accesibilitate.

Am corelat 776 dintre regulile de conformitate ale Overlay A cu anumite criterii de succes WCAG. Analiza detaliată scoate la iveală paradoxul conformității Overlay:

Cel mai îngrijorător aspect îl reprezintă WCAG 1.1.1 (Conținut non-textual): din cele 108 reguli de remediere care vizează acest criteriu, 80 sunt nocive – Ascunde complet cele 52 de imagini de la AT prin intermediul hideFromAT(), iar 28 marchează imaginile de conținut ca fiind decorative prin intermediul alt="". Suprapunerea afișează conținut non-textual mai puțin accesibil, nimic mai mult. Aceasta este exact opusul a ceea ce prevede WCAG 1.1.1.

Comisia Federală pentru Comerț din SUA a confirmat această constatare atunci când, în aprilie 2025, a amendat un furnizor de soluții de overlay cu suma de 1 milion de dolari, afirmând că instrumentul „nu reușește sau nu a reușit să asigure conformitatea cu WCAG a componentelor de bază și esențiale ale site-ului web, precum meniurile, titlurile, tabelele, imaginile, înregistrările și altele”.

Afirmația 3: „Suprapunerile pot crea noi bariere în calea accesibilității”

Fișa informativă avertizează că produsele de tip overlay pot „împiedica în mod activ persoanele cu dizabilități”.

Cele mai grave probleme apar în procesele de finalizare a comenzii și în fluxurile coșului de cumpărături:

La un magazin online de lux, butoanele Amazon Pay, Shop Pay și Klarna sunt ascunse pentru tehnologiile de asistență. La finalizarea comenzii, un utilizator nevăzător vede mai puține opțiuni de plată decât un utilizator văzător. Câmpurile de introducere a cantității din coș și butoanele de actualizare sunt ascunse pe site-ul unui magazin de modă – un utilizator nevăzător nu își poate modifica comanda.

Linkurile către rezultatele căutării de produse sunt ascunse pe două site-uri – utilizatorii nevăzători au dificultăți în a descoperi produsele. Evaluările sub formă de stele sunt ascunse – utilizatorii nevăzători nu pot evalua calitatea produselor în același mod ca utilizatorii văzători.

Autoritatea federală de supraveghere din Germania (BFIT-Bund) a confirmat această tendință în evaluarea oficială comună: „Se întâmplă frecvent ca utilizarea unor astfel de instrumente să creeze bariere suplimentare pe site-ul web, care nu ar fi existat fără aceste instrumente.”

Afirmația 4: „Utilizatorii vor dispune deja de instrumentele de care au nevoie”

Fișa informativă susține că „utilizatorii finali cărora aceste funcții pretind că le sunt destinate vor dispune deja de funcțiile necesare pe computerul lor”.

Atunci când un utilizator al unui cititor de ecran și-a configurat comenzile rapide de la tastatură și preferințele de navigare, apare o fereastră care interceptează keydown, keyupși keypress anumite evenimente pot anula aceste preferințe. Cele 47 de referințe la evenimente de tastatură din pachetul de 794 KB al Overlay C reprezintă o suprafață substanțială de interceptare a tastaturii. Motorul Overlay D conține 282 addEventListener înregistrări – oricare dintre acestea putând intra în conflict cu procedurile de gestionare a evenimentelor din cadrul tehnologiilor de asistență.

Afirmația 5: „Valoarea practică a widgeturilor de suprapunere este mult exagerată”

Fișa informativă precizează că funcțiile widget-urilor, precum cele de reglare a contrastului și a dimensiunii textului, au o utilitate limitată, deoarece utilizatorii dispun deja de funcții echivalente la nivel de sistem.

Cea mai slabă pagină a Overlay B a generat 48 de solicitări, consumând 12,8 secunde de timp de rețea. Pentru a pune lucrurile în context, pragul stabilit de Google în cadrul Core Web Vitals pentru un indicator Largest Contentful Paint „slab” este de 2,5 secunde. Doar această pagină a depășit acest prag de 5 ori.

Overlay A a dedicat 75% din cele 33,9 secunde de timp de rețea analizei comportamentale – 58 de cereri POST de monitorizare către propriul său punct final. Cererile CDN legate de accesibilitate au consumat doar 25% din timpul total. Cea mai mare parte a costului de performanță este reprezentată de colectarea datelor de către furnizor, nu de îmbunătățirea accesibilității.

Afirmația 6: „Proprietarii de site-uri ar trebui să adopte strategii mai solide, independente și durabile”

Fișa informativă recomandă „eliminarea suprapunerii de accesibilitate web” în favoarea unor strategii permanente de accesibilitate.

Diferența fundamentală pe care o evidențiază datele noastre este de natură arhitecturală: suprapunerile mențin un set paralel de definiții de remediere care reflectă structura DOM a site-ului și se învechesc la fiecare implementare. Un instrument de monitorizare scanează structura DOM existentă în momentul scanării, raportează ceea ce găsește și începe de la zero la următoarea scanare. Nu există datorii tehnice acumulate, nici selectori învechiți, nici intrări de text alternativ orfane și nici posibilitatea de a aplica o remediere greșită unui element greșit.

Dincolo de fișa informativă: ce ne spun datele noastre

Cercetarea noastră a scos la iveală rezultate care depășesc sfera de aplicare a fișei informative privind suprapunerea:

Conflict PCI DSS 4.0: Regulile de fixare a suprapunerilor vizează în mod activ elementele paginii de plată – am documentat selectorii pentru #cardNumber, #billingState, butoane de plată și formulare de finalizare a comenzii. Conform cerinței 6.4.3 din standardul PCI DSS (obligatorie începând din martie 2025), fiecare script al unei pagini de plată trebuie să includă o verificare documentată a autorizării și a integrității. Suprapunerile nu îndeplinesc această cerință. În cazul unui grup de produse de lux, selectorii identici care vizează paginile de plată sunt folosiți în comun de două site-uri ale mărcii (o suprapunere de 96% a codului sursă), ceea ce dublează amploarea impactului în cazul unei breșe de securitate în lanțul de aprovizionare.

Rate de eșantionare de până la 1,7%: Am descoperit că datele POST de analiză ale unei suprapuneri conțin un samplingRate câmpul indică faptul că doar 1,7–4,5% dintre sesiuni declanșează o scanare de conformitate. Restul de 95–98% beneficiază de remedieri DOM fără nicio verificare.

Încălcări ale RGPD: Trei ferestre suprapuse transmit identificatori ai utilizatorilor, date de amprentare a dispozitivelor și analize comportamentale înainte ca vreun mecanism de consimțământ să poată fi activat – o neconformitate automată în conformitate cu hotărârea CJUE în cauza Planet49. Una dintre aceste ferestre suprapuse transmite un UUID persistent, identic la fiecare încărcare a paginii, permițând crearea unor profiluri complete de navigare între pagini.

Respingerea de către autoritățile de reglementare germane: BFIT-Bund (autoritatea federală de supraveghere din Germania) a respins oficial utilizarea ferestrelor pop-up pentru testarea conformității, iar organismele de testare BIK refuză să elibereze certificate de conformitate site-urilor web care utilizează astfel de ferestre. Conform Legii germane privind protecția datelor (BFSG, transpunerea Directivei UE privind protecția datelor), amenzile variază între 10.000 și 100.000 de euro pentru fiecare încălcare.

Injectarea etichetelor în formularele din timpul rulării, care agravează situația formularelor: Motorul de remediere al unui overlay (110 KB) execută 24 de reguli de modificare a DOM-ului în timpul rulării, inclusiv un handler EmptyControls care încearcă să eticheteze câmpurile de formular neetichetate. Pe un formular de contact activ cu șapte câmpuri, motorul a inserat aria-label valori extrase din codul HTML name atributul, mai degrabă decât etichetele vizibile – ceea ce duce la situația în care două câmpuri au aceeași etichetă, „Nume” (din name="first-name" și name="last-name"), trei câmpuri etichetate cu tipuri generice de elemente („Câmp text”, „Selectare unică”, „Zonă text”) și două care folosesc descrieri de tip validare în locul etichetei vizibile propriu-zise. Instantaneul DOM salvat confirmă faptul că fiecare element modificat poartă marcatorul de atribut de date specific furnizorului din suprapunere. Codul HTML original avea etichete vizibile corecte („Prenume”, „Numele companiei” etc.), dar acestea nu aveau for atribute – o modificare simplă în codul sursă pe care motorul de execuție al suprapunerii nu a reușit să o reproducă corect.

Remedierea fișierelor JSON contaminate cu conținut din domenii străine: un fișier JSON de remediere predefinit al unui overlay pentru un site bancar conținea 7 intrări de text alternativ – dintre care doar una provenea efectiv din domeniul propriu al băncii (cu un text alternativ format dintr-un singur spațiu). Celelalte 6 intrări descriau imagini din domenii complet necorelate: un instrument polonez de testare a accesibilității (pictograme bookmarklet ANDI), un API chinezesc de comparare a prețurilor (pictograme widget de chat), o rețea rusă de publicitate teaser (creativitate publicitară) și CDN-ul browserului Xiaomi (interfață de solicitare a traducerii). Scanerul overlay-ului a capturat aceste informații în timpul unei sesiuni anterioare, în care persoana care naviga avea active extensii de browser și injecții publicitare de la terți – și a stocat permanent descrierile generate de AI în fișierul de remediere al băncii, descărcat de fiecare vizitator pe fiecare pagină. Fișierul JSON este accesibil public pe CDN-ul overlay-ului fără autentificare.

Avertismentele din fișa informativă „Overlay”, redactate de specialiști în accesibilitate pe baza experienței lor, sunt acum susținute de date de producție colectate de la 14 site-uri de comerț electronic active. Fiecare afirmație importantă se confirmă – iar situația reală, în mai multe domenii, este mai gravă decât cea descrisă în fișa informativă.

Afirmația 7: „Suprapunerile subminează eforturile legitime de accesibilitate”

Documentația privind „Overlay False Claims” avertizează că suprapunerile creează o „narațiune falsă conform căreia problema accesibilității a fost rezolvată” și sunt „în contradicție cu principiile fundamentale ale ADA”.

Problema mai profundă este că suprapunerile schimbă modelul mental de la „trebuie să creăm produse accesibile” la „am instalat un widget care se ocupă de accesibilitate”. Datele noastre arată cum se întâmplă acest lucru în practică: un retailer de genți de mână de designer are 383 de reguli de remediere în suprapunerea sa – însă codul HTML de bază prezintă în continuare toate problemele de accesibilitate inițiale. Dacă rețeaua CDN a furnizorului de suprapuneri se întrerupe timp de 30 de minute, toate barierele reapar instantaneu. Site-ul nu a fost niciodată remediat cu adevărat.

Afirmația 8: Preocupări legate de confidențialitate și urmărire

Deși nu reprezintă un aspect central al fișei informative privind overlay-urile, susținătorii persoanelor cu dizabilități au exprimat îngrijorări legate de confidențialitate, subliniind faptul că overlay-urile pot detecta utilizarea tehnologiilor de asistență.

Suprapunere A: 58 de cereri POST de tip Analytics pe sesiune către propriul său punct final, fiecare conținând un ID de sesiune (sid), adresa URL completă a paginii (pg), ID-ul de încărcare a paginii (plid), categoria dispozitivului și tipul evenimentului. 75% din timpul total petrecut în rețea este dedicat acestor apeluri de monitorizare.

Suprapunere B: Un UUID persistent (uid) trimis în fiecare POST de configurare – același identificator pe toate paginile din sesiune, permițând furnizorului să creeze un profil complet de navigare. UUID-ul este același – am observat că a rămas neschimbat pe toate cele cinci pagini ale unui site de telecomunicații.

Suprapunere C: USER-BEHAVIOR-ANALYTICS Date POST, inclusiv domeniul, versiunea widgetului și evenimentele de interacțiune. Identificarea dispozitivului prin navigator.userAgent, navigator.userAgentDatași navigator.maxTouchPoints. Trei localStorage cheile păstrează starea între sesiuni.

Toate cele trei activează funcția de urmărire la încărcarea paginii – înainte ca vreun mecanism de consimțământ să poată fi activat. Conform hotărârii CJUE în cauza Planet49, urmărirea neesențială necesită consimțământul prealabil prin acceptare expresă. Aceste ferestre pop-up se află în mod automat în situație de neconformitate cu RGPD pe orice site destinat utilizatorilor din UE.

Afirmația 9: „Suprapunerile prezintă riscuri juridice”

Fișa informativă subliniază faptul că soluțiile de tip overlay nu pot „elimina riscul juridic”, în ciuda afirmațiilor furnizorilor.

Baza noastră de date cu cauze judiciare (8.541 dosare legate de ADA) conține litigii directe care implică furnizori de soluții de suprapunere: trei cauze privind brevete/secrete comerciale între doi furnizori (2020–2022), o acțiune colectivă intentată de un client împotriva unui furnizor (2024) și un proces în curs împotriva unui alt furnizor, intentat de o întreprindere mică care a fost dată în judecată în ciuda utilizării overlay-ului (2024, cererea de respingere a fost respinsă de magistrat în 2026).

Instrumentul de monitorizare nu are antecedente de litigii legate de încălcări ale accesibilității – o consecință logică: întrucât nu modifică DOM-ul, nu poate crea barierele care duc la acțiuni în justiție.

Lacuna în materie de dovezi a fost acum eliminată

Timp de ani de zile, fișa informativă privind suprapunerile și avertismentele comunității de accesibilitate cu privire la acestea s-au bazat pe experiența profesională, pe rapoartele utilizatorilor și pe testarea manuală. Criticii le-ar fi putut respinge ca fiind anecdotice sau părtinitoare. Cercetarea noastră acoperă această lacună, oferind prima bază de dovezi tehnice la scară largă: date de producție interceptate din 924 de solicitări de rețea, 579 de fișiere sursă extrase de pe 14 site-uri de comerț electronic active, în cadrul a trei sesiuni independente de captură, completate de instantanee DOM salvate care păstrează modificările exacte de rulare pe care overlay-urile le injectează în paginile de producție.

Fiecare afirmație importantă din fișa informativă Overlay este susținută de datele noastre. Mai multe afirmații sunt subestimate în comparație cu ceea ce am constatat. Iar aspectele pe care fișa informativă nu le acoperă – conflictele legate de PCI DSS, ratele de eșantionare a scanărilor, urmărirea înainte de acordarea consimțământului în conformitate cu GDPR, respingerea de către autoritățile de reglementare germane – reprezintă dimensiuni suplimentare ale riscului pe care comunitatea din domeniul accesibilității le-a identificat pe baza experienței, dar pe care nu le-a putut cuantifica până acum.

Dovezile se regăsesc în cod. Codul se regăsește în traficul interceptat. Traficul provine de la site-urile de producție care deservesc clienți reali. Concluziile vorbesc de la sine.