Salesforce VPAT: Was Admins wissen sollten
Wer in Behörden, Bildung oder Gesundheitswesen arbeitet, wird früher oder später nach dem VPAT der gerade installierten AppExchange-Komponente gefragt. Hier steht, was dieses Dokument ist und worauf Sie achten sollten.
Ein VPAT (Voluntary Product Accessibility Template) ist ein Standarddokument, in dem ein Anbieter Kriterium für Kriterium angibt, wie sein Produkt die Standards zur Barrierefreiheit erfüllt. Es ist kein Zertifikat, und niemand stellt es Ihnen aus. Es ist eine strukturierte Selbstauskunft, und ihr Wert hängt allein davon ab, wie ehrlich sie ausgefüllt wurde.
Warum es im Salesforce-Einkauf auftaucht
Salesforce selbst veröffentlicht VPATs für seine Produkte. Öffentliche Auftraggeber in den USA sind an Section 508 gebunden, europäische an die EN 301 549, und beide Standards stützen sich auf die WCAG. Unterliegt Ihre Org diesen Regeln, erbt jede Software im Stack die Pflicht, auch das AppExchange-Paket, das jemand installiert hat, um ein Terminproblem zu lösen.
In der Praxis kommt das Thema spät auf, in einem Security- oder Einkaufsreview, wenn die Komponente schon fest in einem Geschäftsprozess steckt.
Die drei Standards in einem VPAT
| Standard | Für wen er zählt | Was er abdeckt |
|---|---|---|
| WCAG 2.1 A und AA | Für fast alle, als Grundlage | Die Kriterien für Webinhalte, auf denen die beiden anderen aufbauen |
| Revised Section 508 | US-Bundesbehörden und die meisten Bundesstaaten und Kommunen | Die Pflichten aus Section 508, ausgedrückt über die WCAG |
| EN 301 549 | Öffentlicher Sektor in Europa | Das europäische Gegenstück für die öffentliche Beschaffung |
Einen VPAT lesen, ohne Experte zu sein
Jedes Kriterium bekommt eine von wenigen Konformitätsstufen. Auf die Formulierung kommt es an:
- Supports heißt: Das Kriterium ist überall erfüllt.
- Partially Supports heißt: in den meisten Fällen erfüllt, aber nicht in allen. Das ist die spannende Stufe.
- Does Not Support heißt: nicht erfüllt.
- Not Applicable heißt: Das Kriterium betrifft dieses Produkt nicht.
Seien Sie bei einem VPAT, der überall Supports angibt, misstrauischer als bei einem mit ein paar ehrlichen Partially Supports. Echte Software hat Grenzfälle. Ein Dokument ganz ohne Einschränkungen heißt meist, dass niemand wirklich getestet hat.
Vier Fragen an den Anbieter
- Wann wurde er zuletzt geprüft, und für welche Version? Ein VPAT von vor zwei Jahren und sechs Releases beschreibt Software, die es so nicht mehr gibt.
- Wurde die paketierte Version getestet? Unpaketierter Quellcode und eine Installation des verwalteten Pakets können sich unterschiedlich verhalten. Entscheidend ist die Version, die Sie installieren.
- Automatischer Scan, manuelle Prüfung oder beides? Automatische Werkzeuge finden etwa ein Drittel der Probleme. Tastaturnavigation und der Ablauf im Screenreader brauchen einen Menschen.
- Ist Farbe je das einzige Signal? Das ist der häufigste Fehler in Terminoberflächen: Der Status wird als farbige Zelle gezeigt und sonst nichts.
Kalender sind besonders schwer richtig zu bauen
Ein Kalender ist ein Raster interaktiver Zellen und damit eines der schwierigeren Muster für Barrierefreiheit. Richtig gemacht heißt das: echte ARIA-Grid-Semantik (role="grid", Zeilen, Gridcells, Spaltenköpfe), Navigation mit den Pfeiltasten innerhalb des Rasters statt Tabben durch jede Zelle, ein zugänglicher Name für jede Zelle mit Datum und Zustand, und ein Status, der nicht nur über Farbe, sondern auch über Form oder Text vermittelt wird.
Der letzte Punkt hat direkte Folgen für Produkte, die Admins konfigurieren: Wer Admins eigene Statusfarben wählen lässt, kann keinen Kontrast garantieren. Genau so etwas sollte als Partially Supports erscheinen, statt stillschweigend als Supports angegeben zu werden.