VPAT Salesforce : ce que les administrateurs doivent savoir
Si vous travaillez dans le secteur public, l'enseignement ou la santé, quelqu'un finira par vous demander le VPAT du composant AppExchange que vous venez d'installer. Voici ce qu'est ce document, et ce qu'il faut y regarder.
Un VPAT (Voluntary Product Accessibility Template) est un document standard dans lequel un éditeur indique, critère par critère, comment son produit se situe par rapport aux normes d'accessibilité. Ce n'est pas un certificat et personne ne vous le délivre. C'est une auto-évaluation structurée, et sa valeur dépend entièrement de l'honnêteté avec laquelle il a été rempli.
Pourquoi il apparaît dans les achats Salesforce
Salesforce publie lui-même des VPAT pour ses produits. Aux États-Unis, les acheteurs publics sont soumis à la Section 508 ; en Europe, à la norme EN 301 549 ; et les deux s'appuient sur les WCAG. Quand votre org est soumise à ces règles, chaque logiciel de la pile hérite de l'obligation, y compris le package AppExchange que quelqu'un a installé pour régler un problème de planification.
En pratique, la question arrive tard, lors d'une revue de sécurité ou d'achat, alors que le composant est déjà intégré dans un processus métier.
Les trois normes couvertes par un VPAT
| Norme | Qui s'en préoccupe | Ce qu'elle couvre |
|---|---|---|
| WCAG 2.1 A et AA | Presque tout le monde, comme socle | Les critères de contenu web sur lesquels reposent les deux autres |
| Section 508 révisée | Administration fédérale américaine, et la plupart des États et collectivités locales | Les obligations de la Section 508, exprimées par rapport aux WCAG |
| EN 301 549 | Secteur public européen | L'équivalent pour les marchés publics de l'UE |
Le lire sans être expert
Chaque critère reçoit l'un de quelques niveaux de conformité. Les mots comptent :
- Supports : le critère est respecté partout.
- Partially Supports : il est respecté dans la plupart des cas, mais pas tous. C'est le niveau le plus intéressant.
- Does Not Support : il n'est pas respecté.
- Not Applicable : le critère ne s'applique pas à ce produit.
Méfiez-vous davantage d'un VPAT qui annonce Supports partout que d'un VPAT qui contient quelques Partially Supports honnêtes. Un vrai logiciel a des cas limites. Un document sans aucun « partiel » signifie généralement que personne ne l'a vraiment testé.
Quatre questions à poser à l'éditeur
- Quand a-t-il été vérifié pour la dernière fois, et sur quelle version ? Un VPAT rédigé il y a deux ans et six versions décrit un logiciel qui n'existe plus.
- A-t-il été testé sur la version packagée ? Le code source non packagé et une installation en package géré peuvent se comporter différemment. C'est la version que vous installez qui compte.
- Scan automatisé, revue manuelle, ou les deux ? Les outils automatiques détectent environ un tiers des problèmes. La navigation au clavier et le parcours au lecteur d'écran exigent un humain.
- La couleur est-elle parfois le seul signal ? C'est l'échec le plus fréquent dans les interfaces de planification, où le statut n'est indiqué que par une cellule colorée.
Les calendriers sont particulièrement difficiles à rendre accessibles
Un calendrier est une grille de cellules interactives, ce qui en fait l'un des modèles les plus difficiles à rendre accessibles. Pour bien faire, il faut une vraie sémantique de grille ARIA (role="grid", lignes, gridcells, en-têtes de colonne), une navigation aux flèches dans la grille plutôt qu'une tabulation sur chaque cellule, un nom accessible sur chaque cellule qui porte à la fois la date et son état, et un statut transmis par une forme ou un texte en plus de la couleur.
Ce dernier point a une conséquence directe pour les produits configurables par l'administrateur : si vous laissez les administrateurs choisir leurs couleurs de statut, vous ne pouvez pas garantir le contraste. C'est exactement le genre de point qui doit figurer en Partially Supports plutôt que d'être discrètement déclaré Supports.