Com es fa un CAPTCHA accessible?

Les tecnologies CAPTCHA són molt habituals a Internet. Segons dades de Built With, més del 20 % dels llocs web més importants fan servir algun tipus de CAPTCHA, i la tecnologia reCAPTCHA de Google és la preferida per la majoria.

Malauradament, alguns llocs utilitzen tecnologies CAPTCHA obsoletes que generen problemes d'accessibilitat. Per entendre per què, i per evitar una mala implementació del CAPTCHA, és útil tenir en compte els problemes que intenten resoldre les proves de desafiament-resposta.

CAPTCHA és l'acrònim de Completely Automated Public Turing test to tell Computers and Humans Apart (la Viquipèdia descriu l'acrònim com a «forçat», i tendim a estar-hi d'acord). Inventat el 1997, el CAPTCHA demana a l'usuari que interpreti una sèrie de lletres i números en una imatge distorsionada. L'objectiu és evitar que els programes informàtics interactuïn amb un lloc web. Això pot ser útil en moltes situacions; per exemple, en una botiga en línia, els CAPTCHA poden prevenir fraus o aturar els revenedors que fan comandes automàtiques.

És clar que els CAPTCHA són polèmics entre els usuaris reals d'Internet. Aquests són alguns punts importants que cal tenir en compte:

• Els CAPTCHA visuals presenten problemes importants per a les persones amb discapacitat visual. Els CAPTCHA no poden tenir text alternatiu, perquè això impediria que la prova complís la seva funció.
• Els CAPTCHA auditius no són una alternativa eficaç. Tampoc no poden tenir text alternatiu, i hi ha usuaris que tenen alhora discapacitat visual i auditiva.
• Els CAPTCHA visuals frustren tots els usuaris. Fins i tot si pots processar informació visual i auditiva, els CAPTCHA poden presentar informació que es pot interpretar de diverses maneres.
• Quan els usuaris es frustren amb un CAPTCHA, és menys probable que continuïn fent servir el lloc web. En una prova d'usabilitat a gran escala, el Baymard Institute va observar que el 8,66 % dels usuaris s'equivoquen en el primer intent de CAPTCHA. Aquesta xifra va pujar fins al 29,45 % quan el CAPTCHA distingia entre majúscules i minúscules. Una entrada incorrecta pot ser desmoralitzadora. Si alguna vegada has intentat comprar alguna cosa i has acabat abandonant després de barallar-te amb CAPTCHA d'imatges confuses, ja coneixes aquest problema

Tot i així, molts llocs web (sobretot botigues en línia) continuen aferrats a eines CAPTCHA obsoletes. Molts prioritzen l'accessibilitat d'altres maneres, però un sol problema important pot tenir un efecte dramàtic en els usuaris reals. I una mala implementació del CAPTCHA n'és sens dubte un.

Les WCAG permeten els CAPTCHA?

Les proves de Turing visuals com el CAPTCHA estan permeses per les Pautes d'accessibilitat al contingut web (WCAG), amb algunes advertències importants. En primer lloc, els llocs que fan servir CAPTCHA han d'oferir alternatives «que utilitzin modes de sortida per a diferents tipus de percepció sensorial» per adaptar-se a diferents discapacitats. Les WCAG també exigeixen alternatives textuals que identifiquin i descriguin el propòsit del contingut no textual (com ara el text que descriu el desafiament CAPTCHA).

És fonamental tenir present que l'exempció per als CAPTCHA només s'aplica al contingut CAPTCHA generat: les imatges o els números que l'usuari ha d'interpretar. Tota la resta del contingut ha de tenir alternatives textuals. Molts administradors web passen per alt aquesta distinció i donen per fet que pàgines senceres en queden exemptes.

En altres paraules, les pautes permeten els CAPTCHA, però els llocs web els han de fer servir amb cura i evitar excloure usuaris humans amb discapacitat. Sempre que sigui possible, els administradors web haurien d'evitar les proves CAPTCHA basades en imatges, que poden crear més problemes dels que resolen.

Afortunadament, la tecnologia ha avançat molt durant les últimes tres dècades. Moltes proves modernes resolen la majoria dels problemes principals dels CAPTCHA antics, tot i que els administradors web les han de continuar fent servir amb cura.

Alternatives accessibles al CAPTCHA

Com hem vist, el CAPTCHA pot ser frustrant fins i tot quan els usuaris tenen accés a modes de sortida alternatius. Per exemple, el CAPTCHA auditiu ha de ser complex per evitar el correu brossa. Un CAPTCHA auditiu pot contenir distorsions, tons de veu estranys i altres artefactes que poden resultar angoixants per als usuaris, i també molestos, perquè els mateixos artefactes que frenen el trànsit de bots poden impedir que els usuaris humans accedeixin al lloc.

El reCAPTCHA v2 de Google intenta resoldre aquests problemes presentant als usuaris una simple casella de selecció 'No sóc un robot'. L'usuari marca la casella per accedir al lloc. Els principals lectors de pantalla (tecnologies d'assistència que converteixen el contingut visual en sortida d'àudio o braille) poden interpretar els camps de reCAPTCHA. La casella també és accessible amb el teclat, cosa útil per a persones amb determinades discapacitats motrius i cognitives.

Per confirmar que l'usuari és humà, Google fa servir un algorisme que determina si els moviments són naturals. L'algorisme també analitza l'adreça IP de l'usuari, la quantitat de sol·licituds enviades en un període de temps concret i altres dades. Si l'algorisme no en té prou, l'usuari pot veure igualment una casella CAPTCHA tradicional, però això és molt improbable per als usuaris de lectors de pantalla.

Com a alternativa, els dissenyadors web poden fer servir la insígnia invisible de reCAPTCHA v2, que activa la verificació de reCAPTCHA quan l'usuari fa clic en un botó que ja existeix al lloc.

El reCAPTCHA v3 de Google funciona de manera semblant: verifica les interaccions legítimes amb una API purament de JavaScript, i l'usuari no arriba a veure mai el camp de reCAPTCHA.

Altres alternatives al CAPTCHA fan servir altres paràmetres per avaluar els usuaris sense presentar-los camps de formulari molestos. hCaptcha, l'alternativa més popular a reCAPTCHA, utilitza models d'aprenentatge automàtic per detectar usuaris humans. Les persones amb discapacitat s'han d'inscriure a la pàgina d'inscripció d'accessibilitat d'hCaptcha. Reben una galeta xifrada que s'ha de renovar cada 24 hores.

Aquesta galeta es pot fer servir diverses vegades al dia, i el procés d'inscripció és senzill. Tanmateix, l'accés d'accessibilitat d'hCaptcha demana una adreça de correu electrònic, i hi ha usuaris que poden preferir no facilitar aquesta informació.

Fer el CAPTCHA accessible per a tothom

Sigui quina sigui la tecnologia CAPTCHA que implementis al teu lloc, recorda que cap eina no és accessible automàticament i que, per naturalesa, els CAPTCHA estan dissenyats per crear problemes d'accessibilitat. Fins i tot amb les tecnologies més noves, els CAPTCHA poden ser arriscats.

Per mantenir el teu lloc accessible, i evitar excloure milions d'usuaris potencials, hauràs d'examinar de prop com implementes les funcions de seguretat. Aquí tens algunes consideracions que cal tenir en compte.

No obliguis a fer servir el CAPTCHA sense un bon motiu.

En primer lloc, determina si realment cal un CAPTCHA. Pot semblar un pas obvi, però molts llocs fan servir proves de Turing sense cap bon motiu.

Si gestiones una gran botiga en línia, tens un motiu legítim per intentar limitar el trànsit brossa, i reCAPTCHA o hCaptcha poden ser l'única solució. En canvi, si mantens el petit lloc web d'una empresa, potser no necessites un CAPTCHA per evitar que els bots inundin els teus servidors: pots fer servir filtres i eines de mitigació de bots per aconseguir el mateix efecte. Abans d'utilitzar qualsevol forma de CAPTCHA, busca alternatives més amables per a l'usuari.

Tingues en compte tot l'espectre de discapacitats.

Els CAPTCHA clàssics fan servir proves basades en imatges, cosa que representa un repte clar per a les persones amb problemes de visió. Si llegeixes aquest article, probablement ja has pensat com afecten els mitjans visuals aquests usuaris (i no ets l'únic: com dèiem en aquest article, la idea que accessibilitat vol dir 'dissenyar per a persones cegues' és un dels mites més comuns sobre l'accessibilitat web).

Però una mentalitat realment accessible no s'atura aquí. Recorda que certs tipus de proves també poden presentar problemes per a les persones que fan servir el teclat per navegar. Una persona amb un trastorn d'ansietat es pot sentir aclaparada per una entrada CAPTCHA incorrecta, i una persona amb problemes de memòria a curt termini pot no ser capaç de seguir un CAPTCHA complex de diversos passos.

Per atendre les necessitats de tots els teus usuaris, pensa en com funciona la teva prova. Valora si algun aspecte de la prova genera una càrrega innecessària i intenta resoldre-ho abans que afecti usuaris reals.

Evita els CAPTCHA amb límit de temps.

Tingues en compte els límits de temps. Poden ser frustrants per a tots els usuaris, i hi ha persones que no són capaces de completar un CAPTCHA en poc temps. Assegura't que els camps CAPTCHA siguin al final dels formularis.

És clar que la manera més senzilla d'evitar aquest problema és fer servir una tecnologia CAPTCHA sense un límit de temps curt, o una prova que no requereixi la interacció directa de l'usuari.

No descuidis altres problemes d'accessibilitat.

Recorda que la teva responsabilitat no s'acaba quan has triat una tecnologia CAPTCHA relativament accessible. Per exemple, molts llocs web fan servir CAPTCHA per evitar enviaments de formularis brossa. Si el formulari té un límit de temps, afegir-hi el CAPTCHA pot fer que alguns usuaris el superin. El criteri d'èxit 2.2.1 de les WCAG 2.1 recomana permetre als usuaris desactivar, ajustar o allargar els límits de temps amb accions senzilles, cosa que resoldria el problema.

De la mateixa manera, els teus formularis haurien d'evitar l'avanç automàtic, que crea obstacles greus per a algunes persones amb discapacitat. Tots els camps d'entrada han d'estar etiquetats de manera clara i explícita (a l'article enllaçat aquí repassem algunes característiques dels formularis accessibles).

En definitiva, les tecnologies de tipus CAPTCHA poden ser útils sempre que les facis servir amb cura i prioritzis l'accessibilitat a tot el lloc. Ara bé, les tecnologies CAPTCHA canvien sovint i, abans d'implementar qualsevol control de seguretat nou, ho hauràs de planificar bé.

David Prieto González

Enginyer informàtic especialitzat en gestió de projectes i accessibilitat web. Algú diu que el camí del desenvolupament és dur, ja que has de renovar-te i actualitzar-te constantment. No obstant això, si realment gaudeixes del que fas, aquest camí serà agradable... i jo l'estimo.