Como facer un CAPTCHA accesible?

As tecnoloxías CAPTCHA son algo habitual en Internet. Segundo datos de Built With, máis do 20 % dos sitios web máis importantes utilizan algunha forma de CAPTCHA, e a tecnoloxía reCAPTCHA de Google é a preferida pola maioría.

Por desgraza, algúns sitios usan tecnoloxías CAPTCHA obsoletas que xeran problemas de accesibilidade. Para entender por que —e para evitar unha mala implantación do CAPTCHA— convén ter en conta os problemas que as probas de desafío-resposta tratan de solucionar.

CAPTCHA é o acrónimo de Completely Automated Public Turing test to tell Computers and Humans Apart (a Wikipedia describe o acrónimo como “forzado”, e tendemos a estar de acordo). Inventado en 1997, o CAPTCHA require que a persoa usuaria interprete unha serie de letras e números nunha imaxe distorsionada. O seu propósito é impedir que os programas informáticos interactúen cun sitio. Isto pode ser beneficioso en moitas circunstancias; por exemplo, nun sitio web de comercio electrónico, os CAPTCHA poderían evitar fraudes ou frear os revendedores que fan pedidos automáticos.

Por suposto, os CAPTCHA son polémicos entre as persoas que usan Internet de verdade. Algúns puntos importantes que hai que ter en conta:

• Os CAPTCHA visuais presentan problemas importantes para as persoas con discapacidades relacionadas coa visión. Os CAPTCHA non poden ter un texto alternativo, porque iso impediría que a proba cumprise a súa función.
• Os CAPTCHA auditivos non son unha alternativa eficaz. Tampouco poden ter texto alternativo, e algunhas persoas teñen discapacidade visual e auditiva á vez.
• Os CAPTCHA visuais xeran frustración en todas as persoas usuarias. Mesmo se podes procesar información visual e auditiva, os CAPTCHA poden presentar información que se pode interpretar de varias maneiras.
• Cando a xente se frustra cun CAPTCHA, é menos probable que siga usando o sitio. Nunha proba de usabilidade a grande escala, o Instituto Baymard descubriu que o 8,66 % das persoas usuarias escribían mal o CAPTCHA no primeiro intento. Esa cifra subía ao 29,45 % cando o CAPTCHA distinguía entre maiúsculas e minúsculas. Un erro ao introducilo pode ser desalentador. Se algunha vez intentaches mercar algo e acabaches abandonando o proceso despois de pelexar con CAPTCHA de imaxes confusas, xa sufriches este problema

Aínda así, moitos sitios (sobre todo de comercio electrónico) seguen aferrados a ferramentas CAPTCHA obsoletas. Moitos deles priorizan a accesibilidade doutras maneiras, pero un único problema importante pode ter un efecto enorme nas persoas usuarias reais. E unha mala implantación do CAPTCHA, sen dúbida, éo.

Permiten as WCAG os CAPTCHA?

As probas de Turing visuais como o CAPTCHA están permitidas polas Pautas de Accesibilidade para o Contido Web (WCAG), con algunhas advertencias importantes. En primeiro lugar, os sitios que usan CAPTCHA deben ofrecer alternativas “utilizando modos de saída para diferentes tipos de percepción sensorial' para atender as distintas discapacidades. As WCAG tamén esixen alternativas textuais que identifiquen e describan o propósito do contido non textual (como o texto que describe o desafío CAPTCHA).

O fundamental é que a exención para os CAPTCHA só se aplica ao contido CAPTCHA xerado: as imaxes ou números que se espera que a persoa usuaria interprete. Todo o resto do contido debe ter alternativas textuais. Moitos administradores web ignoran esta distinción e dan por feito que páxinas enteiras están exentas.

Noutras palabras, as pautas permiten os CAPTCHA, pero os sitios web deben usalos con coidado e evitar excluír as persoas con discapacidade. Sempre que sexa posible, os administradores web deberían evitar as probas CAPTCHA baseadas en imaxes, que poden crear máis problemas dos que resolven.

Por sorte, a tecnoloxía avanzou moito nas últimas tres décadas. Moitas probas modernas resolven a maioría dos principais problemas dos CAPTCHA antigos, aínda que os administradores web aínda deben usalas con coidado.

Alternativas accesibles ao CAPTCHA

Como xa vimos, o CAPTCHA pode resultar frustrante mesmo cando as persoas usuarias teñen acceso a modos de saída alternativos. Por exemplo, o CAPTCHA auditivo ten que ser complexo para evitar o spam. Un CAPTCHA auditivo pode conter distorsións, tons de voz estraños e outros artefactos que poden resultar angustiosos para as persoas usuarias —e molestos, xa que os mesmos artefactos que frean o tráfico de bots tamén poden impedir que as persoas accedan ao sitio.

O reCAPTCHA v2 de Google tenta solucionar estes problemas presentando unha simple caixa de verificación 'Non son un robot'. A persoa usuaria marca a caixa para acceder ao sitio. Os principais lectores de pantalla (tecnoloxías de apoio que converten o contido visual en saída de audio ou braille) poden interpretar os campos de reCAPTCHA. A caixa tamén é accesible mediante o teclado, o que resulta útil para persoas con certas discapacidades motoras e cognitivas.

Para confirmar que a persoa usuaria é humana, Google utiliza un algoritmo que determina se os movementos son naturais. O algoritmo tamén analiza o enderezo IP da persoa usuaria, o número de solicitudes enviadas nun determinado intervalo de tempo e outra información. Se o algoritmo non queda convencido, a persoa aínda pode ver unha caixa CAPTCHA tradicional, pero isto é moi improbable para as persoas usuarias de lectores de pantalla.

Como alternativa, os deseñadores web poden empregar a insignia invisible de reCAPTCHA v2, que lanza a verificación de reCAPTCHA cando a persoa usuaria fai clic nun botón que xa existe no sitio.

O reCAPTCHA v3 de Google funciona de maneira semellante: verifica as interaccións lexítimas cunha API puramente en JavaScript, e a persoa usuaria nunca chega a ver o campo de reCAPTCHA.

Outras alternativas ao CAPTCHA usan outros parámetros para avaliar as persoas usuarias sen presentarlles campos de formulario molestos. hCaptcha, a alternativa máis popular a reCAPTCHA, utiliza modelos de aprendizaxe automática para detectar persoas humanas. As persoas con discapacidade deben rexistrarse na páxina de inscrición de accesibilidade de hCaptcha. Reciben unha cookie cifrada que hai que renovar cada 24 horas.

Esa cookie pódese utilizar varias veces ao día, e o proceso de inscrición é sinxelo. Porén, o acceso de accesibilidade de hCaptcha require un enderezo de correo electrónico, e algunhas persoas poden preferir non proporcionar este dato.

Facer o CAPTCHA accesible para todo o mundo

Sexa cal sexa a tecnoloxía CAPTCHA que implantes no teu sitio, lembra: ningunha ferramenta é accesible de por si e, pola súa propia natureza, os CAPTCHA están deseñados para crear problemas de accesibilidade. Mesmo coas tecnoloxías máis novas, os CAPTCHA poden ser arriscados.

Para que o teu sitio siga sendo accesible —e para non excluír millóns de potenciais persoas usuarias— terás que examinar con atención como implantas as túas medidas de seguridade. Velaquí algunhas consideracións que debes ter en conta.

Non obrigues a usar o CAPTCHA sen unha boa razón.

En primeiro lugar, determina se un CAPTCHA é realmente necesario. Pode parecer un paso obvio, pero moitos sitios usan probas de Turing sen un bo motivo.

Se xestionas un gran sitio de comercio electrónico, tes un motivo lexítimo para tentar limitar o tráfico de spam, e reCAPTCHA ou hCaptcha poderían ser a única solución. Agora ben, se mantés o pequeno sitio web dunha empresa, quizais non necesites un CAPTCHA para evitar que os bots saturen os teus servidores: poderías usar filtros e ferramentas de mitigación de bots para conseguir o mesmo efecto. Antes de usar calquera forma de CAPTCHA, busca alternativas amigables para as persoas usuarias.

Ten en conta todo o abano de discapacidades.

Os CAPTCHA clásicos usan probas baseadas en imaxes, o que supón un claro desafío para as persoas con problemas de visión. Se estás a ler este artigo, probablemente xa pensaches en como afectan os medios visuais a estas persoas (e non es o único: como sinalamos neste artigo, a idea de que accesibilidade significa 'deseñar para persoas cegas' é un dos mitos máis comúns sobre a accesibilidade web).

Unha mentalidade verdadeiramente accesible non se detén aí. Lembra que certos tipos de probas tamén poden dar problemas ás persoas que usan o teclado para manexar o navegador. Unha persoa cun trastorno de ansiedade pode agobiarse ao introducir mal un CAPTCHA, e unha persoa con problemas de memoria a curto prazo pode non ser quen de seguir un CAPTCHA complexo de varios pasos.

Para atender as necesidades de todas as persoas usuarias, pensa en como funciona a túa proba. Valora se algún aspecto dela supón unha carga innecesaria e tenta resolver esas cuestións antes de que afecten a persoas reais.

Evita os CAPTCHA con límite de tempo.

Ten en conta os límites de tempo. Poden resultar frustrantes para todo o mundo, e algunhas persoas poden non ser capaces de completar un CAPTCHA nun prazo curto. Asegúrate de que os campos CAPTCHA estean situados ao final dos formularios.

Por suposto, a forma máis sinxela de evitar este problema é usar unha tecnoloxía CAPTCHA que non teña un límite de tempo curto, ou unha proba que non requira a interacción directa da persoa usuaria.

Non descoides outros problemas de accesibilidade.

Lembra que a túa responsabilidade non remata despois de escoller unha tecnoloxía CAPTCHA relativamente accesible. Por exemplo, moitos sitios web usan CAPTCHA para evitar o envío de formularios de spam. Se o formulario ten un límite de tempo, engadir o CAPTCHA podería facer que algunhas persoas o superen. O criterio de conformidade 2.2.1 das WCAG 2.1 recomenda permitir que as persoas usuarias desactiven, axusten ou amplíen os límites de tempo con accións sinxelas, o que resolvería o problema.

Do mesmo xeito, os teus formularios deberían evitar o avance automático, que supón serios obstáculos para algunhas persoas con discapacidade. Todos os campos de entrada deben estar etiquetados de forma clara e explícita (tratamos algunhas das características dos formularios accesibles no artigo ligado aquí).

En definitiva, as tecnoloxías de tipo CAPTCHA poden ser útiles, sempre que as utilices con coidado e priorices a accesibilidade en todo o teu sitio. Porén, as tecnoloxías CAPTCHA cambian con frecuencia, e antes de implantar calquera novo control de seguridade terás que planificalo con atención.

David Prieto González