CAPTCHA'er: Sådan holder du formularer sikre uden at skabe barrierer

Tilgængelige CAPTCHA'er: Vigtige konklusioner

• CAPTCHA'er kan ekskludere personer: Billedgåder, forvrænget tekst og lydudfordringer er ofte umulige at gennemføre for personer med visse handicap.

• Usynlige checks er ikke automatisk tilgængelige: Personer, der bruger skærmlæsere eller andre hjælpeteknologier, kan fejlagtigt blive identificeret som bots, fordi deres adfærd afviger fra, hvad systemet forventer.

• Der er alternativer: Honeypot-felter, spamfiltre på serversiden og moderne verifikationsmetoder kan beskytte formularer uden at tvinge brugerne til at løse ekstra gåder.

• Hele processen er vigtig: Hvis en sikkerhedskontrol ikke er tilgængelig, har brugerne brug for en anden måde at fortsætte på. Ellers kan en enkelt CAPTCHA gøre en ellers tilgængelig hjemmeside ubrugelig.

Når spambeskyttelse bliver en barriere

Farvekontrasten er korrekt, alt kan betjenes med et tastatur, og skærmlæseren læser alt indholdet op uden problemer. Hjemmesiden virker tilgængelig. Du har lige udfyldt en ansøgning om et officielt dokument, næsten booket en lægetid eller afsluttet din ugentlige onlineshop. Alt, der er tilbage, er at klikke på "Send".

Men pludselig kommer en CAPTCHA i vejen. Du bliver bedt om at skrive forvrængede bogstaver, vælge cykler på slørede billeder eller trække en puslespilsbrik på plads.

For de fleste er dette blot et irriterende ekstra trin. For personer med handicap kan det dog være en barriere, der forhindrer dem i at fuldføre opgaven overhovedet, selvom resten af hjemmesiden fungerer godt. Enhver, der ikke kan gennemføre udfordringen, er nødt til at stole på en andens hjælp eller opgive processen. En spambeskyttelsesforanstaltning ender med at fratage folk deres uafhængighed.

Hvad er CAPTCHA'er, og hvorfor bruges de?

CAPTCHA står for "Completely Automated Public Turning Test to Tell Computers and Humans Apart". Det blev udviklet til at skelne mellem mennesker og computere eller bots.

CAPTCHA'er bruges primært til at beskytte formularer mod spam, falske konti og automatiserede angreb. Dette skaber en konflikt: foranstaltninger, der er designet til at holde bots ude, kan også forhindre rigtige mennesker i at bruge en tjeneste.

Hvilke typer CAPTCHA findes der, og hvem udelukker de?

CAPTCHA'er har ændret sig gennem årene, efterhånden som bots er blevet mere effektive. Desværre udelukker næsten alle almindelige typer bestemte grupper af brugere af meget forskellige årsager.

Dette påvirker ikke kun mennesker med permanente handicap. Mange ældre mennesker kæmper også, da deres syn, finmotorik eller koncentrationsevner forringes. Og midlertidige begrænsninger, såsom en brækket arm eller migræne, kan også gøre en udfordring sværere.

Forvrænget tekst

Forvrænget tekst er det klassiske CAPTCHA-format. Det stammer fra en tid, hvor computere var dårligere til at genkende forvrængede tegn end mennesker. I dag er det modsatte tilfældet: a 2023-undersøgelse præsenteret på USENIX Security med 1.400 deltagere fandt man, at folk løste CAPTCHA'er med forvrænget tekst korrekt i 50 til 84 % af tilfældene og havde brug for 9 til 15 sekunder. Bots beskrevet i forskning opnår en nøjagtighed på omkring 99,8 % på under et sekund.

For blinde brugere er billedet ulæseligt, da det ikke har noget tekstalternativ. Personer med nedsat syn kan have svært ved at se stærkt forvrængede tegn med dårlig kontrast. Og for personer med ordblindhed skaber det en yderligere barriere at skrive meningsløse tegnstrenge.

Billedpuslespil og flisegitre

Disse udfordringer beder brugerne om at identificere trafiklys, busser, fodgængerovergange eller broer på billeder. De blev delvist introduceret, fordi bots var blevet stadig bedre til at læse forvrænget tekst.

De er især kendte fra Googles reCAPTCHA v2, der bredt betragtes som den mest almindelige CAPTCHA-tjeneste. Den viser først afkrydsningsfeltet "Jeg er ikke en robot" og viser ofte kun billedudfordringer, når et besøg virker mistænkeligt.

Blinde brugere kan ikke løse disse gåder, fordi billederne bevidst ikke har noget tekstalternativ – det ville afsløre svaret for bots. Slørede billeder og små felter forårsager også vanskeligheder for personer med nedsat syn eller begrænset finmotorik.

Selv uden et handicap kan instruktionerne være forvirrende. Når man vælger et trafiklys, tæller så stangen, eller kun selve signalet?

Lydudfordringer

Lyd-CAPTCHA'er læser tal eller ord op, som brugerne derefter skriver i et felt. De blev introduceret som et alternativ for folk, der ikke kan se billedet, og betragtes derfor ofte som den tilgængelige løsning for blinde brugere.

For døve eller hørehæmmede er de dog ubrugelige. Og for døvblinde fungerer hverken den visuelle eller den auditive mulighed.

For at gøre automatisk talegenkendelse sværere forvrænges optagelserne bevidst med baggrundsstøj eller musik. Som følge heraf kan de være svære at forstå, selv for personer uden hørehæmning.

Slidere og puslespil

Disse udfordringer kræver, at brugerne trækker en puslespilsbrik eller flytter en skyder til den præcis rigtige position.

Dette kræver præcis hånd-øje-koordination. Det kan være ekstremt vanskeligt for folk, der bruger alternative inputenheder eller øjensporingsteknologi, såvel som for folk med rystelser.

Sådanne udfordringer kan ofte heller ikke gennemføres med et tastatur eller en skærmlæser. Og enhver, der ikke kan se formen eller placeringen af den manglende brik, har ingen måde at løse puslespillet på.

Matematiske udfordringer

Enkle matematikspørgsmål som "Hvad er 7 + 4?" er tekstbaserede og kan derfor gøres mere tilgængelige end billedgåder.

De kan dog stadig skabe barrierer for personer med dyskalkuli eller kognitive handicap. Personer med koncentrations- eller indlæringsvanskeligheder kan også opleve, at den ekstra opgave afbryder dem.

Bots løser i mellemtiden disse spørgsmål ubesværet. Matematiske udfordringer tilbyder kun ringe beskyttelse, men barriererne for folk består.

Baggrundstjek

Baggrundstjek kører usynligt og vurderer, hvordan besøgende interagerer med et websted, for eksempel ved at analysere musebevægelser, tid brugt på siden eller enhedsoplysninger.

De fleste mennesker bemærker slet ikke disse kontroller, så ved første øjekast virker de som den mest tilgængelige løsning.

Problemer opstår, når nogen fejlagtigt klassificeres som en bot, fordi deres adfærd afviger fra, hvad systemet anser for typisk. Dette kan ske for personer, der bruger hjælpemidler, kun navigerer med et tastatur eller har brug for mere tid.

De kan derefter blive bedt om at gennemføre en synlig udfordring eller slet ikke kunne fortsætte. Uden et tilgængeligt alternativ står de over for præcis det samme problem som med traditionelle CAPTCHA'er.

Hvad gør problemet værre?

Uanset CAPTCHA-typen kan visse faktorer gøre en vanskelig udfordring til en umulig:

• Tidsfrister, der ikke kan forlænges: Opgaven udløber, før en person, der bruger hjælpemidler eller har begrænset motorisk kontrol, er færdig.

• Ingen alternativ måde at fuldføre processen på: For eksempel intet telefonnummer eller e-mailadresse til personer, der ikke kan bestå sikkerhedskontrollen.

• Tilgængelighedscookies, der kræver separat registrering: Nogle udbydere, såsom hCaptcha, tilbyder en cookie, der lader folk springe visuelle udfordringer over. For at få den skal brugerne registrere sig med deres e-mailadresse hos en tredjepartsudbyder, og cookien kan stoppe med at virke, hvis browseren blokerer tredjepartscookies, eller brugeren skifter enhed.

Hvad siger WCAG og loven om CAPTCHA'er?

De Retningslinjer for tilgængelighed af webindhold (WCAG) forbyder ikke CAPTCHA'er. Men de stiller klare krav:

• 1.1.1 Ikke-tekstuelt indhold (niveau A): En CAPTCHA skal have et tekstalternativ, der beskriver dens formål. Derudover, alternative former ved hjælp af forskellige typer sensorisk opfattelse skal være tilgængelig, såsom en visuel og en lydversion.

• 3.3.8 Tilgængelig autentificering (minimum) (niveau AA): Nyt i WCAG 2.2. I en loginproces, ingen kognitiv funktionstest – såsom at løse en gåde eller transskribere tegn – kan være påkrævet, medmindre der findes et alternativ eller en mekanisme, der hjælper. Genkendelse af objekter, såsom "vælg alle trafiklys", er en undtagelse på dette niveau.

• 3.3.9 Tilgængelig godkendelse (forbedret) (niveau AAA): Her gælder undtagelsen for objektgenkendelse ikke længere.

• 2.5.7 Trækbevægelser (niveau AA): Nyt i WCAG 2.2. Alt, der kræver træk, såsom en skyder-CAPTCHA, skal også kunne udfyldes med et enkelt klik eller tryk.

• 2.2.1 Justerbar tid (niveau A): Brugere skal kunne slå tidsgrænser fra, justere dem eller forlænge dem.

• 2.1.1 Tastatur (niveau A): Hele udfordringen skal kunne betjenes med et tastatur.

I EU, den Den europæiske tilgængelighedslov (EAA) har været gældende siden 28. juni 2025, for eksempel for onlinebutikker, banktjenester og bookingprocesser. Det tekniske grundlag er den europæiske standard EN 301 549. Den nuværende version V3.2.1 refererer til WCAG 2.1 niveau AA. Den ny version V4.1.1, udgivet i september 2026 , anvender WCAG 2.2, inklusive 3.3.8 og 2.5.7. Den gælder som juridisk reference, når Europa-Kommissionen citerer den i EU-Tidende. Hvis du planlægger dine formularer nu, giver det mening at følge WCAG 2.2 allerede nu.

Kan man beskytte formularer mod spam uden CAPTCHA'er?

Det er forståeligt, at hjemmesideoperatører ønsker at beskytte deres formularer, især nu hvor AI gør automatiseret misbrug lettere.

Men hvis næsten alle almindelige CAPTCHA-typer skaber problemer for mindst én gruppe brugere, er spørgsmålet, hvordan man kan yde beskyttelse uden disse barrierer. W3C's note om Manglende adgang til CAPTCHA anbefaler at foretrække tilgange, der ikke kræver interaktion fra brugerne.

Der findes alternativer, der kræver langt mindre indsats fra besøgende. De er dog heller ikke automatisk tilgængelige og skal implementeres korrekt.

Honningpottemarker

En honeypot tilføjer et ekstra felt til en formular, som folk ikke kan se. Bots, der automatisk udfylder alle felter, de finder i kildekoden, afslører sig selv ved at udfylde det, mens folk lader det stå tomt.

Denne fremgangsmåde fungerer kun, hvis feltet er skjult for alle, inklusive brugere af tastatur og skærmlæsere. Ellers kan rigtige personer udfylde det og blive blokeret som bots:

• Den enkleste mulighed: Skjul feltet meddisplay: noneeller denhiddenattribut. Den skjules derefter visuelt for skærmlæsere og tastaturnavigation.

• Hvis du i stedet placerer feltet uden for skærmen: Tilføjetabindex="-1"så den ikke kan nås med tastaturet,aria-hidden="true"så skærmlæsere ignorerer det, ogautocomplete="off"så browseren ikke udfylder det automatisk. En etiket som "Lad dette felt være tomt" hjælper, hvis nogen når det.

Spamfiltre på serversiden og hastighedsbegrænsning

Med denne tilgang kontrollerer serveren, om en indsendelse ser legitim ud, for eksempel ved at analysere almindelige spammønstre eller hvor hurtigt en formular blev udfyldt. Hastighedsbegrænsning begrænser også, hvor mange anmodninger den samme IP-adresse kan sende inden for en kort periode.

Disse kontroller er usynlige for besøgende. Reglerne må dog ikke udelukke personer, der bruger længere tid om at udfylde en formular, for eksempel fordi de bruger en skærmlæser eller stemmestyring eller har et motorisk handicap. De skal også tage højde for, at mange mennesker kan dele en IP-adresse, f.eks. på et kontor eller et plejehjem.

Moderne tjenester uden gåder

Tjenester som Friendly Captcha, reCAPTCHA v3 og Cloudflare Turnstile klarer sig stort set uden synlige udfordringer:

• Venlig Captcha: en tysk udbyder. Den besøgendes browser løser en lille beregningsopgave i baggrunden, hvilket kræver meget lidt indsats for en enkelt besøgende, men bliver dyrt for bots, der sender et stort antal anmodninger. Ifølge udbyderen evaluerer den også risikosignaler.

• reCAPTCHA v3: viser aldrig en udfordring Den returnerer en score for hver anmodning, og hjemmesiden bestemmer, hvad der sker derefter. Hvis du blokerer eller omdirigerer brugere med en lav score, skal det næste trin også være tilgængeligt.

• Cloudflare tællekors: tilbud tre widget-tilstande I "Administreret" tilstand bedes besøgende kun om at markere et afkrydsningsfelt, hvis et yderligere afkrydsningsfelt er nødvendigt – der er ingen gåder.

Når du bruger eksterne tjenester, skal du kontrollere, hvad der sker, hvis verifikationen mislykkes, og om der er et tilgængeligt alternativ tilgængeligt. Overvej også, hvilke data der deles med udbyderen, og om løsningen overholder GDPR. Hvis en udbyder hævder at være tilgængelig, skal du selv teste dette i din egen formular.

Adgangsnøgler, tofaktorgodkendelse og magiske links

Til loginprocesser kan adgangsnøgler, tofaktorgodkendelse og e-mailbaserede loginlinks gøre CAPTCHA-gåder unødvendige. I stedet er de afhængige af noget, som en bot ikke nemt kan imitere, såsom adgang til en e-mailkonto eller en registreret enhed.

Disse metoder hjælper også med at opfylde WCAG 3.3.8, fordi brugerne ikke behøver at huske en adgangskode eller løse en gåde. Sørg for, at folk kan vælge mellem flere metoder: en kode, der kun læses op, udelukker for eksempel døve.

Hvordan Eye-Able kan hjælpe

Automatiserede tests kan finde mange barrierer i formularer, såsom manglende etiketter eller utilstrækkelig kontrast. Eye-Able Revision og rapport , kan du kontrollere dine formularer for sådanne fejl og rette dem ved kilden. Vores guide til tilgængelige onlineformularer viser, hvad man skal være opmærksom på.

Om en CAPTCHA rent faktisk kan udfyldes, kan dog kun testes manuelt: med et tastatur, med en skærmlæser og ved at kontrollere, hvad der sker, når verifikationen mislykkes.

Konklusion

Den bedste CAPTCHA er slet ingen CAPTCHA.

Uanset hvilken type du vælger, er der en god chance for, at den vil udelukke mindst én gruppe brugere. Selv mennesker uden handicap kender frustrationen ved den tredje runde trafiklys.

En hjemmeside kan designes med stor omhu, men hvis det sidste trin ikke virker, mislykkes hele processen. Hvis du har brug for spambeskyttelse, skal du følge disse principper:

1. Undgå synlige udfordringer: Brug først honeypots, server-side filtre eller tjenester uden puslespil.

2. Tilbudsalternativer: Hvis en CAPTCHA er uundgåelig, skal du angive mindst to former for forskellige sanser, såsom visuelle og auditive.

3. Tilbyd altid en anden måde: Angiv et telefonnummer eller en e-mailadresse til alle, der ikke kan bestå kontrollen. Hverken en visuel eller en auditiv udfordring virker for døvblinde.

4. Gør selve CAPTCHA'en tilgængelig: Alt skal fungere med et tastatur, uden at trække og uden tidsbegrænsninger.

5. Test hele processen: Brug et tastatur og en skærmlæser, inklusive hvad der sker, når bekræftelsen mislykkes.

Tilgængelighed stopper ikke ved designet. Alle skal kunne fuldføre processen efter at have klikket på "Send".

Nysgerrig efter, hvor tilgængelig din egen hjemmeside er? gratis tilgængelighedstjek giver dig et første overblik på under 2 minutter.

Ofte stillede spørgsmål: CAPTCHA'er og tilgængelighed

Er CAPTCHA'er tilgængelige?

Ikke automatisk. Traditionelle CAPTCHA'er, der involverer billedgåder, forvrænget tekst eller lydudfordringer, kan udelukke personer med syns-, høre-, motoriske eller kognitive handicap. Selv usynlige CAPTCHA'er er ikke nødvendigvis tilgængelige, hvis de fejlagtigt identificerer legitime brugere som bots og ikke tilbyder noget tilgængeligt alternativ.

Overtræder CAPTCHA'er WCAG?

CAPTCHA'er er ikke eksplicit forbudt af retningslinjerne for tilgængelighed af webindhold (WCAG). De skal dog opfylde visse tilgængelighedskrav. Succeskriterium 1.1.1 kræver for eksempel tekstalternativer, der identificerer og beskriver formålet med en CAPTCHA, samt alternative former, der imødekommer forskellige sensoriske evner. Tastaturtilgængelighed og andre relevante krav skal også tages i betragtning.

Hvad er alternativerne til CAPTCHA'er?

Alternativer inkluderer honeypot-felter, spamfiltre på serversiden, hastighedsbegrænsning og moderne tjenester som Friendly Captcha eller Cloudflare Turnstile. Disse løsninger kan registrere eller begrænse automatiserede anmodninger uden at kræve, at brugerne identificerer billeder eller løser gåder. De skal dog stadig testes for tilgængelighed.

Er Google reCAPTCHA tilgængelig?

Det afhænger af versionen og hvordan den implementeres. Billedbaserede reCAPTCHA-udfordringer kan skabe barrierer for personer med syns- eller motoriske handicap. reCAPTCHA v3 bruger derimod baggrundsrisikovurdering. Det vigtigste er, om brugerne har en tilgængelig måde at fuldføre processen på, hvis verifikationen mislykkes.

Hvordan kan du beskytte formularer mod spam uden at skabe tilgængelighedsbarrierer?

En lagdelt tilgang, der minimerer yderligere opgaver for brugerne, er generelt den bedste løsning. Dette kan omfatte spamfiltre på serversiden, hastighedsbegrænsning og korrekt implementerede honeypot-felter. Nøglen er at sikre, at sikkerhedsforanstaltninger ikke stiller personer med handicap dårligere, og at der er et tilgængeligt alternativ tilgængeligt, hvis nogen fejlagtigt identificeres som en bot.