CAPTCHA's: Hoe u formulieren veilig houdt zonder obstakels op te werpen

Toegankelijke CAPTCHA's: Belangrijkste conclusies

• CAPTCHA's kunnen mensen uitsluiten: Beeldpuzzels, vervormde tekst en audio-uitdagingen zijn vaak onmogelijk te voltooien voor mensen met bepaalde beperkingen.

• Onzichtbare controles zijn niet automatisch toegankelijk: Mensen die schermlezers of andere ondersteunende technologieën gebruiken, kunnen ten onrechte als bots worden aangemerkt omdat hun gedrag afwijkt van wat het systeem verwacht.

• Er zijn alternatieven: Honeypotvelden, server-side spamfilters en moderne verificatiemethoden kunnen formulieren beschermen zonder dat gebruikers extra puzzels hoeven op te lossen.

• Het hele proces is van belang: Als een beveiligingscontrole niet beschikbaar is, hebben gebruikers een andere manier nodig om verder te gaan. Anders kan één enkele CAPTCHA een verder toegankelijke website onbruikbaar maken.

Wanneer spamfilter een barrière wordt

Het kleurcontrast is goed, alles is te bedienen met een toetsenbord en de schermlezer leest alle inhoud probleemloos voor. De website lijkt toegankelijk. Je hebt net een aanvraag voor een officieel document ingevuld, bijna een doktersafspraak gemaakt of je wekelijkse online boodschappen gedaan. Het enige wat je nog hoeft te doen, is op 'Verzenden' klikken.

Maar dan duikt er ineens een CAPTCHA op. Je wordt gevraagd om vervormde letters in te typen, fietsen te selecteren op wazige foto's of een puzzelstukje op zijn plaats te slepen.

Voor de meeste mensen is dit slechts een vervelende extra stap. Voor mensen met een beperking kan het echter een obstakel vormen waardoor ze de taak helemaal niet kunnen voltooien, zelfs als de rest van de website goed werkt. Iedereen die de uitdaging niet kan voltooien, moet op de hulp van iemand anders vertrouwen of het proces opgeven. Een maatregel ter bescherming tegen spam ontneemt mensen uiteindelijk hun zelfstandigheid.

Wat zijn CAPTCHA's en waarom worden ze gebruikt?

CAPTCHA staat voor "Completely Automated Public Turing test to tell Computers and Humans Apart" (Volledig geautomatiseerde openbare Turing-test om computers en mensen van elkaar te onderscheiden). Het is ontwikkeld om onderscheid te maken tussen mensen en computers of bots.

CAPTCHA's worden voornamelijk gebruikt om formulieren te beschermen tegen spam, nepaccounts en geautomatiseerde aanvallen. Dit leidt tot een conflict: maatregelen die bedoeld zijn om bots buiten te houden, kunnen er ook voor zorgen dat echte mensen geen gebruik kunnen maken van een dienst.

Welke soorten CAPTCHA's bestaan er en wie worden erdoor uitgesloten?

CAPTCHA's zijn in de loop der jaren veranderd naarmate bots geavanceerder zijn geworden. Helaas sluiten bijna alle gangbare typen bepaalde groepen gebruikers uit, om zeer uiteenlopende redenen.

Dit treft niet alleen mensen met een blijvende beperking. Veel ouderen ondervinden ook problemen doordat hun gezichtsvermogen, fijne motoriek of concentratievermogen achteruitgaat. En tijdelijke beperkingen, zoals een gebroken arm of migraine, kunnen een uitdaging eveneens bemoeilijken.

Vervormde tekst

Vervormde tekst is het klassieke CAPTCHA-formaat. Het stamt uit een tijd waarin computers slechter waren in het herkennen van vervormde tekens dan mensen. Tegenwoordig is het tegenovergestelde waar: een Studie uit 2023 gepresenteerd op USENIX Security Uit onderzoek onder 1400 deelnemers bleek dat mensen in 50 tot 84% van de gevallen CAPTCHA's met vervormde tekst correct oplosten en daar 9 tot 15 seconden voor nodig hadden. Bots die in het onderzoek werden beschreven, behaalden een nauwkeurigheid van ongeveer 99,8% in minder dan een seconde.

Voor blinde gebruikers is de afbeelding onleesbaar, omdat er geen tekstalternatief is. Mensen met een visuele beperking kunnen moeite hebben om sterk vervormde tekens met weinig contrast te ontcijferen. En voor mensen met dyslexie vormt het typen van betekenisloze reeksen tekens een extra obstakel.

Beeldpuzzels en tegelroosters

Bij deze uitdagingen moeten gebruikers verkeerslichten, bussen, voetgangersovergangen of bruggen op foto's herkennen. Ze werden deels geïntroduceerd omdat bots steeds beter waren geworden in het lezen van vervormde tekst.

Ze zijn vooral bekend van Google's reCAPTCHA v2, die algemeen wordt beschouwd als de meest gebruikte CAPTCHA-service. Deze toont eerst het selectievakje "Ik ben geen robot" en toont vaak pas afbeeldingen als een bezoek verdacht lijkt.

Blinde gebruikers kunnen deze puzzels niet oplossen, omdat de afbeeldingen opzettelijk geen tekstuele alternatieven hebben – dat zou het antwoord aan bots prijsgeven. Wazige afbeeldingen en kleine tegels zorgen ook voor problemen voor mensen met een verminderd gezichtsvermogen of beperkte fijne motoriek.

Zelfs zonder beperking kunnen de instructies verwarrend zijn. Telt bij het kiezen van een verkeerslicht de paal mee, of alleen het signaal zelf?

Audio-uitdagingen

Audio-CAPTCHA's lezen cijfers of woorden voor die gebruikers vervolgens in een veld typen. Ze werden geïntroduceerd als alternatief voor mensen die het beeld niet kunnen zien en worden daarom vaak beschouwd als de toegankelijke optie voor blinde gebruikers.

Voor mensen die doof of slechthorend zijn, zijn ze echter onbruikbaar. En voor doofblinde mensen werken noch de visuele noch de auditieve optie.

Om geautomatiseerde spraakherkenning te bemoeilijken, worden de opnames opzettelijk vervormd met achtergrondgeluid of muziek. Hierdoor kunnen ze zelfs voor mensen zonder gehoorproblemen moeilijk te verstaan zijn.

Schuifregelaars en puzzels

Bij deze uitdagingen moeten gebruikers een puzzelstukje slepen of een schuifregelaar precies op de juiste plek zetten.

Dit vereist een nauwkeurige hand-oogcoördinatie. Het kan extreem moeilijk zijn voor mensen die gebruikmaken van alternatieve invoerapparaten of oogvolgtechnologie, evenals voor mensen met trillingen.

Dergelijke uitdagingen kunnen vaak ook niet met een toetsenbord of schermlezer worden opgelost. En iemand die de vorm of positie van het ontbrekende stukje niet kan zien, kan de puzzel niet oplossen.

Wiskundige uitdagingen

Eenvoudige rekenvragen zoals "Wat is 7 + 4?" zijn tekstgebaseerd en kunnen daarom toegankelijker worden gemaakt dan puzzels met afbeeldingen.

Ze kunnen echter nog steeds een belemmering vormen voor mensen met dyscalculie of cognitieve beperkingen. Ook mensen met concentratie- of leerproblemen kunnen merken dat de extra taak hen afleidt.

Bots lossen deze vragen daarentegen moeiteloos op. Wiskundige uitdagingen bieden weinig bescherming, maar voor mensen blijven de drempels bestaan.

Achtergrondcontroles

Achtergrondcontroles worden onzichtbaar uitgevoerd en beoordelen hoe bezoekers met een website omgaan, bijvoorbeeld door muisbewegingen, de tijd die op de pagina wordt doorgebracht of apparaatinformatie te analyseren.

De meeste mensen merken deze controles niet eens op, dus op het eerste gezicht lijken ze de meest toegankelijke oplossing.

Problemen ontstaan wanneer iemand ten onrechte als bot wordt aangemerkt omdat zijn of haar gedrag afwijkt van wat het systeem als typisch beschouwt. Dit kan gebeuren bij mensen die gebruikmaken van ondersteunende technologieën, die alleen met een toetsenbord navigeren of die meer tijd nodig hebben.

Vervolgens kan hen gevraagd worden een zichtbare uitdaging te voltooien, of ze kunnen helemaal niet verder. Zonder een toegankelijk alternatief stuiten ze op precies hetzelfde probleem als met traditionele CAPTCHA's.

Wat maakt het probleem nog erger?

Ongeacht het type CAPTCHA kunnen bepaalde factoren een moeilijke uitdaging in een onmogelijke veranderen:

• Tijdslimieten die niet verlengd kunnen worden: De taak verloopt voordat iemand die gebruikmaakt van ondersteunende technologie of een beperkte motorische controle heeft, deze heeft voltooid.

• Er is geen alternatieve manier om het proces te voltooien: Bijvoorbeeld: geen telefoonnummer of e-mailadres voor mensen die niet door de veiligheidscontrole komen.

• Toegankelijkheidscookies die afzonderlijk geregistreerd moeten worden: Sommige aanbieders, zoals hCaptcha, bieden een cookie aan waarmee gebruikers visuele beveiligingsvragen kunnen overslaan. Om deze cookie te verkrijgen, moeten gebruikers zich met hun e-mailadres registreren bij een externe aanbieder. De cookie werkt mogelijk niet meer als de browser cookies van derden blokkeert of als de gebruiker van apparaat wisselt.

Wat zeggen de WCAG en de wetgeving over CAPTCHA's?

De Richtlijnen voor toegankelijkheid van webinhoud (WCAG) CAPTCHA's zijn niet verboden. Maar ze stellen wel duidelijke eisen:

• 1.1.1 Niet-tekstuele inhoud (niveau A): Een CAPTCHA heeft een tekstalternatief nodig dat het doel ervan beschrijft. Daarnaast... alternatieve vormen die gebruikmaken van verschillende soorten zintuiglijke waarneming moet beschikbaar zijn, bijvoorbeeld een beeld- en een geluidsversie.

• 3.3.8 Toegankelijke authenticatie (minimum) (niveau AA): Nieuw in WCAG 2.2. Tijdens een inlogproces, geen cognitieve functietest – zoals het oplossen van een puzzel of het transcriberen van tekens – kan nodig zijn, tenzij er een alternatief of een mechanisme is dat helpt. Het herkennen van objecten, zoals "selecteer alle verkeerslichten", is op dit niveau een uitzondering.

• 3.3.9 Toegankelijke authenticatie (verbeterd) (niveau AAA): De uitzondering voor objectherkenning is hier niet langer van toepassing.

• 2.5.7 Sleepbewegingen (niveau AA): Nieuw in WCAG 2.2. Alles wat slepen vereist, zoals een schuifregelaar-CAPTCHA, moet ook met één klik of tik te voltooien zijn.

• 2.2.1 Tijdsinstelling (niveau A): Gebruikers moeten de mogelijkheid hebben om tijdslimieten uit te schakelen, aan te passen of te verlengen.

• 2.1.1 Toetsenbord (niveau A): De hele uitdaging moet met een toetsenbord te bedienen zijn.

In de EU, de Europese Toegankelijkheidsverordening (EAA) is van toepassing sinds 28 juni 2025, bijvoorbeeld op webwinkels, bankdiensten en boekingsprocessen. De technische basis is de Europese norm EN 301 549. De huidige versie V3.2.1 verwijst naar WCAG 2.1 niveau AA. nieuwe versie V4.1.1, gepubliceerd in september 2026 , neemt WCAG 2.2 over, inclusief 3.3.8 en 2.5.7. Deze wordt als wettelijke referentie gebruikt zodra de Europese Commissie ernaar verwijst in het Officiële Journal van de EU. Als u uw formulieren nu al ontwerpt, is het verstandig om nu al WCAG 2.2 te volgen.

Kun je formulieren beschermen tegen spam zonder CAPTCHA's?

Het is begrijpelijk dat websitebeheerders hun formulieren willen beschermen, vooral nu AI geautomatiseerd misbruik gemakkelijker maakt.

Maar als bijna elk gangbaar CAPTCHA-type problemen oplevert voor ten minste één groep gebruikers, rijst de vraag hoe bescherming geboden kan worden zonder deze obstakels. De notitie van het W3C hierover CAPTCHA is niet toegankelijk raadt aan de voorkeur te geven aan methoden die geen interactie van gebruikers vereisen.

Er zijn alternatieven die veel minder inspanning van bezoekers vergen. Deze zijn echter ook niet automatisch toegankelijk en moeten correct worden geïmplementeerd.

Honingpotvelden

Een honeypot voegt een extra veld toe aan een formulier dat mensen niet zien. Bots die automatisch elk veld in de broncode invullen, verraden zichzelf door het veld in te vullen, terwijl mensen het leeg laten.

Deze aanpak werkt alleen als het veld voor iedereen verborgen is, ook voor toetsenbord- en schermlezergebruikers. Anders zouden echte mensen het kunnen invullen en als bots worden geblokkeerd.

• Eenvoudigste optie: Verberg het veld metdisplay: noneof dehiddenattribuut. Het wordt vervolgens visueel verborgen, zowel voor schermlezers als voor toetsenbordnavigatie.

• Als je het veld in plaats daarvan buiten beeld plaatst: Toevoegentabindex="-1"zodat het niet met het toetsenbord bereikbaar is.aria-hidden="true"schermlezers negeren het dus, enautocomplete="off"Zodat de browser het niet automatisch invult. Een label zoals "Laat dit veld leeg" is handig voor het geval iemand het toch bereikt.

Spamfilters en snelheidsbeperking aan de serverzijde

Met deze aanpak controleert de server of een inzending legitiem lijkt, bijvoorbeeld door veelvoorkomende spampatronen te analyseren of door te kijken hoe snel een formulier is ingevuld. Rate limiting beperkt ook het aantal verzoeken dat hetzelfde IP-adres binnen een korte periode kan versturen.

Deze controles zijn onzichtbaar voor bezoekers. De regels mogen echter geen mensen uitsluiten die langer nodig hebben om een formulier in te vullen, bijvoorbeeld omdat ze een schermlezer of spraakbesturing gebruiken of een motorische beperking hebben. Er moet ook rekening worden gehouden met het feit dat veel mensen een IP-adres delen, zoals in een kantoor of een zorginstelling.

Moderne diensten zonder raadsels

Diensten zoals Friendly Captcha, reCAPTCHA v3 en Cloudflare Turnstile werken grotendeels zonder zichtbare uitdagingen:

• Vriendelijke captcha: Een Duitse aanbieder. De browser van de bezoeker voert op de achtergrond een kleine rekentaak uit, wat voor een individuele bezoeker weinig moeite kost, maar kostbaar wordt voor bots die grote aantallen verzoeken versturen. Volgens de aanbieder worden hiermee ook risicosignalen geëvalueerd.

• reCAPTCHA v3: toont nooit een uitdaging Het systeem geeft een score terug voor elk verzoek, en de website bepaalt vervolgens wat er gebeurt. Als je gebruikers met een lage score blokkeert of doorverwijst, moet die volgende stap ook toegankelijk zijn.

• Cloudflare-draaipoort: aanbiedingen drie widgetmodi In de "Beheerde" modus wordt bezoekers alleen gevraagd een selectievakje aan te vinken als een extra controle nodig is – er zijn geen raadsels.

Bij gebruik van externe diensten is het belangrijk te controleren wat er gebeurt als de verificatie mislukt en of er een toegankelijk alternatief beschikbaar is. Overweeg ook welke gegevens met de aanbieder worden gedeeld en of de oplossing voldoet aan de AVG (Algemene Verordening Gegevensbescherming). Als een aanbieder beweert toegankelijk te zijn, test dit dan zelf in uw eigen formulier.

Wachtwoorden, tweefactorauthenticatie en magische links

Bij inlogprocessen kunnen wachtwoorden, tweefactorauthenticatie en inloglinks via e-mail CAPTCHA-puzzels overbodig maken. In plaats daarvan vertrouwen ze op iets wat een bot niet gemakkelijk kan imiteren, zoals toegang tot een e-mailaccount of een geregistreerd apparaat.

Deze methoden helpen ook om te voldoen aan WCAG 3.3.8, omdat gebruikers geen wachtwoord hoeven te onthouden of een puzzel hoeven op te lossen. Zorg ervoor dat mensen kunnen kiezen uit verschillende methoden: een code die alleen wordt voorgelezen, sluit bijvoorbeeld doven uit.

Hoe Eye-Able kan helpen

Geautomatiseerde tests kunnen veel obstakels in formulieren opsporen, zoals ontbrekende labels of onvoldoende contrast. Met Eye-Able Audit & Rapportage U kunt uw formulieren controleren op dergelijke fouten en deze bij de bron corrigeren. Onze handleiding voor toegankelijke online formulieren Het laat zien waar je op moet letten.

Of een CAPTCHA daadwerkelijk kan worden ingevuld, kan echter alleen handmatig worden getest: met een toetsenbord, met een schermlezer en door te controleren wat er gebeurt als de verificatie mislukt.

Conclusie

De beste CAPTCHA is helemaal geen CAPTCHA.

Welk type je ook kiest, de kans is groot dat het minstens één groep gebruikers uitsluit. Zelfs mensen zonder beperkingen kennen de frustratie van de derde stoplichtronde.

Een website kan met grote zorg ontworpen worden, maar als de laatste stap mislukt, is het hele proces gedoemd te mislukken. Als je spam wilt voorkomen, volg dan deze principes:

1. Vermijd zichtbare uitdagingen: Gebruik eerst honeypots, server-side filters of services zonder puzzels.

2. Bied alternatieven aan: Als een CAPTCHA onvermijdelijk is, bied dan minstens twee varianten aan voor verschillende zintuigen, zoals visueel en auditief.

3. Bied altijd een alternatieve oplossing aan: Geef een telefoonnummer of e-mailadres op van iedereen die de controle niet kan doorstaan. Zowel visuele als auditieve tests werken niet voor doofblinde mensen.

4. Maak de CAPTCHA zelf toegankelijk: Alles moet met een toetsenbord werken, zonder slepen en zonder tijdslimieten.

5. Test het hele proces: Gebruik een toetsenbord en schermlezer, inclusief wat er gebeurt als de verificatie mislukt.

Toegankelijkheid beperkt zich niet tot het ontwerp. Iedereen moet het proces kunnen voltooien na het klikken op 'Verzenden'.

Benieuwd hoe toegankelijk uw eigen website is? Onze gratis toegankelijkheidscontrole Geeft je binnen 2 minuten een eerste overzicht.

Veelgestelde vragen: CAPTCHA's en toegankelijkheid

Zijn CAPTCHA's toegankelijk?

Niet automatisch. Traditionele CAPTCHA's met beeldpuzzels, vervormde tekst of audio-uitdagingen kunnen mensen met visuele, auditieve, motorische of cognitieve beperkingen uitsluiten. Zelfs onzichtbare CAPTCHA's zijn niet per se toegankelijk als ze legitieme gebruikers ten onrechte als bots identificeren en geen toegankelijk alternatief bieden.

Schenden CAPTCHA's WCAG?

CAPTCHA's zijn niet expliciet verboden door de Web Content Accessibility Guidelines (WCAG). Ze moeten echter wel aan bepaalde toegankelijkheidseisen voldoen. Succescriterium 1.1.1 vereist bijvoorbeeld tekstalternatieven die het doel van een CAPTCHA identificeren en beschrijven, evenals alternatieve vormen die rekening houden met verschillende zintuiglijke mogelijkheden. Ook toetsenbordtoegankelijkheid en andere relevante vereisten moeten in overweging worden genomen.

Wat zijn de alternatieven voor CAPTCHA's?

Alternatieven zijn onder andere honeypot-velden, server-side spamfilters, rate limiting en moderne diensten zoals Friendly Captcha of Cloudflare Turnstile. Deze oplossingen kunnen geautomatiseerde verzoeken detecteren of beperken zonder dat gebruikers afbeeldingen hoeven te identificeren of puzzels hoeven op te lossen. Ze moeten echter nog wel getest worden op toegankelijkheid.

Is Google reCAPTCHA toegankelijk?

Dat hangt af van de versie en de implementatie ervan. Op afbeeldingen gebaseerde reCAPTCHA-uitdagingen kunnen een belemmering vormen voor mensen met een visuele of motorische beperking. reCAPTCHA v3 daarentegen maakt gebruik van een risicobeoordeling op de achtergrond. Het belangrijkste is of gebruikers een toegankelijke manier hebben om het proces te voltooien als de verificatie mislukt.

Hoe kun je formulieren beschermen tegen spam zonder toegankelijkheidsbelemmeringen op te werpen?

Een gelaagde aanpak die extra taken voor gebruikers minimaliseert, is over het algemeen de beste optie. Dit kan onder meer server-side spamfilters, rate limiting en correct geïmplementeerde honeypot-velden omvatten. De sleutel is ervoor te zorgen dat beveiligingsmaatregelen mensen met een beperking niet benadelen en dat er een toegankelijk alternatief beschikbaar is als iemand ten onrechte als bot wordt geïdentificeerd.