CAPTCHA'lar: Engeller oluşturmadan formları nasıl güvenli tutabilirsiniz?

Erişilebilir CAPTCHA'lar: Önemli Noktalar

• CAPTCHA'lar insanları dışlayabilir: Görsel bulmacalar, bo distorted metin ve sesli zorluklar, belirli engellere sahip kişiler için genellikle tamamlanması imkansızdır.

• Görünmez çeklere otomatik olarak erişilemez: Ekran okuyucu veya diğer yardımcı teknolojileri kullanan kişiler, davranışları sistemin beklediğinden farklı olduğu için yanlışlıkla bot olarak tanımlanabilirler.

• Alternatifler mevcuttur: Tuzak alanlar, sunucu tarafı spam filtreleri ve modern doğrulama yöntemleri, kullanıcıları ek bulmacalar çözmeye zorlamadan formları koruyabilir.

• Tüm süreç önemlidir: Eğer güvenlik kontrolüne erişilemiyorsa, kullanıcıların devam etmek için başka bir yola ihtiyaçları vardır. Aksi takdirde, tek bir CAPTCHA, normalde erişilebilir olan bir web sitesini kullanılamaz hale getirebilir.

Spam koruması bir engel haline geldiğinde

Renk kontrastı doğru, her şey klavye ile çalıştırılabiliyor ve ekran okuyucu tüm içeriği sorunsuz bir şekilde okuyor. Web sitesi erişilebilir görünüyor. Resmi bir belge için başvuru formunu doldurdunuz, neredeyse doktor randevusu aldınız veya haftalık online alışverişinizi tamamladınız. Geriye kalan tek şey "Gönder"e tıklamak.

Ama aniden bir CAPTCHA karşınıza çıkıyor. Bozuk harfler yazmanız, bulanık fotoğraflardaki bisikletleri seçmeniz veya bir yapboz parçasını yerine sürüklemeniz isteniyor.

Çoğu insan için bu sadece can sıkıcı bir ek adımdır. Ancak engelli kişiler için, web sitesinin geri kalanı iyi çalışsa bile, görevi tamamlamalarını tamamen engelleyen bir engel olabilir. Görevi tamamlayamayan herkes başkasının yardımına güvenmek zorunda kalır veya süreci bırakır. Spam koruma önlemi, insanların bağımsızlığını ellerinden alır.

CAPTCHA'lar nedir ve neden kullanılır?

CAPTCHA, "Bilgisayarları ve İnsanları Ayırt Etmek İçin Tamamen Otomatikleştirilmiş Genel Turing Testi" anlamına gelir. İnsanlar ile bilgisayarlar veya botlar arasında ayrım yapmak için geliştirilmiştir.

CAPTCHA'lar esas olarak formları spam'e, sahte hesaplara ve otomatik saldırılara karşı korumak için kullanılır. Bu bir çelişki yaratır: Botları dışarıda tutmak için tasarlanan önlemler, gerçek kişilerin bir hizmeti kullanmasını da engelleyebilir.

CAPTCHA türleri nelerdir ve kimleri kapsam dışı bırakırlar?

Botların daha yetenekli hale gelmesiyle birlikte CAPTCHA'lar da yıllar içinde değişti. Ne yazık ki, yaygın türlerin neredeyse tamamı, çok farklı nedenlerden dolayı belirli kullanıcı gruplarını dışlıyor.

Bu durum sadece kalıcı engellilere sahip kişileri etkilemiyor. Birçok yaşlı insan da görme yeteneği, ince motor becerileri veya konsantrasyonları azaldıkça zorluk çekiyor. Ayrıca kırık kol veya migren gibi geçici kısıtlamalar da zorluğu daha da artırabiliyor.

Bozuk metin

Bozuk metin, klasik CAPTCHA formatıdır. Bilgisayarların bozuk karakterleri tanımada insanlardan daha kötü olduğu zamanlara dayanmaktadır. Bugün ise durum tam tersidir: USENIX Güvenlik Konferansı'nda sunulan 2023 tarihli çalışma 1400 katılımcıyla yapılan bir araştırmada, insanların bozuk metinli CAPTCHA'ları %50 ila %84 oranında doğru çözdüğü ve bunun için 9 ila 15 saniyeye ihtiyaç duyduğu bulundu. Araştırmada açıklanan botlar ise bir saniyeden kısa sürede yaklaşık %99,8 doğruluk oranına ulaşıyor.

Görme engelli kullanıcılar için, metin alternatifi olmadığı için görüntü okunamaz durumdadır. Az gören kişiler, kontrastı düşük ve aşırı derecede bo distorted karakterleri ayırt etmekte zorlanabilirler. Ve disleksi olan kişiler için, anlamsız karakter dizilerini yazmak ek bir engel oluşturur.

Resim bulmacaları ve karo ızgaraları

Bu görevler, kullanıcılardan fotoğraflarda trafik ışıklarını, otobüsleri, yaya geçitlerini veya köprüleri tanımlamalarını istiyor. Bunlar kısmen, botların bo distorted metinleri okumada giderek daha başarılı hale gelmesi nedeniyle ortaya çıkarıldı.

Bunlar özellikle Google'ın reCAPTCHA v2'sinden bilinir ve en yaygın CAPTCHA hizmeti olarak kabul edilir. İlk olarak "Ben robot değilim" onay kutusunu gösterir ve genellikle yalnızca ziyaret şüpheli göründüğünde görsel doğrulama soruları görüntüler.

Görme engelli kullanıcılar bu bulmacaları çözemezler çünkü resimlerde kasıtlı olarak metin alternatifi bulunmamaktadır – bu, cevabı botlara ifşa ederdi. Bulanık resimler ve küçük parçalar da görme yetisi düşük veya ince motor becerileri sınırlı olan kişiler için zorluklara neden olur.

Engelli olmasanız bile, talimatlar kafa karıştırıcı olabilir. Trafik ışığı seçerken, direk mi sayılıyor, yoksa sadece sinyalin kendisi mi?

Ses sorunları

Sesli CAPTCHA'lar, kullanıcıların daha sonra bir alana yazacakları sayıları veya kelimeleri sesli olarak okur. Görüntüyü göremeyen kişiler için bir alternatif olarak tanıtılmışlardır ve bu nedenle genellikle görme engelli kullanıcılar için erişilebilir seçenek olarak kabul edilirler.

Ancak işitme engelli veya işitme güçlüğü çeken kişiler için bunlar kullanılamaz. Hem işitme hem de görme engelli kişiler için ise ne görsel ne de işitsel seçenek işe yarar.

Otomatik konuşma tanımayı zorlaştırmak için, kayıtlar kasıtlı olarak arka plan gürültüsü veya müzikle bozulur. Sonuç olarak, işitme engeli olmayan kişiler için bile anlaşılması zor olabilir.

Kaydırmalı ve bulmaca oyunları

Bu görevler, kullanıcıların bir yapboz parçasını sürükleyerek veya bir kaydırıcıyı hareket ettirerek tam olarak doğru konuma getirmelerini gerektirir.

Bu, hassas el-göz koordinasyonu gerektirir. Alternatif giriş cihazları veya göz izleme teknolojisi kullanan kişiler için olduğu kadar titreme sorunu olan kişiler için de son derece zor olabilir.

Bu tür zorluklar genellikle klavye veya ekran okuyucu ile de tamamlanamaz. Ve eksik parçanın şeklini veya konumunu göremeyen hiç kimsenin bulmacayı çözme şansı yoktur.

Matematiksel zorluklar

"7 + 4 kaçtır?" gibi basit matematik soruları metin tabanlıdır ve bu nedenle resimli bulmacalara göre daha erişilebilir hale getirilebilir.

Ancak, bu durum yine de disleksi veya bilişsel engeli olan kişiler için engeller oluşturabilir. Konsantrasyon veya öğrenme güçlüğü çeken kişiler de bu ek görevin kendilerini rahatsız ettiğini düşünebilirler.

Bu arada botlar bu soruları zahmetsizce çözüyor. Matematiksel zorluklar çok az koruma sağlıyor, ancak insanlar için engeller devam ediyor.

Arka plan kontrolleri

Arka plan kontrolleri görünmez bir şekilde çalışır ve örneğin fare hareketlerini, sayfada geçirilen süreyi veya cihaz bilgilerini analiz ederek ziyaretçilerin bir web sitesiyle nasıl etkileşim kurduğunu değerlendirir.

Çoğu insan bu kontrollerin farkına bile varmıyor, bu yüzden ilk bakışta en kolay çözüm gibi görünüyorlar.

Birinin davranışı sistemin tipik olarak kabul ettiği davranışlardan farklı olduğunda ve bu nedenle yanlışlıkla bot olarak sınıflandırıldığında sorunlar ortaya çıkar. Bu durum, yardımcı teknolojiler kullanan, yalnızca klavye ile gezinen veya daha fazla zamana ihtiyaç duyan kişilerde görülebilir.

Bu durumda, kullanıcılardan görünür bir doğrulama işlemi tamamlamaları istenebilir veya hiç devam edemeyebilirler. Erişilebilir bir alternatif olmadan, geleneksel CAPTCHA'larda olduğu gibi aynı sorunla karşı karşıya kalırlar.

Sorunu daha da kötüleştiren nedir?

CAPTCHA türünden bağımsız olarak, bazı faktörler zorlu bir görevi imkansız hale getirebilir:

• Uzatılamayacak süre sınırları: Yardımcı teknoloji kullanan veya motor kontrolü sınırlı olan bir kişi görevi tamamlamadan önce görev sona erer.

• Süreci tamamlamanın başka bir yolu yok: Örneğin, güvenlik kontrolünden geçemeyen kişilerin telefon numarası veya e-posta adresi bulunmaz.

• Ayrı kayıt gerektiren erişilebilirlik çerezleri: hCaptcha gibi bazı sağlayıcılar, kullanıcıların görsel doğrulama testlerini atlamalarına olanak tanıyan bir çerez sunar. Bu çerezi almak için kullanıcıların üçüncü taraf bir sağlayıcıya e-posta adresleriyle kayıt olmaları gerekir ve tarayıcı üçüncü taraf çerezlerini engellerse veya kullanıcı cihaz değiştirirse çerez çalışmayı durdurabilir.

WCAG ve yasa, CAPTCHA'lar hakkında ne diyor?

O Web İçeriği Erişilebilirlik Yönergeleri (WCAG) CAPTCHA'ları yasaklamıyorlar. Ancak net şartlar koyuyorlar:

• 1.1.1 Metin Dışı İçerik (A Seviyesi): CAPTCHA'nın amacını açıklayan bir metin alternatifi gereklidir. Ayrıca, farklı duyusal algı türlerini kullanan alternatif biçimler Görsel ve sesli versiyon gibi bir seçenek mutlaka mevcut olmalıdır.

• 3.3.8 Erişilebilir Kimlik Doğrulama (Minimum) (AA seviyesi): WCAG 2.2'deki yenilik. Giriş işlemi sırasında, bilişsel işlev testi yok Bir bulmacayı çözmek veya karakterleri yazıya dökmek gibi işlemler, alternatif bir yol veya yardımcı bir mekanizma olmadığı sürece gerekli olabilir. "Tüm trafik ışıklarını seç" gibi nesneleri tanımak bu seviyede bir istisnadır.

• 3.3.9 Erişilebilir Kimlik Doğrulama (Gelişmiş) (AAA seviyesi): Burada, nesne tanıma istisnası artık geçerli değildir.

• 2.5.7 Sürükleme Hareketleri (AA seviyesi): WCAG 2.2'deki yenilik: Kaydırma çubuğu CAPTCHA gibi sürükleme gerektiren her şeyin, tek tıklama veya dokunma ile tamamlanabilmesi için de bir yönteme ihtiyaç duyulmaktadır.

• 2.2.1 Zamanlama Ayarlanabilir (A Seviyesi): Kullanıcılar zaman sınırlarını kapatabilmeli, ayarlayabilmeli veya uzatabilmelidir.

• 2.1.1 Klavye (A seviyesi): Tüm bu görev, klavye ile çalıştırılabilir olmalıdır.

AB'de, Avrupa Erişilebilirlik Yasası (EAA) Örneğin, çevrimiçi mağazalar, bankacılık hizmetleri ve rezervasyon süreçleri gibi alanlarda 28 Haziran 2025 tarihinden itibaren uygulanmaktadır. Teknik temeli Avrupa standardı EN 301 549'dur. Mevcut sürümü V3.2.1, WCAG 2.1 seviye AA'ya karşılık gelmektedir. Yeni sürüm V4.1.1, Eylül 2026'da yayınlandı. WCAG 2.2, 3.3.8 ve 2.5.7 maddeleri de dahil olmak üzere, bu standardı benimser. Avrupa Komisyonu tarafından AB Resmi Gazetesi'nde yayımlandığı anda yasal referans olarak uygulanır. Formlarınızı şimdiden planlıyorsanız, WCAG 2.2'yi takip etmeniz mantıklıdır.

CAPTCHA kullanmadan formları spam'den koruyabilir misiniz?

Özellikle yapay zekanın otomatik kötüye kullanımı kolaylaştırdığı şu dönemde, web sitesi operatörlerinin formlarını korumak istemeleri anlaşılabilir bir durum.

Ancak neredeyse her yaygın CAPTCHA türü en az bir kullanıcı grubu için sorun yaratıyorsa, soru şu: Bu engeller olmadan nasıl koruma sağlanabilir? W3C'nin bu konudaki notu... CAPTCHA'ya erişilememesi Kullanıcılardan herhangi bir etkileşim gerektirmeyen yaklaşımların tercih edilmesini önerir.

Ziyaretçilerden çok daha az çaba gerektiren alternatifler de mevcuttur. Ancak bunlar da otomatik olarak erişilebilir değildir ve doğru şekilde uygulanmaları gerekir.

Tuzak tarlaları

Bir tuzak sistemi, insanların görmediği fazladan bir alanı forma ekler. Kaynak kodda buldukları her alanı otomatik olarak dolduran botlar, bu alanı doldurarak kendilerini ele verirken, insanlar bu alanı boş bırakır.

Bu yaklaşım, alanın klavye ve ekran okuyucu kullanıcıları da dahil olmak üzere herkesten gizlenmesi durumunda işe yarar. Aksi takdirde, gerçek kişiler alanı doldurabilir ve bot olarak engellenebilirler:

• En basit seçenek: Alanı şu şekilde gizle:display: noneveyahiddenBu özellik, görsel olarak, ekran okuyuculardan ve klavye navigasyonundan gizlenir.

• Eğer alanı ekran dışına konumlandırırsanız: Eklemektabindex="-1"Bu nedenle klavye ile erişilemez.aria-hidden="true"Bu nedenle ekran okuyucular bunu görmezden gelir veautocomplete="off"Böylece tarayıcı otomatik olarak doldurmaz. "Bu alanı boş bırakın" gibi bir etiket, birisi bu alana ulaştığında yardımcı olur.

Sunucu tarafı spam filtreleri ve hız sınırlaması

Bu yaklaşımla, sunucu bir gönderimin meşru görünüp görünmediğini kontrol eder; örneğin, yaygın spam kalıplarını veya bir formun ne kadar hızlı doldurulduğunu analiz ederek. Hız sınırlaması ayrıca aynı IP adresinin kısa bir süre içinde gönderebileceği istek sayısını da kısıtlar.

Bu kontroller ziyaretçiler için görünmezdir. Ancak kurallar, örneğin ekran okuyucu veya sesli kontrol kullanan veya motor engeli olan kişiler gibi, bir formu doldurmak için daha uzun süreye ihtiyaç duyan kişileri dışlamamalıdır. Ayrıca, bir ofis veya bakım evi gibi yerlerde birçok kişinin aynı IP adresini paylaşabileceğini de dikkate almaları gerekir.

Bulmaca içermeyen modern hizmetler

Friendly Captcha, reCAPTCHA v3 ve Cloudflare Turnstile gibi hizmetler büyük ölçüde görünür bir zorluk içermeden çalışır:

• Dostça Captcha: Alman bir sağlayıcı. Ziyaretçinin tarayıcısı arka planda küçük bir hesaplama görevi gerçekleştiriyor; bu, tek bir ziyaretçi için çok az çaba gerektirirken, çok sayıda istek gönderen botlar için maliyetli hale geliyor. Sağlayıcıya göre, risk sinyallerini de değerlendiriyor.

• reCAPTCHA v3: asla bir meydan okuma göstermez. Her istek için bir puan döndürür ve web sitesi bundan sonra ne olacağına karar verir. Düşük puan alan kullanıcıları engellerseniz veya yönlendirirseniz, sonraki adımın da erişilebilir olması gerekir.

• Cloudflare Turnstile: teklifler üç widget modu "Yönetilen" modda, ziyaretçilerden yalnızca ek bir onay gerekliyse ilgili kutucuğu işaretlemeleri istenir; herhangi bir bulmaca yoktur.

Harici hizmetler kullanırken, doğrulama başarısız olursa ne olacağını ve erişilebilir bir alternatifin mevcut olup olmadığını kontrol edin. Ayrıca, sağlayıcıyla hangi verilerin paylaşıldığını ve çözümün GDPR'ye uygun olup olmadığını da göz önünde bulundurun. Bir sağlayıcı erişilebilir olduğunu iddia ediyorsa, bunu kendi formunuzda kendiniz test edin.

Parola anahtarları, iki faktörlü kimlik doğrulama ve sihirli bağlantılar

Giriş işlemleri için parolalar, iki faktörlü kimlik doğrulama ve e-posta tabanlı oturum açma bağlantıları, CAPTCHA bulmacalarını gereksiz hale getirebilir. Bunun yerine, bir botun kolayca taklit edemeyeceği bir şeye, örneğin bir e-posta hesabına veya kayıtlı bir cihaza erişime güvenirler.

Bu yöntemler ayrıca WCAG 3.3.8'in gerekliliklerini karşılamaya da yardımcı olur, çünkü kullanıcıların şifre hatırlamaları veya bir bulmaca çözmeleri gerekmez. İnsanların çeşitli yöntemler arasında seçim yapabilmelerini sağlayın: örneğin, yalnızca sesli okunan bir kod, işitme engelli kişileri dışlar.

Eye-Able nasıl yardımcı olabilir?

Otomatik testler, formlarda eksik etiketler veya yetersiz kontrast gibi birçok engeli tespit edebilir. Eye-Able Denetim ve Raporu Bu sayede formlarınızdaki hataları kontrol edebilir ve kaynağında düzeltebilirsiniz. Kılavuzumuz size bu konuda yardımcı olacaktır. erişilebilir çevrimiçi formlar Nelere dikkat edilmesi gerektiğini gösteriyor.

Ancak bir CAPTCHA'nın gerçekten tamamlanıp tamamlanamayacağı yalnızca manuel olarak test edilebilir: klavye ile, ekran okuyucu ile ve doğrulama başarısız olduğunda ne olduğunu kontrol ederek.

Çözüm

En iyi CAPTCHA, hiç CAPTCHA olmamasıdır.

Hangi türü seçerseniz seçin, en az bir kullanıcı grubunu dışlama olasılığı yüksektir. Engelli olmayan kişiler bile üçüncü tur trafik ışıklarının yarattığı hayal kırıklığını bilir.

Bir web sitesi büyük bir özenle tasarlanabilir, ancak son adım düzgün çalışmazsa tüm süreç başarısız olur. Spam korumasına ihtiyacınız varsa, şu prensipleri izleyin:

1. Gözle görülür zorluklardan kaçının: Öncelikle tuzak sistemleri, sunucu tarafı filtreler veya bulmaca içermeyen hizmetler kullanın.

2. Alternatifler sunun: CAPTCHA kullanımı kaçınılmazsa, görsel ve işitsel gibi farklı duyular için en az iki farklı form sunulmalıdır.

3. Her zaman alternatif bir yol önerin: Kontrolü geçemeyen herkes için bir telefon numarası veya e-posta adresi verin. Görme veya işitme engeli, işitme ve görme engelli kişiler için geçerli değildir.

4. CAPTCHA'yı erişilebilir hale getirin: Her şey klavye ile, sürükleme olmadan ve zaman sınırlaması olmaksızın çalışmalıdır.

5. Tüm süreci test edin: Klavyeyi ve ekran okuyucuyu kullanın; doğrulama başarısız olduğunda ne olacağını da açıklayın.

Erişilebilirlik sadece tasarım aşamasında kalmaz. Herkes "Gönder" düğmesine tıkladıktan sonra süreci tamamlayabilmelidir.

Kendi web sitenizin ne kadar erişilebilir olduğunu merak ediyor musunuz? Bizim ücretsiz erişilebilirlik kontrolü Size 2 dakikadan kısa sürede ilk genel bakışı sunar.

Sıkça Sorulan Sorular: CAPTCHA'lar ve erişilebilirlik

CAPTCHA'lara erişim mümkün mü?

Otomatik olarak değil. Görsel bulmacalar, bozuk metin veya sesli zorluklar içeren geleneksel CAPTCHA'lar, görme, işitme, motor veya bilişsel engeli olan kişileri dışlayabilir. Görünmez CAPTCHA'lar bile, meşru kullanıcıları yanlışlıkla bot olarak tanımlarlarsa ve erişilebilir bir alternatif sunmazlarsa, mutlaka erişilebilir olmayabilirler.

CAPTCHA'lar WCAG yasasını ihlal ediyor mu?

CAPTCHA'lar, Web İçeriği Erişilebilirlik Yönergeleri (WCAG) tarafından açıkça yasaklanmamıştır. Bununla birlikte, belirli erişilebilirlik gereksinimlerini karşılamaları gerekir. Örneğin, Başarı Kriteri 1.1.1, bir CAPTCHA'nın amacını tanımlayan ve açıklayan metin alternatiflerinin yanı sıra farklı duyusal yeteneklere uyum sağlayan alternatif biçimler gerektirir. Klavye erişilebilirliği ve diğer ilgili gereksinimler de dikkate alınmalıdır.

CAPTCHA'lara alternatifler nelerdir?

Alternatifler arasında tuzak alanlar, sunucu tarafı spam filtreleri, hız sınırlama ve Friendly Captcha veya Cloudflare Turnstile gibi modern hizmetler yer almaktadır. Bu çözümler, kullanıcıların görüntüleri tanımlamasını veya bulmacaları çözmesini gerektirmeden otomatik istekleri tespit edebilir veya sınırlayabilir. Ancak, erişilebilirlik açısından test edilmeleri gerekmektedir.

Google reCAPTCHA erişilebilir mi?

Bu, sürüme ve nasıl uygulandığına bağlıdır. Görüntü tabanlı reCAPTCHA doğrulama yöntemleri, görme veya motor engeli olan kişiler için engeller oluşturabilir. Öte yandan, reCAPTCHA v3, arka plan risk değerlendirmesini kullanır. En önemlisi, doğrulama başarısız olursa kullanıcıların süreci tamamlamak için erişilebilir bir yola sahip olup olmamasıdır.

Formları erişilebilirlik engelleri oluşturmadan istenmeyen e-postalardan nasıl koruyabilirsiniz?

Kullanıcılar için ek görevleri en aza indiren katmanlı bir yaklaşım genellikle en iyi seçenektir. Bu, sunucu tarafı spam filtrelerini, hız sınırlamasını ve düzgün bir şekilde uygulanan tuzak alanlarını içerebilir. Önemli olan, güvenlik önlemlerinin engelli kişileri dezavantajlı duruma düşürmemesini ve birinin yanlışlıkla bot olarak tanımlanması durumunda erişilebilir bir alternatifin mevcut olmasını sağlamaktır.