画像を選ばないと通れないログイン

ある銀行のログインは、メールアドレスとパスワードを求めた後、口座の画面を開く前にもう1つ段階を挟みます。この段階の作り方としてよくあるのは2通りで、どちらも行き着く先は同じです。

1つ目は、ボット対策の確認です。新しいブラウザー、共用のネットワーク、プライバシー保護のツールを使っている人など、確認サービスが疑わしいと判定した訪問者には、「バスが写っている画像をすべて選んでください」の下に9枚の画像が並びます。日本では画像認証とも呼ばれ、たいていはCAPTCHAのサービスが、専用の枠の中に表示します。路面電車を数えるのか分からない人や、写真の端に写ったバスを見落とした人には、新しい画像が並び、もう一度やり直しになります。

2つ目は、本人の写真です。口座を開いたとき、銀行は自分の写真を1枚アップロードさせました。今回は「アップロードした写真を選んでください」の下に、その写真をほかの8枚と並べ、正しい1枚を選んだ人だけを通します。何年も前にアップロードした人や、海辺と庭のどちらの写真だったか覚えていない人は、先へ進めません。

どちらの場合も、通る方法は正しい画像を選ぶことだけです。ログイン用のリンクをメールで受け取るボタンも、パスキーも、ほかの方法もありません。ボット対策の確認では、スクリーンリーダーの利用者には「バスが写っている画像をすべて選んでください、グループ」に続いて「画像1、チェックボックス、チェックなし」と聞こえ、画像9まで同じように続きます。これでは始めることもできません。

達成基準3.3.9「アクセシブルな認証（高度）」はレベルAAAで、WCAG 2.2で新しく加わりました。ログインのどの段階も、認知機能テストを求めてはいけません。ただし、その段階に、テストのいらない別の方法か、テストを通る助けになる仕組みがあれば構いません。AAの3.3.8と同じ基準から、例外を2つ外したものです。AAでは、バスを選ぶような物の識別と、アップロードした写真のように本人がサイトに提供したコンテンツの識別は認められています。AAAでは、どちらも認められません。解説書も、この2種類をどちらも挙げています。認証の段階では、特定の物が写った画像を選ばせることも、本人が提供した画像を選ばせることもできません。

HTMLには、これを妨げるものが何もありません。画像の並びは普通の画像とチェックボックスか、CAPTCHAのサービスの枠でできていて、どちらもログインの画面にそのまま置けます。代替テキストでも解決しません。ボット対策の画像は、答えを教えずに何が写っているかを説明できません。本人がアップロードした写真にも、その横の写真にも、説明を付ける人はいません。仮に付けても、写真を見分けるテストが、説明を覚えておくテストに変わるだけです。一部のCAPTCHAのサービスにあるような音声版を加えても、別の方法にはなりません。3.3.8の解説書によれば、聞き取った内容を入力するのは書き写しで、これもテストだからです。

この段階は、パスワードが合っていた後に出ます。そのため、ログインが求めたことをすべて済ませた人を、支払いのように口座が最も必要なときに止めてしまうことがよくあります。

10グループ中3グループに影響

• 全盲 （影響あり）
• 弱視 （影響あり）
• 色覚 （影響なし）
• ろう （影響なし）
• 難聴 （影響なし）
• 発話 （影響なし）
• 手の操作 （影響なし）
• 筋力・可動域 （影響なし）
• 認知 （影響あり）
• 光過敏 （影響なし）

• 言語・認知・学習の能力が限られる 記憶に困難のある人は、口座を開いたとき（何年も前かもしれません）にアップロードした写真を、9枚の中から選び出さなければなりません。絵を読み取るのが苦手な人や、路面電車や大型バスをバスに数えるか決められない人には、間違えるたびに新しい画像が並び、やり直しになります。
• 視覚を使わない スクリーンリーダーは、ボット対策の確認を「画像1、チェックボックス、チェックなし」と9回読みます。画像を説明すれば、答えを明かしてしまうからです。アップロードした写真もその横の8枚も「写真1」から「写真9」としか読まれないため、全盲の人はどれが自分の写真か分からず、ほかのボタンもありません。
• 視覚が限られる マスは小さく、ボット対策の写真はぼやけていたり、端が切れていたりすることがよくあります。拡大してもマスが大きくなるだけで鮮明にはならず、写真の端に写ったバスは見落としがちです。

画像には代替テキストがあり、チェックボックスとラジオボタンには凡例の付いたグループがあり、「次へ」ボタンにも名前があります。そのため、axeなどの自動チェックはこの段階を合格にします。この段階はパスワードの後に出るうえ、ボット対策の確認は疑わしい訪問者にしか画像を見せないため、ログインのページを調べてもどちらも見つかりません。ログインしないEaseWebの診断は、2つを確認の依頼として挙げます。1つは、ログインのフォームの中に置かれたreCAPTCHAやhCaptchaのような画像認証のサービスです。もう1つは、ログインの画面で、画像について尋ねる問いの下に、文字のない画像だけの選択肢が4つ以上並んでいるものです。画像が出るか、その横にテストのいらない方法があるかは、人が実際にログインして確かめる必要があります。AIのコードアシスタントは、ログインを守るよう頼まれると、画像認証や本人の写真による確認を持ち出すことがあります。さらにアクセシブルにするよう頼むと、音声版を加えて済ませかねず、テストはそのまま残ります。