WCAG 2.2の達成基準3.3.9「アクセシブル認証（拡張）」は、認証の途中で、記憶や転記、計算、パズルといった認知機能テストを利用者に強制しないための基準です。
Level AAAに位置づけられ、認知機能テストを使う場合は、それに依存しない別の認証方法か、利用者を助ける仕組みを同じ認証プロセスで利用できるようにします。
パスワードそのものを禁止する基準ではありません。
ブラウザやパスワードマネージャーが入力を補助でき、コピーと貼り付けも妨げられなければ、利用者はパスワードを記憶して手入力せずに済みます。
WCAG 2.2で追加された達成基準の位置づけを先に確認したい場合は、WCAG 2.2で追加された達成基準の実務向け解説も参照してください。
達成基準3.3.9が求めること
認知機能テストとは、利用者が情報を記憶し、操作し、別の場所へ転記することなどを求める課題です。
- 記憶：ユーザー名やパスワード、文字列、図柄などを覚える
- 転記：画面や別の端末に表示された文字や数字を手入力する
- 言語処理：正しいつづりを入力する
- 計算：簡単な式を解いて答えを入力する
- 問題解決：パズルを解く
3.3.9は、認証プロセスのどのステップでも、こうした課題を必須にしないことを求めます。
認知機能テストを含む場合に認められる対応は、次の二つです。
- 代替手段：認知機能テストに依存しない別の認証方法を選べるようにする
- 支援機能：自動入力やコピーと貼り付けなど、課題の完了を助ける仕組みを利用できるようにする
3.3.8「最低基準」との違い
3.3.9を理解するには、Level AAの達成基準3.3.8「アクセシブル認証（最低基準）」との違いを押さえる必要があります。
| 項目 | 3.3.8 最低基準 | 3.3.9 拡張 |
|---|---|---|
| 適合レベル | Level AA | Level AAA |
| 認められる対応 | 代替手段、支援機能、物体の認識、利用者が提供した非テキストコンテンツの識別 | 代替手段または支援機能 |
| 画像を選ぶ認証 | 条件によっては例外になり得る | 物体の認識だけを理由に例外とはならない |
つまり、3.3.9では「車が写っている画像を選ぶ」といった物体認識や、以前に登録した画像を選ぶ課題を必須にすることはできません。
Level AAの要件と実装例は、3.3.8「アクセシブル認証（最低基準）」の解説で確認できます。
パスワード入力を支援する実装
ユーザー名とパスワードによるログインを残す場合は、利用者が記憶や手入力に頼らずに済むよう、ブラウザやパスワードマネージャーと連携できるフォームにします。
- 入力欄とラベルを明確に関連づけ、支援技術が項目名を判別できるようにする
- ユーザー名には
autocomplete="username"、パスワードにはautocomplete="current-password"など、入力目的に合う値を指定する - パスワードと確認コードの自動入力を妨げない
- パスワードや確認コードのコピーと貼り付けを禁止しない
- パスワードの一部だけを抜き出して入力させない
見た目が単純なログイン画面でも、貼り付けを無効にしたり、「パスワードの3文字目と5文字目を入力」のように形式を変えて転記させたりすると、支援機能を使えない利用者が生じます。
認知的負担を減らす認証方法
認証方式の名称だけで適合を判断することはできません。
各方式の全ステップを確認し、記憶、転記、計算、パズルが必須になっていないかを確かめます。
| 認証方法 | 負担を減らす仕組み | 確認点 |
|---|---|---|
| メールリンク認証 | メールで受け取ったリンクを開いてログインする | リンクを開いた後に、別の認知機能テストを要求しない |
| WebAuthn | 端末の認証機能やセキュリティキーを利用する | サイト側が利用者に合わない一つの操作だけを強制しない |
| 外部サービスによるログイン | 外部の認証プロセスを利用する | 外部サービスへ移動した後を含め、認証全体を確認する |
| 二要素認証 | 複数の確認手段から利用できる方法を選べるようにする | 確認コードの手入力だけを必須にせず、貼り付け、自動入力、端末通知などを利用できるようにする |
たとえば、ユーザー名とパスワードの入力欄で自動入力と貼り付けを許可し、別の選択肢としてメールリンク認証やWebAuthnを用意すれば、利用者は自分に合う経路を選べます。
二要素認証を追加する場合も、数字を見て別の欄へ手入力する方法だけに限定せず、コード全体の貼り付けや自動入力、端末上での確認などを選べるようにします。
CAPTCHAを使う場合の注意点
画像認識CAPTCHAは、3.3.9に対する改善策にはなりません。
画像から特定の物体を選ぶ操作自体が認知機能テストに当たり、Level AAAでは物体認識を独立した例外として扱わないためです。
- 画像の選択、計算、文字の判読、パズルを認証の必須条件にしない
- CAPTCHAを表示する場合は、認知機能テストに依存しない別の認証方法を用意する
- ログイン失敗後や特定の環境だけで表示されるCAPTCHAもテスト対象に含める
普段のログインが使いやすくても、失敗時だけ認知機能テストが現れる設計では、認証プロセス全体の確認が不足しています。
実装後のテスト手順
自動検査ツールはラベルや属性の一部を確認できますが、認証経路全体が認知機能テストに依存しているかまでは判定できません。
実際の操作を伴う手動テストを中心に、次の順序で確認します。
- ログイン開始から完了までの全ステップを書き出す
- 各ステップで、記憶、転記、正しいつづり、計算、パズルが必要か確認する
- 認知機能テストがある場合は、代替手段または支援機能を実際に使って完了できるか確認する
- パスワードマネージャーとブラウザの自動入力が項目を正しく認識するか確認する
- パスワードと確認コードをコピーし、同じ形式のまま貼り付けられるか確認する
- 二要素認証、ログイン失敗後の再試行、条件付きで表示されるCAPTCHAも確認する
- キーボード操作と支援技術でも、代替手段を見つけて選択できるか確認する
よくある失敗と改善方法
| 失敗 | 問題 | 改善方法 |
|---|---|---|
| 貼り付けを禁止する | パスワードマネージャーなどに保存した情報を転記させる | パスワードと確認コードの貼り付けを許可する |
| パスワードの一部だけを求める | 保存した文字列を同じ形式で入力できない | パスワード全体の自動入力や貼り付けを利用できるようにする |
| 画像認識CAPTCHAへ置き換える | Level AAAでは物体認識も認知機能テストになる | 認知機能テストを使わない代替手段を提供する |
| 確認コードの手入力だけを求める | 別の画面や端末から数字を転記させる | 貼り付け、自動入力、端末通知などを利用できるようにする |
| 外部ログインのボタンだけで適合と判断する | 移動先の認証で認知機能テストが必須になる可能性を見落とす | 外部サービスを含む認証プロセス全体を確認する |
利用者とセキュリティを両立する考え方
認証のアクセシビリティを高める目的は、本人確認を弱くすることではなく、本人確認に必要な操作を記憶や問題解決だけに依存させないことです。
認証強度と利用しやすさを別々に評価し、利用者が扱える複数の方法と支援機能を組み合わせます。
特に、記憶、読字、数字の扱い、情報処理に困難がある利用者にとって、貼り付け、自動入力、端末の認証機能、メールリンクといった選択肢は、ログインを完了できるかどうかを左右します。
実装時に確認するポイント
- 認知機能テストを必須にしない
- 必要な場合は、代替手段か支援機能を利用できるようにする
- パスワードと確認コードの自動入力や貼り付けを妨げない
- 画像認識CAPTCHAをLevel AAAの例外として扱わない
- 通常時だけでなく、二要素認証やエラー後を含む全経路を手動で確認する
当社では、ウェブアクセシビリティの導入と改善を支援するUUU ウェブアクセシビリティを提供しています。
認証画面を含むサイト全体のアクセシビリティ向上に取り組む際は、サービスの詳細をご覧ください。