跳至中央內容區塊 :::
:::

什麼是無障礙身分驗證？

Accessible Authentication

無障礙身分驗證讓使用者不用只靠記憶、抄寫或解謎完成登入。了解 WCAG 2.2 的 AA／AAA 差異，以及密碼管理器、貼上與帳號恢復的檢查重點。

最後更新:

重點摘要

  • 登入、雙因素驗證與帳號恢復的每個驗證步驟都要一起檢查。
  • WCAG 2.2 的 3.3.8（AA）與 3.3.9（AAA）對認知測驗的例外不同。
  • 一次性代碼不會自動讓流程符合要求；確認完整代碼可貼上或自動填入。

為什麼登入流程特別重要？

很多服務真正重要的功能都在登入後。即使首頁、內容頁與商品頁都做得很好，如果登入、雙因素驗證或找回帳號流程讓人卡住，使用者仍然無法完成任務。

這類問題常影響視覺、認知、記憶、手部操作或使用輔助科技的人，也會影響臨時受傷、使用行動裝置或處在壓力情境中的一般使用者。

AA 與 AAA 的要求怎麼分？

3.3.8（AA）要求驗證步驟不必靠認知功能測驗，除非提供不依賴該測驗的替代驗證方式、協助完成的機制，或符合物件辨識、辨識使用者先前提供的非文字內容等例外。扭曲文字抄寫或算術解謎不等於物件辨識。

3.3.9（AAA）沒有物件辨識與個人非文字內容這兩項例外。不要把 AA 的例外當成 AAA 也適用。這些準則針對既有帳號的身分驗證；註冊仍需要其他無障礙檢查。

常見風險

可及的身分驗證不是要求網站取消安全機制，而是避免安全流程只剩一種很難使用的方式。

  • 要求抄寫扭曲文字、記憶資訊或解謎，卻沒有符合條件的替代方式或輔助機制。
  • 不允許密碼管理器、複製貼上或一次性代碼自動填入。
  • 要求使用者記住複雜資訊，卻沒有可用的替代方式。
  • 驗證錯誤訊息不清楚，使用者不知道下一步。
  • 逾時過短，或重新驗證後遺失已輸入資料。

團隊可以先檢查什麼？

試走登入、雙因素驗證與帳號恢復。例如六格驗證碼應能一次貼上完整代碼，而不是只填入第一格。也要實測密碼管理器、鍵盤操作、錯誤提示與逾時後是否保留資料；後幾項涉及其他準則，不只 3.3.8。

DevCheck 可以協助做頁面層級的初步掃描與情境模擬，但登入流程是否真的可完成，仍需要人工操作與實際測試。

常見問題

無障礙身分驗證代表不能用圖片辨識或解謎驗證（CAPTCHA）嗎？

不是一律禁止。3.3.8 的 AA 有明定例外，但單純提供同樣要抄寫的語音版本，並不等於免除認知測驗。依實際驗證方式和目標等級判斷，並檢查其他無障礙要求。

一次性代碼（OTP）和 CAPTCHA 一樣嗎？

不一樣。一次性代碼是用於身分驗證的臨時代碼；CAPTCHA 是用來區分人與自動程式的驗證，可能要求辨識圖片、抄寫或解謎。不要因為都俗稱「驗證碼」就混為一談。登入使用一次性代碼時，應確認完整代碼可貼上或自動填入；流程仍須檢查適用的無障礙要求。

這是 WCAG 2.2 的新要求嗎？

是。3.3.8 是 AA；3.3.9 是 AAA。兩者不能混為同一個要求，密碼管理器與貼上也必須在實際流程中可用。

相關頁面

參考資料