3.3.9 アクセシブルな認証 (高度)

要件

ユーザーが記憶やパズルなどの認知機能に依存せずに認証を完了できること。
最低限の達成基準（3.3.8）では「認知負荷を避ける手段を提供」すればよいとされていましたが、3.3.9（高度）では

• 認証のすべての方法において、一切の認知的負担を伴うものを使わないことが求められます。

達成基準の意図

• 認知障害、読み書き困難、知的障害を持つユーザーでも確実に認証できるようにすること。
• セキュリティ強化とアクセシビリティの両立を目指す設計の推進。

要件の具体的内容

要素	内容
禁止	画像CAPTCHA、記憶に頼る質問、認知負荷を伴う入力（例：パズル、記号識別）
必須	認知的処理なしに完了できる認証方式のみ使用
許容されるもの	バイオメトリクス（指紋/顔認証）、メールリンク認証、物理キー（FIDO2）など

具体例

適合する認証方法（例）	不適合な認証方法（例）
メールリンクによるログイン（Magic Link）	歪んだ文字画像のCAPTCHA
ハードウェアトークン（YubiKeyなど）	「母親の旧姓」など記憶依存の秘密の質問
生体認証（Touch ID / Face ID）	パズルを解かせる画像選択式CAPTCHA
ソーシャルログイン（Googleなど）	ワンタイムコードを手動で転記しなければならない方式（※補助がなければNG）

3.3.8（最低限）との違い

項目	3.3.8（最低限）	3.3.9（高度）
レベル	AA	AAA
認知的負担を伴う認証	代替手段があれば許容される	すべての手段で使用禁止
例：画像CAPTCHA	音声CAPTCHAなどがあればOK	そもそもNG
例：ワンタイムコード	自動入力やペーストOKならOK	入力自体に配慮がなければNG

実装のポイント

観点	推奨実装
ログイン方式	パスワードレスログイン（Magic Linkなど）
多要素認証	生体認証やハードウェアキーの併用
フォーム設計	自動入力対応（autocomplete="username"など）
サポート対応	ユーザー補助の窓口設置や、認証方法選択の柔軟性

利点

• 認知障害のあるユーザーにも対応可能
• フィッシングや入力ミス防止にも効果的（パスワードレスはセキュリティ面でも有効）
• ユーザー体験（UX）向上：入力の手間を大幅に削減できる

まとめ

項目	内容
達成基準	3.3.9 アクセシブルな認証（高度）
適用レベル	AAA
主な目的	認証操作から認知的負担を完全に排除する
対象	ログイン、本人確認、購入確認などの操作全般

この基準は 非常に高いアクセシビリティ水準を求めるサイトやサービス（例：官公庁、医療系、教育機関、福祉関連など）での導入が推奨されます。

一覧に戻る