Perché un captcha è un problema di accessibilità
Girano due affermazioni: che le WCAG vietino i captcha e che per questo sia partita un'ondata di diffide. Nessuna delle due regge. Un captcha a immagini resta comunque la risposta più debole al problema che dovrebbe risolvere.
Due frasi compaiono in quasi ogni guida sul tema. La prima: le WCAG vietano i captcha. La seconda: proprio per questo sarebbe partita un'ondata di diffide. La prima cade leggendo il testo dei criteri, la seconda cade cercando casi documentati.
Il fastidio sta nel fatto che un argomento sbagliato danneggia una causa giusta. Un captcha a immagini davanti a un modulo di contatto è la risposta più debole disponibile al problema che dovrebbe risolvere. Per capirlo non serve inventarsi un divieto.
Cosa dicono davvero le WCAG sui captcha
Le WCAG 2.2 sono la versione in vigore dal 12 dicembre 2024 e hanno lo status di W3C Recommendation. I captcha vi compaiono in due punti, e questi due punti vengono confusi di continuo.
1.1.1 chiede un'alternativa, non un divieto
Il criterio di successo 1.1.1 Non-text Content si colloca al livello A. Per i captcha richiede "text alternatives that identify and describe the purpose of the non-text content" e, insieme, "alternative forms of CAPTCHA using output modes for different types of sensory perception". Quindi: un'alternativa testuale che dica a cosa serve l'elemento e almeno un'altra forma di captcha rivolta a un canale sensoriale diverso.
Un captcha di sole immagini, privo di alternativa, viola 1.1.1. È il punto rilevante sul modulo di contatto, ed è l'unico. Fin dove arriva l'eccezione lo chiarisce il W3C stesso: "WCAG still requires that alternative text identify the graphical object as a CAPTCHA."
3.3.8 riguarda l'accesso, non il modulo di contatto
Il criterio 3.3.8 Accessible Authentication (Minimum) è nuovo al livello AA nelle WCAG 2.2. La frase di apertura: "A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following." A decidere la portata sono due parole, cioè "authentication process". Un captcha davanti a un modulo di contatto, di commento o di iscrizione alla newsletter, senza accesso, non rientra. Lì vale soltanto 1.1.1.
E anche dentro la procedura di accesso il documento Understanding del W3C su 3.3.8 dice il contrario di quello che molti ne ricavano: "While recognizing objects, or a picture the user has previously provided, are cognitive function tests, these are excepted in this criterion at AA level." Un "seleziona tutte le immagini con i semafori" quindi non fallisce 3.3.8 al livello AA. Chi sostiene il contrario non ha letto il criterio.
L'eccezione non è illimitata: i calcoli ne escono non appena il test va oltre il riconoscimento. E al livello AAA il giudizio si ribalta, perché il criterio 3.3.9 Accessible Authentication (Enhanced) conserva solo le eccezioni Alternative e Mechanism.
Perché l'alternativa audio non chiude il buco
La risposta ovvia a 1.1.1 è il pulsante dell'altoparlante accanto all'immagine. Perché non basti lo spiega il documento del W3C "Inaccessibility of CAPTCHA", dal 16 dicembre 2021 una Group Draft Note, quindi una bozza senza efficacia normativa.
Il suono non ha un equivalente dell'immagine ferma: chi ascolta non può esaminare la prova con calma. Lo studio citato nel documento ha trovato i captcha audio incomprensibili per tutte e quattro le persone testate, tutte con buon udito. La distorsione che dovrebbe fermare le macchine distrugge l'intelligibilità. L'audio esclude inoltre le persone sorde, e chi ha insieme una perdita visiva e uditiva resta fuori del tutto.
Si aggiunge un punto normativo: secondo il documento Understanding di 3.3.8, un'alternativa audio che debba essere trascritta non soddisfa l'eccezione Alternative. E il canale accessibile è al tempo stesso il canale meno sicuro: il documento del W3C cita uno studio dell'Università del Maryland che ha risolto il reCAPTCHA audio di Google intorno al 90 per cento usando il riconoscimento vocale di Google stessa. La WebAIM Screen Reader User Survey #10 (1.539 risposte, dicembre 2023 e gennaio 2024) mette i captcha al primo posto fra gli elementi più problematici, senza variazioni da 14 anni.
Cosa chiede la normativa europea sull'accessibilità e chi riguarda
Quello che segue è un inquadramento della situazione giuridica al 21 agosto 2026 e non una consulenza legale. Chi ha bisogno di certezze sul proprio caso ne parla con un avvocato.
Lo European Accessibility Act, la direttiva (UE) 2019/882, si applica in tutta l'Unione ai servizi prestati ai consumatori a partire dal 28 giugno 2025. Il recepimento è nazionale e cambia da uno Stato membro all'altro, quindi le soglie e le esenzioni concrete vanno verificate nella norma del proprio Paese. Qui serve da esempio la legge tedesca di recepimento, il Barrierefreiheitsstärkungsgesetz (BFSG), perché la sua formulazione mostra bene dove sta il punto sensibile: il § 2 n. 26 BFSG definisce i servizi di commercio elettronico come servizi digitali prestati su richiesta individuale di un consumatore "in vista della conclusione di un contratto con il consumatore". È l'ultima parte a pesare. Un negozio online la soddisfa, un sito di sola presentazione senza conclusione di contratto no. Lo spiega allo stesso modo anche la FAQ sul BFSG dell'agenzia federale tedesca per l'accessibilità.
A questo si aggiunge il § 3, comma 3 BFSG, che esenta le microimprese che prestano servizi. Microimpresa è, secondo il § 2 n. 17 BFSG, chi occupa meno di dieci persone e insieme non supera i 2 milioni di euro di fatturato annuo oppure i 2 milioni di euro di totale di bilancio annuo. L'esenzione vale solo per i servizi: il § 1, comma 2 BFSG elenca in modo tassativo i prodotti coperti e sono categorie hardware, per cui un plugin WordPress venduto come download non è un prodotto ai sensi di quella legge. Come sia risolto lo stesso punto nella norma del tuo Paese è una questione diversa e va verificata lì.
L'aggancio ai captcha sta nel regolamento attuativo tedesco. Il § 19 n. 2 BFSGV chiede che nei servizi di commercio elettronico le funzioni di identificazione, autenticazione, sicurezza e pagamento siano percepibili, utilizzabili, comprensibili e robuste. Un captcha è una funzione di sicurezza in questo senso, e il § 12 n. 2 lett. g BFSGV aggiunge una presentazione alternativa dei contenuti non testuali.
La norma che tutti citano non è armonizzata per l'EAA
Al 21 agosto 2026 nessuna norma armonizzata per lo European Accessibility Act risultava pubblicata nella Gazzetta ufficiale dell'Unione europea. L'agenzia federale tedesca per l'accessibilità scrive espressamente che le norme previste dal mandato di normazione M/587 non sono ancora state pubblicate, quindi a quella data non esiste presunzione di conformità, in Germania ai sensi del § 4 BFSG. La tanto citata armonizzazione della EN 301 549 V3.2.1 tramite la decisione di esecuzione (UE) 2021/1339 riguarda la direttiva web (UE) 2016/2102 per gli enti del settore pubblico. Molte guide equiparano le due cose, e la contraddizione resta irrisolta.
Il BFSGV, del resto, non nomina da nessuna parte la EN 301 549: il suo § 3, comma 1 chiede lo stato della tecnica. Un dettaglio: la versione pubblicata V3.2.1, del marzo 2021, rinvia alle WCAG 2.1, per cui il criterio 3.3.8 non è nemmeno incorporato attraverso la norma.
Cosa risulta davvero documentato in materia di sanzioni
Alla data della ricerca, 21 agosto 2026, in Germania non risultavano né sanzioni né diffide confermate da un tribunale che avessero per oggetto specifico un captcha non accessibile. L'autorità competente lì è l'ufficio di vigilanza del mercato dei Länder per l'accessibilità (MLBF) di Magdeburgo, operativo dal 26 settembre 2025, che non pubblica numeri sui casi. La forbice del § 37, comma 2 BFSG arriva, per chi gestisce siti web, fino a centomila euro.
Documentato, tramite fonti di studi legali, è invece che dall'estate 2025 circolano diffide (Abmahnungen) fondate sul BFSG. Viene citata la CLAIM Rechtsanwalts GmbH di Düsseldorf, per conto di un privato, con richieste intorno a 595 euro. Niente di tutto ciò riguarda i captcha, e se le norme del BFSG siano azionabili per questa via, tramite il § 3a UWG, la legge tedesca contro la concorrenza sleale, non è stato deciso da un tribunale. Da qui non discende alcun via libera: un modulo attraverso cui una parte degli interessati non riesce a passare costa richieste, autorità o non autorità.
Dove finiscono i dati quando il captcha arriva dal cloud
Google LLC e Cloudflare, Inc. hanno sede negli Stati Uniti. La base giuridica del trasferimento è la decisione di adeguatezza sull'EU-US Data Privacy Framework del 10 luglio 2023. Il Tribunale dell'Unione europea ha respinto il ricorso di annullamento il 3 settembre 2025 (T-553/23, Latombe contro Commissione), ma la decisione non è definitiva: dal 31 ottobre 2025 pende impugnazione davanti alla Corte di giustizia (C-703/25 P). Entrambi i fornitori sono soltanto autocertificati.
In Google è cambiato qualcosa di rilevante il 2 aprile 2026: reCAPTCHA funziona in tutto il mondo come responsabile del trattamento e, secondo la documentazione di Google, da allora il cliente è "the sole data controller of Customer Data". Se questo faccia venir meno l'obbligo di raccogliere il consenso resta aperto, perché l'accesso al dispositivo terminale è disciplinato a livello nazionale e non dipende dal ruolo che si ha ai sensi del GDPR. In Germania se ne occupa il § 25 TDDDG. Finora esiste una sola decisione chiaramente citabile su reCAPTCHA, ed è austriaca: il Tribunale amministrativo federale di quel Paese ha stabilito il 13 settembre 2024 (W298 2274626-1/8E) che reCAPTCHA senza consenso preventivo viola il GDPR.
Cloudflare Turnstile di regola rinuncia agli enigmi visivi e sonori e sul proprio blog del 29 settembre 2023 si definisce "WCAG 2.1 Level AA compliant". Nel post sul restyling del 27 febbraio 2026 si aggiunge l'obiettivo WCAG 2.2 AAA. Sono dichiarazioni del fornitore, e per nessuno dei due esiste un rapporto di audit indipendente. Il nodo pratico sta comunque nel banner del consenso: se il captcha richiede un consenso, chi lo rifiuta non passa il modulo.
Quattro metodi che non chiedono nulla a nessuno
Lo scopo di un captcha è fermare i bot. Per farlo mette un compito davanti a ogni visitatore per scartarne una piccola parte. Esistono metodi che non chiedono nulla a nessuno: il documento del W3C cita honeypot, euristiche e filtri antispam.
Honeypot: un campo che vedono solo le macchine
Il modulo riceve un campo in più, invisibile alle persone. Un visitatore non lo compila mai, un bot che riempie ciecamente ogni campo sì. Se all'invio non è vuoto, la questione è chiusa. L'implementazione conta: un campo solo spostato visivamente ma lasciato nell'albero di accessibilità viene letto dallo screen reader e a quel punto pesca proprio le persone che non dovrebbe pescare. Va marcato con aria-hidden e tolto dall'ordine di tabulazione. Il limite: chi prende di mira proprio il tuo sito da lì in poi lascia il campo vuoto. Contro i normali bot di massa funziona in modo affidabile.
Trappola temporale: quanto è durata la compilazione
Alla consegna del modulo viaggia un marcatore temporale firmato e, all'invio, il server confronta quanto tempo è passato. Chi compila un modulo in meno di due secondi non lo ha letto. La soglia va tenuta bassa, perché alcuni visitatori compilano con il riempimento automatico in frazioni di secondo. Un bot può aspettare, ma aspettare abbassa la sua resa: il metodo rende l'attacco più costoso, non impossibile.
Limite di frequenza: quanto arriva dalla stessa fonte
Il server conta gli invii che arrivano dalla stessa fonte in una finestra temporale e rifiuta oltre una soglia. Questo frena la singola fonte che bombarda cento volte un modulo e non serve a nulla contro attacchi distribuiti su molti indirizzi. La soglia non può essere troppo stretta, perché nelle reti aziendali e nelle reti mobili molte persone condividono lo stesso indirizzo.
Valutazione del contenuto: cosa dice il messaggio
La quarta via guarda il testo. Una classificazione bayesiana valuta il messaggio partendo da esempi contrassegnati prima come spam o come desiderati, e gira interamente sul server di casa. Prende anche la pubblicità inviata a mano da una persona, e ha un margine di errore. In cosa un controllo locale si distingua da un filtro nel cloud è il tema dell'articolo sull'alternativa ad Akismet.
| Metodo | Sforzo per l'utente | Accessibilità | Dove vanno i dati | Contro i bot di massa | Contro attacchi mirati |
|---|---|---|---|---|---|
| Captcha a immagini | Risolvere un compito, 32 secondi in media secondo il documento del W3C | Viola le WCAG 1.1.1 senza alternativa per un altro canale sensoriale | Al fornitore, di regola negli Stati Uniti | Funziona finché il compito non è risolvibile automaticamente | Canale audio risolto intorno al 90 per cento nello studio citato |
| Captcha invisibile dal cloud | Di norma nessuno | Dichiarazione del fornitore su WCAG 2.1 AA, senza audit indipendente | Al fornitore negli Stati Uniti, con la questione del consenso aperta | Funziona | Non verificabile, il rilevamento non è reso pubblico |
| Honeypot più trappola temporale | Nessuno | Non si nota, se il campo è tolto dall'albero di accessibilità | In nessun posto, tutto resta sul server di casa | Funziona contro i bot che riempiono ciecamente ogni modulo | Viene aggirato da un bot su misura |
| Controllo locale del contenuto | Nessuno | Non si nota, il visitatore non se ne accorge | In nessun posto, tutto resta sul server di casa | Funziona, anche con pubblicità inviata a mano | Dipende dal testo, non dal mittente |
Cosa succede quando il controllo sbaglia
Ogni metodo che scarta in automatico prima o poi scarta male, nel cloud come in locale. La domanda non è quindi se una richiesta vera verrà colpita, ma cosa le succede dopo. Se viene buttata in silenzio, nessuno se ne accorge: chi ha scritto aspetta una risposta, chi gestisce il sito vede una casella tranquilla. Una protezione antispam senza un archivio consultabile è una perdita silenziosa di richieste.
La cosa diventa utilizzabile con tre elementi: i messaggi scartati restano in un elenco con ricerca, per ognuno è indicato quale controllo è scattato, e un button li libera a posteriori riportando quell'esito nella valutazione. Se il modulo va comunque rifatto, il lato dei campi è trattato nell'articolo sulle alternative a Contact Form 7.
Protezione antispam che non chiede nulla a nessuno
Wellenbrecher controlla honeypot, trappola temporale, limite di frequenza e il testo del messaggio direttamente sulla tua installazione. Nessun servizio cloud, nessun contingente di controlli, nessun captcha davanti al modulo.
Wellenbrecher è nella directory di WordPress dal 21 agosto 2026 e il livello Free si usa gratuitamente anche in ambito commerciale. Pro costa 19 euro all'anno per un sito e aggiunge proof of work, protezione del checkout WooCommerce, GeoIP e ASN, confronto con AbuseIPDB e un secondo parere di IA con chiave propria. La licenza flotta per dieci siti costa 69 euro. Prezzi IVA esclusa, al 21 agosto 2026, panoramica sulla pagina dei prezzi.
Domande frequenti
Le WCAG vietano i captcha?
No. Il criterio di successo 1.1.1 Non-text Content, al livello A, chiede per un captcha un'alternativa testuale che descriva la finalità dell'elemento e, in aggiunta, un'altra forma di captcha per un canale sensoriale diverso. Un captcha a immagini privo di qualsiasi alternativa lo viola. Un captcha a immagini con un'alternativa utilizzabile no.
Il criterio 3.3.8 vale anche per un modulo di contatto senza accesso?
No. La frase di apertura di 3.3.8 fa riferimento ai passaggi di un processo di autenticazione. Un captcha davanti a un modulo di contatto, di commento o di iscrizione alla newsletter, senza accesso, non rientra, e lì vale solo 1.1.1. Dentro la procedura di accesso, i captcha a immagini basati sul semplice riconoscimento di oggetti sono espressamente esclusi al livello AA secondo il documento Understanding del W3C, mentre al livello AAA, nel criterio 3.3.9, non lo sono.
Basta un'alternativa audio accanto al captcha a immagini?
Il documento del W3C sull'inaccessibilità dei captcha dice di no. Il suono non si esamina con calma come un'immagine ferma, la distorsione aggiunta per fermare le macchine distrugge l'intelligibilità, e le persone sorde e sordocieche restano fuori del tutto. Il documento Understanding di 3.3.8 aggiunge che un'alternativa audio che debba essere trascritta non soddisfa l'eccezione Alternative.
Esistono sanzioni o diffide per captcha inaccessibili?
Alla data della ricerca, 21 agosto 2026, in Germania non risultavano né sanzioni né diffide confermate da un tribunale che avessero per oggetto specifico un captcha non accessibile. Risultano invece diffide generiche fondate sul BFSG dall'estate 2025, con richieste intorno a 595 euro e senza riferimento ai captcha. Se quelle norme siano azionabili per la via del § 3a UWG non è stato deciso da un tribunale. Un via libera non è.
Cosa protegge un modulo quando davanti non c'è un captcha?
Quattro metodi che non chiedono nulla al visitatore: un campo honeypot che riempiono solo le macchine, una trappola temporale che riconosce gli invii troppo rapidi, un limite di frequenza contro gli invii in serie dalla stessa fonte e una valutazione del contenuto del testo. Contro i normali bot di massa questa combinazione funziona. Un attacco costruito su misura per il tuo sito aggira honeypot e trappola temporale.
