세션 타임아웃: 인증 디자인에서 간과되는 접근성 장벽

웹 전문가들에게 세션 관리 (Session management)는 사용자 경험 (User experience), 사이버 보안 (Cybersecurity), 그리고 리소스 사용량 (Resource usage) 사이의 균형을 맞추는 일입니다. 장애가 있는 사람들에게 이것은 그 이상의 문제입니다. 이는 디지털 티켓을 구매하거나, 소셜 미디어를 스크롤하거나, 온라인으로 대출을 신청하는 데 있어 장벽이 됩니다. **세션 타임아웃 접근성 (Session timeout accessibility)**은 장애를 가진 사람들에게 최악의 하루와 괜찮은 하루를 가르는 차이가 될 수 있습니다.

많은 이들에게 중요한 양식을 작성하는 도중 갑작스럽게 로그인 화면으로 튕겨 나가는 것은 흔한 경험입니다. 이러한 사건은 짜증을 유발하고 심지어 웹사이트를 완전히 이탈하게 만들 수도 있습니다. 약간의 백엔드 (Backend) 작업을 통해 웹 전문가들은 그 누구도 이러한 좌절감을 겪지 않도록 보장할 수 있습니다.

세션 타임아웃이 장애인 사용자에게 불균형적으로 영향을 미치는 이유

전 세계 인구의 상당 부분이 인지 (Cognitive), 운동 (Motor), 또는 시각 (Vision) 장애를 가지고 있습니다. 전 세계적으로 약 13억 명의 사람들이 심각한 장애를 가지고 있습니다. 운동, 인지 또는 시각 장애 여부와 관계없이, 그들의 장애는 기술과 쉽게 상호작용하는 능력에 영향을 미칩니다. 이들은 모두 세션 타임아웃에 의해 불균형적으로 영향을 받을 수 있으며, 이는 세션 타임아웃 접근성을 중요한 문제로 만듭니다.

세션 타임아웃은 인구의 상당 부분에게 접근 불가능합니다. 인구의 약 20%가 신경다양성 (Neurodivergent)을 가진 것으로 추정되며, 이는 타임아웃 장벽이 단지 소수의 사용자에게만 영향을 미치는 것이 아니라 모든 웹사이트 관객의 상당 부분에 영향을 미친다는 것을 의미합니다. 결과적으로, 일부 사용자는 활동 중이 아님에도 불구하고 비활성 상태로 보일 수 있습니다. 엄격한 타임아웃은 부당한 압박을 생성합니다.

운동 장애와 느린 입력 속도

예를 들어, 뇌성마비 (Cerebral palsy)가 있는 누군가가 다가오는 콘서트 티켓을 온라인으로 구매하려고 시도합니다. 조정 능력의 어려움과 근육 경직 (Muscle stiffness)으로 인해, 이들은 비장애인보다 정보를 더 느리게 입력할 수 있습니다. 날짜를 선택하고, 좌석을 고르고, 개인 정보를 입력합니다. 신용카드 정보를 입력하기도 전에 타임아웃 팝업이 나타납니다. 이들은 "비활성" 상태로 인해 로그아웃되었으며, 전체 과정을 처음부터 다시 시작해야 합니다.

이 상황은 완전히 가설적인 것이 아닙니다. Matthew Kayne는 장애인 권리 옹호가이자 방송인이며, The European 잡지의 기고자입니다. 그는 뇌성마비가 있는 사람으로서 웹사이트를 탐색하는 데 필요한 노력을 설명합니다. 그는 사용자 인터페이스 (User interface)가 보조 기기 (Adaptive devices)에 맞게 설계되지 않은 경우가 많으며, 자신의 장비가 올바르게 반응하지 않을까 봐 걱정된다고 설명합니다. 각 페이지를 신중하게 탐색한 후, 그는 갑자기 로그아웃됩니다. 단 한 번의 제한 시간이 설정된 양식 (Timed form)이 몇 시간의 작업을 지워버릴 수 있으며, 이는 단순히 불편함의 문제가 아닙니다. 단 한 번의 시도 실패가 지원을 지연시키거나 약속을 놓치게 만들 수 있습니다.

운동 장애 (Motor impairments)는 입력 속도 (Input speed)를 늦출 수 있으며, 이로 인해 사용자가 컴퓨터 앞에 있지 않은 것처럼 보일 수 있습니다. 따라서 경직, 손 떨림, 조정 능력의 어려움, 불수의적 움직임 (Involuntary movements) 또는 근육 약화를 겪는 사람들은 세션 타임아웃 (Session timeouts)의 영향을 불균형적으로 많이 받습니다. DWP 접근성 매뉴얼 (DWP Accessibility Manual)에 따르면, 보조 기술 (Adaptive technology)이 입력을 등록하는 데 여러 번의 시도가 필요할 수 있으며, 이는 사용자의 속도를 상당히 늦춥니다. 경고를 받더라도, 이들은 자신이 여전히 활동 중임을 증명할 만큼 충분히 빠르게 행동하지 못할 수도 있습니다.

인지 장애와 처리 시간

세션 타임아웃은 다양한 유형의 인지적 차이 (Cognitive differences)를 가진 사람들에게도 접근성 장벽을 만들 수 있습니다. 엄격한 타임아웃은 모든 사람이 동일한 속도로 정보를 처리한다고 가정하는 부당한 압박을 생성할 수 있습니다. 사용자가 실제로 읽고 있거나, 생각하거나, 처리하고 있는 중임에도 불구하고 비활성 상태로 보일 수 있습니다.

인지적 차이 (Cognitive differences)는 자폐증(Autism) 및 ADHD와 같은 신경다양성 (Neurodivergences), 다운 증후군 (Down syndrome)과 같은 발달 장애 (Developmental disabilities), 그리고 난독증 (Dyslexia)과 같은 학습 장애 (Learning disabilities)를 포함하여 매우 폭넓은 경험을 포괄합니다. 많은 사람이 인지적 차이를 가지고 태어납니다. 실제로 인구의 약 20%가 신경다양성을 가진 것으로 추정되며, 이는 모든 웹사이트 방문자의 상당 부분을 차지합니다. 다른 이들은 외상성 뇌 손상 (Traumatic brain injury)이나 치매 (Dementia)와 같은 질환을 통해 생애 후반에 인지 장애를 얻기도 합니다.

인지 장애가 있는 사람들은 온라인 작업을 완료하는 데 종종 더 많은 시간이 필요합니다. 이는 어떤 결함 때문이 아니라, 정보를 처리하는 방식이 다르기 때문입니다. 신경전형적 (Neurotypical) 사용자에게 잘 작동하는 디자인 선택이 ADHD, 난독증, 자폐증 또는 기억 관련 질환이 있는 사람들에게는 불필요한 장애물이 될 수 있습니다.

보이지 않는 세션 타임아웃 (Session timeouts)은 기억 상실, 언어 처리 차이, 또는 **시간 왜곡 (Time blindness)**을 경험하는 사람들에게 특히 문제가 됩니다. 예를 들어, 신경다양성을 가진 기술 리더인 케이트 캐러더스 (Kate Carruthers)는 ADHD가 시간 인지에 영향을 미쳤다고 말합니다. 그녀는 시간 왜곡을 겪고 있어 시간이 얼마나 흘렀는지 신뢰성 있게 추적할 수 없으며, 이로 인해 시간 추정치는 도움이 되지 않습니다.

“

시각 장애 및 스크린 리더 탐색 오버헤드 (Vision Impairments and Screen Reader Navigation Overhead)

시각 장애가 있거나 저시력인 사용자는 필요한 정보를 찾기 위해 페이지를 시각적으로 훑어볼 수 없으므로, 링크, 헤딩 (Headings), 폼 필드 (Form fields)를 반드시 들어야 하며, 이는 본질적으로 더 많은 시간이 소요됩니다. 전 세계적으로 4,300만 명 이상의 사람들이 실명 상태이며, 2억 9,500만 명이 중등도에서 중증의 시각 장애를 겪고 있습니다. 이는 글로벌 서비스를 제공하는 모든 웹사이트에 있어 중대한 접근성 (Accessibility) 문제입니다.

그 결과, 이러한 사용자들은 활동 중임에도 불구하고 세션이 만료될 수 있습니다. 실시간 타이머 (Live timers)와 30초 사전 경고는 스크린 리더 (Screen readers)를 고려하여 설계되지 않았기 때문에 거의 도움이 되지 않습니다.

디지털 접근성 (Digital accessibility)에 열정을 가진 웹 개발자인 Bogdan Cerovac는 이를 직접 경험했습니다. 카운트다운 타이머 (Countdown timer)는 비활성 상태로 인해 로그아웃되기까지 남은 시간을 그에게 알려주었습니다. 모든 면에서 기능은 정상적으로 작동하는 것처럼 보였습니다. 하지만 그는 스크린 리더 (Screen reader) 경험이 끔찍하다고 설명했는데, 남은 시간을 매초마다 알려주었기 때문입니다. 그는 끊임없이 쏟아지는 상태 메시지 (Status messages) 때문에 페이지를 탐색할 수 없었습니다.

접근성 요구 사항을 충족하지 못하는 일반적인 타임아웃 패턴

미국 국립표준기술연구소 (National Institute of Standards and Technology, NIST)에 따르면, 자격 증명 (Credentials)을 지속적으로 유지하는 것보다 세션 관리 (Session management)를 하는 것이 바람직합니다. 자격 증명을 계속 유지할 경우 사용자가 보안을 위협할 수 있는 인증 우회 방법을 만들도록 유도할 수 있기 때문입니다. 그러나 몇 가지 일반적인 타임아웃 패턴은 세션 타임아웃 접근성에 대한 현대적 표준을 충족하지 못합니다.

무음 타임아웃 및 불충분한 경고

많은 웹사이트가 사용자를 로그아웃시키기 전에 아무런 경고를 제공하지 않거나, 조치를 취하기에는 너무 늦게 나타나는 몇 초짜리 짧은 팝업을 표시합니다. 스크린 리더를 통해 탐색하는 사용자들에게 이러한 경고는 제때 안내되지 않을 수 있습니다. 운동 장애 (Motor impairments)가 있는 사용자들에게 30초의 카운트다운은 대응하기에 충분한 시간을 제공하지 못할 수 있습니다.

미국 비이민 비자를 신청하거나 갱신하는 데 사용되는 영사 전자 신청 센터 (Consular Electronic Application Center)의 DS-260 페이지를 예로 들어보겠습니다. 신청서가 약 20분 동안 유휴 상태 (Idle)로 있으면 경고 없이 사용자를 로그아웃시킵니다. FAQ 페이지에는 대략적인 시간 추정치만 제공됩니다. 사용자의 작업은 페이지를 완료해야만 저장되므로, 상당한 진행 상황을 잃을 수 있습니다.

연장할 수 없는 세션

갑작스러운 "세션 만료 (Session expired)" 메시지는 장애가 없는 개인에게도 좌절감을 줍니다. 계속할 수 있는 옵션이 없다면 사용자는 다시 로그인하여 작업을 처음부터 다시 시작해야 하며, 이는 시간과 에너지를 낭비하게 만듭니다.

만료 시 양식 데이터 손실

웹사이트가 진행 상황을 자동으로 저장하지 않는 한, 방문자는 세션이 만료될 때 모든 것을 잃게 됩니다. 장애가 있는 사람에게 이는 단순히 시간을 낭비하는 문제가 아닙니다. 그들의 하루를 헤아릴 수 없을 정도로 힘들게 만들 수 있습니다. 서비스 요청, 입사 지원서 작성, 또는 주문서를 작성하는 데 한 시간을 소비했는데, 거의 또는 전혀 아무런 예고 없이 모든 진행 상황이 완전히 삭제되는 상황을 상상해 보십시오.

보안과 접근성의 균형을 맞추는 디자인 패턴 (Design Patterns)

일관되지 않은 타임아웃 (Timeout) 기간과 경고 부족은 저장되지 않은 모든 작업의 갑작스럽고 예상치 못한 손실로 이어집니다. DS-260과 같이 길고 복잡한 양식의 경우, 좋지 않은 사용자 경험 (UX)은 극도로 좌절감을 줍니다. 이와 대조적으로, 영국의 연금 크레딧 (pension credit) 신청 프로세스는 접근성이 매우 높습니다. 이 시스템은 사용자에게 최소 2분 전에 경고를 보내며 세션을 연장할 수 있도록 허용합니다. 이는 WCAG 2.2 성공 기준의 AA 레벨을 충족하며, 그 접근성을 입증합니다.

장애가 있는 사람들은 부실한 세션 관리 (Session Management)의 의도치 않은 결과로 인해 불균형적으로 큰 영향을 받습니다. 다행히도, 세션 타임아웃의 접근성 부족은 피할 수 없는 숙명이 아닙니다. 몇 가지 작은 변화만으로도 웹 전문가들은 웹사이트의 접근성을 크게 향상할 수 있습니다.

사전 경고 시스템 및 연장 기능 (Advance Warning Systems and Extend Functionality)

웹사이트는 세션이 시작되기 전에 시간 제한의 존재와 지속 시간을 명확하게 명시해야 합니다. 예를 들어, 누군가 은행 양식을 작성하고 있다면, 첫 페이지는 오직 60분의 시간 제한이 있다는 것을 알리는 용도로만 존재해야 합니다. 정기적으로 업데이트되는 실시간 카운터 (Live counter)는 남은 시간을 추적하는 데 도움이 될 수 있습니다. 또한, 사용자가 세션 타임아웃 길이를 조정할 수 있는지 여부도 안내해야 합니다.

활동 기반 타임아웃 vs 절대적 타임아웃 (Activity-Based vs. Absolute Timeouts)

활동 기반 타임아웃 (Activity-based timeout)은 비활성 상태로 인해 사용자를 로그아웃시키는 반면, 절대적 타임아웃 (Absolute timeout)은 활동 여부와 관계없이 사용자를 로그아웃시킵니다. 사무실의 경우, 직원들이 출근할 때만 로그인하면 되므로 24시간의 절대적 타이머가 합리적일 수 있습니다. 사용자가 자신의 세션이 언제 만료될지 알 수만 있다면, 후자가 전자보다 접근성 측면에서 더 유리합니다.

자동 저장 및 진행 상황 보존 (Auto-Save and Progress Preservation)

쿠키 (Cookies), 로컬 스토리지 (localStorage), 세션 스토리지 (sessionStorage)는 웹 애플리케이션이 단일 브라우저 세션 동안 데이터를 저장할 수 있도록 하는 임시 클라이언트 측 저장 메커니즘입니다. 이들은 강력하고 가벼운 도구입니다. 웹 개발자는 이를 사용하여 빈번한 간격으로 사용자의 진행 상황을 자동으로 저장함으로써, 재인증 시 데이터가 복구되도록 보장할 수 있습니다.

이러한 방식을 통해 누군가의 세션이 실수로 만료되더라도 불이익을 받지 않습니다. 다시 로그인하면 신용카드 정보를 입력하던 것을 마무리하거나, 온라인 양식에서 중단했던 부분부터 다시 시작할 수 있습니다.

테스트 및 WCAG 준수 고려 사항 (Testing and WCAG Compliance Considerations)

웹 콘텐츠 접근성 지침 (WCAG)은 W3C에서 발행한 국제적으로 인정받는 인터넷 접근성 표준 모음입니다. 이는 세션 타임아웃 접근성의 중재자 역할을 합니다. 웹 개발자는 적절한 시간에 대한 모범 사례를 설명하는 **가이드라인 2.9.2 (Guideline 2.9.2)**에 특별히 주의를 기울여야 합니다.

**타임아웃 조절 메커니즘 (Timeout adjustable mechanism)**은 세션이 만료되기 전 시간 제한을 연장하거나, 기능을 완전히 끌 수 있도록 해야 합니다. 전자의 옵션의 경우, 사용자에게 시간이 더 필요한지 묻는 대화 상자가 나타나야 하며, 사용자는 클릭 한 번으로 작업을 계속할 수 있어야 합니다. W3C는 예외 사항이 존재한다고 명시하고 있습니다.

예를 들어, 웹사이트에서 실시간 티켓 판매를 진행할 때, 한정된 재고를 다른 사람들에게도 구매할 기회를 주기 위해 사용자가 장바구니에 티켓을 보유할 수 있는 시간을 10분으로 제한할 수 있습니다. 또는, 공용 컴퓨터에서는 세션 타임아웃이 필요할 수도 있습니다. 만약 사서들이 밤사이에 자동으로 로그아웃시키는 대신 모든 사람이 로그인 상태를 유지하도록 허용한다면, 보안 문제를 초래할 위험이 있습니다.

어떤 프로세스들은 시간 제한이 전혀 없어야 할 수도 있습니다. 소셜 미디어를 탐색하거나, 뉴스 기사를 읽거나, 이커머스 (e-commerce) 사이트에서 상품을 검색할 때, 세션 (session)이 임의의 시간 범위 내에서 만료되어야 할 이유는 없습니다. 반면, 제한 시간이 있는 시험의 경우에는 시간 제한이 필요할 수 있습니다. 하지만 이 경우, 관리자는 장애가 있는 학생들을 위해 시간 제한을 연장해 줄 수 있습니다.

웹 개발자들이 세션 관리 (session management)를 접근 가능하게 만든다는 것은 소수의 집단만을 배려하는 것이 아닙니다. Pew Research Center의 데이터에 따르면, 장애가 있는 성인의 62%가 컴퓨터를 소유하고 있습니다. 72%는 초고속 홈 인터넷을 사용합니다. 이 수치들은 동일하게 답한 비장애인 성인의 비율과 통계적으로 차이가 없습니다.

세션 타임아웃 접근성 장벽 극복하기

WCAG는 웹 개발자들이 세션 관리 접근성을 더 잘 이해하기 위해 검토할 수 있는 추가 리소스를 제공합니다:

이러한 가이드라인을 따르는 것 외에도, 주요 교육 기관, 오픈 웹 기술 (open web technologies) 권위자, 그리고 정부 기관으로부터 얻을 수 있는 풍부한 정보가 있습니다. 이들은 중간 수준의 웹 개발 지식을 가진 사람들에게 훌륭한 시작점이 됩니다.

웹 전문가들은 세션 관리를 더욱 접근 가능하게 만들기 위해 사용할 수 있는 도구와 기술에 대해 더 자세히 배우고자 다음 리소스들을 고려해야 합니다:

• Harvard University의 세션 연장 기술 (Session Extension Technique)
• DWP 접근성 매뉴얼: 세션 타임아웃 테스트 방법 (How to test session timeouts)
• Window: sessionStorage 속성 (property)

"

이를 우선시하는 이들은 더 넓은 관객에게 어필하고, 사용성 (usability)을 개선하며, 더 많은 웹사이트 방문자와 더 긴 세션을 유도할 것입니다.