- la clasificación por edades del título;
- la configuración familiar, de privacidad y de seguridad de XBOX;
- las regiones admitidas donde se ofrece el título o la característica;
- las leyes locales o regionales aplicables; y
- los requisitos de privacidad, seguridad o moderación específicos de la característica.
- Una cuenta del editor estándar que admita el grupo de edad y la región del usuario.
- Una cuenta del editor para niños o adolescentes con valores predeterminados adecuados para la edad.
- Un flujo de creación de cuentas con consentimiento parental o autorizado por un progenitor.
- Una cuenta del editor aislada, limitada o que preserve la privacidad.
- Una ruta de acceso autenticada por Microsoft o XBOX que evite la creación innecesaria de cuentas del editor.
- Una alternativa específica de la característica que permita a los usuarios aptos acceder a la característica sin la vinculación completa de la cuenta del editor.
Es posible que determinadas características del juego, como el multijugador en línea, la comunicación, el contenido generado por el usuario, las características entre redes u otras características en línea, no estén disponibles para las cuentas de niños o adolescentes de XBOX, ni para los usuarios que no cumplan los requisitos de la cuenta del editor. Pueden aplicarse restricciones de edad y regionales.Use una redacción específica del título cuando se aplique una restricción conocida. Ejemplo:
Se requiere una [Cuenta del editor] de [X]+ años para [característica]. Se aplican restricciones de edad.Vinculación de la cuenta del editor y la cuenta Microsoft Autenticación mediante XBOX Secure Token Service (XSTS) Se deben usar tokens XSTS para proporcionar información de identidad para la autenticación al vincular la cuenta del editor de un usuario a su cuenta Microsoft. Para obtener más información sobre la autenticación con tokens XSTS, consulte Autenticación de los servicios de XBOX para los servicios del título. Los títulos deben autenticar tanto la cuenta Microsoft como la cuenta del editor antes de establecer el vínculo, y no deben vincular cuentas mediante identificadores no autenticados, como el Gamertag por sí solo. Use el XUID de socio (PXUID) o el identificador por pares para la vinculación de cuentas. No use el XUID para el almacenamiento de la vinculación de cuentas, a menos que sea explícitamente necesario para un escenario de servicio a servicio aprobado. Obtener el consentimiento y ofrecer opciones Se debe notificar a los usuarios cuando su cuenta del editor se vincula a su cuenta Microsoft, y se les debe dar la opción de no participar cuando la vinculación de cuentas sea opcional. Los usuarios deben poder desvincular las cuentas. La desvinculación de cuentas se puede proporcionar dentro del título, en la web, en una aplicación complementaria o mediante otra experiencia dedicada de administración de cuentas. Dar cabida a los usuarios aptos para la vinculación Si se requiere la vinculación de la cuenta del editor para el juego o para características del juego, la vinculación debe admitir los tipos de usuario, las edades y las regiones aptos donde se ofrece el título y donde la ley permite esas características. Si se requiere una cuenta del editor vinculada, pero el editor no puede admitir el grupo de edad, la región o el tipo de cuenta de un usuario, el título debe proporcionar una ruta de acceso alternativa aprobada o solicitar una excepción. Tratamiento de la edad y las cuentas Antes de ofrecer características de creación o vinculación de cuentas a un usuario de una cuenta Microsoft, los títulos deben validar el grupo de edad del usuario llamando a
XUserGetAgeGroup. Los títulos deben tratar correctamente las siguientes categorías de cuenta:
- Cuando la edad de la cuenta Microsoft de un usuario y la edad de la cuenta del editor difieren, el título o el servicio debe aplicar el tratamiento más protector, a menos que se use otro enfoque que cumpla la legislación (como una plataforma de verificación de edad aprobada).
- En el caso de las cuentas de niños, los editores deben obtener el consentimiento parental antes de crear una cuenta cuando lo exija la ley. El consentimiento parental, incluida la aceptación de los términos y las declaraciones de privacidad del editor cuando sea necesario, debe proporcionarse mediante el flujo de cuentas conforme del editor, y no debe darse por supuesto únicamente por la participación en la red de XBOX.
- En el caso de las cuentas de adolescentes, los editores deben proporcionar información clara sobre las características sociales, de UGC, de comunicación, de uso compartido de datos y que afecten a la privacidad. Cuando corresponda, los editores deben pedir a los adolescentes que notifiquen a un progenitor o tutor que se ha creado la cuenta.
- Si el editor recopila la edad durante la configuración de la cuenta y determina que el usuario no cumple los requisitos de la cuenta del editor, el editor debe detener la creación de la cuenta antes de recopilar información personal innecesaria, informar al usuario de que no puede continuar, impedir que se vuelva a introducir de inmediato información de edad diferente cuando corresponda, destruir la información personal ya recopilada que no sea necesario conservar y evitar intentos repetidos y fallidos de registro o vinculación.
- el chat de voz o de texto;
- los sistemas de amigos o las características de gráfico social;
- la comunicación entre redes;
- la carga o publicación de UGC;
- los perfiles públicos;
- los foros externos o las características de comunidad;
- las compras, la moneda premium o la monetización; y
- la publicidad basada en el comportamiento, la elaboración de perfiles o el uso compartido opcional de datos.
[!NOTE] Los editores pueden implementar mecanismos adicionales de prevención del fraude, como la autenticación en dos fases cuando una cuenta vinculada inicia sesión desde un dispositivo nuevo por primera vez. Este comportamiento no infringe este XR.Excepciones Si un editor no puede proporcionar una ruta de acceso adecuada para la edad a los usuarios aptos según la clasificación, el editor debe solicitar una excepción específica del título. La aprobación para un título no implica una aprobación general para títulos futuros. La solicitud de excepción debe incluir:
- El título afectado, la clasificación, las plataformas, las regiones, las características y los grupos de usuarios.
- Si el juego principal sigue estando disponible sin una cuenta del editor.
- Qué características están bloqueadas o limitadas, y por qué.
- La base legal, de privacidad, de seguridad, técnica o de moderación de la restricción.
- El texto de divulgación propuesto para la Store, el embalaje y el título.
- La experiencia de usuario para los usuarios bloqueados o limitados.
- El plan de pruebas para los casos de cuentas de niños, adolescentes, adultos, administradas por la familia y específicas de la región.
- Cualquier plan de mitigación o plan de desarrollo para admitir el acceso adecuado para la edad en el futuro.
Casos de prueba de certificación
013-01 Vinculación de cuentas Microsoft con cuentas del editor
Pasos de la prueba- Compruebe si el título admite o requiere cuentas que no son de XBOX, cuentas del editor o el inicio de sesión del editor para servicios o funcionalidades.
- Con un perfil de XBOX recién creado, vincule o cree la cuenta del editor durante la configuración inicial.
- Compruebe que el título permite al usuario ver los términos de uso y la información de privacidad, o le informa claramente de cómo verlos, antes de completar la vinculación de la cuenta.
- Compruebe que no se pide al usuario que vuelva a introducir las credenciales de la cuenta que no es de XBOX después de la configuración inicial.
- Cierre la sesión y vuelva a iniciarla mientras el título se está ejecutando.
- Compruebe que el inicio de sesión único sigue funcionando.
- Finalice y vuelva a activar el título con el mismo perfil.
- Compruebe que el inicio de sesión único sigue funcionando.
- Inicie el título en otra consola con el mismo perfil.
- Compruebe que el inicio de sesión único sigue funcionando.
- Compruebe que el título no almacena localmente las credenciales de la cuenta que no es de XBOX eliminando los archivos guardados que el título pueda haber creado.
- Compruebe que el usuario puede desvincular su perfil de XBOX de la cuenta que no es de XBOX.
- Repita los pasos aplicables con cuentas de niños y adolescentes de XBOX que se encuentren dentro de la clasificación por edades del título.
- Repita los pasos aplicables con una configuración familiar que permita o bloquee el multijugador, la comunicación, el UGC, las compras y el juego entre redes.
- Repita los pasos aplicables con edades no coincidentes entre la cuenta Microsoft y la cuenta del editor.
- Repita los pasos aplicables para las regiones admitidas con diferentes umbrales de edad de consentimiento, cuando corresponda.
- Si el editor no admite un niño, un adolescente, una región o un tipo de cuenta, compruebe que el título proporciona una ruta de acceso alternativa aprobada, mensajes adecuados o una restricción respaldada por una excepción aprobada.
Los títulos deben proporcionar un inicio de sesión, una creación de cuentas, una vinculación, una desvinculación y un inicio de sesión único seguros de la cuenta del editor siempre que se usen cuentas del editor. Si se requiere el inicio de sesión o la vinculación de la cuenta del editor para el juego o para características del juego, los títulos deben proporcionar una ruta de acceso adecuada para la edad para todos los usuarios que sean aptos para acceder al título o a la característica según la clasificación del título, la configuración familiar de XBOX, la legislación regional y los requisitos de seguridad o privacidad específicos de la característica. Los usuarios deben poder ver los términos y la información de privacidad aplicables antes de la vinculación, y deben poder desvincular su perfil de XBOX de la cuenta del editor. Ejemplos de aprobación
- El título autentica ambas cuentas, las vincula mediante el PXUID o el identificador por pares y nunca pide al usuario que vuelva a introducir las credenciales del editor después de la vinculación inicial.
- El título proporciona términos, información de privacidad, consentimiento, desvinculación e inicio de sesión único.
- El título admite a los usuarios niños y adolescentes mediante una cuenta del editor para niños o adolescentes que cumple los requisitos, un flujo de consentimiento parental, una cuenta aislada, una ruta autenticada por XBOX o una alternativa específica de la característica aprobada.
- El título limita las características de mayor riesgo, como el chat, la carga de UGC, las compras o la comunicación entre redes, a la vez que conserva el acceso al juego con la clasificación adecuada cuando la ley lo permite.
- El título divulga claramente los requisitos de la cuenta del editor y cualquier limitación de las características en la Store, el embalaje y los mensajes dentro del título.
- El título requiere las credenciales del editor cada vez que se inicia el título.
- El título vuelve a requerir las credenciales del editor cuando se ejecuta en otra consola.
- El título no proporciona términos ni información de privacidad durante la creación o la vinculación de la cuenta.
- El título no proporciona ningún método para desvincular la cuenta del editor de la cuenta Microsoft.
- El título requiere una cuenta del editor para el juego o para características anunciadas, pero no proporciona una ruta de acceso adecuada para la edad para los usuarios niños o adolescentes aptos.
- El título impide a los usuarios aptos según la clasificación acceder al juego principal o a características anunciadas únicamente porque el sistema de cuentas estándar del editor no admite su grupo de edad, región o tipo de cuenta.
- El título se basa únicamente en la divulgación en la Store para impedir que los usuarios aptos accedan al juego requerido o a características anunciadas sin una excepción aprobada.
- El título no trata de forma segura las edades no coincidentes entre la cuenta Microsoft y la cuenta del editor.
Guía de implementación y procedimientos recomendados
Procedimientos recomendados para la vinculación de cuentas
Los usuarios de XBOX esperan mucho más que juegos de sus sistemas de entretenimiento. Pero incluso con proveedores de contenido que ofrecen decenas de servicios en una amplia gama de categorías, ningún proveedor por sí solo puede satisfacer eficazmente las necesidades de todos los usuarios. La vinculación de cuentas, que permite a los usuarios de XBOX usar su cuenta Microsoft para iniciar sesión en todos sus servicios interactivos, es una solución ideal para este problema. Este documento proporciona información general sobre cómo funciona la vinculación de cuentas en XBOX y explica los procedimientos recomendados y los requisitos para incluir esta característica en su título.Aspectos básicos de la vinculación de cuentas
El término vinculación de cuentas hace referencia al establecimiento de una relación entre la cuenta Microsoft de un usuario (lo que antes se conocía como cuenta de XBOX Live) y su cuenta en otro servicio. Con la vinculación de cuentas, se comparten datos entre las dos cuentas. Aunque el valor y la finalidad de la cuenta vinculada varían mucho de un título a otro, la vinculación de cuentas normalmente permite a los titulares de las cuentas usar las consolas XBOX para acceder a los servicios que ofrece la cuenta vinculada. Esta característica elimina la necesidad de que los usuarios recuerden distintos inicios de sesión, una comodidad que puede mejorar enormemente la experiencia del usuario y aportar un valor considerable a su título.Posibles riesgos asociados a la vinculación de cuentas
La comodidad que ofrece la vinculación de cuentas tiene un precio. Aunque el valor de tener cuentas vinculadas es indudablemente alto, no tomar las precauciones adecuadas al crear y vincular cuentas puede dar lugar a abusos, fraudes, infracciones de la privacidad y otros riesgos potencialmente perjudiciales para la seguridad de los usuarios.Fraude
Quizás el mayor riesgo asociado a la vinculación de cuentas es la posibilidad de fraude. Puede provocar directamente pérdidas financieras para los usuarios, su título o su comunidad, especialmente en el caso de vínculos a cuentas con suscripciones o servicios de pago. El fraude suele consistir en que un atacante encuentra la forma de vincular la cuenta de una víctima a una cuenta que es propiedad del atacante. Una vez vinculadas las cuentas, el atacante puede obtener acceso a los servicios o a la información disponibles en la cuenta de la víctima, como un número de tarjeta de crédito u otra información de identificación personal (PII). A continuación se muestra un ejemplo de cómo una implementación descuidada de la vinculación de cuentas podría dar lugar a fraudes.- Permitir que los usuarios vinculen su cuenta de un servicio de alquiler de películas a su cuenta Microsoft escribiendo su Gamertag en el sitio web del servicio de alquiler de películas.* Permitir que el sitio web vincule cuentas solicitando el Gamertag de un usuario sin requerir ninguna autenticación de la cuenta haría posible que los atacantes se vincularan a cualquier Gamertag. Esto podría dar lugar a que los atacantes obtuvieran acceso al servicio de pago de usuarios válidos o a exponer PII que podría usarse más adelante para otros ataques.
Infracción de la privacidad
La posible infracción de la privacidad de los usuarios también es un factor de riesgo importante asociado a la vinculación de cuentas. Los editores de títulos que administran mal la PII de los usuarios, o que recopilan y comparten datos de una cuenta vinculada sin el consentimiento del usuario, pueden ser objeto de multas importantes de la Comisión Federal de Comercio (FTC). Además de las sanciones de la FTC, los errores de infracción de la privacidad pueden provocar grandes desastres de relaciones públicas para los editores, lo que también puede dar lugar a pérdidas financieras. Algunos ejemplos de prácticas de vinculación de cuentas que suponen riesgos para la privacidad son:- Recopilar y compartir PII de una cuenta vinculada sin el consentimiento del usuario.
- Reunir datos de la cuenta de un usuario para crear PII (como datos de hora o de ubicación).
- Compartir datos protegidos de un usuario (como la altura, el peso, la edad o el sexo) sin el consentimiento adecuado.
Riesgos para la seguridad
Una implementación deficiente de la vinculación de cuentas también puede crear riesgos para la seguridad de los usuarios. Por ejemplo, la Ley de protección de la privacidad infantil en línea (COPPA) exige que los sitios web y los servicios en línea obtengan el consentimiento parental antes de intentar recopilar cualquier dato de un usuario menor de 13 años en Estados Unidos. Si la forma en que un título vincula las cuentas infringe la COPPA, es decir, da lugar a una recopilación indebida de datos de un usuario menor de 13 años, y los datos no se mantienen seguros, la seguridad personal del niño podría estar en riesgo. La seguridad de los usuarios también puede ponerse en riesgo cuando los datos o el contenido de la cuenta vinculada se usan de forma inadecuada o para causar abusos. Si su título recopila o muestra PII, debe hablar con su administrador de cuentas para programar una revisión con un administrador de privacidad de XBOX.Requisitos para la vinculación de cuentas
Para ayudar a promover una experiencia de usuario coherente y positiva, mitigar los posibles riesgos asociados a la vinculación de cuentas y garantizar que la vinculación de cuentas sea fácil y segura de implementar, Microsoft ha establecido algunos requisitos y directivas en torno a esta característica cada vez más popular. Todos los títulos de consola XBOX que habiliten la vinculación de cuentas deben cumplir el requisito de XBOX (XR) titulado Vinculación de cuentas Microsoft con cuentas del editor. Este requisito incluye cuatro puntos principales: autenticación de la cuenta, edad de la cuenta, desvinculación e inicio de sesión único.Autenticación del vínculo de cuenta
Los títulos deben autenticar tanto la cuenta Microsoft como la cuenta del editor que se vinculan antes de establecer un vínculo de cuenta entre los servicios, y deben seguir procedimientos de autenticación seguros. La finalidad de este requisito es garantizar que la información de la cuenta del usuario esté protegida contra la exposición no autorizada durante la creación y la vinculación de la cuenta. Aplicar buenos métodos de autenticación es una de las mejores formas de mitigar el riesgo de fraude en el flujo de vinculación de cuentas. Asegurarse de que un usuario autentica ambas cuentas antes de completar el vínculo hará que a los atacantes les resulte mucho más difícil acceder a las cuentas de los usuarios. Asegurarse de que la autenticación se ejecuta correctamente es clave para mantener XBOX Live y su título a salvo del fraude.Dar cabida a la vinculación de cuentas para todos los usuarios si se requiere una cuenta vinculada para el juego
Los títulos deben dar cabida a la vinculación de cuentas para todos los usuarios si se requiere una cuenta vinculada para el juego. Los editores son responsables de garantizar que el vínculo a su servicio se trate de forma conforme con la COPPA en los títulos que se comercializan en Estados Unidos. Un escenario en el que se aplicaría este requisito podría ser un título creado para todos los públicos, con una clasificación ESRB de E, que requiere una cuenta vinculada para jugar. Para jugar al título, los usuarios tendrían que crear una cuenta en el servicio del título y vincular esa cuenta a su cuenta Microsoft. El problema para su título podría surgir cuando un niño quiere jugar al juego, pero el requisito de edad de la vinculación de cuentas se lo impide. Dado que el niño espera que el título le dé cabida por su clasificación E, podría sentirse engañado después de haber pagado por el título y no poder acceder a él. Este escenario también podría animar a los usuarios a jugar al título con otra cuenta o incluso a falsear su edad. La finalidad de este requisito es garantizar que todos los usuarios que se encuentran dentro de la clasificación de un título puedan jugar al título que han comprado.Validar la edad del usuario antes de crear cuentas
Antes de ofrecer características de creación de cuentas a un usuario de una cuenta Microsoft, los títulos deben validar la edad del usuario antes de crear una cuenta. Los títulos deben validar la edad del usuario antes de crear una cuenta.[!TIP] Los títulos deben comprobar el grupo de edad de un usuario llamando a la función XUserGetAgeGroup, cuyo uso no requiere una excepción.En Microsoft, una cuenta infantil se define como cualquier cuenta Microsoft que está asociada a una cuenta Microsoft de un adulto cuando la edad del niño o adolescente es inferior a la mayoría de edad de su país o región. En ese caso, el niño debe estar vinculado a la cuenta Microsoft de un adulto para participar en los servicios de XBOX. Al administrar la privacidad y la seguridad en línea de un miembro de un grupo familiar, la consola XBOX divide la definición de niño en dos categorías: Niño y Adolescente. Las edades reales que se aplican a estas categorías dependen del país o la región indicados en la cuenta infantil. La categoría que se asignará a la cuenta se basa en los intervalos establecidos por el país o la región y en la fecha de nacimiento proporcionada durante la creación de la cuenta.
Desvinculación
Los usuarios deben poder desvincular las cuentas del editor o de servicio de su cuenta Microsoft. El título puede elegir controlar el proceso de desvinculación dentro del título, en una experiencia web o en una aplicación central. No existe un requisito explícito de facilitar la desvinculación dentro del título, solo de que los jugadores dispongan de un método para desvincular su cuenta si lo desean. La finalidad de este requisito es garantizar que los usuarios puedan cambiar y administrar las cuentas que han vinculado a su cuenta Microsoft. A medida que se guardan más datos en la nube, los usuarios confían en que los servicios tomen las decisiones correctas sobre cómo se tratan sus datos. Es más probable que los usuarios compartan datos con una cuenta cuando saben que tienen el control sobre los datos que se capturan. Si a un servicio le ocurre algo que rompe la confianza del usuario, o si un usuario deja de estar seguro de la seguridad de sus datos, los usuarios deben poder romper fácilmente la conexión entre las cuentas vinculadas.Experiencia de inicio de sesión único
Los títulos deben implementar el inicio de sesión único una vez que se haya establecido un vínculo de cuenta. La finalidad de este requisito es ofrecer a los usuarios una experiencia coherente y fluida en las consolas XBOX sin exigirles que recuerden varios inicios de sesión y contraseñas. Los usuarios de XBOX esperan que las experiencias “simplemente funcionen”. Cuando los usuarios vinculan su cuenta Microsoft con otro servicio, esperan que ese vínculo se mantenga más allá de la sesión y la configuración iniciales. El inicio de sesión único significa que el título inicia sesión automáticamente con el usuario en su cuenta vinculada al usar el título. Para evitar que se almacene localmente en la consola información confidencial o privada, los títulos deben usar XBOX Secure Token Service (XSTS) para facilitar una experiencia de inicio de sesión único.Lo que se debe y no se debe hacer
Autenticación
Lo que se debe hacer- Vincule las cuentas mediante el XUID de socio (PXUID) del usuario en lugar de su Gamertag, ya que, aunque los usuarios pueden cambiar su Gamertag, su PXUID seguirá siendo el mismo.
-
Valide la propiedad del Gamertag para vincular las cuentas (se crea una relación entre el PXUID del usuario y el número de identificador interno del editor).
- Ejemplo 1: Un usuario inicia sesión en su cuenta Microsoft en la consola e inicia el título por primera vez. El título comprueba que el usuario cumple los requisitos de edad y le ofrece la opción de vincularse a una cuenta del editor existente o crear una nueva cuenta del editor. Para vincularse a una cuenta del editor existente, el usuario escribe su nombre de usuario y contraseña de la cuenta del editor; esto vincula el PXUID del usuario que ha iniciado sesión a la cuenta del editor. Si el usuario no tiene una cuenta del editor existente, el título le pide que cree una nueva cuenta eligiendo un nombre de usuario y una contraseña. Una vez que el usuario ha escrito un nombre de usuario y una contraseña, su PXUID se vincula a la cuenta del editor.
- Ejemplo 2: Un usuario inicia sesión en el sitio del editor o del servicio mediante el mecanismo de autenticación de cuentas del editor, con la cuenta ABC. Siguiendo la indicación del sitio, “Inicie sesión con la cuenta Microsoft asociada a su Gamertag”, el usuario inicia sesión en el sitio web con el identificador de su cuenta Microsoft. El editor toma el token de acceso del usuario para recuperar un token X para el usuario de confianza del editor y extrae el PXUID del token X para identificar al usuario. A continuación, el editor o el servicio crea la relación entre la cuenta del editor o el servicio y el PXUID asociado al usuario.
- Ejemplo 3: Un usuario inicia sesión en el sitio del editor mediante el mecanismo de autenticación de cuentas del editor, con la cuenta ABC. El sitio web muestra un código único, como 123, al usuario y le indica que inicie sesión en su consola y escriba el código. El usuario inicia sesión en la consola con su Gamertag y escribe el código 123. A continuación, el código se transmite de vuelta al sitio del editor, lo que crea la relación entre la cuenta del editor o el servicio y el PXUID asociado al usuario.
- Ofrezca a los usuarios la opción de leer los términos de uso (TOU) y la declaración de privacidad del editor o del servicio mientras se realiza la vinculación de la cuenta y se muestran las pantallas de vinculación de cuentas.
[!Note] Los PXUID tienen como ámbito el socio comercial seleccionado al crear el usuario de confianza en el Partner Center. Si trabaja con tokens X para más de un usuario de confianza, estos deben compartir el mismo socio comercial para que los valores de PXUID coincidan. Para obtener más información sobre la configuración del socio comercial y del usuario de confianza, consulte Configuración de servicios web en el Partner Center.Lo que no se debe hacer
- Usar el identificador de usuario de XBOX (XUID) de un usuario para la vinculación de cuentas. Se considera PII y no debe almacenarse con fines de vinculación de cuentas. En su lugar, se debe usar el identificador por pares.
- Permitir que el usuario inicie sesión en el sitio de la cuenta del editor mediante un mecanismo de autenticación basado en el Gamertag del usuario. Es decir, no habilite una vinculación de cuentas en la que el usuario escriba su Gamertag en el sitio web del editor o del servicio y el editor active la relación entre la cuenta del editor o del servicio y el XUID asociado al Gamertag del usuario. Con este tipo de mecanismo, un usuario podría iniciar sesión con el Gamertag de otra persona y, de este modo, vincular su propia cuenta del editor con la cuenta Microsoft de otra persona.
[!Note] Es posible que se necesite el XUID del usuario para realizar llamadas de servicio a servicio entre el servidor de un editor y los servicios de XBOX. En estos escenarios, el XUID se puede almacenar temporalmente mientras se necesite. Póngase en contacto con sus contactos de Microsoft si usa llamadas de servicio a servicio.
Vinculación de cuentas para cuentas de niños y adolescentes
Lo que se debe hacer-
Para las cuentas de niños:
- Exija el consentimiento parental antes de crear una cuenta para un usuario clasificado como Niño en su país o región.
- Proporcione un aviso explícito sobre las clasificaciones de contenido del título, el sitio web o el servicio, así como información completa sobre la capacidad del título o del sitio para integrarse con las redes sociales.
[!Note] Los editores son responsables de cumplir todas las leyes y normativas aplicables a las cuentas de niños en todos los países y regiones en los que se venden y se ponen a disposición sus productos y servicios.
-
Para las cuentas de adolescentes:
- Proporcione a los clientes cuyo grupo de edad sea Adolescente y que creen una cuenta vinculada información completa sobre las capacidades del título o del sitio para integrarse con las redes sociales.
- Pida a los adolescentes que informen a sus padres de que han creado la cuenta. Esto incluye la posibilidad de aceptar los TOU y la declaración de privacidad en nombre del adolescente. Se recomienda exigir que el adolescente acepte los TOU y la declaración de privacidad en el sitio web del editor y no a través del título.
Edad del usuario
Lo que se debe hacer-
Aplique todos los requisitos legales y normativos aplicables relativos a la privacidad y la seguridad en línea de los niños en todas las regiones y servicios en los que esté disponible el título o el servicio.
- Ejemplo Ley de protección de la privacidad infantil en línea (COPPA) en Estados Unidos (https://www.ftc.gov/business-guidance/resources/complying-coppa-frequently-asked-questions).
-
Impida que los usuarios más jóvenes creen cuentas en sitios web o servicios claramente dirigidos a un público maduro o adulto. Aunque no es un requisito explícito, lo recomendamos encarecidamente como procedimiento recomendado.
- Ejemplo: Mediante la función XUserGetAgeGroup, un editor impide que un usuario con una cuenta Microsoft de 13 años de edad cree una cuenta en el sitio web de un título popular con clasificación M.
-
Separe por clasificación del título cualquier contenido al que se pueda acceder mediante cuentas administradas por el editor. Aunque no es un requisito explícito, puede crear una experiencia de cliente más segura y positiva para los usuarios más jóvenes.
- Ejemplo: Es posible que un progenitor esté dispuesto a vincularse a un sitio de comunidad de un título con clasificación E, pero no de un título con clasificación M, debido a la naturaleza del contenido, así como a la edad y la madurez generales de cada comunidad.
-
Use la menor de las dos edades del usuario si la edad de la cuenta Microsoft del usuario es diferente de la edad de su cuenta del editor.
- Ejemplo: Si la edad del usuario en la cuenta del editor es 15 y la edad del usuario en su cuenta Microsoft es 13, el título o el servicio trata al usuario como si tuviera 13 años.
-
Si el sitio del editor recopila la edad de un usuario al configurar una cuenta y la edad del usuario es inferior a 13 años, el sitio debe:
- Informar al usuario de que no cumple los requisitos de edad del sitio y, por tanto, no puede crear una cuenta en ese momento.
- Establecer una cookie de sesión para que el usuario no pueda actualizar la página y proporcionar una edad diferente.
- Destruir cualquier información de identificación personal (PII) ya recopilada del usuario.
Desvinculación
Lo que se debe hacer- Ofrezca a los usuarios la posibilidad de romper la asociación entre su PXUID y el identificador de cuenta del sitio del editor.
-
(1) Informe a los usuarios sobre cómo se puede asociar su PII o su Gamertag con el servicio social, (2) ofrezca a los usuarios opciones sobre cómo se usará su información en el sitio y (3) exija una acción explícita del usuario y una notificación para asociar o mostrar el Gamertag del usuario con su cuenta en el sitio.
- Ejemplo: Si se establece un vínculo con el sitio de un título, el sitio puede mostrar el Gamertag del usuario, pero no debe mostrar a otras personas el nombre real del usuario ni otros identificadores. Los usuarios pueden crear un perfil y elegir vincular su Gamertag con su información personal, pero esta opción debe presentarse de forma explícita.
- Ofrezca a los usuarios la posibilidad de desasociar su PXUID y su identificador del editor tanto desde la consola como desde el portal web del editor.
- Proporcione a los usuarios un control total sobre la vinculación de su cuenta, ya sea a través del título, del sitio web o de una aplicación central dedicada. Esto debe incluir opciones de configuración para el consentimiento parental (si corresponde), la vinculación y desvinculación de cuentas, el inicio de sesión único y la revisión de los TOU y las directivas aplicables.
Inicio de sesión único
Lo que se debe hacer- Pida a los usuarios su información de inicio de sesión cuando inicien la aplicación por primera vez en la consola. Un ejemplo de esta vulnerabilidad podría ser que la aplicación A, una aplicación de mensajería instantánea, pida a un usuario el inicio de sesión de su cuenta del editor A. Si la aplicación B, una aplicación de almacenamiento de archivos, proporciona un inicio de sesión automático y usa el mismo inicio de sesión del editor A de la aplicación A, un atacante podría usar las credenciales almacenadas en caché de la aplicación B para descargar el almacenamiento de archivos de la aplicación B y acceder a él sin necesidad del inicio de sesión del editor A.
- Almacenar cualquier PII en la consola.
Ejemplos de una vinculación de cuentas excelente
Los siguientes ejemplos ofrecen una visión general de algunos de los procedimientos recomendados para la vinculación de cuentas descritos anteriormente.Autenticación
Los tres ejemplos siguientes ilustran los procedimientos recomendados de autenticación descritos anteriormente.Ejemplo 1: Un usuario inicia sesión en su cuenta Microsoft en la consola e inicia el título por primera vez. El título comprueba que el usuario cumple los requisitos de edad y le ofrece la opción de vincularse a una cuenta del editor existente o crear una nueva cuenta del editor.Para vincularse a una cuenta del editor existente, el usuario escribe su nombre de usuario y contraseña de la cuenta del editor; esto vincula el PXUID del usuario que ha iniciado sesión a la cuenta del editor. Si el usuario no tiene una cuenta del editor existente, el título le pide que cree una nueva cuenta eligiendo un nombre de usuario y una contraseña. Una vez que el usuario ha escrito un nombre de usuario y una contraseña, su PXUID se vincula a la nueva cuenta del editor.
Ejemplo 2: Un usuario inicia sesión en el sitio del editor o del servicio mediante el mecanismo de autenticación de cuentas del editor, con la cuenta ABC.Siguiendo la indicación del sitio, “Inicie sesión con la cuenta Microsoft asociada a su Gamertag”, el usuario inicia sesión en el sitio web con el identificador de su cuenta Microsoft. El editor toma el token de acceso del usuario para recuperar un token X para el usuario de confianza del editor y extrae el PXUID del token X para identificar al usuario. A continuación, el editor o el servicio crea la relación entre la cuenta del editor o el servicio y el PXUID asociado al usuario. Para obtener más información sobre cómo habilitar el inicio de sesión con una cuenta Microsoft, consulte el tema de MSDN Inicio de sesión único para aplicaciones y sitios web.
Ejemplo 3: Un usuario inicia sesión en el sitio del editor mediante el mecanismo de autenticación de cuentas del editor, con la cuenta ABC.El sitio web muestra un código único, como 123, al usuario y le indica que inicie sesión en su consola y escriba el código. El usuario inicia sesión en la consola con su Gamertag y escribe el código 123. A continuación, el código se transmite de vuelta al sitio del editor, lo que crea la relación entre la cuenta del editor o el servicio y el PXUID asociado al Gamertag del usuario.
Edad del usuario y TOU del editor
El siguiente diagrama de flujo muestra un buen ejemplo de validación de la edad y los TOU:
Desvinculación
Cree una interfaz de usuario sencilla que permita a los usuarios desvincular su perfil de XBOX de un servicio vinculado. No se recomienda ocultar las opciones de desvinculación en lo más profundo de la interfaz de usuario ni exigir a los usuarios que llamen al soporte técnico para desvincular las cuentas.