{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "es/security_timeline.html",
  "language": "es",
  "title": "Cronología de la seguridad — El expediente «Steam»",
  "source_url": "https://phishdestroy.io/steam_dossier/es/security_timeline",
  "source_html_sha256": "cb3b43f2e0f49c60e80fd244ae5d62c239fd06db1c5771afbe1a89bb2f088902",
  "exported_at": "2026-09-30T21:13:59.766Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/es/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "ccfe268a1ecc7ecc0bdac7937c40c50e73b838cde78cc40b8d34d7eb2177bd25",
    "bytes": 96193,
    "pages": 7
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "EL HISTORIAL DE SEGURIDADEXPOSICIÓN / PARTICIPACIONES EN EL «16»\n\n2018 — 2026\n\nCronología de seguridad: de «2018» a «2026»\n\nSe han producido cambios en la seguridad. Sigue el historial.\n\nLO QUE DEMUESTRA ESTA SECCIÓN\n\nEste registro cronológico reconstruye ocho años de modificaciones de seguridad en la pila de operaciones y autenticación de Steam. En él se recogen la implementación de la retención de operaciones de un día 2018 7-, las confirmaciones móviles con clave 2023 Web API y la retirada de los tokens de sesión 2026 frente a técnicas de elusión documentadas. La línea temporal pone de manifiesto que las actualizaciones de la plataforma siempre iban por detrás de los vectores de explotación conocidos, al tiempo que se preservaban las ventajas estructurales para los operadores comerciales.\n\n← Volver al informe ejecutivo\n\nBloqueos comerciales. Controles de acceso. Restricciones de «API». Un registro cronológico de lo que cambió y de lo que realmente demuestran las fuentes.\n\nExplora la línea temporal ↓\nOCHO AÑOS. UN RÉCORD.16hitos que hay que analizar\n\nCada entrada conserva la fecha de envío y la fuente. La verificación aparece junto a ella.\n\nREVISADO / 24 SEP 2026\n10Evento y fecha confirmados\n06Verificado parcialmente\n00Incompatibilidad de fuentes\n00Se necesita fuente\nCómo interpretar este registro\n\nEvento y fecha confirmados: ambas respaldadas por una fuente primaria fiable. Verificado parcialmente: Se ha documentado un cambio relacionado, pero la fecha o el alcance siguen sin estar claros. Discrepancia entre fuentes: El material al que se hace referencia no respalda la afirmación presentada. Se necesita fuente: En esta revisión no se ha verificado ninguna fuente con fecha que coincida. El hecho de que una entrada no se haya resuelto no prueba que el suceso no haya tenido lugar.\n\nLas fechas que figuran en las entradas sin resolver corresponden a las fechas de presentación, no a las fechas de publicación verificadas. El texto original de la investigación no se ha modificado.\n\nLa cronología\n01 — 16\nBuscar en el registroTemaPruebasPedido\n\n16 de las entradas de «16» · las más recientes primero\n\n202609-01Fecha de presentación\nComunidadVerificado parcialmente\nAvisos sobre mensajes sospechosos en los chats de grupo\n\nUn comunicado oficial sobre la versión beta confirma esta función el 31 de agosto. La fecha de lanzamiento de la versión estable, indicada en 1 de septiembre, aún no cuenta con sus notas de lanzamiento específicas.\n\nSteam Versión beta para clientes — 31de agosto ↗archivado en 2026-03-13 ↗\nEntrada original y enlace enviado\n\nDetección automática de chats sospechosos\n\nRevisa el código fuente enviado ↗\n202601-16Fecha de verificación\nAPIEvento y fecha confirmados\nPermisos detallados y listas blancas de direcciones IP para las claves de editor (anuncio sobre Valve)\n\nEl 16 de enero de 2026, Valve publicó un comunicado oficial de Steamworks («NOVEDAD: Mejores permisos y controles para las claves de «API» en la web») en la que se confirman nuevas herramientas de permisos detallados que permiten a los desarrolladores dividir las claves de «API» de la web en grupos independientes (Datos generales, sobre microtransacciones, economía y ventas), restringir las claves a ID de aplicación específicos y aplicar una lista blanca de direcciones IP de servidor.\n\nEl flagrante doble rasero: Este comunicado oficial establece que Valve ha desarrollado por completo la infraestructura técnica necesaria para la gestión detallada de permisos (API) y restricciones de IP, pero las oculta deliberadamente a las cuentas de usuario normales (steamcommunity.com/dev/apikey). Las claves de los usuarios habituales de API siguen siendo credenciales monolíticas, del tipo «todo o nada», sin listas blancas de direcciones IP, lo que constituye precisamente la omisión técnica que permite la existencia de una industria de interceptación de transacciones de API valorada en varios millones de dólares.\n\nValve Anuncio — NOVEDAD: Mejores permisos y controles para las claves de «API» en la web (16, 2026 de enero) ↗· Documentación: Autenticación web de Steamworks API ↗\nEntrada original y enlace enviado\n\nSteamworks Web API Alcances granulares\n\nEcha un vistazo al anuncio oficial de «Valve» en Steamworks (493839547938902179) ↗\n202507-15Fecha de verificación\nOperaciones bursátilesEvento y fecha confirmados\nLas operaciones con CS2 cuentan con un plazo de reversión de siete días\n\nEl comunicado publicado por Valve anuncia la anulación de los intercambios de objetos de Counter-Strike realizados durante los siete días anteriores. Aunque está pensado para mitigar el secuestro de cuentas, las auditorías económicas realizadas por terceros (CSMarketCap ↗) registró un 104millones de dólares (-25%) colapso en capitalización bursátil en unas hor24es debido a una interrupción en la negociación al contado. Según el análisis realizado por Skinvault ↗, al activar una reversión, se aplica automáticamente un bloqueo de operaciones intradía 30-en la cuenta. En verano, 2026, Valve pasó de los reinicios globales a medianoche (UTC) a temporizadores individuales por artículo, con una duración de un minuto (Skin.land ↗).\n\nValve — 15, 2025, anuncio de julio ↗· Análisis de CSMarketCap ↗\nEntrada original y enlace enviado\n\nProtección comercial de CS2 / Ventana de reversión\n\nRevisa el código fuente enviado ↗\n202505-14Fecha de verificación\nAutenticaciónEvento y fecha confirmados\nValve publica una advertencia sobre la seguridad de las cuentas en relación con las filtraciones de SMS\n\nEl comunicado oficial de Valve del 14, 2025, aborda la seguridad de las cuentas y los autenticadores basados en SMS. Aunque el comunicado se centra en las filtraciones de SMS y confirma que no se ha producido ninguna brecha en los sistemas de Steam, sirve como actualización oficial de seguridad en la fecha de publicación.\n\nValve — Una nota sobre la seguridad de tu cuenta de Steam ↗\nEntrada original y enlace enviado\n\nAnuncio sobre la seguridad de la cuenta\n\nRevisa el código fuente enviado ↗\n202410-02Fecha de verificación\nOperaciones bursátilesEvento y fecha confirmados\nSiete días antes de volver a poner a la venta o volver a comercializar\n\nLas notas de la actualización abarcan los artículos adquiridos a través de la tienda del juego, incluyendo la Armería, las ofertas de intercambio y el Mercado de la Comunidad. El alcance descrito es más amplio que el de los artículos de la Armería por sí solos.\n\nValve — Notas de la versión de «10/2/2024» ↗\nEntrada original y enlace enviado\n\nCS2: The Armory / 7-Día de retención\n\nRevisa el código fuente enviado ↗\n202409-18Fecha de presentación\nOperaciones bursátilesVerificado parcialmente\nRestricciones para nuevos dispositivos verificadas en las páginas de ayuda\n\nLa documentación oficial de soporte de Steam confirma una restricción de operaciones intradía 7-al iniciar sesión desde un nuevo dispositivo que no haya sido autorizado durante al menos 7 días. Aunque la fecha exacta de implementación de septiembre 18, 2024, no figura como hito en el registro de cambios, la funcionalidad está plenamente documentada.\n\nSteam Asistencia — Restricciones comerciales y de mercado ↗\nEntrada original y enlace enviado\n\nRestricción comercial para el inicio de sesión en un nuevo dispositivo\n\nRevisa el código fuente enviado ↗\n202402-14Fecha de presentación\nComunidadVerificado parcialmente\nSe ha implementado el tiempo de espera para el cambio de nombre en 2024\n\nLos registros de la comunidad y de los desarrolladores confirman que, a principios de 2024,, Valve introdujo, sin previo aviso, 2-un tiempo de espera de4 horas inmediatamente después de un cambio de nombre de perfil, con el fin de mitigar las estafas por suplantación de identidad. Dado que Valve no publicó ningún comunicado de prensa oficial, registro de cambios del cliente ni artículo de soporte técnico sobre esta restricción, la fecha de febrero 14 que se ha facilitado carece de verificación formal; la guía de Steam Workshop sirve como corroboración indirecta de la comunidad, más que como documentación oficial Valve.\n\nSteam Guía del taller (corroboración indirecta) — Detalles sobre la restricción al cambio de nombre ↗\nEntrada original y enlace enviado\n\nSuspensión del cambio de nombre de perfil o avatar\n\nRevisa el código fuente enviado ↗\n202312-04Fecha de verificación\nAPIEvento y fecha confirmados\nLa creación de la clave requiere una confirmación a través del móvil\n\nSe ha comprobado que la introducción de la confirmación móvil obligatoria de Steam Guard para la creación de claves en la web API tuvo lugar a finales de 2023,, tal y como lo documentan las bibliotecas de desarrolladores de terceros. La fecha exacta de diciembre 4, 2023, corresponde al periodo de implantación observado en la comunidad de desarrolladores.\n\nDocumentación para administradores — 2024 de marzo ↗archivado en 2026-09-24 ↗\nEntrada original y enlace enviado\n\nConfirmación a través del móvil para las claves de API\n\nRevisa el código fuente enviado ↗\n202310-24Fecha de verificación\nDesarrolladorEvento y fecha confirmados\nEntra en vigor la solicitud de autorización (FA) obligatoria de 2para la publicación de las versiones del juego\n\nEl anuncio oficial de Valve sobre Steamworks, publicado el 10, de octubre en 2023,, confirma que, a partir del 24, de octubre en 2023,, cualquier cuenta que publique una versión en la rama predeterminada de una aplicación ya lanzada deberá autorizar el cambio mediante SMS o a través de la aplicación móvil Steam. Este cambio se ha reflejado directamente en la página web SetAppBuildLive API.\n\nSteamworks: mejoras de seguridad para la gestión de compilaciones y usuarios ↗archivado en 2025-12-03 ↗\nEntrada original y enlace enviado\n\nAutenticación multifactorial (MFA) por SMS para la publicación de versiones de videojuegos\n\nRevisa el código fuente enviado ↗\n202307-12Fecha de presentación\nComunidadVerificado parcialmente\nAdvertencias sobre el contenido de las biografías personalizadas señaladas por la comunidad\n\nSteam Los informes de la comunidad, que se remontan a julio 2023, indican que las biografías de los perfiles personalizados que contenían enlaces externos o palabras clave comenzaron a mostrar advertencias automáticas sobre el contenido. La fecha de envío, 12, 2023,, coincide con la primera oleada de informes de los usuarios en los foros de la comunidad de Steam.\n\nSteam Foro de la comunidad — Informes sobre advertencias de contenido biográfico ↗\nEntrada original y enlace enviado\n\nAdvertencia sobre el contenido de la biografía personalizada\n\nRevisa el código fuente enviado ↗\n202301-25Fecha de presentación\nComunidadVerificado parcialmente\nFiltrado de enlaces de perfil y tiempos de espera para la edición activos\n\nLa documentación oficial de soporte de Steam confirma que los enlaces de las biografías personalizadas se filtran y que los cambios abusivos de nombre o avatar pueden dar lugar a prohibiciones de edición. Si bien la implementación exacta del periodo de espera de una hora 4-el 1 de enero 25, 2023, marca el inicio observado, el mecanismo de filtrado de enlaces en sí mismo está plenamente activo, tal y como se indica en la página de ayuda facilitada.\n\nSteam Asistencia técnica — Restricciones sobre el nombre de perfil y el avatar ↗\nEntrada original y enlace enviado\n\nPerfil ENLACE ELIMINADO / Tiempo de espera\n\nRevisa el código fuente enviado ↗\n202210-24Fecha de verificación\nAutenticaciónEvento y fecha confirmados\nSteam Transición de los clientes a los tokens de actualización y de acceso de OAuth\n\nPrincipales actualizaciones de Valve para clientes y aplicaciones móviles en octubre 2022 ha renovado por completo el sistema de autenticación de Steam. La antigua estructura de cookies de sesión se ha sustituido por tokens de acceso y de actualización basados en OAuth, y se ha introducido una lista de dispositivos autorizados activos para permitir la revocación manual de las sesiones activas.\n\nValve — Actualización de la aplicación móvil «Steam» y renovación del sistema de autenticación ↗\nEntrada original y enlace enviado\n\nSteam Revisión del proceso de inicio de sesión / Truncamiento de cookies\n\nConsulta el anuncio de «Valve» ↗\n202210-12Fecha de verificación\nAutenticaciónEvento y fecha confirmados\nInicio de sesión mediante código QR y gestión de dispositivos autorizados\n\nEn el anuncio de Valve sobre «12» del mes de octubre se describen el inicio de sesión mediante código QR, la aprobación o denegación de inicios de sesión y una lista de dispositivos que pueden revocar el acceso a la cuenta.\n\nValve — Ya está disponible la versión actualizada de la aplicación móvil «Steam» ↗\nEntrada original y enlace enviado\n\nSteam Aplicación móvil 3.0 / Inicio de sesión mediante código QR\n\nRevisa el código fuente enviado ↗\n202205-10Fecha de presentación\nAPIVerificado parcialmente\nSe han eliminado los puntos finales de cancelación de operaciones de la lista pública API\n\nLos registros de los desarrolladores confirman que, en mayo de 2022, Valve, se eliminaron de forma silenciosa los puntos finales de gestión de intercambios, como IEconService/CancelTradeOffer y DeclineTradeOffer, del sitio web API (documentado en node-steam-tradeoffer-manager #325). Aunque los métodos siguen funcionando en los protocolos de cliente privados, la fecha del 10, 2022, marca su retirada efectiva de las API web públicas para combatir los paneles fraudulentos.\n\nDebate de desarrolladores — Tema n.º325 (se ha eliminado «CancelTradeOffer») ↗· Sitio web de Steamworks API — Documentación de IEconService ↗\nEntrada original y enlace enviado\n\nEliminación de los puntos finales de cancelación de operaciones\n\nConsultar el problema n.º325 de node-steam-tradeoffer-manager ↗\n202005-25Fecha de verificación\nOperaciones bursátilesEvento y fecha confirmados\nLos objetos de «2» de Dota tienen un tiempo de espera de siete días para su intercambio\n\nEl 25, de mayo, 2020,, coincidiendo con el lanzamiento del Pase de Batalla de The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve implementó un bloqueo de intercambio de un día 7-para los objetos de Dota 2, en consonancia con la política de 2018 para Counter-Strike. Esta restricción se aplica a todos los objetos intercambiados y a las compras realizadas en el Mercado.\n\nComunidad de Dota 2: bloqueo de intercambios y actualización del cliente de TI10 ↗\nEntrada original y enlace enviado\n\nDota 2 / 7-Bloqueo de operaciones intradía\n\nRevisa el código fuente enviado ↗\n201803-29Fecha de verificación\nOperaciones bursátilesEvento y fecha confirmados\nLos objetos de CS:GO intercambiados tienen un periodo de espera de siete días.\n\nLas notas oficiales de la versión confirman la fecha y la restricción. La URL facilitada redirigía a una actualización de mapas de 2013; la URL correspondiente a las notas de la versión termina en 20309.\n\nValve — Notas de la versión de «3/29/2018» ↗\nEntrada original y enlace enviado\n\nCS:GO / Bloqueo de operaciones intradía de «7-»\n\nRevisa el código fuente enviado ↗ archivado en 2025-02-26 ↗\n\nSigue las pistas. Comprueba la fuente.\n\nVolver a la investigación ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "Cronología de seguridad: de «2018» a «2026»"
      },
      {
        "level": 2,
        "id": null,
        "text": "La cronología"
      },
      {
        "level": 2,
        "id": null,
        "text": "Avisos sobre mensajes sospechosos en los chats de grupo"
      },
      {
        "level": 2,
        "id": null,
        "text": "Permisos detallados y listas blancas de direcciones IP para las claves de editor (anuncio sobre Valve)"
      },
      {
        "level": 2,
        "id": null,
        "text": "Las operaciones con CS2 cuentan con un plazo de reversión de siete días"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve publica una advertencia sobre la seguridad de las cuentas en relación con las filtraciones de SMS"
      },
      {
        "level": 2,
        "id": null,
        "text": "Siete días antes de volver a poner a la venta o volver a comercializar"
      },
      {
        "level": 2,
        "id": null,
        "text": "Restricciones para nuevos dispositivos verificadas en las páginas de ayuda"
      },
      {
        "level": 2,
        "id": null,
        "text": "Se ha implementado el tiempo de espera para el cambio de nombre en 2024"
      },
      {
        "level": 2,
        "id": null,
        "text": "La creación de la clave requiere una confirmación a través del móvil"
      },
      {
        "level": 2,
        "id": null,
        "text": "Entra en vigor la solicitud de autorización (FA) obligatoria de 2para la publicación de las versiones del juego"
      },
      {
        "level": 2,
        "id": null,
        "text": "Advertencias sobre el contenido de las biografías personalizadas señaladas por la comunidad"
      },
      {
        "level": 2,
        "id": null,
        "text": "Filtrado de enlaces de perfil y tiempos de espera para la edición activos"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam Transición de los clientes a los tokens de actualización y de acceso de OAuth"
      },
      {
        "level": 2,
        "id": null,
        "text": "Inicio de sesión mediante código QR y gestión de dispositivos autorizados"
      },
      {
        "level": 2,
        "id": null,
        "text": "Se han eliminado los puntos finales de cancelación de operaciones de la lista pública API"
      },
      {
        "level": 2,
        "id": null,
        "text": "Los objetos de «2» de Dota tienen un tiempo de espera de siete días para su intercambio"
      },
      {
        "level": 2,
        "id": null,
        "text": "Los objetos de CS:GO intercambiados tienen un periodo de espera de siete días."
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/es/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/es/#vulnerability-profile"
    ]
  }
}