{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "fr/security_timeline.html",
  "language": "fr",
  "title": "Chronologie des événements liés à la sécurité — Le dossier «Steam »",
  "source_url": "https://phishdestroy.io/steam_dossier/fr/security_timeline",
  "source_html_sha256": "c044a6a0c65b11f5c63102912cd4883ecdda6e6f8353a9feeb57408d45d1bcae",
  "exported_at": "2026-09-30T21:14:10.291Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/fr/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "1e95f1b76d5bb5404819803dcdc7286dedf15137aa10343edb8a55895514761f",
    "bytes": 96963,
    "pages": 7
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "LE BILAN EN MATIÈRE DE SÉCURITÉEXPOSITION / 16 PARTICIPANTS\n\n2018 — 2026\n\nChronologie des mises à jour de sécurité — De « 2018 » à « 2026 »\n\nLa sécurité a changé. Suivez le dossier.\n\nCE QUE CETTE SECTION DÉMONTRERA\n\nCe relevé chronologique retrace huit années de modifications apportées à la sécurité de la pile de transactions et d'authentification d'Steam. Il rend compte de l'2018, de la mise en œuvre de la période de blocage des transactions journalières (7-), de la mise en place de la confirmation par mobile via le site Web 2023API, ainsi que de la suppression progressive des jetons de session (2026) face aux techniques de contournement documentées. La chronologie montre que les mises à jour de la plateforme ont systématiquement pris du retard par rapport aux vecteurs d'exploitation connus, tout en préservant les avantages structurels pour les opérateurs commerciaux.\n\n← Retour au dossier de synthèse destiné aux dirigeants\n\nVerrous de transaction. Contrôles d'accès. Restrictions d'API. Un compte rendu chronologique des changements intervenus — et de ce que les sources établissent réellement.\n\nDécouvrez la chronologie ↓\nHUIT ANS. UN ALBUM.16étapes clés à examiner\n\nChaque entrée conserve sa date de soumission et sa source. La vérification apparaît à côté.\n\nARTICLE VÉRIFIÉ / 24 SEP 2026\n10Événement et date confirmés\n06Partiellement vérifié\n00Incompatibilité de source\n00Source requise\nComment lire ce document\n\nÉvénement et date confirmés : toutes deux étayées par une source primaire fiable. Partiellement vérifié : une modification connexe est consignée, mais la date ou la portée n'ont pas encore été déterminées. Incompatibilité de source : Les documents mentionnés ne viennent pas étayer l'allégation avancée. Source requise : Aucune source datée correspondante n'a pu être vérifiée dans le cadre de cette analyse. Le fait qu'une entrée n'ait pas pu être vérifiée ne prouve pas qu'un événement ne se soit pas produit.\n\nLes dates indiquées pour les entrées non résolues correspondent aux dates de soumission et non à des dates de publication vérifiées. Le texte original de l'enquête n'a pas été remanié.\n\nLa chronologie\n01 — 16\nRechercher dans la ficheSujetÉléments de preuveCommande\n\n16 parmi les entrées d'16 · les plus récentes en premier\n\n202609-01Date de soumission\nCommunautéPartiellement vérifié\nAlertes concernant les messages suspects dans les discussions de groupe\n\nUne annonce officielle concernant la version bêta confirme la disponibilité de cette fonctionnalité sur 31 en août. La date de sortie de la version stable prévue pour le 1 en septembre doit encore faire l'objet d'une note de mise à jour spécifique.\n\nSteam Version bêta pour les clients — 31er août ↗archivé 2026-03-13 ↗\nEntrée d'origine et lien soumis\n\nSignalement automatisé des discussions suspectes\n\nConsulter le code source soumis ↗\n202601-16Date de vérification\nAPIÉvénement et date confirmés\nAutorisations granulaires et liste blanche d'adresses IP pour les clés d'éditeur (annonce concernant Valve)\n\nLe 16 janvier 2026, Valve a publié une annonce officielle concernant Steamworks (« NOUVEAU : Amélioration des autorisations et des contrôles pour les clés d'API Web ») confirmant la mise en place de nouveaux outils de gestion des autorisations granulaires permettant aux développeurs de segmenter les clés d'APIs Web en groupes distincts (Données générales, microtransactions, économie et ventes), limiter les clés à des identifiants d'application spécifiques et mettre en place une liste blanche d'adresses IP de serveurs.\n\nLe double standard flagrant : Cette annonce officielle précise qu’Valve a entièrement mis en place l’infrastructure technique permettant de gérer de manière granulaire les autorisations d’API et les restrictions d’adresses IP, mais les refuse délibérément aux comptes d'utilisateurs standard (steamcommunity.com/dev/apikey). Les clés d’APIs des utilisateurs lambda restent des identifiants monolithiques, de type « tout ou rien », sans liste blanche d’adresses IP — ce qui constitue précisément la lacune technique permettant l’existence d’un secteur d’activité de plusieurs millions de dollars spécialisé dans l’interception des transactions sur API.\n\nValve Annonce — NOUVEAU : Amélioration des autorisations et des contrôles pour les clés d'API Web (16 Jan 2026) ↗· Documentation : Authentification via l'API Web de Steamworks ↗\nEntrée d'origine et lien soumis\n\nAPIs Web de Steamworks : portées granulaires\n\nConsultez l'annonce officielle d'Valve sur Steamworks (493839547938902179) ↗\n202507-15Date de vérification\nTradingÉvénement et date confirmés\nLes transactions CS2 bénéficient d'un délai de rétractation de sept jours\n\nL'annonce publiée par Valve présente l'annulation des échanges d'objets Counter-Strike effectués au cours des sept derniers jours. Bien que cette mesure vise à limiter le détournement d'objets, des audits économiques réalisés par des tiers (CSMarketCap ↗) a enregistré un 104millions de dollars (-25%) effondrement en capitalisation boursière au cours des heures de cotation de l'24, en raison d'une perturbation des opérations au comptant. Selon l'analyse réalisée par Skinvault ↗, le déclenchement d'un renversement entraîne automatiquement une suspension de day trading d'30-s sur le compte. Au cours de l'été 2026, Valve, le système est passé d'une réinitialisation mondiale à minuit (UTC) à des minuteries individuelles par élément (Skin.land ↗).\n\nValve — 15 Annonce du 2025, juillet ↗· Analyse CSMarketCap ↗\nEntrée d'origine et lien soumis\n\nProtection des transactions CS2 / Période de rétractation\n\nConsulter le code source soumis ↗\n202505-14Date de vérification\nAuthentificationÉvénement et date confirmés\nValve publie un avertissement concernant la sécurité des comptes suite à des fuites par SMS\n\nL'annonce officielle de Valve du 14, 2025, porte sur la sécurité des comptes et les systèmes d'authentification par SMS. Bien que cette annonce se concentre sur les fuites de SMS et confirme qu'aucun système d'Steams n'a été compromis, elle constitue une mise à jour officielle en matière de sécurité à la date de publication.\n\nValve — Remarque concernant la sécurité de votre compte Steam ↗\nEntrée d'origine et lien soumis\n\nAnnonce concernant la sécurité des comptes\n\nConsulter le code source soumis ↗\n202410-02Date de vérification\nTradingÉvénement et date confirmés\nSept jours avant la revente ou la remise sur le marché\n\nLes notes de mise à jour concernent les objets acquis via la boutique du jeu, notamment l'Armurerie, les offres d'échange et le Marché communautaire. Le champ d'application décrit ne se limite pas aux seuls objets de l'Armurerie.\n\nValve — Notes de mise à jour d'10/2/2024 ↗\nEntrée d'origine et lien soumis\n\nCS2 The Armory / Journée « 7-»\n\nConsulter le code source soumis ↗\n202409-18Date de soumission\nTradingPartiellement vérifié\nRestrictions relatives aux nouveaux appareils vérifiées sur les pages d'aide\n\nLa documentation d'assistance officielle de Steam confirme l'existence d'une restriction concernant le day trading 7-lors de la connexion depuis un nouvel appareil n'ayant pas été autorisé depuis au moins 7 jours. Bien que la date exacte de déploiement de septembre 18, 2024, ne figure pas parmi les étapes importantes du journal des modifications, cette fonctionnalité est entièrement documentée.\n\nSteam Assistance — Restrictions relatives au trading et aux marchés ↗\nEntrée d'origine et lien soumis\n\nRestriction relative à la connexion sur un nouvel appareil\n\nConsulter le code source soumis ↗\n202402-14Date de soumission\nCommunautéPartiellement vérifié\nMise en place d'un délai d'attente pour les changements de nom dans « 2024 »\n\nLes archives de la communauté et des développeurs confirment qu’au début de l’année 2024, Valve, un 2-non annoncé a été mis en place, imposant un délai d’attente de4 heure immédiatement après un changement de nom de profil, afin de limiter les escroqueries par usurpation d’identité. Étant donné que Valve n’a publié aucun communiqué de presse officiel, aucun journal des modifications du client ni aucun article d’assistance concernant cette restriction, la date indiquée en février 14 ne dispose d’aucune vérification officielle ; le guide de l’Steam Workshop sert de corroboration indirecte de la part de la communauté plutôt que de documentation officielle Valve.\n\nSteam Guide de l'atelier (corroboration indirecte) — Détails relatifs à la restriction en matière de changement de nom ↗\nEntrée d'origine et lien soumis\n\nSuspension de la modification du nom de profil / de l'avatar\n\nConsulter le code source soumis ↗\n202312-04Date de vérification\nAPIÉvénement et date confirmés\nLa création d'une clé nécessite une confirmation sur mobile\n\nIl a été confirmé que la mise en place de la confirmation mobile obligatoire via Steam Guard pour la création de clés Web API a eu lieu fin 2023,, comme l'attestent les bibliothèques de développement tierces. La date exacte du 4, 2023, correspond à la période de déploiement observée au sein de la communauté des développeurs.\n\nDocumentation du responsable de maintenance — mars 2024 ↗archivé 2026-09-24 ↗\nEntrée d'origine et lien soumis\n\nConfirmation sur mobile pour les clés «API»\n\nConsulter le code source soumis ↗\n202310-24Date de vérification\nDéveloppeurÉvénement et date confirmés\nL'2-FA obligatoire pour la mise en ligne des versions de jeu entre en vigueur\n\nL'annonce officielle de Valve concernant Steamworks, publiée le 10, 2023,, confirme qu'à compter du 24, 2023,, tout compte mettant en ligne une version sur la branche par défaut d'une application déjà publiée devra valider cette modification par SMS ou via l'application mobile Steam. Cette modification a entraîné une mise à jour immédiate de la page Web SetAppBuildLive API.\n\nSteamworks — Améliorations en matière de sécurité pour la gestion des versions et des utilisateurs ↗archivé 2025-12-03 ↗\nEntrée d'origine et lien soumis\n\nAuthentification multifactorielle par SMS pour la publication des versions de jeux vidéo\n\nConsulter le code source soumis ↗\n202307-12Date de soumission\nCommunautéPartiellement vérifié\nAvertissements relatifs au contenu des biographies personnalisées signalés par la communauté\n\nSteam Des signalements de la communauté datant de juillet 2023 indiquent que les biographies de profil personnalisées contenant des liens externes ou des mots déclencheurs ont commencé à afficher des avertissements de contenu automatiques. La date de signalement, juillet 12, 2023,, correspond à la première vague de signalements des utilisateurs sur les forums de la communauté Steam.\n\nSteam Forum communautaire — Signaler un contenu biographique ↗\nEntrée d'origine et lien soumis\n\nAvertissement concernant le contenu de la biographie personnalisée\n\nConsulter le code source soumis ↗\n202301-25Date de soumission\nCommunautéPartiellement vérifié\nLes délais d'attente pour le filtrage et la modification des liens de profil sont actifs\n\nLa documentation officielle d'Steam confirme que les liens figurant dans les biographies personnalisées sont filtrés et que les changements abusifs de nom ou d'avatar peuvent entraîner des interdictions de modification. Bien que la mise en place effective du délai d'attente d'4-heures, le 1er janvier 25, 2023,, marque le début observé de cette mesure, le mécanisme de filtrage des liens lui-même est pleinement opérationnel, comme l'indique la page d'aide correspondante.\n\nSteam Assistance — Restrictions concernant le nom de profil et l'avatar ↗\nEntrée d'origine et lien soumis\n\nProfil LIEN SUPPRIMÉ / Temps de recharge\n\nConsulter le code source soumis ↗\n202210-24Date de vérification\nAuthentificationÉvénement et date confirmés\nSteam Migration des clients vers les jetons d'accès et de rafraîchissement OAuth\n\nPrincipales mises à jour de Valve concernant ses clients et ses applications mobiles en octobre 2022 a entièrement remanié le système d'authentification de Steam. L'ancienne structure basée sur des cookies de session a été remplacée par un système d'accès et de jetons de rafraîchissement basé sur OAuth, et une liste des appareils autorisés actifs a été mise en place pour permettre la révocation manuelle des sessions actives.\n\nValve — Mise à jour de l'application mobile « Steam » et refonte du système d'authentification ↗\nEntrée d'origine et lien soumis\n\nSteam Refonte de la procédure de connexion / Tronquage des cookies\n\nConsultez l'annonce d'Valve ↗\n202210-12Date de vérification\nAuthentificationÉvénement et date confirmés\nConnexion via QR code et gestion des appareils autorisés\n\nDans son annonce du 1er octobre sur 12, Valve décrit la procédure de connexion via QR code, la validation ou le refus des connexions, ainsi qu’une liste d’appareils permettant de révoquer l’accès à un compte.\n\nValve — La nouvelle version de l'application mobile « Steam » est désormais disponible ↗\nEntrée d'origine et lien soumis\n\nSteam 3.0s sur l'application mobile / Connexion via QR code\n\nConsulter le code source soumis ↗\n202205-10Date de soumission\nAPIPartiellement vérifié\nLes points de terminaison relatifs à l'annulation des transactions ont été supprimés de la liste publique d'API\n\nLes registres des développeurs confirment qu’en mai 2022, Valve, les points de terminaison de gestion des échanges tels que IEconService/CancelTradeOffer et DeclineTradeOffer ont été supprimés en silence de l’API Web (comme documenté dans node-steam-tradeoffer-manager #325). Bien que ces méthodes restent fonctionnelles dans les protocoles clients privés, la date du 10, 2022, marque leur suppression effective des API Web publiques afin de lutter contre les panels frauduleux.\n\nDiscussion entre développeurs — Problème n°325 (suppression de « CancelTradeOffer ») ↗· Site Web de SteamAPI — Documentation IEconService ↗\nEntrée d'origine et lien soumis\n\nSuppression des points de terminaison d'annulation des transactions\n\nConsulter le ticket « node-steam-tradeoffer-manager » n°325 ↗\n202005-25Date de vérification\nTradingÉvénement et date confirmés\nLes objets «2s » de Dota sont soumis à un délai d'attente de sept jours avant de pouvoir être échangés\n\nLe 25, mai, 2020,, parallèlement à la sortie du Battle Pass de l'International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve a mis en place une restriction de 7-jours sur les échanges d'objets Dota 2, à l'instar de la politique appliquée à 2018 Counter-Strike. Cette restriction s'applique à tous les objets échangés et aux achats effectués sur le Marché.\n\nCommunauté Dota2 — Mise à jour concernant le verrouillage des échanges et le client TI10 ↗\nEntrée d'origine et lien soumis\n\nDota 2 / 7-Blocage des transactions journalières\n\nConsulter le code source soumis ↗\n201803-29Date de vérification\nTradingÉvénement et date confirmés\nLes objets CS:GO échangés sont soumis à un délai d'attente de sept jours\n\nLes notes de mise à jour officielles confirment la date et la restriction. L'URL fournie redirigeait vers une mise à jour de carte sur 2013 ; l'URL correspondante des notes de mise à jour se termine par 20309.\n\nValve — Notes de mise à jour d’3/29/2018 ↗\nEntrée d'origine et lien soumis\n\nCS:GO / Verrouillage du Day Trade sur « 7-»\n\nConsulter le code source soumis ↗ archivé 2025-02-26 ↗\n\nSuivez les indices. Vérifiez la source.\n\nRetour à l'enquête ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "Chronologie des mises à jour de sécurité — De « 2018 » à « 2026 »"
      },
      {
        "level": 2,
        "id": null,
        "text": "La chronologie"
      },
      {
        "level": 2,
        "id": null,
        "text": "Alertes concernant les messages suspects dans les discussions de groupe"
      },
      {
        "level": 2,
        "id": null,
        "text": "Autorisations granulaires et liste blanche d'adresses IP pour les clés d'éditeur (annonce concernant Valve)"
      },
      {
        "level": 2,
        "id": null,
        "text": "Les transactions CS2 bénéficient d'un délai de rétractation de sept jours"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve publie un avertissement concernant la sécurité des comptes suite à des fuites par SMS"
      },
      {
        "level": 2,
        "id": null,
        "text": "Sept jours avant la revente ou la remise sur le marché"
      },
      {
        "level": 2,
        "id": null,
        "text": "Restrictions relatives aux nouveaux appareils vérifiées sur les pages d'aide"
      },
      {
        "level": 2,
        "id": null,
        "text": "Mise en place d'un délai d'attente pour les changements de nom dans « 2024 »"
      },
      {
        "level": 2,
        "id": null,
        "text": "La création d'une clé nécessite une confirmation sur mobile"
      },
      {
        "level": 2,
        "id": null,
        "text": "L'2-FA obligatoire pour la mise en ligne des versions de jeu entre en vigueur"
      },
      {
        "level": 2,
        "id": null,
        "text": "Avertissements relatifs au contenu des biographies personnalisées signalés par la communauté"
      },
      {
        "level": 2,
        "id": null,
        "text": "Les délais d'attente pour le filtrage et la modification des liens de profil sont actifs"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam Migration des clients vers les jetons d'accès et de rafraîchissement OAuth"
      },
      {
        "level": 2,
        "id": null,
        "text": "Connexion via QR code et gestion des appareils autorisés"
      },
      {
        "level": 2,
        "id": null,
        "text": "Les points de terminaison relatifs à l'annulation des transactions ont été supprimés de la liste publique d'API"
      },
      {
        "level": 2,
        "id": null,
        "text": "Les objets «2s » de Dota sont soumis à un délai d'attente de sept jours avant de pouvoir être échangés"
      },
      {
        "level": 2,
        "id": null,
        "text": "Les objets CS:GO échangés sont soumis à un délai d'attente de sept jours"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/fr/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/fr/#vulnerability-profile"
    ]
  }
}