{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "it/security_timeline.html",
  "language": "it",
  "title": "Cronologia degli eventi relativi alla sicurezza — Il dossier “Steam”",
  "source_url": "https://phishdestroy.io/steam_dossier/it/security_timeline",
  "source_html_sha256": "3b27d2986beeed40dae7be106357c8701fa9b35de819e39dc266b02ceae026b3",
  "exported_at": "2026-09-30T21:14:23.805Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/it/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "0a32618cf30c2322e373d6d391a31c97eb5098bd775e147b59934a71eb1787b9",
    "bytes": 96095,
    "pages": 7
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "IL BILANCIO SULLA SICUREZZAMOSTRA / OPERE PARTECIPANTI ALL’16\n\n2018 — 2026\n\nCronologia della sicurezza — Da 2018 a 2026\n\nLa sicurezza è cambiata. Segui la traccia.\n\nCOSA DIMOSTRA QUESTA SEZIONE\n\nQuesto resoconto cronologico ricostruisce otto anni di modifiche alla sicurezza apportate allo stack di negoziazione e autenticazione di Steam. Esso tiene traccia dell’2018, dell’7-, dell’implementazione del blocco giornaliero delle negoziazioni, dell’2023, delle conferme mobili tramite chiave Web API e della 2026, nonché della dismissione dei token di sessione in risposta alle tecniche di aggiramento documentate. La cronologia dimostra che gli aggiornamenti della piattaforma sono stati costantemente in ritardo rispetto ai vettori di exploit noti, pur preservando i vantaggi strutturali per gli operatori commerciali.\n\n← Torna al briefing esecutivo\n\nBlocchi delle transazioni. Controlli di accesso. Restrizioni relative all’API. Una cronologia dettagliata di ciò che è cambiato e di ciò che le fonti effettivamente dimostrano.\n\nEsplora la cronologia ↓\nOTTO ANNI. UN DISCO.16tappe da esaminare\n\nOgni voce conserva la data di invio e la fonte. Accanto ad essa viene visualizzata la verifica.\n\nRECENSITO / 24 SET 2026\n10Evento e data confermati\n06Verificato in parte\n00Discrepanza tra sorgenti\n00È necessaria la fonte\nCome leggere questo documento\n\nEvento e data verificati: entrambi supportati da una fonte primaria attendibile. Verificato in parte: è stata documentata una modifica correlata, ma la data o l'ambito di applicazione rimangono da definire. Discrepanza tra sorgenti: Il materiale allegato non conferma quanto affermato. È necessaria la fonte: In questa analisi non è stata verificata alcuna fonte datata corrispondente. La mancanza di una voce confermata non costituisce prova che un evento non si sia verificato.\n\nLe date riportate nelle voci non risolte sono le date di invio, non le date di pubblicazione verificate. Il testo originale dell'indagine non è stato riscritto.\n\nLa cronologia\n01 — 16\nCerca nel recordArgomentoProveOrdine\n\n16 tra i post di “16” · i più recenti per primi\n\n202609-01Data di invio\nComunitàVerificato in parte\nAvvisi relativi a messaggi sospetti nelle chat di gruppo\n\nUn annuncio ufficiale relativo alla versione beta conferma la disponibilità della funzionalità su 31 nel mese di agosto. La data di rilascio della versione stabile indicata su 1 per il mese di settembre necessita ancora di note di rilascio specifiche.\n\nSteam Client Beta — 31st agosto ↗archiviato su 2026-03-13 ↗\nVoce originale e link inviato\n\nSegnalazione automatica delle chat sospette\n\nEsamina il codice sorgente inviato ↗\n202601-16Data di verifica\nAPIEvento e data confermati\nAutorizzazioni granulari e whitelist IP per le chiavi degli editori (annuncio su Valve)\n\nIl 16 gennaio 2026, Valve ha pubblicato un annuncio ufficiale su Steamworks (\"NOVITÀ: autorizzazioni e controlli migliorati per le chiavi di \"API\" sul Web\") che confermano l'introduzione di nuovi strumenti per la gestione granulare delle autorizzazioni, che consentono agli sviluppatori di suddividere le chiavi di \"API\" del Web in gruppi distinti (Dati generali, microtransazioni, economia e vendite), limitare le chiavi a specifici ID app e applicare una lista bianca degli indirizzi IP dei server.\n\nIl palese doppio standard: Il presente comunicato ufficiale conferma che Valve ha completato lo sviluppo dell'infrastruttura tecnica necessaria per la gestione granulare delle autorizzazioni relative a API e delle restrizioni IP, ma le nasconde deliberatamente agli account utente standard (steamcommunity.com/dev/apikey). Le chiavi \"API\" utilizzate abitualmente dagli utenti rimangono credenziali monolitiche, del tipo \"tutto o niente\", prive di whitelist IP: ed è proprio questa omissione tecnica a rendere possibile l'esistenza di un settore da svariati milioni di dollari dedicato all'intercettazione delle transazioni \"API\".\n\nValve Annuncio — NOVITÀ: autorizzazioni e controlli migliorati per le chiavi di WebAPI (16 Jan 2026) ↗· Documentazione: Autenticazione tramite WebAPIe di Steamworks ↗\nVoce originale e link inviato\n\nAPIe web di Steamworks: Scopes granulari\n\nLeggi l'annuncio ufficiale di Valve su Steamworks (493839547938902179) ↗\n202507-15Data di verifica\nOperazioni di tradingEvento e data confermati\nLe operazioni su CS2 beneficiano di una finestra di inversione di sette giorni\n\nL'annuncio pubblicato da Valve introduce l'annullamento degli scambi di oggetti di Counter-Strike effettuati nei sette giorni precedenti. Sebbene sia stato concepito per mitigare il fenomeno dell'hijacking, le verifiche economiche condotte da terze parti (CSMarketCap ↗) ha registrato un $104M (-25%) collasso in termini di capitalizzazione di mercato nell’arco di 24 ore a causa di un’interruzione delle negoziazioni in contanti. Come analizzato da Skinvault ↗, l'attivazione di un'inversione comporta un blocco automatico del day trading 30-sul conto. In estate 2026, Valve è passato dal reset globale a mezzanotte UTC a timer individuali di un minuto per ogni voce (Skin.land ↗).\n\nValve — 15, 2025, annuncio del ↗· Analisi CSMarketCap ↗\nVoce originale e link inviato\n\nProtezione delle operazioni CS2 / Finestra di annullamento\n\nEsamina il codice sorgente inviato ↗\n202505-14Data di verifica\nAutenticazioneEvento e data confermati\nValve pubblica un avviso sulla sicurezza degli account in merito alla fuga di dati tramite SMS\n\nL'annuncio ufficiale di Valve del 14, 2025, riguarda la sicurezza degli account e gli autenticatori basati su SMS. Sebbene la comunicazione si concentri sulle fughe di dati tramite SMS e confermi che nessun sistema di Steam sia stato violato, essa costituisce un aggiornamento ufficiale sulla sicurezza alla data di pubblicazione.\n\nValve — Una nota sulla sicurezza del tuo account Steam ↗\nVoce originale e link inviato\n\nAvviso sulla sicurezza dell'account\n\nEsamina il codice sorgente inviato ↗\n202410-02Data di verifica\nOperazioni di tradingEvento e data confermati\nSette giorni prima della rivendita o della ricommercializzazione\n\nLe note di rilascio riguardano gli oggetti acquistati tramite il negozio in-game, tra cui l’Armeria, le offerte di scambio e il Mercato della community. L’ambito trattato è più ampio rispetto ai soli oggetti dell’Armeria.\n\nValve — Note di rilascio per l'10/2/2024 ↗\nVoce originale e link inviato\n\nCS2 The Armory / 7-Day Hold\n\nEsamina il codice sorgente inviato ↗\n202409-18Data di invio\nOperazioni di tradingVerificato in parte\nRestrizioni relative ai nuovi dispositivi verificate nelle pagine della guida\n\nLa documentazione ufficiale di supporto di Steam conferma una restrizione relativa al day trading 7-quando si effettua l'accesso da un nuovo dispositivo che non è stato autorizzato da almeno 7 giorni. Sebbene la data esatta di implementazione, 18, 2024,, non sia riportata come milestone nel changelog, la funzionalità è documentata in modo completo.\n\nSteam Assistenza — Restrizioni relative al trading e al mercato ↗\nVoce originale e link inviato\n\nRestrizione commerciale relativa all'accesso da un nuovo dispositivo\n\nEsamina il codice sorgente inviato ↗\n202402-14Data di invio\nComunitàVerificato in parte\nImplementato il tempo di attesa per il cambio di nome in 2024\n\nI registri della community e degli sviluppatori confermano che all’inizio del 2024, Valve è stato introdotto, senza preavviso, un periodo di attesa di 2-to-4 ora subito dopo la modifica del nome del profilo, al fine di mitigare le truffe basate sull’usurpazione rapida dell’identità. Poiché Valve non ha pubblicato alcun comunicato stampa ufficiale, log delle modifiche del client o articolo di supporto relativo a questa restrizione, la data indicata nel 14 di febbraio non è stata verificata formalmente; la guida del Steam Workshop funge da conferma indiretta da parte della community piuttosto che da documentazione ufficiale Valve.\n\nSteam Guida al workshop (corroborazione indiretta) — Dettagli sulle restrizioni relative al cambio di nome ↗\nVoce originale e link inviato\n\nSospensione della modifica del nome del profilo / dell'avatar\n\nEsamina il codice sorgente inviato ↗\n202312-04Data di verifica\nAPIEvento e data confermati\nLa generazione della chiave richiede una conferma tramite dispositivo mobile\n\nÈ stato accertato che l'introduzione della conferma obbligatoria tramite l'app mobile \"Steam Guard\" per la creazione delle chiavi Web API è avvenuta alla fine di 2023,, come documentato dalle librerie di sviluppatori di terze parti. La data esatta del 4, 2023, rappresenta il periodo di implementazione osservato all'interno della comunità degli sviluppatori.\n\nDocumentazione del responsabile della manutenzione — marzo 2024 ↗archiviato su 2026-09-24 ↗\nVoce originale e link inviato\n\nConferma tramite cellulare per le chiavi “API”\n\nEsamina il codice sorgente inviato ↗\n202310-24Data di verifica\nSviluppatoreEvento e data confermati\nEntra in vigore l'obbligo per la FA (2) di definire le formazioni in tempo reale durante le partite\n\nL'annuncio ufficiale di Valve su Steamworks del 10, 2023, conferma che, a partire dal 24, 2023,, qualsiasi account che pubblichi una build sul ramo predefinito di un'applicazione già rilasciata dovrà autorizzare la modifica tramite SMS o tramite l'app mobile Steam. Questa modifica ha aggiornato direttamente la pagina web SetAppBuildLive API.\n\nSteamworks — Miglioramenti alla sicurezza per la gestione delle build e degli utenti ↗archiviato su 2025-12-03 ↗\nVoce originale e link inviato\n\nAutenticazione a più fattori tramite SMS per le pubblicazioni relative alle build dei giochi\n\nEsamina il codice sorgente inviato ↗\n202307-12Data di invio\nComunitàVerificato in parte\nAvvisi relativi ai contenuti delle biografie personalizzate segnalati dalla comunità\n\nSteam Le segnalazioni della community a partire da luglio 2023 documentano che le biografie dei profili personalizzati contenenti link esterni o parole chiave hanno iniziato a visualizzare avvisi automatici sui contenuti. La data di invio del 7 luglio 12, 2023, coincide con la prima ondata di segnalazioni degli utenti sui forum della community Steam.\n\nSteam Forum della comunità — Segnalazioni relative agli avvisi sui contenuti biografici ↗\nVoce originale e link inviato\n\nAvviso relativo ai contenuti personalizzati della biografia\n\nEsamina il codice sorgente inviato ↗\n202301-25Data di invio\nComunitàVerificato in parte\nFiltraggio dei link ai profili e tempi di attesa per la modifica attivi\n\nLa documentazione ufficiale di supporto di Steam conferma che i link presenti nelle biografie personalizzate vengono filtrati e che modifiche abusive al nome o all’avatar possono comportare il divieto di modifica. Sebbene l’introduzione effettiva del periodo di attesa di un’4-, avvenuta il 1° gennaio 25, 2023,, rappresenti l’inizio effettivo di questa misura, il meccanismo di filtraggio dei link è già pienamente attivo, come indicato nella pagina di aiuto pubblicata.\n\nSteam Assistenza — Restrizioni relative al nome del profilo e all'avatar ↗\nVoce originale e link inviato\n\nProfilo LINK RIMOSSO / Tempo di recupero\n\nEsamina il codice sorgente inviato ↗\n202210-24Data di verifica\nAutenticazioneEvento e data confermati\nSteam Transizione dei clienti ai token di aggiornamento e di accesso OAuth\n\nPrincipali aggiornamenti di Valve relativi ai client e alle app mobili nel mese di ottobre 2022 ha rinnovato il sistema di autenticazione Steam. La vecchia struttura basata sui cookie di sessione è stata sostituita da token di accesso e di aggiornamento basati su OAuth ed è stato introdotto un elenco dei dispositivi autorizzati attivi per consentire la revoca manuale delle sessioni attive.\n\nValve — Aggiornamento dell’app mobile “Steam” e revisione del sistema di autenticazione ↗\nVoce originale e link inviato\n\nSteam Riorganizzazione della procedura di accesso / Tronchamento dei cookie\n\nConsulta l'annuncio su Valve ↗\n202210-12Data di verifica\nAutenticazioneEvento e data confermati\nAccesso tramite codice QR e gestione dei dispositivi autorizzati\n\nL'annuncio di Valve del 1° ottobre, intitolato \"12\", descrive la procedura di accesso tramite codice QR, l'approvazione o il rifiuto degli accessi e un elenco di dispositivi in grado di revocare l'accesso all'account.\n\nValve — È ora disponibile la versione aggiornata dell’app mobile “Steam” ↗\nVoce originale e link inviato\n\nSteam App mobile 3.0 / Accesso tramite codice QR\n\nEsamina il codice sorgente inviato ↗\n202205-10Data di invio\nAPIVerificato in parte\nGli endpoint relativi all'annullamento delle transazioni sono stati rimossi dall'elenco pubblico API\n\nI registri degli sviluppatori confermano che a maggio 2022, Valve sono stati silenziosamente rimossi gli endpoint di gestione delle transazioni, quali IEconService/CancelTradeOffer e DeclineTradeOffer, dal Web API (come documentato in node-steam-tradeoffer-manager #325). Sebbene tali metodi rimangano funzionanti nei protocolli client privati, la data del 10, 2022, indica la loro effettiva rimozione dalle API Web pubbliche al fine di contrastare i pannelli truffaldini.\n\nDiscussione degli sviluppatori — Issue n.325 (CancelTradeOffer rimosso) ↗· Sito web di Steamworks API — Documentazione di IEconService ↗\nVoce originale e link inviato\n\nRimozione dei punti finali di annullamento delle transazioni\n\nVisualizza il ticket #325 relativo a node-steam-tradeoffer-manager ↗\n202005-25Data di verifica\nOperazioni di tradingEvento e data confermati\nGli oggetti di Dota2s sono soggetti a un periodo di attesa di sette giorni prima di poter essere scambiati\n\nIl 25, 2020,, in concomitanza con il lancio del Battle Pass dell’International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve ha introdotto un blocco di 7-giorni sugli scambi degli oggetti di Dota 2, in linea con la politica di 2018 relativa a Counter-Strike. Questa restrizione si applica a tutti gli oggetti scambiati e agli acquisti effettuati sul Mercato.\n\nComunità di Dota2 — Blocco degli scambi e aggiornamento del client per TI10 ↗\nVoce originale e link inviato\n\nDota 2 / 7-Blocco delle operazioni di day trading\n\nEsamina il codice sorgente inviato ↗\n201803-29Data di verifica\nOperazioni di tradingEvento e data confermati\nGli oggetti di CS:GO scambiati sono soggetti a un periodo di attesa di sette giorni\n\nLe note di rilascio ufficiali confermano la data e la restrizione. L'URL fornito reindirizzava a un aggiornamento della mappa su 2013; l'URL corrispondente delle note di rilascio termina con 20309.\n\nValve — Note di rilascio per l'3/29/2018 ↗\nVoce originale e link inviato\n\nCS:GO / Blocco delle operazioni di day trading su 7-\n\nEsamina il codice sorgente inviato ↗ archiviato su 2025-02-26 ↗\n\nSegui le prove. Verifica la fonte.\n\nTorna all'indagine ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "Cronologia della sicurezza — Da 2018 a 2026"
      },
      {
        "level": 2,
        "id": null,
        "text": "La cronologia"
      },
      {
        "level": 2,
        "id": null,
        "text": "Avvisi relativi a messaggi sospetti nelle chat di gruppo"
      },
      {
        "level": 2,
        "id": null,
        "text": "Autorizzazioni granulari e whitelist IP per le chiavi degli editori (annuncio su Valve)"
      },
      {
        "level": 2,
        "id": null,
        "text": "Le operazioni su CS2 beneficiano di una finestra di inversione di sette giorni"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve pubblica un avviso sulla sicurezza degli account in merito alla fuga di dati tramite SMS"
      },
      {
        "level": 2,
        "id": null,
        "text": "Sette giorni prima della rivendita o della ricommercializzazione"
      },
      {
        "level": 2,
        "id": null,
        "text": "Restrizioni relative ai nuovi dispositivi verificate nelle pagine della guida"
      },
      {
        "level": 2,
        "id": null,
        "text": "Implementato il tempo di attesa per il cambio di nome in 2024"
      },
      {
        "level": 2,
        "id": null,
        "text": "La generazione della chiave richiede una conferma tramite dispositivo mobile"
      },
      {
        "level": 2,
        "id": null,
        "text": "Entra in vigore l'obbligo per la FA (2) di definire le formazioni in tempo reale durante le partite"
      },
      {
        "level": 2,
        "id": null,
        "text": "Avvisi relativi ai contenuti delle biografie personalizzate segnalati dalla comunità"
      },
      {
        "level": 2,
        "id": null,
        "text": "Filtraggio dei link ai profili e tempi di attesa per la modifica attivi"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam Transizione dei clienti ai token di aggiornamento e di accesso OAuth"
      },
      {
        "level": 2,
        "id": null,
        "text": "Accesso tramite codice QR e gestione dei dispositivi autorizzati"
      },
      {
        "level": 2,
        "id": null,
        "text": "Gli endpoint relativi all'annullamento delle transazioni sono stati rimossi dall'elenco pubblico API"
      },
      {
        "level": 2,
        "id": null,
        "text": "Gli oggetti di Dota2s sono soggetti a un periodo di attesa di sette giorni prima di poter essere scambiati"
      },
      {
        "level": 2,
        "id": null,
        "text": "Gli oggetti di CS:GO scambiati sono soggetti a un periodo di attesa di sette giorni"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/it/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/it/#vulnerability-profile"
    ]
  }
}