{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "ja/security_timeline.html",
  "language": "ja",
  "title": "セキュリティの経緯 — 『Steam』に関する資料",
  "source_url": "https://phishdestroy.io/steam_dossier/ja/security_timeline",
  "source_html_sha256": "5c3bc2cc0484394e1ce47c9a32c9638e6162313d9218d49f516f0f7caa2ed389",
  "exported_at": "2026-09-30T21:16:14.392Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/ja/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "d7d50c351189a9ea60eb3452d587afc6a2878257611de3b5e4dad5768e48bc1a",
    "bytes": 455982,
    "pages": 6
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "セキュリティの実績展示 / 『16』の応募作品\n\n2018 — 2026\n\nセキュリティの沿革 — 2018 から 2026 へ\n\nセキュリティが変更されました。 記録に従ってください。\n\nこのセクションが証明すること\n\nこの時系列記録は、Steamの取引および認証スタックにおける8年間にわたるセキュリティ対策の変更を再構築したものです。ここでは、2018 7-におけるデイトレードの保留機能の実装、2023 Web API におけるキーのモバイル確認、および2026 におけるセッショントークンの廃止が、記録されている迂回手法に対してどのように対応してきたかを追跡しています。このタイムラインは、プラットフォームの更新が既知の攻撃ベクトルに対して一貫して遅れをとっていた一方で、商業運営者にとっての構造的な優位性は維持されていたことを明らかにしています。\n\n← エグゼクティブ・ブリーフィングに戻る\n\n取引ロック。ログイン制御。APIの制限。何が変更されたか、そして情報源が実際に何を立証しているかについての、過去の記録。\n\n年表を閲覧する ↓\n8年。1枚のアルバム。16検討すべきマイルストーン\n\n各エントリには、投稿日と出典が記録されます。検証結果は、そのエントリの横に表示されます。\n\nレビュー済み / 24 9月2026\n10確認済みのイベントと日付\n06一部確認済み\n00ソースの不一致\n00出典が必要\nこの記録の見方\n\n確認済みのイベントと日付： いずれも、読みやすい一次資料によって裏付けられている。 一部確認済み： 関連する変更については記録されているが、その日付や範囲については未確定のままである。 ソースの不一致： リンク先の資料は、提出された主張を裏付けるものではありません。 出典が必要： 今回の検証では、該当する日付の記載がある出典は確認されませんでした。未解決の記載があるからといって、その出来事が起こらなかったという証拠にはなりません。\n\n未解決のエントリに記載されている日付は、提出日であり、確認済みの公開日ではありません。調査の原文は書き直されていません。\n\n年表\n01 — 16\nレコードを検索するトピック証拠注文\n\n16 16件の投稿 · 新しい順\n\n202609-01提出日\nコミュニティ一部確認済み\nグループチャットにおける不審なメッセージに関する警告\n\n公式のベータ版告知により、この機能が31年8月に実装されることが確認されました。併せて発表された1年9月の安定版リリース日については、具体的なリリースノートがまだ公開されていません。\n\nSteam クライアント・ベータ版 — 8月31日 ↗アーカイブ済み 2026-03-13 ↗\n元のエントリーと投稿されたリンク\n\n不審なチャットの自動フラグ付け\n\n提出されたソースコードを確認する ↗\n202601-16確認日\nAPI確認済みのイベントと日付\nパブリッシャーキーに対するきめ細かな権限設定とIPホワイトリスト機能（Valveの発表）\n\n16年1月2026,日、ValveはSteamworksに関する公式発表を公開しました（「新機能：Web API キーの権限と制御機能が強化されました」) 開発者が Web API のキーを個別のグループに分割できるようにする、新しいきめ細かな権限管理ツールが確認された（全般、マイクロトランザクション、経済、および売上データ)、キーを特定のApp IDに限定し、サーバーのIPアドレスのホワイトリスト登録を適用します。\n\n露骨な二重基準： 本公式発表により、Valveが、APIの詳細な権限設定およびIP制限のための技術的インフラを完全に整備したことが明らかになりましたが、 通常のユーザーアカウントからは意図的にそれらを非表示にしている（steamcommunity.com/dev/apikey). 通常のユーザー向けAPIキーは、IPホワイトリスト機能のない、一元的で「すべてか無か」の認証情報であり続けています。まさにこの技術的な欠落こそが、数百万ドル規模のAPI取引傍受産業を可能にしているのです。\n\nValve お知らせ — 新機能：Web API キーの権限と制御機能の強化（16 1月 2026） ↗· ドキュメント：Steamworks Web API 認証 ↗\n元のエントリーと投稿されたリンク\n\nSteamworks Web API 詳細なスコープ\n\n『Valve』のSteamworks公式発表（493839547938902179）をご覧ください ↗\n202507-15確認日\n取引確認済みのイベントと日付\nCS2の取引に7日間の反転期間が設けられる\n\nValveの発表によると、過去7日間の『Counter-Strike』アイテム取引の取り消し機能が導入される。これはハイジャックを防止することを目的としているが、第三者による経済監査（CSMarketCap ↗)は、 $104M (-25%) 折りたたみ 現金取引の混乱により、24時間以内に時価総額が下落した。分析によると、 Skinvault ↗、リバーサルが発生すると、その口座には自動的に30-のデイトレード利用制限が課されます。夏には2026, Valveが、UTC基準のグローバルな深夜リセットから、商品ごとに個別に設定された分単位のタイマー方式へと移行しました（Skin.land ↗).\n\nValve — 15 7月2025の発表 ↗· CSMarketCapの分析 ↗\n元のエントリーと投稿されたリンク\n\nCS2 取引保護／取り消し期間\n\n提出されたソースコードを確認する ↗\n202505-14確認日\n認証確認済みのイベントと日付\nValve SMSによる情報漏洩に関するアカウントのセキュリティ警告を発表\n\nValveが5月14,に発表した公式発表（2025,）では、アカウントのセキュリティおよびSMSベースの認証について言及しています。この通知はSMS情報の漏洩に焦点を当て、Steamのシステムへの不正アクセスはなかったことを確認していますが、提出日時点における公式なセキュリティ更新情報としての役割を果たしています。\n\nValve — 「Steam」アカウントのセキュリティに関するお知らせ ↗\n元のエントリーと投稿されたリンク\n\nアカウントのセキュリティに関するお知らせ\n\n提出されたソースコードを確認する ↗\n202410-02確認日\n取引確認済みのイベントと日付\n再取引または再販売の7日前\n\nこのリリースノートでは、ゲーム内ショップを通じて入手できるアイテム（「アーモリー」、トレードオファー、コミュニティマーケットなど）について解説しています。記載されている範囲は、「アーモリー」のアイテムだけにとどまりません。\n\nValve — 「10/2/2024」のリリースノート ↗\n元のエントリーと投稿されたリンク\n\nCS2 アーモリー / 7-Day Hold\n\n提出されたソースコードを確認する ↗\n202409-18提出日\n取引一部確認済み\nヘルプページで新しいデバイスの制限事項を確認しました\n\nSteamの公式サポートドキュメントによると、7日以上認証されていない新しいデバイスからログインした場合、7-のデイトレード制限が適用されることが確認されています。9月18,に2024,で実施されたこの機能の正確なリリース日は、変更履歴のマイルストーンとして記録されていませんが、この機能については完全にドキュメント化されています。\n\nSteam サポート — 取引および市場の制限事項 ↗\n元のエントリーと投稿されたリンク\n\n新しいデバイスでのログインに関する取引制限\n\n提出されたソースコードを確認する ↗\n202402-14提出日\nコミュニティ一部確認済み\n2024 で、名称変更の取引クールダウンが実装されました\n\nコミュニティおよび開発者の記録によると、2024,の初期に、Valveは、プロフィール名の変更直後に2-から4時間という取引クールダウンを予告なしに導入し、急速ななりすまし詐欺を防止したことが確認されています。Valveはこの制限について、公式のプレスリリース、クライアントの変更履歴、サポート記事を一切公開しなかったため、2月14に提出された日付には正式な裏付けがありません。SteamのWorkshopガイドは、公式のValveドキュメントというよりは、コミュニティによる間接的な裏付けとして機能しています。\n\nSteam ワークショップガイド（間接的な裏付け） — 名称変更の制限に関する詳細 ↗\n元のエントリーと投稿されたリンク\n\nプロフィール名・アバター変更の一時停止\n\n提出されたソースコードを確認する ↗\n202312-04確認日\nAPI確認済みのイベントと日付\n鍵の作成には、モバイル端末での確認が必要です\n\nWeb API での鍵生成において、Steam Guard によるモバイル認証が必須化されたことは、サードパーティの開発者向けライブラリの記録から、2023, の後半に実施されたことが確認されています。12月4, 2023, という正確な日付は、開発者コミュニティ内で確認された導入期間を示しています。\n\nメンテナー向けドキュメント — 3月 2024 ↗アーカイブ 2026-09-24 ↗\n元のエントリーと投稿されたリンク\n\nAPIキーのモバイル認証\n\n提出されたソースコードを確認する ↗\n202310-24確認日\n開発者確認済みのイベントと日付\nゲームビルドのライブ配信設定に関する2の必須FAが施行されます\n\nValveが10月10,に発表したSteamworksに関する公式発表（2023,）によると、10月24,より（2023,）、リリース済みのアプリケーションのデフォルトブランチでビルドをライブ設定するアカウントは、SMSまたはSteamモバイルアプリを通じて変更を承認する必要があることが確認されました。この変更に伴い、SetAppBuildLive Web（API）も直接更新されました。\n\nSteamworks — ビルドおよびユーザーの管理に関するセキュリティの強化 ↗アーカイブ済み 2025-12-03 ↗\n元のエントリーと投稿されたリンク\n\nゲームビルド・パブリケーションズ向けのSMS多要素認証（MFA）\n\n提出されたソースコードを確認する ↗\n202307-12提出日\nコミュニティ一部確認済み\nコミュニティによって指摘された、カスタム経歴欄のコンテンツに関する警告\n\nSteam 7月から寄せられたコミュニティからの報告（2023）によると、外部リンクやトリガーワードを含むカスタムプロフィール紹介文に対して、自動的なコンテンツ警告が表示されるようになったことが確認されています。7月12,に投稿された報告（2023,）の日付は、Steamのコミュニティフォーラムで最初に報告が相次いだ時期と一致しています。\n\nSteam コミュニティフォーラム — バイオコンテンツに関する警告報告 ↗\n元のエントリーと投稿されたリンク\n\nカスタム経歴コンテンツに関する注意喚起\n\n提出されたソースコードを確認する ↗\n202301-25提出日\nコミュニティ一部確認済み\nプロフィールリンクのフィルタリングおよび編集のクールダウンが有効になっています\n\nSteamの公式サポートドキュメントによると、カスタムプロフィールに記載されたリンクはフィルタリングされており、不適切な名前やアバターの変更は編集禁止措置につながる可能性があることが確認されています。1月25, 2023,に導入された4-の1時間のクールダウン機能こそが、この現象の始まりとされていますが、リンクフィルタリング機能自体は、公開されたヘルプページ上ですでに完全に稼働しています。\n\nSteam サポート — プロフィール名とアバターに関する制限 ↗\n元のエントリーと投稿されたリンク\n\nプロフィールリンクを削除 / クールダウン\n\n提出されたソースコードを確認する ↗\n202210-24確認日\n認証確認済みのイベントと日付\nSteam OAuthのリフレッシュトークンおよびアクセストークンへの移行\n\nValveの10月の主要なクライアントおよびモバイルアプリの更新2022は、Steamの認証システムを全面的に刷新しました。従来のセッションクッキーの仕組みは、OAuthベースのアクセストークンおよびリフレッシュトークンに置き換えられ、アクティブな認証済みデバイスの一覧が導入され、アクティブなセッションを手動で取り消せるようになりました。\n\nValve — 「Steam」モバイルアプリのアップデートと認証機能の全面刷新 ↗\n元のエントリーと投稿されたリンク\n\nSteam ログイン機能の全面見直し／Cookieの切り捨て\n\nValveの発表を確認する ↗\n202210-12確認日\n認証確認済みのイベントと日付\nQRコードによるログインと認証済みデバイスの管理\n\nValveが10月に発表した「12」では、QRコードによるサインイン、サインインの承認または拒否、およびアカウントへのアクセス権を無効にできるデバイス一覧について説明されています。\n\nValve — アップデートされた「Steam」モバイルアプリが利用可能になりました ↗\n元のエントリーと投稿されたリンク\n\nSteam モバイルアプリ 3.0 / QRコードによるログイン\n\n提出されたソースコードを確認する ↗\n202205-10提出日\nAPI一部確認済み\nAPIの公開リストから取引キャンセル用エンドポイントが削除されました\n\n開発者の記録によると、5月 2022, Valve に、Web API から IEconService/CancelTradeOffer や DeclineTradeOffer といった取引管理エンドポイントが、事前の告知なしに削除されたことが確認されています（node-steam-tradeoffer-manager #325 に記載）。 これらのメソッドはプライベートクライアントプロトコルでは引き続き機能しますが、10, 2022, の日付は、詐欺パネル対策として公開Web APIからこれらのメソッドが削除されたことを示しています。\n\n開発者による議論 — 課題 #325（CancelTradeOffer の削除） ↗· Steamworks Web API — IEconService ドキュメント ↗\n元のエントリーと投稿されたリンク\n\n取引キャンセルエンドポイントの削除\n\nnode-steam-tradeoffer-manager の課題 #325 を確認する ↗\n202005-25確認日\n取引確認済みのイベントと日付\n『Dota2』のアイテムには、7日間の取引クールダウンが適用されます\n\n5月25,、2020, において、『10』のバトルパスがリリースされたこと（blog.dota2.com/2020/05/the-international-10-battle-pass/）に伴い、Valveは、『Dota』2のアイテムに対して、1日間の取引ロック（7-）を導入しました。これは、2018の『Counter-Strike』に関するポリシーに準じた措置です。この制限は、すべての取引アイテムおよびマーケットでの購入に適用されます。\n\nDota2コミュニティ — トレードロックとTI10クライアントのアップデート ↗\n元のエントリーと投稿されたリンク\n\nDota 2 / 7-デイ・トレード・ロック\n\n提出されたソースコードを確認する ↗\n201803-29確認日\n取引確認済みのイベントと日付\nCS:GOのアイテムをトレードすると、7日間のクールダウン期間が適用されます\n\n公式のリリースノートで、日付と制限事項が確認されています。提供されたURLは2013の地図更新ページにリダイレクトされましたが、これに対応するリリースノートのURLは20309.で終わっています。\n\nValve — 「3/29/2018」のリリースノート ↗\n元のエントリーと投稿されたリンク\n\nCS:GO / 『7-』デイ・トレード・ロック\n\n提出されたソースコードを確認する ↗ アーカイブ済み 2025-02-26 ↗\n\n証拠を追跡し、情報源を精査する。\n\n調査に戻る ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "セキュリティの沿革 — 2018 から 2026 へ"
      },
      {
        "level": 2,
        "id": null,
        "text": "年表"
      },
      {
        "level": 2,
        "id": null,
        "text": "グループチャットにおける不審なメッセージに関する警告"
      },
      {
        "level": 2,
        "id": null,
        "text": "パブリッシャーキーに対するきめ細かな権限設定とIPホワイトリスト機能（Valveの発表）"
      },
      {
        "level": 2,
        "id": null,
        "text": "CS2の取引に7日間の反転期間が設けられる"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve SMSによる情報漏洩に関するアカウントのセキュリティ警告を発表"
      },
      {
        "level": 2,
        "id": null,
        "text": "再取引または再販売の7日前"
      },
      {
        "level": 2,
        "id": null,
        "text": "ヘルプページで新しいデバイスの制限事項を確認しました"
      },
      {
        "level": 2,
        "id": null,
        "text": "2024 で、名称変更の取引クールダウンが実装されました"
      },
      {
        "level": 2,
        "id": null,
        "text": "鍵の作成には、モバイル端末での確認が必要です"
      },
      {
        "level": 2,
        "id": null,
        "text": "ゲームビルドのライブ配信設定に関する2の必須FAが施行されます"
      },
      {
        "level": 2,
        "id": null,
        "text": "コミュニティによって指摘された、カスタム経歴欄のコンテンツに関する警告"
      },
      {
        "level": 2,
        "id": null,
        "text": "プロフィールリンクのフィルタリングおよび編集のクールダウンが有効になっています"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam OAuthのリフレッシュトークンおよびアクセストークンへの移行"
      },
      {
        "level": 2,
        "id": null,
        "text": "QRコードによるログインと認証済みデバイスの管理"
      },
      {
        "level": 2,
        "id": null,
        "text": "APIの公開リストから取引キャンセル用エンドポイントが削除されました"
      },
      {
        "level": 2,
        "id": null,
        "text": "『Dota2』のアイテムには、7日間の取引クールダウンが適用されます"
      },
      {
        "level": 2,
        "id": null,
        "text": "CS:GOのアイテムをトレードすると、7日間のクールダウン期間が適用されます"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/ja/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/ja/#vulnerability-profile"
    ]
  }
}