{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "nl/security_timeline.html",
  "language": "nl",
  "title": "Tijdlijn van de veiligheidsoperatie — Het dossier over de „Steam”",
  "source_url": "https://phishdestroy.io/steam_dossier/nl/security_timeline",
  "source_html_sha256": "624e268afc6ef2776742d3b2c7d15b456fd0f03e8be7caa8ec0f3cf9e98ca142",
  "exported_at": "2026-09-30T21:14:47.361Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/nl/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "56465fc8e70e3b235b74145c1a0c6cd1b6522049a9f2c5a2e2d70cddc8aafcd5",
    "bytes": 99394,
    "pages": 7
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "HET VEILIGHEIDSVERSLAGTENTOONSTELLING / INZENDINGEN VOOR DE '16'\n\n2018 — 2026\n\nBeveiligingstijdlijn — 2018 naar 2026\n\nDe beveiliging is gewijzigd. Volg het verslag.\n\nWAT IN DIT HOOFDSTUK WORDT AANGETOOND\n\nDit chronologische overzicht geeft een beeld van acht jaar aan beveiligingsaanpassingen in de handels- en authenticatiestack van Steam. Het volgt de implementatie van de handelsstop op 2018 7-, 2023 Web API, belangrijke mobiele bevestigingen, en de afschaffing van sessietokens op 2026 in reactie op gedocumenteerde omzeilingstechnieken. De tijdlijn laat zien dat platformupdates consequent achterbleven bij bekende exploitvectoren, terwijl de structurele voordelen voor commerciële exploitanten behouden bleven.\n\n← Terug naar het Executive Briefing\n\nTransactiesloten. Toegangscontroles. Beperkingen op het gebruik van het `API`-commando. Een chronologisch overzicht van wat er is veranderd – en wat de bronnen daadwerkelijk aantonen.\n\nBekijk de tijdlijn ↓\nACHT JAAR. ÉÉN ALBUM.16mijlpalen die moeten worden onderzocht\n\nElk item behoudt de datum van indiening en de bron. De verificatie wordt ernaast weergegeven.\n\nBEOORDEELD / 24 SEP 2026\n10Geverifieerd evenement en datum\n06Gedeeltelijk geverifieerd\n00Bronconflict\n00Bron vereist\nHoe dit document te lezen\n\nGeverifieerd evenement en datum: beide gestaafd door een goed leesbare primaire bron. Gedeeltelijk geverifieerd: er is een gerelateerde wijziging vastgelegd, maar de datum of de reikwijdte ervan is nog niet vastgesteld. Bronconflict: het gelinkte materiaal ondersteunt de ingediende bewering niet. Bron vereist: Bij deze beoordeling is geen overeenkomende bron met een datum geverifieerd. Het feit dat een vermelding niet is opgehelderd, betekent niet dat een gebeurtenis niet heeft plaatsgevonden.\n\nDe datums bij onopgeloste vermeldingen zijn de datum van indiening, niet de geverifieerde publicatiedatum. De oorspronkelijke tekst van het onderzoek is niet herschreven.\n\nDe chronologie\n01 — 16\nZoek in het recordOnderwerpBewijsBestelling\n\n16 van de berichten op 16 · nieuwste eerst\n\n202609-01Datum van indiening\nGemeenschapGedeeltelijk geverifieerd\nWaarschuwingen voor verdachte berichten in groepschats\n\nEen officiële bètamelding bevestigt de functie op 31 augustus. Voor de opgegeven stabiele releasedatum van 1 september ontbreken nog de specifieke release-opmerkingen.\n\nSteam Client Beta — 31st augustus ↗gearchiveerd op 2026-03-13 ↗\nOorspronkelijke vermelding & ingediende link\n\nAutomatische signalering van verdachte chats\n\nBekijk de ingediende broncode ↗\n202601-16Datum van verificatie\nAPIGeverifieerd evenement en datum\nGedetailleerde machtigingen en IP-whitelisting voor Publisher Keys (aankondiging op Valve)\n\nOp 16 januari 2026, Valve publiceerde een officiële Steamworks-aankondiging (\"NIEUW: Betere machtigingen en beheeropties voor WebAPI-sleutels\") waarin nieuwe, gedetailleerde machtigingshulpmiddelen worden bevestigd waarmee ontwikkelaars WebAPI-sleutels in afzonderlijke groepen kunnen indelen (Algemeen, microtransacties, economie en verkoopcijfers), sleutels beperken tot specifieke App-ID’s en een whitelist voor server-IP-adressen afdwingen.\n\nDe schrijnende dubbele moraal: In deze officiële mededeling wordt bevestigd dat Valve de technische infrastructuur voor gedetailleerde API-machtigingen en IP-beperkingen volledig heeft ontwikkeld, maar houdt deze opzettelijk achter voor gewone gebruikersaccounts (steamcommunity.com/dev/apikey). De gebruikelijke API-sleutels blijven monolithische, alles-of-niets-inloggegevens zonder IP-whitelisting — en dat is precies de technische omissie die de miljoenenAPI-industrie voor het onderscheppen van transacties mogelijk maakt.\n\nValve Aankondiging — NIEUW: Betere machtigingen en beheeropties voor webAPI-sleutels (16 Jan 2026) ↗· Documentatie: Steamworks-webAPI-authenticatie ↗\nOorspronkelijke vermelding & ingediende link\n\nSteamworks-webAPI: gedetailleerde overzichten\n\nBekijk de officiële Steamworks-aankondiging van ‘Valve’ (493839547938902179) ↗\n202507-15Datum van verificatie\nHandelGeverifieerd evenement en datum\nCS2-transacties krijgen een omkeerperiode van zeven dagen\n\nIn de aankondiging van Valve van [datum] wordt de terugdraaiing van Counter-Strike-itemruiltransacties van de afgelopen zeven dagen aangekondigd. Hoewel dit bedoeld is om hijacking tegen te gaan, hebben economische audits door derde partijen (CSMarketCap ↗) noteerde een $104M (-25%) samenvouwen in marktkapitalisatie binnen 24 uur als gevolg van een verstoring van de contante handel. Zoals geanalyseerd door Skinvault ↗, het activeren van een omkering leidt tot een automatische 30-daghandel-blokkering op de rekening. In de zomer 2026, Valve is er overgestapt van wereldwijde resets om middernacht UTC naar individuele timers per item die per minuut lopen (Skin.land ↗).\n\nValve — 15 Aankondiging van 2025, juli ↗· CSMarketCap-analyse ↗\nOorspronkelijke vermelding & ingediende link\n\nCS2-handelsbescherming / Terugdraaiperiode\n\nBekijk de ingediende broncode ↗\n202505-14Datum van verificatie\nAuthenticatieGeverifieerd evenement en datum\nValve publiceert een beveiligingswaarschuwing over het lekken van sms-berichten\n\nDe officiële mededeling van Valve van 14, 2025, gaat over accountbeveiliging en authenticatiemethoden via sms. Hoewel de mededeling zich richt op het uitlekken van sms-berichten en bevestigt dat er geen inbreuken zijn geweest op de systemen van Steam, fungeert deze als een officiële beveiligingsupdate op de datum van publicatie.\n\nValve — Een opmerking over de beveiliging van uw Steam-account ↗\nOorspronkelijke vermelding & ingediende link\n\nMededeling over accountbeveiliging\n\nBekijk de ingediende broncode ↗\n202410-02Datum van verificatie\nHandelGeverifieerd evenement en datum\nZeven dagen vóór herverkoop of herplaatsing op de markt\n\nDe release-opmerkingen hebben betrekking op items die via de in-game winkel zijn verkregen, waaronder de Armory, ruilaanbiedingen en de Community Market. De beschreven reikwijdte is breder dan alleen de items uit de Armory.\n\nValve — Release-opmerkingen voor 10/2/2024 ↗\nOorspronkelijke vermelding & ingediende link\n\nCS2 The Armory / 7-Day Hold\n\nBekijk de ingediende broncode ↗\n202409-18Datum van indiening\nHandelGedeeltelijk geverifieerd\nBeperkingen voor nieuwe apparaten gecontroleerd op de Help-pagina’s\n\nIn de officiële ondersteuningsdocumentatie van Steam wordt bevestigd dat er een beperking geldt voor daghandel (7-) wanneer men inlogt vanaf een nieuw apparaat dat al minstens 7 dagen niet is geautoriseerd. Hoewel de exacte implementatiedatum van 18, 2024, in september niet als mijlpaal in de changelog is vastgelegd, is de functionaliteit volledig gedocumenteerd.\n\nSteam Ondersteuning — Handels- en marktbeperkingen ↗\nOorspronkelijke vermelding & ingediende link\n\nBeperking op het inloggen met nieuwe apparaten\n\nBekijk de ingediende broncode ↗\n202402-14Datum van indiening\nGemeenschapGedeeltelijk geverifieerd\nWachtperiode voor het wijzigen van de naam is geïmplementeerd in 2024\n\nUit gegevens van de community en ontwikkelaars blijkt dat Valve begin 2024, een onaangekondigde 2-tot4 uur durende afkoelperiode heeft ingevoerd, die onmiddellijk volgt op een wijziging van de profielnaam, om snelle identiteitsfraude te voorkomen. Aangezien Valve geen officieel persbericht, changelog of ondersteuningsartikel over deze beperking heeft gepubliceerd, ontbreekt formele verificatie voor de opgegeven datum van 14 in februari; de Steam Workshop-gids dient als indirecte bevestiging door de community en niet als officiële Valve documentatie.\n\nSteam Workshopgids (indirecte bevestiging) — Details over de beperking inzake naamswijziging ↗\nOorspronkelijke vermelding & ingediende link\n\nWachtstand voor het wijzigen van profielnaam / avatar\n\nBekijk de ingediende broncode ↗\n202312-04Datum van verificatie\nAPIGeverifieerd evenement en datum\nVoor het aanmaken van een sleutel is een bevestiging via de mobiele telefoon vereist\n\nUit gegevens van externe ontwikkelaarsbibliotheken blijkt dat de invoering van de verplichte mobiele bevestiging via Steam Guard voor het aanmaken van sleutels op Web API eind 2023, heeft plaatsgevonden. De exacte datum van december 4, 2023, geeft de waargenomen uitrolperiode binnen de ontwikkelaarsgemeenschap weer.\n\nDocumentatie voor beheerders — maart 2024 ↗gearchiveerd op 2026-09-24 ↗\nOorspronkelijke vermelding & ingediende link\n\nMobiele bevestiging voor sleutels van API\n\nBekijk de ingediende broncode ↗\n202310-24Datum van verificatie\nOntwikkelaarGeverifieerd evenement en datum\nDe verplichte 2FA voor het live zetten van spelversies treedt in werking\n\nDe officiële Steamworks-aankondiging van Valve op 10, 2023, bevestigt dat vanaf 24, 2023, elk account dat een build live zet op de standaardtak van een uitgebrachte applicatie, de wijziging moet autoriseren via sms of de mobiele app Steam. Deze wijziging heeft direct geleid tot een update van de SetAppBuildLive-webpagina API.\n\nSteamworks — Beveiligingsverbeteringen voor het beheer van builds en gebruikers ↗gearchiveerd op 2025-12-03 ↗\nOorspronkelijke vermelding & ingediende link\n\nSMS-MFA voor publicaties over game-builds\n\nBekijk de ingediende broncode ↗\n202307-12Datum van indiening\nGemeenschapGedeeltelijk geverifieerd\nDoor de gemeenschap gesignaleerde inhoudswaarschuwingen in aangepaste biografieën\n\nSteam Uit meldingen van de community vanaf juli 2023 blijkt dat bij aangepaste profielbeschrijvingen met externe links of triggerwoorden automatisch inhoudswaarschuwingen werden weergegeven. De datum van indiening, 7 juli 12, 2023,, komt overeen met de eerste golf van gebruikersmeldingen op de communityforums van Steam.\n\nSteam Communityforum — Meldingen over inhoud met biografische informatie ↗\nOorspronkelijke vermelding & ingediende link\n\nWaarschuwing inzake aangepaste biografische inhoud\n\nBekijk de ingediende broncode ↗\n202301-25Datum van indiening\nGemeenschapGedeeltelijk geverifieerd\nFiltering van profiellinks en wachttijden voor bewerken zijn actief\n\nDe officiële ondersteuningsdocumentatie van Steam bevestigt dat links in aangepaste biografieën worden gefilterd en dat misbruik bij het wijzigen van namen of avatars kan leiden tot bewerkingsverboden. Hoewel de exacte invoering van de 4-wachttijd van een uur op 1 januari 25, 2023, het waargenomen beginpunt vormt, is het mechanisme voor het filteren van links zelf al volledig actief, zoals te zien is op de ingediende helppagina.\n\nSteam Ondersteuning — Beperkingen voor profielnaam en avatar ↗\nOorspronkelijke vermelding & ingediende link\n\nProfiel LINK VERWIJDERD / Afkoelperiode\n\nBekijk de ingediende broncode ↗\n202210-24Datum van verificatie\nAuthenticatieGeverifieerd evenement en datum\nSteam Overgang van klanten naar OAuth-vernieuwings- en toegangstokens\n\nBelangrijke updates voor de client en mobiele app van Valve in oktober 2022 heeft het authenticatiesysteem van Steam grondig herzien. De oude structuur met sessiecookies is vervangen door op OAuth gebaseerde toegangs- en vernieuwingstokens, en er is een lijst met actieve, geautoriseerde apparaten geïntroduceerd waarmee actieve sessies handmatig kunnen worden ingetrokken.\n\nValve — Update van de mobiele app van de Steam en grondige herziening van het authenticatiesysteem ↗\nOorspronkelijke vermelding & ingediende link\n\nSteam Herziening van het inlogproces / Afkapping van cookies\n\nBekijk de aankondiging over 'Valve' ↗\n202210-12Datum van verificatie\nAuthenticatieGeverifieerd evenement en datum\nAanmelden via QR-code en beheer van geautoriseerde apparaten\n\nIn de aankondiging van Valve van 12 oktober worden de QR-aanmelding, het goedkeuren of weigeren van aanmeldingen en een lijst met apparaten beschreven waarmee de toegang tot een account kan worden ingetrokken.\n\nValve — De vernieuwde mobiele app van de ‘Steam’ is nu beschikbaar ↗\nOorspronkelijke vermelding & ingediende link\n\nSteam 3.0 via mobiele app / Inloggen via QR-code\n\nBekijk de ingediende broncode ↗\n202205-10Datum van indiening\nAPIGedeeltelijk geverifieerd\nEindpunten voor het annuleren van transacties verwijderd uit de openbare lijst op API\n\nUit ontwikkelaarsgegevens blijkt dat in mei 2022, Valve stilletjes eindpunten voor transactiebeheer, zoals IEconService/CancelTradeOffer en DeclineTradeOffer, uit de Web-API heeft verwijderd (gedocumenteerd in node-steam-tradeoffer-manager #325). Hoewel de methoden in privé-clientprotocollen nog steeds functioneren, markeert de datum 10, 2022, het moment waarop ze daadwerkelijk uit openbare web-API’s zijn verwijderd om scam-panels tegen te gaan.\n\nDiscussie tussen ontwikkelaars — Issue #325 (CancelTradeOffer verwijderd) ↗· Steamworks-webAPI — IEconService-documentatie ↗\nOorspronkelijke vermelding & ingediende link\n\nVerwijdering van eindpunten voor het annuleren van transacties\n\nBekijk het probleem #325 ↗ in node-steam-tradeoffer-manager ↗\n202005-25Datum van verificatie\nHandelGeverifieerd evenement en datum\nDota-2-items krijgen een wachttijd van zeven dagen voor het verhandelen ervan\n\nOp 25, 2020, heeft Valve, gelijktijdig met de lancering van de Battle Pass voor The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), een handelsbeperking van 7-dagen ingesteld voor Dota 2-items, in overeenstemming met het beleid van 2018 voor Counter-Strike. Deze beperking geldt voor alle geruilde items en aankopen op de Market.\n\nDota 2-community — Update over Trade Lock en de TI10-client ↗\nOorspronkelijke vermelding & ingediende link\n\nDota 2 / 7-Daghandel-vergrendeling\n\nBekijk de ingediende broncode ↗\n201803-29Datum van verificatie\nHandelGeverifieerd evenement en datum\nVoor geruilde CS:GO-items geldt een wachttijd van zeven dagen\n\nIn de officiële release-opmerkingen worden de datum en de beperking bevestigd. De opgegeven URL leidde door naar een kaartupdate op 2013; de bijbehorende URL voor de release-opmerkingen eindigt op 20309.\n\nValve — Release-opmerkingen voor 3/29/2018 ↗\nOorspronkelijke vermelding & ingediende link\n\nCS:GO / 7-Daghandel-vergrendeling\n\nBekijk de ingediende broncode ↗ gearchiveerd op 2025-02-26 ↗\n\nVolg de aanwijzingen. Controleer de bron.\n\nTerug naar het onderzoek ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "Beveiligingstijdlijn — 2018 naar 2026"
      },
      {
        "level": 2,
        "id": null,
        "text": "De chronologie"
      },
      {
        "level": 2,
        "id": null,
        "text": "Waarschuwingen voor verdachte berichten in groepschats"
      },
      {
        "level": 2,
        "id": null,
        "text": "Gedetailleerde machtigingen en IP-whitelisting voor Publisher Keys (aankondiging op Valve)"
      },
      {
        "level": 2,
        "id": null,
        "text": "CS2-transacties krijgen een omkeerperiode van zeven dagen"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve publiceert een beveiligingswaarschuwing over het lekken van sms-berichten"
      },
      {
        "level": 2,
        "id": null,
        "text": "Zeven dagen vóór herverkoop of herplaatsing op de markt"
      },
      {
        "level": 2,
        "id": null,
        "text": "Beperkingen voor nieuwe apparaten gecontroleerd op de Help-pagina’s"
      },
      {
        "level": 2,
        "id": null,
        "text": "Wachtperiode voor het wijzigen van de naam is geïmplementeerd in 2024"
      },
      {
        "level": 2,
        "id": null,
        "text": "Voor het aanmaken van een sleutel is een bevestiging via de mobiele telefoon vereist"
      },
      {
        "level": 2,
        "id": null,
        "text": "De verplichte 2FA voor het live zetten van spelversies treedt in werking"
      },
      {
        "level": 2,
        "id": null,
        "text": "Door de gemeenschap gesignaleerde inhoudswaarschuwingen in aangepaste biografieën"
      },
      {
        "level": 2,
        "id": null,
        "text": "Filtering van profiellinks en wachttijden voor bewerken zijn actief"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam Overgang van klanten naar OAuth-vernieuwings- en toegangstokens"
      },
      {
        "level": 2,
        "id": null,
        "text": "Aanmelden via QR-code en beheer van geautoriseerde apparaten"
      },
      {
        "level": 2,
        "id": null,
        "text": "Eindpunten voor het annuleren van transacties verwijderd uit de openbare lijst op API"
      },
      {
        "level": 2,
        "id": null,
        "text": "Dota-2-items krijgen een wachttijd van zeven dagen voor het verhandelen ervan"
      },
      {
        "level": 2,
        "id": null,
        "text": "Voor geruilde CS:GO-items geldt een wachttijd van zeven dagen"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/nl/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/nl/#vulnerability-profile"
    ]
  }
}