{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "pt/security_timeline.html",
  "language": "pt",
  "title": "Cronologia da segurança — O dossiê «Steam»",
  "source_url": "https://phishdestroy.io/steam_dossier/pt/security_timeline",
  "source_html_sha256": "f4ce436ecba21c7897ec71840bf6ca41fe79fbbc080f2416a359ba07f5ece4e0",
  "exported_at": "2026-09-30T21:14:34.786Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/pt/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "aad885e434038b0b82ad010e44a9875c864dd5d409aefee0791a5acbd9d888d9",
    "bytes": 98094,
    "pages": 7
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "O HISTÓRICO DE SEGURANÇAEXPOSIÇÃO / INSCRIÇÕES PARA O «16»\n\n2018 — 2026\n\nCronologia de segurança — 2018 para 2026\n\nA segurança mudou. Siga o registo.\n\nO QUE ESTA SECÇÃO DEMONSTRA\n\nEste registo cronológico reconstrói oito anos de alterações de segurança na pilha de transações e autenticação dSteam. Acompanha a implementação da retenção de transações diárias 2018 7-, as confirmações por telemóvel da Web 2023 API e a descontinuação dos tokens de sessão 2026 face a técnicas de contorno documentadas. A cronologia demonstra que as atualizações da plataforma ficaram consistentemente aquém dos vetores de exploração conhecidos, mantendo, no entanto, as vantagens estruturais para os operadores comerciais.\n\n← Voltar ao resumo executivo\n\nBloqueios comerciais. Controlos de início de sessão. Restrições de «API». Um registo cronológico do que mudou — e do que as fontes realmente comprovam.\n\nExplora a linha do tempo ↓\nOITO ANOS. UM RECORDE.16marcos a analisar\n\nCada entrada mantém a data de envio e a fonte. A verificação é apresentada ao lado da mesma.\n\nREVISADO / 24 SET 2026\n10Evento e data confirmados\n06Parcialmente verificado\n00Incompatibilidade de fonte\n00É necessária uma fonte\nComo interpretar este registo\n\nEvento e data confirmados: ambas apoiadas por uma fonte primária de fácil compreensão. Parcialmente verificado: Está documentada uma alteração relacionada, mas a data ou o âmbito continuam por definir. Incompatibilidade de fonte: O material indicado no link não corrobora a alegação apresentada. É necessária uma fonte: Nesta análise, não foi verificada nenhuma fonte datada que correspondesse. O facto de uma entrada não ter sido esclarecida não constitui prova de que um acontecimento não tenha ocorrido.\n\nAs datas relativas às entradas por resolver correspondem às datas de envio e não às datas de lançamento confirmadas. O texto original da investigação não foi reescrito.\n\nA cronologia\n01 — 16\nPesquisar o registoTemaProvasEncomenda\n\n16 das publicações de «16» · mais recentes primeiro\n\n202609-01Data de envio\nComunidadeParcialmente verificado\nAvisos sobre mensagens suspeitas nas conversas em grupo\n\nUm aviso oficial sobre a versão beta confirma a disponibilização da funcionalidade em 31 de agosto. A data de lançamento da versão estável indicada em 1 de setembro ainda carece de notas de lançamento específicas.\n\nSteam Versão Beta para Clientes — 31de agosto ↗arquivado em 2026-03-13 ↗\nEntrada original e link enviado\n\nSinalização automática de conversas suspeitas\n\nVerificar o código-fonte enviado ↗\n202601-16Data de verificação\nAPIEvento e data confirmados\nPermissões granulares e lista de IPs autorizados para chaves de editor (anúncio do Valve)\n\nNo dia 16 de janeiro de 2026, Valve foi publicado um comunicado oficial sobre o Steamworks (\"NOVIDADE: Melhores permissões e controlos para as chaves de «API» na Web\") que confirmam a existência de novas ferramentas de permissão granular que permitem aos programadores segmentar as chaves do WebAPI em grupos distintos (Dados gerais, microtransações, economia e vendas), restringir as chaves a IDs de aplicação específicas e aplicar uma lista branca de IPs de servidor.\n\nO flagrante duplo padrão: Este comunicado oficial confirma que o site Valve já desenvolveu na íntegra a infraestrutura técnica necessária para a gestão granular de permissões API e restrições de IP, mas retém-nas deliberadamente das contas de utilizador normais (steamcommunity.com/dev/apikey). As chaves de «API» dos utilizadores normais continuam a ser credenciais monolíticas do tipo «tudo ou nada», sem lista de endereços IP autorizados — o que constitui precisamente a lacuna técnica que permite a existência da indústria multimilionária de interceção de transações «API».\n\nValve Anúncio — NOVIDADE: Melhores permissões e controlos para as chaves de «API» na Web (16 Jan 2026) ↗· Documentação: Autenticação na Web do SteamAPI ↗\nEntrada original e link enviado\n\nAPIes da Web da Steamworks: Âmbitos Granulares\n\nConsulte o anúncio oficial do Valve no Steamworks (493839547938902179) ↗\n202507-15Data de verificação\nNegociaçãoEvento e data confirmados\nAs transações CS2 passam a dispor de um período de reversão de sete dias\n\nO comunicado da Valve, datado de [data], anuncia a reversão das transações de itens do Counter-Strike realizadas nos sete dias anteriores. Embora tenha sido concebido para mitigar o «hijacking», as auditorias económicas realizadas por terceiros (CSMarketCap ↗) registou um $104M (-25%) recolher em capitalização bolsista no espaço de 24 horas, devido a uma perturbação nas transações à vista. Conforme analisado por Skinvault ↗, o facto de se desencadear uma reversão implica um bloqueio automático 30-para operações de day trading na conta. No verão 2026, Valve, passou-se de reinícios globais à meia-noite UTC para temporizadores individuais por item, com duração de um minuto (Skin.land ↗).\n\nValve — 15 Anúncio de 2025, em julho de ↗· Análise da CSMarketCap ↗\nEntrada original e link enviado\n\nProteção de transações CS2 / Janela de reversão\n\nVerificar o código-fonte enviado ↗\n202505-14Data de verificação\nAutenticaçãoEvento e data confirmados\nValve publica um aviso de segurança sobre contas devido a fugas de SMS\n\nO comunicado oficial da Valve, publicado em 5 de maio 14, 2025,, aborda a segurança das contas e os sistemas de autenticação por SMS. Embora o comunicado se centre nas fugas de SMS e confirme que nenhum sistema da Steam foi violado, constitui uma atualização oficial de segurança na data em que foi publicado.\n\nValve — Uma nota sobre a segurança da sua conta Steam ↗\nEntrada original e link enviado\n\nComunicado sobre a segurança da conta\n\nVerificar o código-fonte enviado ↗\n202410-02Data de verificação\nNegociaçãoEvento e data confirmados\nSete dias antes da revenda ou da nova comercialização\n\nAs notas de lançamento abrangem os itens adquiridos através da loja do jogo, incluindo o Arsenal, as ofertas de troca e o Mercado da Comunidade. O âmbito documentado é mais vasto do que apenas os itens do Arsenal.\n\nValve — Notas de lançamento do 10/2/2024 ↗\nEntrada original e link enviado\n\nCS2 The Armory / 7-Day Hold\n\nVerificar o código-fonte enviado ↗\n202409-18Data de envio\nNegociaçãoParcialmente verificado\nRestrições relativas a novos dispositivos verificadas nas Páginas de Ajuda\n\nA documentação oficial de suporte do Steam confirma uma restrição de day trading 7-ao iniciar sessão a partir de um novo dispositivo que não tenha sido autorizado há, pelo menos, 7 dias. Embora a data exata de implementação de 18, 2024, em setembro não conste como um marco no registo de alterações, a funcionalidade está totalmente documentada.\n\nSteam Apoio — Restrições de negociação e de mercado ↗\nEntrada original e link enviado\n\nRestrição de transações no início de sessão num novo dispositivo\n\nVerificar o código-fonte enviado ↗\n202402-14Data de envio\nComunidadeParcialmente verificado\nFoi implementado um período de espera para a troca de nome em 2024\n\nOs registos da comunidade e dos programadores confirmam que, no início de 2024,, o Valve introduziu, sem aviso prévio, 2-um período de espera de4 horas para transações, imediatamente após uma alteração do nome de perfil, com o objetivo de mitigar esquemas de fraude por suplantação de identidade. Uma vez que Valve não publicou qualquer comunicado de imprensa oficial, registo de alterações do cliente ou artigo de apoio relativo a esta restrição, a data apresentada de 14, em fevereiro, carece de verificação formal; o guia do Steam Workshop serve como corroboração indireta da comunidade, em vez de documentação oficial Valve.\n\nSteam Guia do Workshop (corroboração indireta) — Detalhes sobre a restrição à alteração de nome ↗\nEntrada original e link enviado\n\nSuspensão da alteração do nome do perfil / avatar\n\nVerificar o código-fonte enviado ↗\n202312-04Data de verificação\nAPIEvento e data confirmados\nA criação da chave requer confirmação através do telemóvel\n\nVerificou-se que a introdução da confirmação obrigatória através da aplicação móvel «Steam Guard» para a criação de chaves Web API ocorreu no final de 2023,, conforme documentado por bibliotecas de programadores de terceiros. A data exata de 4, 2023, representa o período de implementação observado na comunidade de programadores.\n\nDocumentação do responsável pela manutenção — 2024 de março ↗arquivado em 2026-09-24 ↗\nEntrada original e link enviado\n\nConfirmação por telemóvel para chaves «API»\n\nVerificar o código-fonte enviado ↗\n202310-24Data de verificação\nDesenvolvedorEvento e data confirmados\nEntra em vigor a FA obrigatória 2para a definição de versões do jogo em tempo real\n\nO anúncio oficial da Valve no Steamworks, publicado em 10 de outubro 10, 2023,, confirma que, a partir de 10 de outubro 24, 2023,, qualquer conta que coloque uma compilação em produção no ramo padrão de uma aplicação lançada terá de autorizar a alteração através de SMS ou da aplicação móvel Steam. Esta alteração atualizou diretamente a página Web SetAppBuildLive API.\n\nSteamworks — Melhorias de segurança na gestão de compilações e utilizadores ↗arquivado em 2025-12-03 ↗\nEntrada original e link enviado\n\nAutenticação multifatorial por SMS para publicações de compilações de jogos\n\nVerificar o código-fonte enviado ↗\n202307-12Data de envio\nComunidadeParcialmente verificado\nAvisos de conteúdo personalizados nas biografias, observados pela comunidade\n\nSteam Relatos da comunidade, a partir de julho 2023, indicam que as biografias dos perfis personalizados que continham links externos ou palavras-chave passaram a apresentar avisos de conteúdo automáticos. A data de envio de julho 12, 2023, coincide com a primeira onda de relatos dos utilizadores nos fóruns da comunidade Steam.\n\nSteam Fórum da Comunidade — Relatórios de aviso sobre conteúdo biográfico ↗\nEntrada original e link enviado\n\nAviso sobre o conteúdo da biografia personalizada\n\nVerificar o código-fonte enviado ↗\n202301-25Data de envio\nComunidadeParcialmente verificado\nOs períodos de espera para a filtragem e edição de links de perfil estão ativos\n\nA documentação oficial de apoio da Steam confirma que as ligações nas biografias personalizadas são filtradas e que alterações abusivas de nome ou avatar podem desencadear proibições de edição. Embora a implementação exata do período de espera de uma hora 4-em 1 de janeiro 25, 2023, represente o início observado, o próprio mecanismo de filtragem de ligações está totalmente ativo, conforme indicado na página de ajuda disponibilizada.\n\nSteam Apoio — Restrições relativas ao nome do perfil e ao avatar ↗\nEntrada original e link enviado\n\nPerfil LINK REMOVIDO / Tempo de recarga\n\nVerificar o código-fonte enviado ↗\n202210-24Data de verificação\nAutenticaçãoEvento e data confirmados\nSteam Transição do cliente para os tokens de atualização e de acesso do OAuth\n\nPrincipais atualizações de clientes e aplicações móveis da Valve em outubro A 2022 reformulou o sistema de autenticação Steam. A antiga estrutura de cookies de sessão foi substituída por tokens de acesso e de atualização baseados em OAuth, tendo sido introduzida uma lista de dispositivos autorizados ativos para permitir a revogação manual de sessões ativas.\n\nValve — Atualização da aplicação móvel «Steam» e reformulação do sistema de autenticação ↗\nEntrada original e link enviado\n\nSteam Reestruturação do processo de início de sessão / Truncagem de cookies\n\nConsulte o anúncio «Valve» ↗\n202210-12Data de verificação\nAutenticaçãoEvento e data confirmados\nInício de sessão por QR e gestão de dispositivos autorizados\n\nO anúncio de Valve sobre o «12», publicado em outubro, descreve o início de sessão através de código QR, a aprovação ou recusa de inícios de sessão e uma lista de dispositivos que permite revogar o acesso à conta.\n\nValve — A aplicação móvel «Steam», na sua versão atualizada, já está disponível ↗\nEntrada original e link enviado\n\nSteam Aplicação móvel 3.0 / Início de sessão com QR\n\nVerificar o código-fonte enviado ↗\n202205-10Data de envio\nAPIParcialmente verificado\nOs pontos finais de cancelamento de transações foram removidos da lista pública API\n\nOs registos dos programadores confirmam que, em maio de 2022, Valve, foram silenciosamente removidos pontos de extremidade de gestão de transações, tais como IEconService/CancelTradeOffer e DeclineTradeOffer, do Web API (documentado em node-steam-tradeoffer-manager #325). Embora os métodos continuem a funcionar nos protocolos privados do cliente, a data de 10, 2022, representa a sua remoção efetiva das APIs Web públicas, com o objetivo de combater os painéis fraudulentos.\n\nDiscussão dos programadores — Tópico n.º325 (CancelTradeOffer removido) ↗· Site da Steamworks API — Documentação do IEconService ↗\nEntrada original e link enviado\n\nRemoção dos pontos finais de cancelamento de transações\n\nVerificar o issue n.º325 do node-steam-tradeoffer-manager ↗\n202005-25Data de verificação\nNegociaçãoEvento e data confirmados\nOs itens do Dota2 passam a ter um período de espera de sete dias para a troca\n\nEm maio de 25, 2020,, a par do lançamento do Passe de Batalha do The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve implementou um bloqueio de trocas de um dia 7-para os itens do Dota 2, em consonância com a política do 2018 para o Counter-Strike. Esta restrição aplica-se a todos os itens trocados e às compras no Mercado.\n\nComunidade Dota 2 — Bloqueio de trocas e atualização do cliente do TI10 ↗\nEntrada original e link enviado\n\nDota 2 / 7-Bloqueio de transações diárias\n\nVerificar o código-fonte enviado ↗\n201803-29Data de verificação\nNegociaçãoEvento e data confirmados\nOs itens do CS:GO trocados ficam sujeitos a um período de espera de sete dias\n\nAs notas oficiais de lançamento confirmam a data e a restrição. O URL fornecido redirecionava para uma atualização do mapa em 2013; o URL correspondente das notas de lançamento termina em 20309.\n\nValve — Notas de lançamento do 3/29/2018 ↗\nEntrada original e link enviado\n\nCS:GO / Bloqueio de transações diárias no «7-»\n\nVerificar o código-fonte enviado ↗ arquivado em 2025-02-26 ↗\n\nSiga as provas. Analise a fonte.\n\nVoltar à investigação ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "Cronologia de segurança — 2018 para 2026"
      },
      {
        "level": 2,
        "id": null,
        "text": "A cronologia"
      },
      {
        "level": 2,
        "id": null,
        "text": "Avisos sobre mensagens suspeitas nas conversas em grupo"
      },
      {
        "level": 2,
        "id": null,
        "text": "Permissões granulares e lista de IPs autorizados para chaves de editor (anúncio do Valve)"
      },
      {
        "level": 2,
        "id": null,
        "text": "As transações CS2 passam a dispor de um período de reversão de sete dias"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve publica um aviso de segurança sobre contas devido a fugas de SMS"
      },
      {
        "level": 2,
        "id": null,
        "text": "Sete dias antes da revenda ou da nova comercialização"
      },
      {
        "level": 2,
        "id": null,
        "text": "Restrições relativas a novos dispositivos verificadas nas Páginas de Ajuda"
      },
      {
        "level": 2,
        "id": null,
        "text": "Foi implementado um período de espera para a troca de nome em 2024"
      },
      {
        "level": 2,
        "id": null,
        "text": "A criação da chave requer confirmação através do telemóvel"
      },
      {
        "level": 2,
        "id": null,
        "text": "Entra em vigor a FA obrigatória 2para a definição de versões do jogo em tempo real"
      },
      {
        "level": 2,
        "id": null,
        "text": "Avisos de conteúdo personalizados nas biografias, observados pela comunidade"
      },
      {
        "level": 2,
        "id": null,
        "text": "Os períodos de espera para a filtragem e edição de links de perfil estão ativos"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam Transição do cliente para os tokens de atualização e de acesso do OAuth"
      },
      {
        "level": 2,
        "id": null,
        "text": "Início de sessão por QR e gestão de dispositivos autorizados"
      },
      {
        "level": 2,
        "id": null,
        "text": "Os pontos finais de cancelamento de transações foram removidos da lista pública API"
      },
      {
        "level": 2,
        "id": null,
        "text": "Os itens do Dota2 passam a ter um período de espera de sete dias para a troca"
      },
      {
        "level": 2,
        "id": null,
        "text": "Os itens do CS:GO trocados ficam sujeitos a um período de espera de sete dias"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/pt/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/pt/#vulnerability-profile"
    ]
  }
}