{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "uk/security_timeline.html",
  "language": "uk",
  "title": "Хронологія подій у сфері безпеки — Досьє «Steam»",
  "source_url": "https://phishdestroy.io/steam_dossier/uk/security_timeline",
  "source_html_sha256": "c461a14be34891f7abd3831b1fe141f3b0886cc6a0ba6212cc8cf55f3ee43d25",
  "exported_at": "2026-09-30T21:15:15.186Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [],
    "raster_images_replaced": 0
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "security_timeline.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/uk/security_timeline.pdf?v=print-20260930-links-v6",
    "sha256": "94b4c39cbccc345d8f287eb80138d9ce5fdd39fecea5d74346193d55b56e71cd",
    "bytes": 104834,
    "pages": 7
  },
  "integrity": {
    "signed_object": "security_timeline.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "security_timeline.content.json.asc",
    "digest_file": "security_timeline.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify security_timeline.content.json.asc security_timeline.content.json",
      "sha256sum -c security_timeline.content.json.sha256"
    ]
  },
  "content": {
    "text": "ІСТОРІЯ БЕЗПЕКИВИСТАВКА / РОБОТИ, ПОДАНІ НА КОНКУРС «16»\n\n2018 — 2026\n\nХронологія заходів з безпеки — від «2018» до «2026»\n\nЗмінилися заходи безпеки. Слідкуйте за ходом подій.\n\nЩО ДОКАЗУЄ ЦЕЙ РОЗДІЛ\n\nЦей хронологічний звіт відтворює вісім років змін у системі безпеки торгового та аутентифікаційного стеку платформи «Steam». У ньому простежуються: 2018 — впровадження денного блокування торгів; 7-— 2023 — підтвердження ключових операцій через мобільні пристрої; API — 2026 — виведення з обігу сесійних токенів у відповідь на задокументовані методи обходу. Хронологія показує, що оновлення платформи постійно відставали від відомих векторів атак, водночас зберігаючи структурні переваги для комерційних операторів.\n\n← Повернутися до огляду для керівництва\n\nТоргові блокування. Контроль входу. Обмеження «API». Хронологічний звіт про те, що змінилося — і що насправді підтверджують джерела.\n\nОзнайомтеся з хронологією подій ↓\nВІСІМ РОКІВ. ОДИН АЛЬБОМ.16ключові етапи, які слід проаналізувати\n\nКожен запис зберігає дату подання та джерело. Результати перевірки відображаються поруч із ним.\n\nПЕРЕВІРЕНО / 24 09.2026\n10Підтверджена подія та дата\n06Частково підтверджено\n00Невідповідність джерел\n00Потрібне джерело\nЯк читати цей запис\n\nПідтверджена подія та дата: обидва підтверджуються достовірним першоджерелом. Частково підтверджено: відповідна зміна задокументована, але дата або обсяг її застосування залишаються невизначеними. Невідповідність джерел: матеріал, на який наведено посилання, не підтверджує висунуте твердження. Потрібне джерело: У ході цього огляду не було перевірено жодного відповідного джерела з датою. Відсутність підтверджених даних не є доказом того, що подія не відбулася.\n\nДати у невирішених записах — це дати подання, а не підтверджені дати випуску. Оригінальний текст розслідування не переписувався.\n\nХронологія\n01 — 16\nПошук у записіТемаДоказиЗамовлення\n\n16 з публікацій «16» · спочатку найновіші\n\n202609-01Дата подання\nСпільнотаЧастково підтверджено\nПопередження про підозрілі повідомлення в групових чатах\n\nОфіційне повідомлення про бета-версію підтверджує наявність цієї функції на сайті 31 у серпні. Щодо зазначеної на сайті 1 дати випуску стабільної версії у вересні, поки що відсутні конкретні примітки до випуску.\n\nSteam Бета-версія клієнта — 31серпня ↗архів 2026-03-13 ↗\nОригінальний запис та надіслане посилання\n\nАвтоматичне позначення підозрілих чатів\n\nПереглянути наданий вихідний код ↗\n202601-16Дата підтвердження\nAPIПідтверджена подія та дата\nДетальні права доступу та білі списки IP-адрес для ключів видавців (оголошення Valve)\n\n16 січня 2026, Valve опублікували офіційне оголошення щодо Steamworks («НОВИНКА: Покращені права доступу та засоби керування для ключів веб-API») що підтверджує наявність нових інструментів для детального налаштування прав доступу, які дозволяють розробникам розділяти ключі веб-APIів на окремі групи (Загальні відомості, мікротранзакції, економіка та дані про продажі), обмежити використання ключів певними ідентифікаторами додатків та забезпечити дотримання білого списку IP-адрес серверів.\n\nЯвний подвійний стандарт: У цьому офіційному повідомленні зазначається, що компанія «Valve» повністю розбудувала технічну інфраструктуру для детального налаштування прав доступу API та обмежень за IP-адресами, однак навмисно не надає їх звичайним обліковим записам користувачів (steamcommunity.com/dev/apikey). Звичайні ключі користувача API залишаються монолітними, «все або нічого» обліковими даними без білих списків IP-адрес — і саме це технічне упущення робить можливим існування багатомільйонної індустрії перехоплення торгових операцій API.\n\nValve Оголошення — НОВИНКА: Покращені права доступу та засоби керування для ключів веб-API (16 Jan 2026) ↗· Документація: Аутентифікація через веб-APIу Steamworks ↗\nОригінальний запис та надіслане посилання\n\nВеб-сайт Steamworks API Детальні описи\n\nОзнайомтеся з офіційним оголошенням про підтримку Steamworks у грі «Valve» (493839547938902179) ↗\n202507-15Дата підтвердження\nТоргівляПідтверджена подія та дата\nУгоди з CS2 отримують семиденне вікно розвороту\n\nУ опублікованому сьогодні повідомленні Valve оголошено про скасування обмінів предметами в Counter-Strike, здійснених протягом попередніх семи днів. Хоча ця міра була запроваджена з метою запобігання викраденню акаунтів, незалежні економічні аудити (CSMarketCap ↗) зафіксувала $104M (-25%) згорнути за ринковою капіталізацією протягом 24 годин через перебої в роботі системи готівкових розрахунків. Згідно з аналізом Skinvault ↗, у разі спрацьовування механізму розвороту на рахунок автоматично накладається обмеження на денну торгівлю 30-. Влітку 2026, Valve перейшли від глобального обнулення о півночі за UTC до індивідуальних хвилинних таймерів для кожного окремого інструменту (Skin.land ↗).\n\nValve — 15, липень, оголошення про випуск «2025» ↗· Аналіз CSMarketCap ↗\nОригінальний запис та надіслане посилання\n\nЗахист від спекуляцій CS2 / Вікно скасування\n\nПереглянути наданий вихідний код ↗\n202505-14Дата підтвердження\nАутентифікаціяПідтверджена подія та дата\nValve публікує попередження щодо безпеки облікових записів у зв’язку з витоком SMS-повідомлень\n\nОфіційне повідомлення Valve від 14, 2025, стосується безпеки облікових записів та засобів аутентифікації на основі SMS. Хоча в повідомленні основна увага приділяється витоку SMS-повідомлень і підтверджується, що системи Steam не зазнали зломів, воно є офіційним оновленням щодо безпеки станом на зазначену дату.\n\nValve — Примітка щодо безпеки вашого облікового запису Steam ↗\nОригінальний запис та надіслане посилання\n\nПовідомлення щодо безпеки облікового запису\n\nПереглянути наданий вихідний код ↗\n202410-02Дата підтвердження\nТоргівляПідтверджена подія та дата\nЗа сім днів до повторного продажу або повторного виставлення на продаж\n\nУ примітках до оновлення розглядаються предмети, придбані через ігровий магазин, зокрема в «Зброярні», у рамках торгових пропозицій та на «Ринку спільноти». Описаний обсяг охоплює не лише предмети зі «Зброярні».\n\nValve — Інформація про оновлення для10/2/2024 ↗\nОригінальний запис та надіслане посилання\n\nCS2 «The Armory» / «7-» — одноденний турнір\n\nПереглянути наданий вихідний код ↗\n202409-18Дата подання\nТоргівляЧастково підтверджено\nОбмеження щодо нових пристроїв перевірено на сторінках довідки\n\nВ офіційній документації служби підтримки Steam підтверджується обмеження на денну торгівлю (7-) у разі входу з нового пристрою, який не був авторизований щонайменше протягом 7 днів. Хоча точна дата впровадження цієї функції — 18, 2024, — не зазначена як віха в журналі змін, сама функція повністю задокументована.\n\nSteam Підтримка — Обмеження щодо торгівлі та ринку ↗\nОригінальний запис та надіслане посилання\n\nОбмеження щодо реєстрації нових пристроїв у системі Trade\n\nПереглянути наданий вихідний код ↗\n202402-14Дата подання\nСпільнотаЧастково підтверджено\nУ версії «2024» реалізовано час очікування після зміни імені\n\nЗаписи спільноти та розробників підтверджують, що на початку 2024, Valve було запроваджено неанонсоване 2-обмеження у вигляді4-годинного періоду очікування одразу після зміни імені профілю, щоб запобігти шахрайству у вигляді швидкого підроблення особи. Оскільки Valve не опублікувало жодного офіційного прес-релізу, списку змін у клієнті чи статті служби підтримки щодо цього обмеження, зазначена дата лютого 14 не має офіційного підтвердження; посібник Steam Workshop слугує скоріше непрямим підтвердженням з боку спільноти, а не офіційною Valve документацією.\n\nSteam Посібник для семінару (непряме підтвердження) — Детальна інформація щодо обмежень на зміну імені ↗\nОригінальний запис та надіслане посилання\n\nЗатримка зміни імені профілю / аватара\n\nПереглянути наданий вихідний код ↗\n202312-04Дата підтвердження\nAPIПідтверджена подія та дата\nДля створення ключа необхідне підтвердження за допомогою мобільного телефону\n\nЗгідно з даними сторонніх бібліотек для розробників, введення обов’язкового мобільного підтвердження через додаток «Steam Guard» для створення ключів у веб-додатку API відбулося, як було підтверджено, наприкінці 2023,. Точна дата — 4, 2023, — відповідає періоду впровадження, зафіксованому в спільноті розробників.\n\nДокументація щодо супроводу — березень 2024 ↗архів 2026-09-24 ↗\nОригінальний запис та надіслане посилання\n\nПідтвердження через мобільний телефон для ключів API\n\nПереглянути наданий вихідний код ↗\n202310-24Дата підтвердження\nРозробникПідтверджена подія та дата\nНабуває чинності обов’язкова політика «2» щодо публікації ігрових збірок\n\nОфіційне оголошення Valve щодо Steamworks від 10 жовтня 10, 2023, підтверджує, що починаючи з 10 жовтня 24, 2023, будь-який обліковий запис, який публікує збірку в гілці за замовчуванням випущеного додатка, повинен підтвердити цю зміну за допомогою SMS або мобільного додатку Steam. Ця зміна безпосередньо вплинула на веб-сторінку SetAppBuildLive API.\n\nSteamworks — Покращення безпеки в управлінні збірками та користувачами ↗архів 2025-12-03 ↗\nОригінальний запис та надіслане посилання\n\nSMS MFA для публікацій про версії ігор\n\nПереглянути наданий вихідний код ↗\n202307-12Дата подання\nСпільнотаЧастково підтверджено\nПопередження щодо змісту біографій, складених на замовлення, на які звертає увагу спільнота\n\nSteam З липня у повідомленнях спільноти 2023 зазначається, що в біографіях профілів, які містять зовнішні посилання або «тригерні» слова, почали з’являтися автоматичні попередження про вміст. Дата публікації 12, 2023, збігається з першою хвилею повідомлень користувачів на форумах спільноти Steam.\n\nSteam Форум спільноти — Повідомлення про вміст біографічних даних ↗\nОригінальний запис та надіслане посилання\n\nПопередження щодо вмісту біографії, створеної на замовлення\n\nПереглянути наданий вихідний код ↗\n202301-25Дата подання\nСпільнотаЧастково підтверджено\nАктивні періоди очікування для фільтрування та редагування посилань у профілі\n\nОфіційна документація служби підтримки Steam підтверджує, що посилання у власних біографіях фільтруються, а зловживання при зміні імені чи аватара може призвести до заборони на редагування. Хоча точним початком впровадження є введення годинного періоду очікування 4-1 січня 25, 2023,, сам механізм фільтрування посилань, як зазначено на сторінці довідки, вже повністю діє.\n\nSteam Підтримка — Обмеження щодо імені профілю та аватара ↗\nОригінальний запис та надіслане посилання\n\nПрофіль — ПОСИЛАННЯ ВИДАЛЕНО / Час відновлення\n\nПереглянути наданий вихідний код ↗\n202210-24Дата підтвердження\nАутентифікаціяПідтверджена подія та дата\nSteam Перехід клієнта на токени оновлення та доступу OAuth\n\nОсновні оновлення клієнтських програм та мобільних додатків Valve у жовтні 2022 повністю переробили систему автентифікації Steam. Стару структуру сесійних файлів cookie замінили на токени доступу та оновлення на основі OAuth, а також запровадили список активних авторизованих пристроїв, що дозволяє вручну скасовувати активні сесії.\n\nValve — Оновлення мобільного додатка «Steam» та реорганізація системи автентифікації ↗\nОригінальний запис та надіслане посилання\n\nSteam Переробка системи входу / Скорочення файлів cookie\n\nОзнайомтеся з оголошенням «Valve» ↗\n202210-12Дата підтвердження\nАутентифікаціяПідтверджена подія та дата\nВхід за допомогою QR-коду та управління авторизованими пристроями\n\nУ жовтневому оголошенні компанії Valve щодо «12» йдеться про вхід за допомогою QR-коду, затвердження або відхилення входів, а також про список пристроїв, за допомогою яких можна скасувати доступ до облікового запису.\n\nValve — Оновлений мобільний додаток «Steam» вже доступний ↗\nОригінальний запис та надіслане посилання\n\nSteam Мобільний додаток 3.0 / Вхід за QR-кодом\n\nПереглянути наданий вихідний код ↗\n202205-10Дата подання\nAPIЧастково підтверджено\nКінцеві точки скасування угод вилучено з публічного списку API\n\nЗаписи розробників підтверджують, що в травні 2022, Valve без попередження було видалено кінцеві точки управління обміном, такі як IEconService/CancelTradeOffer та DeclineTradeOffer, з веб-інтерфейсу API (задокументовано в node-steam-tradeoffer-manager #325). Хоча ці методи й надалі працюють у приватних клієнтських протоколах, дата 10, 2022, свідчить про їхнє фактичне видалення з публічних веб-API з метою боротьби з шахрайськими панелями.\n\nОбговорення розробників — Проблема №325 (вилучено функцію CancelTradeOffer) ↗· Веб-сайт Steamworks API — Документація IEconService ↗\nОригінальний запис та надіслане посилання\n\nВидалення кінцевих точок скасування торгових операцій\n\nПереглянути проблему #325 у проекті node-steam-tradeoffer-manager ↗\n202005-25Дата підтвердження\nТоргівляПідтверджена подія та дата\nНа предмети в Dota 2 встановлюється семиденний період очікування перед можливістю обміну\n\n25,, 2020,, у зв’язку з випуском «Battle Pass» для турніру «The International» 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve запровадив 7-одноденну заборону на обмін предметами Dota 2, що відповідає 2018 політиці щодо Counter-Strike. Це обмеження поширюється на всі обмінені предмети та покупки на ринку.\n\nСпільнота Dota 2 — блокування обміну та оновлення клієнта TI10 ↗\nОригінальний запис та надіслане посилання\n\nDota 2 / 7-Блокування денних торгів\n\nПереглянути наданий вихідний код ↗\n201803-29Дата підтвердження\nТоргівляПідтверджена подія та дата\nОбмінені предмети CS:GO мають семиденний період очікування\n\nОфіційні примітки до випуску підтверджують дату та обмеження. Наведена URL-адреса перенаправляла на оновлення карти за адресою 2013; відповідна URL-адреса приміток до випуску закінчується на 20309.\n\nValve — Інформація про оновлення для3/29/2018 ↗\nОригінальний запис та надіслане посилання\n\nCS:GO / «7-» — блокування денної торгівлі\n\nПереглянути наданий вихідний код ↗ архів 2025-02-26 ↗\n\nДовіряйте фактам. Перевіряйте джерело.\n\nПовернутися до розслідування ↗",
    "headings": [
      {
        "level": 1,
        "id": null,
        "text": "Хронологія заходів з безпеки — від «2018» до «2026»"
      },
      {
        "level": 2,
        "id": null,
        "text": "Хронологія"
      },
      {
        "level": 2,
        "id": null,
        "text": "Попередження про підозрілі повідомлення в групових чатах"
      },
      {
        "level": 2,
        "id": null,
        "text": "Детальні права доступу та білі списки IP-адрес для ключів видавців (оголошення Valve)"
      },
      {
        "level": 2,
        "id": null,
        "text": "Угоди з CS2 отримують семиденне вікно розвороту"
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve публікує попередження щодо безпеки облікових записів у зв’язку з витоком SMS-повідомлень"
      },
      {
        "level": 2,
        "id": null,
        "text": "За сім днів до повторного продажу або повторного виставлення на продаж"
      },
      {
        "level": 2,
        "id": null,
        "text": "Обмеження щодо нових пристроїв перевірено на сторінках довідки"
      },
      {
        "level": 2,
        "id": null,
        "text": "У версії «2024» реалізовано час очікування після зміни імені"
      },
      {
        "level": 2,
        "id": null,
        "text": "Для створення ключа необхідне підтвердження за допомогою мобільного телефону"
      },
      {
        "level": 2,
        "id": null,
        "text": "Набуває чинності обов’язкова політика «2» щодо публікації ігрових збірок"
      },
      {
        "level": 2,
        "id": null,
        "text": "Попередження щодо змісту біографій, складених на замовлення, на які звертає увагу спільнота"
      },
      {
        "level": 2,
        "id": null,
        "text": "Активні періоди очікування для фільтрування та редагування посилань у профілі"
      },
      {
        "level": 2,
        "id": null,
        "text": "Steam Перехід клієнта на токени оновлення та доступу OAuth"
      },
      {
        "level": 2,
        "id": null,
        "text": "Вхід за допомогою QR-коду та управління авторизованими пристроями"
      },
      {
        "level": 2,
        "id": null,
        "text": "Кінцеві точки скасування угод вилучено з публічного списку API"
      },
      {
        "level": 2,
        "id": null,
        "text": "На предмети в Dota 2 встановлюється семиденний період очікування перед можливістю обміну"
      },
      {
        "level": 2,
        "id": null,
        "text": "Обмінені предмети CS:GO мають семиденний період очікування"
      }
    ],
    "links": [
      "https://phishdestroy.io/steam_dossier/uk/#briefing-heading",
      "https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://partner.steamgames.com/doc/webapi_overview/auth",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://store.steampowered.com/news/posts/?enddate=1747349559",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://partner.steamgames.com/doc/webapi/IEconService",
      "https://steamcommunity.com/app/570/announcements/",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/2018/03/20309/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/uk/#vulnerability-profile"
    ]
  }
}