# Хронологія подій у сфері безпеки — Досьє «Steam» Canonical: https://phishdestroy.io/steam_dossier/uk/security_timeline Language: uk Attribution: PhishDestroy Team Publisher: PhishDestroy Edition: Current reading text; not a signed historical export. ІСТОРІЯ БЕЗПЕКИ ВИСТАВКА / РОБОТИ, ПОДАНІ НА КОНКУРС «16» 2018 — 2026 # Хронологія заходів з безпеки — від «2018» до «2026» Змінилися заходи безпеки. *Слідкуйте за ходом подій.* ЩО ДОКАЗУЄ ЦЕЙ РОЗДІЛ Цей хронологічний звіт відтворює вісім років змін у системі безпеки торгового та аутентифікаційного стеку платформи «Steam». У ньому простежуються: 2018 — впровадження денного блокування торгів; 7-— 2023 — підтвердження ключових операцій через мобільні пристрої; API — 2026 — виведення з обігу сесійних токенів у відповідь на задокументовані методи обходу. Хронологія показує, що оновлення платформи постійно відставали від відомих векторів атак, водночас зберігаючи структурні переваги для комерційних операторів. [← Повернутися до огляду для керівництва](https://phishdestroy.io/steam_dossier/uk/#briefing-heading) Торгові блокування. Контроль входу. Обмеження «API». Хронологічний звіт про те, що змінилося — і що насправді підтверджують джерела. [Ознайомтеся з хронологією подій](https://phishdestroy.io/steam_dossier/uk/security_timeline#timeline) ВІСІМ РОКІВ. ОДИН АЛЬБОМ. **16 ключові етапи, які слід проаналізувати** Кожен запис зберігає дату подання та джерело. Результати перевірки відображаються поруч із ним. ПЕРЕВІРЕНО / 24 09.2026 **10** Підтверджена подія та дата **06** Частково підтверджено **00** Невідповідність джерел **00** Потрібне джерело Як читати цей запис **Підтверджена подія та дата:** обидва підтверджуються достовірним першоджерелом. **Частково підтверджено:** відповідна зміна задокументована, але дата або обсяг її застосування залишаються невизначеними. **Невідповідність джерел:** матеріал, на який наведено посилання, не підтверджує висунуте твердження. **Потрібне джерело:** У ході цього огляду не було перевірено жодного відповідного джерела з датою. Відсутність підтверджених даних не є доказом того, що подія не відбулася. Дати у невирішених записах — це дати подання, а не підтверджені дати випуску. Оригінальний текст розслідування не переписувався. ## Хронологія 01 — 16 Пошук у записі Тема Докази Замовлення 16 з публікацій «16» · спочатку найновіші 2026 09-01 Дата подання Спільнота Частково підтверджено ## [Попередження про підозрілі повідомлення в групових чатах](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2026-09-01) Офіційне повідомлення про бета-версію підтверджує наявність цієї функції на сайті 31 у серпні. Щодо зазначеної на сайті 1 дати випуску стабільної версії у вересні, поки що відсутні конкретні примітки до випуску. [Steam Бета-версія клієнта — 31серпня](https://steamcommunity.com/groups/SteamClientBeta?l=english) [архів 2026-03-13 ↗](https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english) Оригінальний запис та надіслане посилання Автоматичне позначення підозрілих чатів [Переглянути наданий вихідний код ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) 2026 01-16 Дата підтвердження API Підтверджена подія та дата ## [Детальні права доступу та білі списки IP-адрес для ключів видавців (оголошення Valve)](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2026-01-16) 16 січня 2026, Valve опублікували офіційне оголошення щодо Steamworks (*«НОВИНКА: Покращені права доступу та засоби керування для ключів веб-API»*) що підтверджує наявність нових інструментів для детального налаштування прав доступу, які дозволяють розробникам розділяти ключі веб-APIів на окремі групи (**Загальні відомості, мікротранзакції, економіка та дані про продажі** ), обмежити використання ключів певними ідентифікаторами додатків та забезпечити дотримання білого списку IP-адрес серверів. **Явний подвійний стандарт:** У цьому офіційному повідомленні зазначається, що компанія «Valve» повністю розбудувала технічну інфраструктуру для детального налаштування прав доступу API та обмежень за IP-адресами, однак **навмисно не надає їх звичайним обліковим записам користувачів (`steamcommunity.com/dev/apikey`)** . Звичайні ключі користувача API залишаються монолітними, «все або нічого» обліковими даними без білих списків IP-адрес — і саме це технічне упущення робить можливим існування багатомільйонної індустрії перехоплення торгових операцій API. [Valve Оголошення — НОВИНКА: Покращені права доступу та засоби керування для ключів веб-API (16 Jan 2026)](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) · [Документація: Аутентифікація через веб-APIу Steamworks ↗](https://partner.steamgames.com/doc/webapi_overview/auth) Оригінальний запис та надіслане посилання Веб-сайт Steamworks API Детальні описи [Ознайомтеся з офіційним оголошенням про підтримку Steamworks у грі «Valve» (493839547938902179) ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) 2025 07-15 Дата підтвердження Торгівля Підтверджена подія та дата ## [Угоди з CS2 отримують семиденне вікно розвороту](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2025-07-15) У опублікованому сьогодні повідомленні Valve оголошено про скасування обмінів предметами в Counter-Strike, здійснених протягом попередніх семи днів. Хоча ця міра була запроваджена з метою запобігання викраденню акаунтів, незалежні економічні аудити ( [CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) ) зафіксувала **$104M (-25%) collapse** за ринковою капіталізацією протягом 24 годин через перебої в роботі системи готівкових розрахунків. Згідно з аналізом [Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/) , у разі спрацьовування механізму розвороту на рахунок автоматично накладається обмеження на денну торгівлю 30-. Влітку 2026, Valve перейшли від глобального обнулення о півночі за UTC до індивідуальних хвилинних таймерів для кожного окремого інструменту ( [Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/) ). [Valve — 15, липень, оголошення про випуск «2025»](https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000) · [Аналіз CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) Оригінальний запис та надіслане посилання Захист від спекуляцій CS2 / Вікно скасування [Переглянути наданий вихідний код ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2025 05-14 Дата підтвердження Аутентифікація Підтверджена подія та дата ## [Valve публікує попередження щодо безпеки облікових записів у зв’язку з витоком SMS-повідомлень](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2025-05-14) Офіційне повідомлення Valve від 14, 2025, стосується безпеки облікових записів та засобів аутентифікації на основі SMS. Хоча в повідомленні основна увага приділяється витоку SMS-повідомлень і підтверджується, що системи Steam не зазнали зломів, воно є офіційним оновленням щодо безпеки станом на зазначену дату. [Valve — Примітка щодо безпеки вашого облікового запису Steam](https://store.steampowered.com/news/posts/?enddate=1747349559) Оригінальний запис та надіслане посилання Повідомлення щодо безпеки облікового запису [Переглянути наданий вихідний код ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) 2024 10-02 Дата підтвердження Торгівля Підтверджена подія та дата ## [За сім днів до повторного продажу або повторного виставлення на продаж](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2024-10-02) У примітках до оновлення розглядаються предмети, придбані через ігровий магазин, зокрема в «Зброярні», у рамках торгових пропозицій та на «Ринку спільноти». Описаний обсяг охоплює не лише предмети зі «Зброярні». [Valve — Інформація про оновлення для10/2/2024](https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements) Оригінальний запис та надіслане посилання CS2 «The Armory» / «7-» — одноденний турнір [Переглянути наданий вихідний код ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) 2024 09-18 Дата подання Торгівля Частково підтверджено ## [Обмеження щодо нових пристроїв перевірено на сторінках довідки](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2024-09-18) В офіційній документації служби підтримки Steam підтверджується обмеження на денну торгівлю (7-) у разі входу з нового пристрою, який не був авторизований щонайменше протягом 7 днів. Хоча точна дата впровадження цієї функції — 18, 2024, — не зазначена як віха в журналі змін, сама функція повністю задокументована. [Steam Підтримка — Обмеження щодо торгівлі та ринку](https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E) Оригінальний запис та надіслане посилання Обмеження щодо реєстрації нових пристроїв у системі Trade [Переглянути наданий вихідний код ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2024 02-14 Дата подання Спільнота Частково підтверджено ## [У версії «2024» реалізовано час очікування після зміни імені](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2024-02-14) Записи спільноти та розробників підтверджують, що на початку 2024, Valve було запроваджено неанонсоване 2-обмеження у вигляді4-годинного періоду очікування одразу після зміни імені профілю, щоб запобігти шахрайству у вигляді швидкого підроблення особи. Оскільки Valve не опублікувало жодного офіційного прес-релізу, списку змін у клієнті чи статті служби підтримки щодо цього обмеження, зазначена дата лютого 14 не має офіційного підтвердження; посібник Steam Workshop слугує скоріше непрямим підтвердженням з боку спільноти, а не офіційною Valve документацією. [Steam Посібник для семінару (непряме підтвердження) — Детальна інформація щодо обмежень на зміну імені](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) Оригінальний запис та надіслане посилання Затримка зміни імені профілю / аватара [Переглянути наданий вихідний код ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 2023 12-04 Дата підтвердження API Підтверджена подія та дата ## [Для створення ключа необхідне підтвердження за допомогою мобільного телефону](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2023-12-04) Згідно з даними сторонніх бібліотек для розробників, введення обов’язкового мобільного підтвердження через додаток «Steam Guard» для створення ключів у веб-додатку API відбулося, як було підтверджено, наприкінці 2023,. Точна дата — 4, 2023, — відповідає періоду впровадження, зафіксованому в спільноті розробників. [Документація щодо супроводу — березень 2024](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [архів 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) Оригінальний запис та надіслане посилання Підтвердження через мобільний телефон для ключів API [Переглянути наданий вихідний код ↗](https://steamcommunity.com/dev/apikey) 2023 10-24 Дата підтвердження Розробник Підтверджена подія та дата ## [Набуває чинності обов’язкова політика «2» щодо публікації ігрових збірок](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2023-10-24) Офіційне оголошення Valve щодо Steamworks від 10 жовтня 10, 2023, підтверджує, що починаючи з 10 жовтня 24, 2023, будь-який обліковий запис, який публікує збірку в гілці за замовчуванням випущеного додатка, повинен підтвердити цю зміну за допомогою SMS або мобільного додатку Steam. Ця зміна безпосередньо вплинула на веб-сторінку SetAppBuildLive API. [Steamworks — Покращення безпеки в управлінні збірками та користувачами](https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) [архів 2025-12-03 ↗](https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) Оригінальний запис та надіслане посилання SMS MFA для публікацій про версії ігор [Переглянути наданий вихідний код ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) 2023 07-12 Дата подання Спільнота Частково підтверджено ## [Попередження щодо змісту біографій, складених на замовлення, на які звертає увагу спільнота](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2023-07-12) Steam З липня у повідомленнях спільноти 2023 зазначається, що в біографіях профілів, які містять зовнішні посилання або «тригерні» слова, почали з’являтися автоматичні попередження про вміст. Дата публікації 12, 2023, збігається з першою хвилею повідомлень користувачів на форумах спільноти Steam. [Steam Форум спільноти — Повідомлення про вміст біографічних даних](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) Оригінальний запис та надіслане посилання Попередження щодо вмісту біографії, створеної на замовлення [Переглянути наданий вихідний код ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 2023 01-25 Дата подання Спільнота Частково підтверджено ## [Активні періоди очікування для фільтрування та редагування посилань у профілі](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2023-01-25) Офіційна документація служби підтримки Steam підтверджує, що посилання у власних біографіях фільтруються, а зловживання при зміні імені чи аватара може призвести до заборони на редагування. Хоча точним початком впровадження є введення годинного періоду очікування 4-1 січня 25, 2023,, сам механізм фільтрування посилань, як зазначено на сторінці довідки, вже повністю діє. [Steam Підтримка — Обмеження щодо імені профілю та аватара](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) Оригінальний запис та надіслане посилання Профіль — ПОСИЛАННЯ ВИДАЛЕНО / Час відновлення [Переглянути наданий вихідний код ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 2022 10-24 Дата підтвердження Аутентифікація Підтверджена подія та дата ## [Steam Перехід клієнта на токени оновлення та доступу OAuth](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2022-10-24) Основні оновлення клієнтських програм та мобільних додатків Valve у жовтні 2022 повністю переробили систему автентифікації Steam. Стару структуру сесійних файлів cookie замінили на токени доступу та оновлення на основі OAuth, а також запровадили список активних авторизованих пристроїв, що дозволяє вручну скасовувати активні сесії. [Valve — Оновлення мобільного додатка «Steam» та реорганізація системи автентифікації](https://store.steampowered.com/news/group/4/view/3314112260640237775) Оригінальний запис та надіслане посилання Steam Переробка системи входу / Скорочення файлів cookie [Ознайомтеся з оголошенням «Valve» ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 10-12 Дата підтвердження Аутентифікація Підтверджена подія та дата ## [Вхід за допомогою QR-коду та управління авторизованими пристроями](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2022-10-12) У жовтневому оголошенні компанії Valve щодо «12» йдеться про вхід за допомогою QR-коду, затвердження або відхилення входів, а також про список пристроїв, за допомогою яких можна скасувати доступ до облікового запису. [Valve — Оновлений мобільний додаток «Steam» вже доступний](https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog) Оригінальний запис та надіслане посилання Steam Мобільний додаток 3.0 / Вхід за QR-кодом [Переглянути наданий вихідний код ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 05-10 Дата подання API Частково підтверджено ## [Кінцеві точки скасування угод вилучено з публічного списку API](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2022-05-10) Записи розробників підтверджують, що в травні 2022, Valve без попередження було видалено кінцеві точки управління обміном, такі як IEconService/CancelTradeOffer та DeclineTradeOffer, з веб-інтерфейсу API (задокументовано в node-steam-tradeoffer-manager #325). Хоча ці методи й надалі працюють у приватних клієнтських протоколах, дата 10, 2022, свідчить про їхнє фактичне видалення з публічних веб-API з метою боротьби з шахрайськими панелями. [Обговорення розробників — Проблема №325 (вилучено функцію CancelTradeOffer)](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) · [Веб-сайт Steamworks API — Документація IEconService](https://partner.steamgames.com/doc/webapi/IEconService) Оригінальний запис та надіслане посилання Видалення кінцевих точок скасування торгових операцій [Переглянути проблему #325 у проекті node-steam-tradeoffer-manager ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) 2020 05-25 Дата підтвердження Торгівля Підтверджена подія та дата ## [На предмети в Dota 2 встановлюється семиденний період очікування перед можливістю обміну](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2020-05-25) 25,, 2020,, у зв’язку з випуском «Battle Pass» для турніру «The International» 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve запровадив 7-одноденну заборону на обмін предметами Dota 2, що відповідає 2018 політиці щодо Counter-Strike. Це обмеження поширюється на всі обмінені предмети та покупки на ринку. [Спільнота Dota 2 — блокування обміну та оновлення клієнта TI10](https://steamcommunity.com/app/570/announcements/) Оригінальний запис та надіслане посилання Dota 2 / 7-Блокування денних торгів [Переглянути наданий вихідний код ↗](https://blog.dota2.com/2020/05/trading-cooldown/) 2018 03-29 Дата підтвердження Торгівля Підтверджена подія та дата ## [Обмінені предмети CS:GO мають семиденний період очікування](https://phishdestroy.io/steam_dossier/uk/security_timeline#event-2018-03-29) Офіційні примітки до випуску підтверджують дату та обмеження. Наведена URL-адреса перенаправляла на оновлення карти за адресою 2013; відповідна URL-адреса приміток до випуску закінчується на 20309. [Valve — Інформація про оновлення для3/29/2018](https://blog.counter-strike.net/2018/03/20309/) Оригінальний запис та надіслане посилання CS:GO / «7-» — блокування денної торгівлі [Переглянути наданий вихідний код ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [архів 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) ### Відповідних записів не знайдено. Спробуйте ввести інше словосполучення або очистіть фільтри. Довіряйте фактам. Перевіряйте джерело. [Повернутися до розслідування ↗](https://phishdestroy.io/steam_dossier/uk/#vulnerability-profile)