Lịch sử phát triển bảo mật — Từ “2018” đến “2026”

Cảnh báo về tin nhắn đáng ngờ trong các cuộc trò chuyện nhóm

Một thông báo chính thức về phiên bản beta đã xác nhận tính năng này trên trang 31 vào tháng 8. Ngày phát hành phiên bản ổn định 1 vào tháng 9 vẫn chưa có ghi chú phát hành cụ thể.

Quyền truy cập chi tiết và danh sách trắng IP cho các khóa nhà xuất bản (Thông báo trên Valve)

Vào ngày 16 tháng 1 năm 2026, Valve đã đăng tải một thông báo chính thức về Steamworks ("MỚI: Cải thiện quyền truy cập và cơ chế kiểm soát đối với các khóa Web API") xác nhận các công cụ cấp quyền chi tiết mới, cho phép các nhà phát triển chia các khóa Web API thành các nhóm riêng biệt (Tổng quan, Giao dịch vi mô, Nền kinh tế và Dữ liệu doanh số), giới hạn các khóa cho các App ID cụ thể và áp dụng danh sách trắng địa chỉ IP máy chủ.

Tiêu chuẩn kép rõ rệt: Thông báo chính thức này khẳng định rằng Valve đã hoàn thiện cơ sở hạ tầng kỹ thuật cho các quyền truy cập chi tiết tại API và các hạn chế theo địa chỉ IP, nhưng cố ý không cung cấp những thông tin đó cho các tài khoản người dùng thông thường (steamcommunity.com/dev/apikey). Các khóa xác thực “API” thông thường vẫn là những thông tin xác thực dạng “tất cả hoặc không gì cả”, không có danh sách trắng địa chỉ IP — và chính sự thiếu sót kỹ thuật này đã tạo điều kiện cho ngành công nghiệp chặn giao dịch “API” trị giá hàng triệu đô la phát triển.

Các giao dịch CS2 có được khoảng thời gian đảo chiều trong bảy ngày

Thông báo đã được đăng tải từ trước của Valve cho biết sẽ hoàn trả các giao dịch vật phẩm trong Counter-Strike trong vòng bảy ngày trước đó. Mặc dù được thiết kế nhằm hạn chế tình trạng chiếm đoạt tài khoản, các cuộc kiểm toán kinh tế do bên thứ ba thực hiện (CSMarketCap ↗) đã ghi nhận một $104M (-25%) collapse về vốn hóa thị trường trong vòng 24 giờ do sự cố gián đoạn giao dịch tiền mặt. Theo phân tích của Skinvault ↗, việc kích hoạt một lệnh đảo chiều sẽ tự động áp dụng lệnh cấm giao dịch trong ngày “30-” đối với tài khoản. Vào mùa hè 2026, Valve đã chuyển từ cơ chế đặt lại vào nửa đêm theo giờ UTC toàn cầu sang cơ chế hẹn giờ theo từng phút cho từng mặt hàng (Skin.land ↗).

Valve đăng tải cảnh báo về an ninh tài khoản liên quan đến việc rò rỉ tin nhắn SMS

Thông báo chính thức của Valve vào ngày 5 tháng 14, 2025, đề cập đến vấn đề bảo mật tài khoản và các công cụ xác thực qua tin nhắn SMS. Mặc dù thông báo này tập trung vào các vụ rò rỉ tin nhắn SMS và khẳng định hệ thống Steam không bị xâm nhập, nhưng nó vẫn đóng vai trò là bản cập nhật bảo mật chính thức vào ngày được công bố.

Bảy ngày trước khi tiến hành giao dịch lại hoặc tiếp thị lại

Bản ghi chú cập nhật bao gồm các vật phẩm được mua qua cửa hàng trong trò chơi, bao gồm Kho vũ khí, các đề nghị trao đổi và Chợ cộng đồng. Phạm vi được đề cập trong tài liệu này rộng hơn so với chỉ riêng các vật phẩm trong Kho vũ khí.

Các hạn chế đối với thiết bị mới đã được xác minh trên Trang Hỗ trợ

Tài liệu hỗ trợ chính thức của Steam xác nhận có hạn chế giao dịch trong ngày (7-) khi đăng nhập từ một thiết bị mới chưa được ủy quyền trong ít nhất 7 ngày. Mặc dù ngày triển khai chính xác vào tháng 9 18, 2024, không được ghi nhận là một mốc quan trọng trong nhật ký thay đổi, nhưng tính năng này đã được ghi chép đầy đủ.

Thời gian chờ khi đổi tên đã được triển khai trong bản vá “2024”

Các ghi chép từ cộng đồng và nhà phát triển xác nhận rằng vào đầu năm 2024, Valve đã áp dụng một quy định chưa được công bố 2-với thời gian chờ giao dịch4 ngay sau khi thay đổi tên hồ sơ, nhằm hạn chế các vụ lừa đảo mạo danh diễn ra nhanh chóng. Do Valve không công bố bất kỳ thông cáo báo chí chính thức, bản ghi thay đổi của ứng dụng hay bài viết hỗ trợ nào về hạn chế này, nên ngày 14 được đề cập trong tháng 2 thiếu sự xác minh chính thức; hướng dẫn trên Steam Workshop đóng vai trò là bằng chứng gián tiếp từ cộng đồng chứ không phải là tài liệu chính thức Valve.

Việc tạo khóa yêu cầu xác nhận qua điện thoại di động

Việc áp dụng quy định bắt buộc phải xác nhận qua ứng dụng Steam Guard khi tạo khóa trên trang web API đã được xác nhận là diễn ra vào cuối tháng 2023,, theo ghi nhận từ các thư viện phát triển của bên thứ ba. Ngày chính xác là 4, 2023,, đây là khoảng thời gian triển khai được ghi nhận trong cộng đồng các nhà phát triển.

Quy định bắt buộc về việc sử dụng FA “2” để thiết lập các phiên bản trò chơi trực tiếp sẽ có hiệu lực

Thông báo chính thức về Steamworks của Valve vào ngày 10 tháng 10, 2023, xác nhận rằng, bắt đầu từ ngày 10 tháng 24, 2023,, bất kỳ tài khoản nào đưa bản dựng vào trạng thái hoạt động trên nhánh mặc định của một ứng dụng đã phát hành đều phải xác thực thay đổi này qua tin nhắn SMS hoặc ứng dụng di động Steam. Thay đổi này đã được cập nhật trực tiếp lên trang web SetAppBuildLive API.

Các cảnh báo về nội dung trong tiểu sử cá nhân được cộng đồng ghi nhận

Steam Các báo cáo từ cộng đồng bắt đầu từ tháng 7 2023 cho thấy các phần giới thiệu hồ sơ cá nhân chứa liên kết bên ngoài hoặc từ khóa nhạy cảm đã bắt đầu hiển thị các cảnh báo nội dung tự động. Ngày gửi báo cáo là tháng 7 12, 2023, trùng khớp với đợt báo cáo đầu tiên của người dùng trên diễn đàn cộng đồng Steam.

Chế độ lọc liên kết hồ sơ và thời gian chờ chỉnh sửa đang hoạt động

Tài liệu hỗ trợ chính thức của Steam xác nhận rằng các liên kết trong phần tiểu sử tùy chỉnh sẽ bị lọc, và việc thay đổi tên hoặc ảnh đại diện mang tính lạm dụng có thể dẫn đến lệnh cấm chỉnh sửa. Mặc dù việc triển khai chính thức thời gian chờ 1 giờ 4-vào ngày 1 tháng 25, 2023, được xem là thời điểm bắt đầu được ghi nhận, nhưng cơ chế lọc liên kết này đã hoạt động đầy đủ trên trang trợ giúp đã được gửi.

Steam Quá trình chuyển đổi của khách hàng sang mã thông báo làm mới và mã thông báo truy cập OAuth

Các bản cập nhật lớn về ứng dụng khách và ứng dụng di động của Valve trong tháng 10 2022 đã tiến hành cải tổ hệ thống xác thực Steam. Cấu trúc cookie phiên cũ đã được thay thế bằng các mã thông báo truy cập và làm mới dựa trên OAuth, đồng thời danh sách các thiết bị được ủy quyền đang hoạt động cũng được giới thiệu để cho phép thu hồi thủ công các phiên đang hoạt động.

Đăng nhập qua mã QR và quản lý thiết bị được ủy quyền

Thông báo vào tháng 10 của Valve về “12” mô tả quy trình đăng nhập bằng mã QR, việc chấp thuận hoặc từ chối các lần đăng nhập, cũng như danh sách thiết bị có thể thu hồi quyền truy cập tài khoản.

Các điểm cuối hủy giao dịch đã bị xóa khỏi danh sách công khai API

Các bản ghi của nhà phát triển xác nhận rằng vào tháng 5 năm 2022, Valve, các điểm cuối quản lý giao dịch như IEconService/CancelTradeOffer và DeclineTradeOffer đã bị gỡ bỏ một cách âm thầm khỏi Web API (được ghi chép trong node-steam-tradeoffer-manager #325). Mặc dù các phương thức này vẫn hoạt động trong các giao thức khách hàng riêng tư, nhưng ngày 5 tháng 10, 2022, đánh dấu thời điểm chúng chính thức bị loại bỏ khỏi các API Web công khai nhằm chống lại các bảng lừa đảo.

Các vật phẩm trong chế độ “2” của Dota sẽ có thời gian chờ giao dịch là bảy ngày

Vào ngày 25, 2020, cùng với việc ra mắt Battle Pass của giải đấu The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve đã áp dụng chính sách khóa giao dịch trong ngày 7-đối với các vật phẩm Dota 2, tương tự như chính sách của 2018 dành cho Counter-Strike. Hạn chế này áp dụng cho tất cả các vật phẩm được giao dịch và mua từ Thị trường.

Các vật phẩm CS:GO được trao đổi sẽ phải chịu thời gian chờ 7 ngày

Bản ghi chú phát hành chính thức đã xác nhận ngày phát hành và các hạn chế. Đường dẫn được cung cấp đã chuyển hướng đến bản cập nhật bản đồ tại 2013; đường dẫn tương ứng trong bản ghi chú phát hành kết thúc bằng 20309.