# Steamका डोजियर: नियम, मार्ग और जवाबदेही Canonical: https://phishdestroy.io/steam_dossier/hi/ Language: hi Author: PhishDestroy Team Publisher: PhishDestroy > Steam OpenID प्रमाणीकरण, Valve प्रवर्तन, खाता डेटा तक पहुंच और बाजार-सीलिंग अर्थव्यवस्था की सार्वजनिक फोरेंसिक जांच। PhishDestroy द्वितीय · नियामक दस्तावेज़ Steam / केस फ़ाइल 001 # उनके नियम। *उनकी प्रणाली।* Valve प्रतिबंध निर्धारित करता है।Steam बुनियादी ढांचा प्रदान करता है। लिखित नियम को अवलोकित प्रमाणीकरण मार्ग के बगल में रखें। फिर पूछें कि प्रवर्तन कहाँ शुरू होता है — और सार्वजनिक अभिलेख कहाँ समाप्त होता है। [ब्रीफिंग पढ़ें](https://phishdestroy.io/steam_dossier/hi/#pd-tldr)[स्रोतों की जाँच करें ↗](https://phishdestroy.io/steam_dossier/hi/steam_evidence_archive) नियम / रिकॉर्ड 03 प्रदर्शनी [01 उनका शासन ## व्यक्तिगत। गैर-व्यावसायिक। सब्सक्राइबर समझौता वाणिज्यिक उपयोग को तब तक प्रतिबंधित करता है जब तक कि स्पष्ट रूप से अनुमति न दी गई हो।Valve ने अपने नियम जुआ संचालकों पर लागू किए, जैसा कि 2016. में बताया गया है। नियम और 2016 रिकॉर्ड पढ़ें ↗](https://phishdestroy.io/steam_dossier/hi/#enforcement-standard) [02 निरीक्षित मार्ग ## अवरुद्ध साइट। अनब्लॉक किया गया प्रामाणिक होस्ट। 26 44 के अलग-डोमेन मार्गों के रजिस्टर में यह विभाजन दिखाया गया था, जैसा कि 21–22 सितंबर 2026. के सहेजे गए लिंक फ़िल्टर जांचों में देखा गया। दिनांकित मार्ग जाँचों का निरीक्षण करें ↗](https://phishdestroy.io/steam_dossier/hi/#proxy-bypass-explainer) [03 अमल का प्रश्न ## दिखाएँ कि क्या लागू किया गया था। एक लिंक फ़िल्टर परिणाम हर प्रवर्तन कार्रवाई को स्थापित नहीं करता। ऑपरेटर-दर-ऑपरेटर रिकॉर्ड को नियम के बगल में रखें। जवाबदेही की मांग पढ़ें ↗](https://phishdestroy.io/steam_dossier/hi/#wsgc-public-address) [01 / विश्लेषण **30 अनुभागों का अन्वेषण**](https://phishdestroy.io/steam_dossier/hi/#briefing-section)[02 / सबूत **स्रोत संग्रह ब्राउज़ करें**](https://phishdestroy.io/steam_dossier/hi/steam_evidence_archive)[03 / संबंध **नेटवर्क का अन्वेषण करें**](https://phishdestroy.io/steam_dossier/hi/output_steam_network/index.html) स्टीम डोजियर / भाग II ## तृतीय-पक्ष प्रमाणीकरण प्रवर्तन और *डेटा पहुँच* Steam वेब API इकोसिस्टम के आसपास संरचनात्मक अंतरालों, प्रॉक्सी-बाईपास तंत्रों, चयनात्मक प्रवर्तन और नियामक चुनौतियों का निर्णायक फोरेंसिक अध्ययन। [खाता पहुँच उपधारा खोलें](https://phishdestroy.io/steam_dossier/hi/investigation_part2) संक्षेप में — 5 सत्यापनीय दावे सभी 5 जिन्हें Valve के अपने सर्वरों, दस्तावेज़ों और प्रकाशित तिथियों के विरुद्ध सत्यापित किया जा सकता है। - 44 तीसरे पक्ष के प्लेटफ़ॉर्म के लिए Steam लॉगिन ले जाने वाले अलग auth-host डोमेन पाए गए — प्रत्येक प्लेटफ़ॉर्म के मुख्य पते से अलग पंजीकृत एक डोमेन। [धारा 3](https://phishdestroy.io/steam_dossier/hi/#proxy-bypass-explainer) - 26 फ़िल्टर-स्प्लिट जोड़े: मुख्य डोमेन 'Steam' लिंक फ़िल्टर चेतावनी दिखाता है; इसके बगल में स्थित लॉगिन होस्ट नहीं दिखाता। [धारा 3.2](https://phishdestroy.io/steam_dossier/hi/#linkfilter-coverage) - 12 वाई 6एम कितना लंबा है `api.csgem.com` Steam लॉगिन किए हुए हैं `csgogem.com` लिंक फ़िल्टर पर बैठता है। पंजीकृत मार्च 2014. [तालिका देखें](https://phishdestroy.io/steam_dossier/hi/#linkfilter-coverage) - 10 दिन Valve की स्वयं की 2016 थी जो जुआ ऑपरेटरों के लिए थी। तब से कोई प्रति-ऑपरेटर प्रवर्तन रिकॉर्ड प्रकाशित नहीं किया गया है। [धारा 2](https://phishdestroy.io/steam_dossier/hi/#wsgc-public-address) - 830 पीपी लेख 15GDPR Valve के वकीलों की प्रतिक्रिया — 902,270 निकाले जा सकने वाले छंटनी अंशों के पात्र, छंटनी बार को चयन योग्य पाठ के रूप में छोड़ा गया। [धारा 18](https://phishdestroy.io/steam_dossier/hi/#gdpr-live-case) इसका क्या मतलब है — स्टीम लिंक फ़िल्टर Valve एक लिंक फ़िल्टर बनाए रखता है जो Steam चैट या प्रोफ़ाइल टिप्पणियों में पोस्ट किए जाने पर जुआ और ट्रेडिंग साइटों के लिंक को ब्लॉक करता है। जब कोई उपयोगकर्ता एक ब्लॉक किए गए लिंक पर क्लिक करता है, तो Valve एक पूर्ण-स्क्रीन चेतावनी प्रदर्शित करता है: *इस लिंक को संभावित रूप से दुर्भावनापूर्ण के रूप में चिह्नित किया गया है।* हालाँकि, Valve केवल प्राथमिक वेबसाइट डोमेन की जाँच करता है। Steam OpenID प्रमाणीकरण के लिए उपयोग किए जाने वाले अलग-अलग डोमेन ब्लॉकलिस्ट में नहीं हैं — इसलिए मुख्य साइट अवरुद्ध होने के बावजूद लॉगिन प्रक्रिया सफल हो जाती है। धारा 1 — मामले का संक्षिप्त विवरण ## नियम। रिकॉर्ड। अनुत्तरित प्रश्न। प्रसंग और स्रोत सीमाएँ छह निष्कर्ष, प्रत्येक एक तिथिबद्ध सार्वजनिक अभिलेख से जुड़ा हुआ। विस्तृत अनुभाग इसी क्रम में हैं: तकनीकी अभिलेख (भाग A), नियम और प्रवर्तन अभिलेख (भाग B), कानूनी ढाँचे (भाग C), और फिर मुख्य प्रदर्शों के साथ परिशिष्ट। छह निष्कर्ष। प्रत्येक एक लिखित नियम को एक दिनांकित अभिलेख से जोड़ता है और एक ऐसे प्रश्न को उठाता है जिसे साक्ष्य द्वारा परखा जा सकता है। 1. अलग-डोमेन प्रमाणन होस्ट — 44 मार्ग · 26 विभाजित जोड़े लाइव रजिस्टर रिकॉर्ड करता है **44 एक अलग पंजीकरण योग्य डोमेन के माध्यम से प्रमाणीकरण करने वाले प्लेटफ़ॉर्म**. पाँच अतिरिक्त मार्ग सत्यापन के लिए लंबित हैं और एक RDAP तिथि की प्रतीक्षा कर रहे हैं; इन्हें बढ़ावा देने से कुल संख्या 47. हो जाएगी। इन्हें 44 और आयु चार्ट से बाहर रखा गया है। — **27 एक प्रकाशित प्रति-मार्ग साक्ष्य फ़ाइल के साथ** और मैनुअल संग्रह से जोड़े गए 17, अलग सूचीबद्ध। में **26 फ़िल्टर-स्प्लिट जोड़े** मुख्य डोमेन है **अवरुद्ध** Steam लिंक फ़िल्टर में जबकि उस लॉगिन को वह प्रॉक्सी नहीं ले जा रहा है। ये बर्नर डोमेन नहीं हैं: csgogem.com अवरुद्ध है जबकि `api.csgem.com`, होस्ट जो अपना Steam लॉगिन ले जा रहा है, मार्च से पंजीकृत है 2014 — **12 साल 6 महीने**Valve को प्रत्येक OpenID अनुरोध में वह होस्टनाम प्राप्त होता है, और इसे अपनी लॉगिन पेज पर उपयोगकर्ता को वापस दिखाता है। पूर्ण तालिका, प्रति-मार्ग आयु और स्रोत जानकारी अनुभाग 3. में दी गई है। [मार्ग का अनुसरण करें →](https://phishdestroy.io/steam_dossier/hi/#proxy-bypass-explainer) 2. 2016: प्रक्रिया का नाम रखा गया, समय-सीमा निर्धारित की गई। पर **13 जुलाई 2016** Valve Steam सार्वजनिक रूप से बताया कि कैसे जुआ साइटों ने ई-मेल OpenID और स्वचालित ट्रेडिंग खातों का उपयोग किया, और इसकी वकील की सूचनाओं का **20 जुलाई2016** दस दिन की समयसीमा निर्धारित की गई। तब से किसी भी ऑपरेटर-विशिष्ट प्रवर्तन रिकॉर्ड का प्रकाशन नहीं हुआ है। उस समयसीमा के जारी होने के दस साल बाद भी, उसी नाम की प्रक्रिया अलग-अलग डोमेन के auth होस्ट्स पर लागू है, जिन्होंने 2026-09-21. पर कोई Link Filter ब्लॉक नहीं लौटाया। [WSGC के लिए खुले पत्र को पढ़ें →](https://phishdestroy.io/steam_dossier/hi/#wsgc-public-address) 3. डिवाइस सहसंबंध, वकील के लेटरहेड पर यहाँ पुनरुत्पादित पत्राचार में, Valve के वकील ने एक डिवाइस-स्तर का सहसंबंध बताया जो एक डिवाइस को कई खातों से जोड़ता है — एक ऐसी क्षमता जिसे Steam सपोर्ट ने पहले उपयोगकर्ताओं को तकनीकी रूप से असंभव बताया था। खुलकर सवाल यह है कि Valve किन डिवाइस-स्तर के रिकॉर्ड्स को रखता है और किस आधार पर खाताधारकों को उन तक पहुँच से वंचित किया जाता है। [स्मारक-पत्र पढ़ें →](https://phishdestroy.io/steam_dossier/hi/#official-memorandum) 4. दो पहुँच प्रतिक्रियाएँ। एक ने डेटा को छिपाया, एक ने इसे लीक कर दिया। **अक्टूबर2025:** Valve के वकील ने अनुच्छेद 15 के तहत एक अनुरोध का उत्तर एक 830-पेज के परिशिष्ट के साथ दिया, जिसमें हटाने के बजाय पाठ पर लाल रंग से छिपाव किया गया है — **902,270 पात्र** एक मानक एक्सट्रैक्शन टूल के साथ वापस आएं, जिसमें वे तृतीय-पक्ष पहचानकर्ता भी शामिल हैं जिन्हें बार छिपाने के लिए वहां रखे गए थे। अनुच्छेद 15(4) ही वह कारण है कि वे बार मौजूद हैं। **सितंबर2026:** टिकट HT-2YBP-F7JP-D4VB को तीन दिनों के बाद स्वयं-सेवा खाता डेटा पृष्ठ के लिंक के साथ बंद कर दिया गया — कोई डेटा नहीं, कोई कानूनी आधार नहीं बताया गया। अनुच्छेद 12(3) के तहत एक महीने की अवधि प्रकाशन तक समाप्त नहीं हुई थी; आपत्ति विषय-वस्तु से है। [संपादन जाँच पढ़ें →](https://phishdestroy.io/steam_dossier/hi/#academic-response)[टिकट रिकॉर्ड पढ़ें →](https://phishdestroy.io/steam_dossier/hi/#gdpr-live-case) 5. Steam की सीमा से ऊपर का बाजार Steam बाज़ार सूची को लगभग पर सीमित करता है **$1,800**. एक पुरानी तस्वीर में पाँच बाज़ारों में (**23 सितंबर2026**), **248 CS2 वस्तु श्रेणियाँ** उनमें से दो या दो से अधिक द्वारा स्वतंत्र रूप से उस सीमा से ऊपर मूल्य निर्धारित किए जाते हैं, और **सभी 248, Steam से अनुपस्थित हैं।**; एक फैक्ट्री न्यू ड्रैगन लॉर शुरू होता है **$10,941** 389 62 पर सूचीबद्ध सभी पांचों में कुल प्रतियां हैं ( के 9 सितंबर के स्नैपशॉट से सेक्शन में केवल का आंकड़ा $ है)। उन कीमतों पर बेचने के लिए बाहरी मंच की आवश्यकता होती है, जबकि वस्तु हस्तांतरण अभी भी के माध्यम से होता है।10,623.95 20 13, CSFloat Steam [कीमत और ट्रांसफर का पालन करें →](https://phishdestroy.io/steam_dossier/hi/#market-gap-section) 6. नियम स्पष्ट है; ऑडिट ट्रेल स्पष्ट नहीं है। सब्सक्राइबर समझौता व्यक्तिगत, गैर-व्यावसायिक उपयोग के लिए Steam को आरक्षित करता है, स्पष्ट रूप से अनुमत होने के अलावा व्यावसायिक शोषण को प्रतिबंधित करता है, स्क्रिप्ट और बॉट्स को निषेध करता है, और खाते को समाप्त करने की अनुमति देता है।Valve ने उस भाषा को जुआ संचालकों पर 2016. में लागू किया। अलग से, CSFloat के इंजीनियरिंग खाते के अनुसार, Valve बंद हो गया। `IEconItems_730/GetPlayerItems` 2017, में मूल आइटम आईडी तक सार्वजनिक पहुँच हटाना (Valve चेंजलाग नहीं मिला)। [नियम को नेटवर्क के बगल में रखें →](https://phishdestroy.io/steam_dossier/hi/#enforcement-standard) [2016 लिखित मांग **10 दिन** Valve में वकील द्वारा 2016 के तहत जुआ साइटों को दिए गए नोटिसों की समय सीमा। WSGC को खुली चिट्ठी: धारा 2.](https://phishdestroy.io/steam_dossier/hi/#wsgc-public-address) [2017 / सार्वजनिक लेखा-परीक्षा पथ **आईडी एक्सेस बंद** CSFloat मूल आइटम आईडी के नुकसान को दर्ज करता है।](https://phishdestroy.io/steam_dossier/hi/#evidence-blackout) [परामर्श पत्राचार **डिवाइस सहसंबंध** एक डिवाइस दर्जनों चोरी हुए खातों से जुड़ा हुआ।](https://phishdestroy.io/steam_dossier/hi/#official-memorandum) [मार्ग रजिस्टर **ब्लॉक हो गया, और अभी भी लॉग इन कर रहा है** **नियम:** Valve की 2016 घोषणा Steam OpenID पर जुआ व्यवसाय चलाने पर प्रतिबंध लगाती है। **रिकॉर्ड:** 26 मुख्य डोमेन लिंक फ़िल्टर पर होते हैं, जबकि प्रत्येक के Steam लॉगिन को वह होस्ट चलाता है — csgogem.com का होस्ट 12 वर्षों से चल रहा है 6 महीनों से।](https://phishdestroy.io/steam_dossier/hi/#proxy-bypass-explainer) अनुभाग 2 — खुली चिट्ठी ## वाशिंगटन राज्य जुआ आयोग को खुला पत्र दस दिन दस साल हो गए। आयोग का '2016' प्रश्न Valve को ऑपरेटर-दर-ऑपरेटर रिकॉर्ड के साथ उत्तर नहीं दिया गया है; यह पत्र उसे फाइल फिर से खोलने का अनुरोध करता है। सार्वजनिक संबोधन · वाशिंगटन राज्य जुआ आयोग ### दस दिन दस साल हो गए। *रिकॉर्ड को फिर से खोलें।* वाशिंगटन राज्य जुआ आयोग को: 2016, के निदेशक डेविड ट्रुहियो ने Valve से पूछा कि उसने जुआ के लिए Steam स्किन्स के उपयोग को रोकने के लिए क्या किया है। तत्कालीन अध्यक्ष क्रिस स्टर्न्स और आयोग ने Valveद्वारा जारी वस्तुओं और Steam ट्रांसफर पर आधारित एक उद्योग का सामना किया। दोनों ने तब से आयोग में अपनी भूमिकाएँ छोड़ दी हैं। Valve को जो प्रश्न उन्होंने पूछा था, उसकी समय सीमा समाप्त नहीं हुई है। Valve के मुख्य विधिक सलाहकार, कार्ल क्वैकेनबुश ने जुआ संचालकों को Steam खातों के व्यावसायिक उपयोग को बंद करने के लिए दस दिन का समय दिया। अक्टूबर में आपकी आयोग को दिए गए अपने जवाब में, Valve ने जुआ संचालित करने में सहायता करने से इनकार किया, कहा कि उसने चालीस से अधिक साइटों को रोक-और-निषेध पत्र भेजे हैं और संबंधित खाते अक्षम कर दिए हैं। इसने Steam ट्रेडिंग और OpenID को संरक्षित रखने का भी बचाव किया क्योंकि ये सेवाएँ ग्राहकों और गेम डेवलपर्स को लाभान्वित करती थीं। **यह नियंत्रण की पुष्टि थी। यह परीक्षण का पात्र है, सम्मान का नहीं।** हमारी समीक्षा में, Valve के उत्तर ने यह नहीं दिखाया कि इसके द्वारा अपनाई गई प्रवर्तन कार्रवाई उस नेटवर्क के पैमाने से मेल खाती है जिसका उसने वर्णन किया था। एक ऑपरेटर को भेजा गया धमकी भरा पत्र उस स्थायी प्रतिबंध के समान नहीं है जो Steam के खातों, व्यापार अवसंरचना और प्रमाणीकरण मार्गों पर लगाया जाता है और जो व्यवसाय को चलाता है। रिपोर्ट किए गए अनुमान बताते हैं [2016 के दौरान CS:GO लाउंज ने $1 बिलियन से अधिक की सट्टेबाजी हैंडल हासिल की।](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896)Valve; यह सट्टेबाजी का एक बाहरी अनुमान है, न कि ई-गेमिंग राजस्व का, और साइट का मूल स्किन-बेटिंग संचालन बाद में बंद कर दिया गया। इस पैमाने ने सत्यापनीय प्रवर्तन को अनिवार्य बना दिया। आज, Valve का अपना [सदस्यता अनुबंध](https://store.steampowered.com/agreement/?l=english) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) वाणिज्यिक शोषण को प्रतिबंधित करता है, सिवाय जहाँ स्पष्ट रूप से अनुमति दी गई हो, और विशिष्ट प्रकार की स्वचालन को अलग से निषिद्ध करता है। हमारा [तिथिकृत मार्ग रजिस्टर](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) रिकॉर्ड्स OpenID द्वारा बाहरी सेवाओं के लिए लौटाए गए होस्ट्स को घोषित करते हैं। `openid.realm` और `openid.return_to` ये फ़ील्ड्स Steam को भेजी जाती हैं, न कि उससे छिपाए गए रहस्य। हमारे [लिंक फ़िल्टर जाँचें](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) ऐसे मामलों को दिखाता है जहाँ मुख्य पते के खिलाफ चेतावनी दी गई थी लेकिन उससे जुड़े लॉगिन होस्ट के खिलाफ नहीं। केवल फ़िल्टर परिणाम यह साबित नहीं कर सकता कि Valve ने लॉगिन की अनुमति दी या कोई विशेष बॉट खाता प्रतिबंध से बच निकला। **यह साबित करता है कि एक होमपेज चेतावनी को पहुँच के बारे में एक पूर्ण उत्तर के रूप में प्रस्तुत नहीं किया जा सकता।** उपयोगी, वैध Steam ट्रेडिंग और OpenID कार्यों की मौजूदगी भी यह नहीं बता सकती कि प्रतिबंधित ऑपरेटरों को वास्तव में बाहर रखा गया था या नहीं। Valve के अपने नियम स्पष्ट अपवादों की अनुमति देते हैं। यदि Valve उस भेदभाव पर निर्भर करता है, तो आयोग को उससे वाणिज्यिक स्किन व्यवसायों पर लागू प्राधिकरण, खाता नियंत्रण और प्रवर्तन मानदंडों की पहचान करने तथा 2016. में जिन विशिष्ट गैर-जुआ उपयोगों का उसने हवाला दिया, उन्हें बताने के लिए कहना चाहिए। कानूनी उपयोग की मात्र संभावना दस्तावेजीकृत निषिद्ध उपयोग का उत्तर नहीं है। हम आयोग से अनुरोध करते हैं कि वह अपनी 2016 फ़ाइल की पुनः समीक्षा करे और ऑपरेटर-दर-ऑपरेटर विवरण प्रदान करे: किन Steam खातों और ट्रेडिंग बॉट्स को दस-दिवसीय नोटिस के बाद अक्षम किया गया; क्या संबंधित खाते या रिटर्न होस्ट्स की निगरानी की गई; किन ऑपरेटरों ने बाद में फिर से पहुँच प्राप्त की; कौन-सी छूटें दी गईं; और कौन से रिकॉर्ड Valve के आयोग के समक्ष दिए गए बयान का समर्थन करते हैं। जिस कानून के तहत जनता को निरीक्षण की अनुमति है, उसे प्रकाशित करें। उन अभिलेखों की तुलना वर्तमान मार्गों और Valve के बाद के हस्तक्षेपों से करें, जिनमें शामिल हैं [ओपीस्किन्स इन 2018](https://blog.counter-strike.net/expresstrade/) [संग्रहीत 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/). **सूचना ने जुलाई 2016 में दस-दिन की समयसीमा निर्धारित की; यह निर्धारित करने के लिए दस साल पर्याप्त लंबा समय है कि क्या इसे अंजाम दिया गया था।** आयोग को Valve के 2016 खाते का परीक्षण उस अवसंरचना के आधार पर करना चाहिए जो आज भी दिखाई देती है। Steamडॉसियर जांच · सार्वजनिक बयान, 20 सितंबर 2026 [2016 आयोग सूचना ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [संग्रहीत 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Valve का 2016 का उत्तर (दस्तावेज़ की प्रति) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Valve का 2016 ओपनआईडी स्टेटमेंट ↗](https://store.steampowered.com/oldnews/22883) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [वर्तमान Steam समझौता ↗](https://store.steampowered.com/agreement/?l=english) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · 2016 विनिमय की समयरेखा: [अनुभाग 11 →](https://phishdestroy.io/steam_dossier/hi/#case-study-section) भाग A — तकनीकी अभिलेख · अनुभाग 3 ## साइट अवरुद्ध है। लॉगिन मार्ग नहीं। **26 अवरुद्ध मुख्य डोमेन। प्रत्येक के पीछे की प्रमाणीकरण प्रॉक्सी, और यह कितनी देर से सक्रिय है।** ये अलग-अलग प्रमाणीकरण होस्ट आकस्मिक द्वितीय पते नहीं हैं — प्रत्येक एक है **Steam के लिए प्रमाणीकरण प्रॉक्सी**, प्लेटफ़ॉर्म और Valve के OpenID एंडपॉइंट के बीच खड़ा है और लॉगिन को वह डोमेन अब खुले तौर पर नहीं ले जा सकता जो ब्लॉक हो चुका है।Valve ने लिंक फ़िल्टर पर फ्रंट डोर लगाया। साइन-इन प्रॉक्सी के माध्यम से चलते रहे: csgogem.com ब्लॉक है, और `api.csgem.com` मार्च से पंजीकृत है2014 — **बारह साल और आधा**उन दिनों में से प्रत्येक दिन होस्ट ने अपना होस्टनेम Valve के OpenID एंडपॉइंट पर भेजा, और Steam ने उसे सीधे लॉगिन पेज पर उपयोगकर्ता को दिखा दिया। **Valve यह उस मुख्य मार्ग को दर्शाता है जिससे ये सभी मार्ग गुजरते हैं; इसे उन्हें खोजने की आवश्यकता नहीं है।** यह अनुभाग यही मापता है: यह नहीं कि कोई चेतावनी मौजूद है या नहीं, बल्कि यह कि चेतावनी के पीछे का मार्ग कितने वर्षों तक खुला रहता है। 44 अलग-अलग डोमेन वाले मार्गों को रजिस्टर में, 27 में से प्रत्येक के लिए प्रकाशित प्रति-मार्ग साक्ष्य फ़ाइल के साथ — नीचे दी गई तालिका। एक उदाहरण का पालन करें, फिर सभी का मापन करें। ### चित्र 3.1 — दो मार्ग, खींचे गए। एक प्लेटफ़ॉर्म, एक खिलाड़ी, दो अनुरोध एक ही ब्राउज़र से निकल रहे हैं। Valve का लिंक फ़िल्टर दोनों पर लागू होता है। यह उस अनुरोध को रोकता है जिसमें लिंक होता है और उस अनुरोध को पारित करता है जिसमें लॉगिन होता है। इस अनुभाग में मापा गया सब कुछ इस बात की गिनती है कि निचला मार्ग कितनी देर तक खुला रहता है। आरेख को पार्श्व की ओर स्वाइप करें → Steam में लिंक पोस्ट किया गया — बंद लॉगिन अनुरोध — सफल 19 और 21 के सुरक्षित चेक, सितंबर 2026 **दोनों अनुरोध Valve को दिखाई देते हैं, और केवल एक पर कार्रवाई की जाती है।** लिंक फ़िल्टर एक Valve सूची है, जिसे एक Valve सेवा द्वारा जांचा जाता है। OpenID अनुरोध auth होस्ट के अपने नाम को Valve के एंडपॉइंट पर भेजता है, जो इसे सीधे लॉगिन पेज पर वापस प्रिंट कर देता है। होस्टनेम अनुरोध में वैसे भी होता है — जो अंतर है वह यह है कि इसके साथ कुछ किया जाता है या नहीं। **एक मंच। दो अलग-अलग मार्ग।** रोलबिट / सहेजी गई अवलोकन **01** लिंक फ़िल्टर जाँच गंतव्य**rollbit.com** प्लेटफ़ॉर्म का मुख्य डोमेन स्टीम लिंक फ़िल्टर**लिंक की जाँच करें** एक अलग गंतव्य-चेतावनी प्रणाली सहेजा गया परिणाम**लिंक अवरुद्ध** 19 & 21 सितंबर 2026 **02** निरीक्षित साइन-इन मार्ग मंच पर**Steam के साथ साइन इन करें** प्लेटफ़ॉर्म एक OpenID अनुरोध शुरू करता है। अलगा प्रमाणक होस्ट**rbsnin.com** सहेजे गए चेक में कोई लिंक फ़िल्टर ब्लॉक नहीं है। स्ट्रीम**लॉगिन फ़ॉर्म दिखाया गया** अनुरोधित होस्ट Steam की सूचना में दिखाई देता है। **गंतव्य से शुरू करें।** rollbit.com यह प्लेटफ़ॉर्म का मुख्य डोमेन है। यह पहली लेन सहेजे गए लिंक फ़िल्टर की जाँच दिखाती है, न कि एक पूर्ण उपयोगकर्ता यात्रा। **एक दृश्यमान ब्लॉक।** Steam के लिंक फ़िल्टर ने मुख्य डोमेन के लिए "Link Blocked!" लौटाया। कच्चा प्रतिक्रिया सहेजी गई है। **प्रमाणीकरण एक अन्य मार्ग का उपयोग करता है।** प्लेटफ़ॉर्म का "Steam के साथ साइन इन करें" क्रिया एक अलग प्रामाणिकता होस्ट का उपयोग करके OpenID अनुरोध आरंभ करता है। **एक अलग होस्टनाम।** rbsnin.com 21 सितंबर 2026 — उसी दिन, उसी अनप्रमाणित जांच में, जिस दिन rollbit.com ने एक लिंक फ़िल्टर ब्लॉक लौटाया था। तीन दिन पहले, 18 सितंबर 2026. को पंजीकृत। **अनुरोध Steam तक पहुँचता है।** निरीक्षित मार्ग 'Steam' के लॉगिन फॉर्म तक पहुँचा। लेखकों ने लॉगिन पूरा नहीं किया। मुख्य डोमेन लिंक को ब्लॉक करने से इस निरीक्षित मार्ग को फॉर्म तक पहुँचने से नहीं रोका गया। मूल कैप्चर नोट्स, पंजीकरण तिथि और प्रोटोकॉल विवरण की जांच करें। Valve का प्रवर्तन कैसा दिखता है मुख्य डोमेन: अवरुद्ध उपयोगकर्ता → rollbit.com (मुख्य डोमेन) ↓ स्टीम लिंक फ़िल्टर — अवरुद्ध "लिंक अवरुद्ध!" — संभावित रूप से दुर्भावनापूर्ण के रूप में चिह्नित rollbit.com 2026-09-19 और 2026-09-21 पर लिंक फ़िल्टर ब्लॉक लौटाया गया (अप्रमाणीकृत जाँच; कच्चा HTML और SHA-256 सुरक्षित)। एक दृश्यमान, लेखा-परीक्षण योग्य रिकॉर्ड। वास्तव में क्या होता है — प्रमाणीकरण ऑथ होस्ट: अवरुद्ध नहीं उपयोगकर्ता → rollbit.com Steam के साथ साइन इन करें ↓ अलग ऑथ होस्ट के माध्यम से पुनर्निर्देशित करें: `rbsnin.com` लिंक फ़िल्टर: स्वच्छ पंजीकृत 2026-09-18T09:34:52Z (वेरिसाइन RDAP) ↓ Steam लॉगिन पृष्ठ सूचना (2026-09-20): `"Note that rbsnin.com is not affiliated with Steam or Valve"` Steam openid.realm ने अनुरोध प्राप्त होने पर यह सूचना प्रस्तुत की। ↓ Steam अलग होस्ट के लिए लॉगिन फॉर्म लेखकों द्वारा लॉगिन पूरा नहीं किया गया; प्रवाह 'Steam' फॉर्म तक देखा गया। Valve प्रत्येक ऐसे अनुरोध पर return_to / realm होस्टनेम प्राप्त करता है। rbsnin.com ने 2026-09-21. पर कोई Link Filter ब्लॉक नहीं लौटाया। अनुरोध के अनुसार OpenID प्रदाता के रूप में, Steam को प्रत्येक प्रमाणीकरण अनुरोध के साथ auth होस्टनेम प्राप्त होता है: यह Valve के अपने सर्वरों पर पहुँचता है। `openid.return_to` और `openid.realm` पैरामीटर। साइट द्वारा भेजा गया स्कैनिंग द्वारा auth होस्ट का पता नहीं चलता — प्लेटफ़ॉर्म प्रत्येक अनुरोध में इसे Steam पर भेजता है। OpenID 2.0 §9.1 के तहत। `return_to` यह औपचारिक रूप से वैकल्पिक है, लेकिन इसके बिना Steam लॉगिन परिणाम प्रदान नहीं कर सकता, इसलिए एक कामकाजी Steam लॉगिन के लिए यह प्रभावी रूप से आवश्यक है। Steam यहां तक कि उपयोगकर्ता को होस्टनेम भी दिखाता है ("* का Steam या Valve से कोई संबंध नहीं है।*"). 14 आपका वर्ष यह 2026-09-21 जांच (dota2.net, पंजीकृत 2011-10-29) पर अभी भी Steam लॉगिन्स ले जाने वाले सबसे पुराने auth होस्ट की आयु है; सबसे नया तीन दिन पुराना है (rbsnin.com)। **"0 auth hosts blocked" आंकड़े को निष्कर्ष के रूप में न पढ़ें।** एक ब्लॉक किया गया auth होस्ट प्लेटफ़ॉर्म की "Steam से साइन इन करें" सुविधा को पूरी तरह से बाधित कर देगा, इसलिए कार्यशील लॉगिन से बनी रजिस्ट्री में केवल वे होस्ट शामिल हो सकते हैं जिन्हें कभी ब्लॉक नहीं किया गया। मायने रखने वाला आंकड़ा ब्लॉक की संख्या नहीं है — बल्कि यह है कि मुख्य डोमेन लिंक फ़िल्टर में कितने वर्षों तक रहा, जबकि उसके बगल वाला लॉगिन चलते रहे। अलग-डोमेन प्रमाणन होस्ट: पंजीकरण तिथि बनाम मुख्य डोमेन (30 मार्ग: 2026-09-21 ब्राउज़र ऑडिट में हल किए गए 25, साथ ही 2026-09-22 पर जोड़ा गया 5) | मंच | लिंक फ़िल्टर: मुख्य | ऑथ होस्ट | लिंक फ़िल्टर: auth होस्ट | ऑथ होस्ट पंजीकृत | निरीक्षण का स्रोत | साक्ष्य फ़ाइल | | --- | --- | --- | --- | --- | --- | --- | | Rollbit rollbit.com · reg. 2014-11-08 | BLOCKED 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (no Wayback snapshot) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam login-page notice, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) | | Skin.Club skin.club · reg. 2017-09-04 | BLOCKED 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam login-page notice | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) | | Howl.GG howl.gg · reg. 2017-03-16 | BLOCKED 2026-09-18, 09-19, 09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Live browser capture + supplied OpenID URL | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) | | Duelbits duelbits.com · reg. 2020-02-03 | BLOCKED 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | Supplied OpenID URL | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) | | CSGOFast csgofast.com · reg. 2015-03-27 | BLOCKED 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | CLEAN authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Live browser capture + supplied OpenID URL | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) | | Farmskins farmskins.com · reg. 2016-03-23 | BLOCKED 2026-09-19, 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | CLEAN 2026-09-19, 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Live browser capture + supplied OpenID URL | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) | | CobaltLab cobaltlab.tech | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | Supplied OpenID URL | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) | | CSGO.NET csgo.net · reg. 2012-07-22 | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Live browser capture | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) | | GGDrop ggdrop.com | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | Supplied OpenID URL | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) | | RustChance rustchance.com | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | Supplied OpenID URL | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) | | Skin.Fans skin.fans | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | Supplied OpenID URL | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) | | Skinport skinport.com · reg. 2018-09-05 | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Live browser capture + supplied OpenID URL | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) | | Skins.Cash skins.cash | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | Supplied OpenID URL | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) | | TF2Hunt tf2hunt.com · reg. 2018-01-13 | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Live browser capture + supplied OpenID URL | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) | | CSGOGem csgogem.com · reg. 2016-10-16 | BLOCKED 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — separate registrable domain | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP — oldest in register | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | Gamdom gamdom.com · reg. 2016-07-29 | BLOCKED 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — one letter off the brand | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | 12CS 12cs.fail · reg. 2026-03-24 | BLOCKED 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | CSGOEmpire csgoempire.com · reg. 2015-06-10 | CLEAN 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` one of ten numbered domains login1–10 | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Live browser capture | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) | | CS.MONEY cs.money | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam login-page notice | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) | | CSFloat csfloat.com · reg. 2021-07-11 | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` operator's former brand domain; separate registrable domain, not an evasion indicator | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Live browser capture | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) | | G4Skins g4skins.com | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | Supplied OpenID URL | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) | | Juice.GG juice.gg | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | Supplied OpenID URL | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) | | Market.CSGO market.csgo.com | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Live browser capture + supplied OpenID URL | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) | | Rust.TM rust.tm | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Supplied OpenID URL | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) | | CSGOLounge csgolounge.com · reg. 2013-08-14 | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` third front-end on this auth host | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | Dota2Lounge dota2lounge.com · reg. 2012-08-10 | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` fourth front-end on this auth host | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | SkinBaron skinbaron.de | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` same brand, different TLD | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | Supplied OpenID URL | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) | | TF2Royal tf2royal.com · reg. 2022-08-17 | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Live browser capture + supplied OpenID URL | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) | | Tradeit tradeit.gg | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | Supplied OpenID URL | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) | | Upgrader upgrader.pro | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | Supplied OpenID URL | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) | स्रोत: steamcommunity.com/linkfilter, अनधिकृत GET, 2026-09-21, 53 होस्ट्स, 3 s रिक्ति; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); में कच्चा एचटीएमएल `steam_tos_assets/linkfilter-raw/`. पंजीकरण तिथियाँ: RDAP, [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · पहले 2026-09-19 में जाँच [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · मार्ग रिकॉर्ड दर्ज करें [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · लिंक फ़िल्टर पृष्ठों के Wayback Machine, 2026-09-21, में सूचीबद्ध [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) rbsnin.com के लिए कोई स्नैपशॉट मौजूद नहीं है; स्थानीय रॉ फ़ाइल ही एकमात्र रिकॉर्ड है। पंजीकरण तिथियाँ: RDAP (`steam_tos_assets/domain-registry/`). "Supplied OpenID URL" अनुरोध पैरामीटर स्थापित करता है, पूरा लॉगिन नहीं। लेखकों ने किसी भी प्लेटफ़ॉर्म पर कोई लॉगिन पूरा नहीं किया। एक अलग डोमेन अपने आप में छलावा का प्रमाण नहीं है। न ही "0 auth hosts blocked" कोई स्वतंत्र निष्कर्ष है: एक को ब्लॉक करने से उस प्लेटफ़ॉर्म का Steam लॉगिन टूट जाएगा, इसलिए काम कर रहे लॉगिन से बनी रजिस्ट्री में कोई ब्लॉक किया गया auth होस्ट नहीं हो सकता। महत्वपूर्ण अवलोकन जोड़ी और इसकी अवधि है — लिंक फ़िल्टर पर एक मुख्य डोमेन, एक लॉगिन डोमेन के बगल में जो वर्षों से चल रहा है। इस तालिका में 30 पंक्तियाँ हैं: 27 मार्गों में से 25, प्रत्येक मार्ग के लिए एक साक्ष्य फ़ाइल के साथ, और 2026-09-22 पर पाँच अतिरिक्त, जिनका लिंक फ़िल्टर विभाजन में कैप्चर किया गया है। [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) हालाँकि यह रियायम स्वयं हाथ से एकत्रित किया गया था — उनकी पंक्तियाँ स्रोत कॉलम में ऐसा बताती हैं। दो एविडेंस-फ़ाइल राउट्स जो दिखाए नहीं गए हैं, वे हैं skinsnipe.com (auth host `pricing.tradeupspy.com`, पंजीकृत 2020-03-11) और csgobig.com (अधिकृत होस्ट) `letmeinbig.com`, पंजीकृत 2023-01-20); दोनों ने 2026-09-22, की जाँच में SHA-256 के साथ रिकॉर्ड किए गए main / CLEAN auth host को BLOCKED लौटाया। [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), लेकिन उस बैच का कच्चा HTML प्रकाशित सेट में नहीं है, इसलिए उन्हें यहाँ नामित किया गया है, बजाय उन्हें एक ऐसी पंक्ति दिए जाने के जिसे इस तालिका की हर दूसरी पंक्ति प्रमाणित कर सकती है। रजिस्टर में शेष 12 द्वारा हाथ से एकत्रित मार्गों को इस प्रकार पहचाना गया है। [मास्टर_रजिस्ट्री.जेएसओएन](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) के अधीन `realm_src: user`. प्राथमिक अनुभवजन्य ऑडिट · बहु-वर्षीय तिथि सीमा ### बड़ी तस्वीर का जाल: लिंक फ़िल्टर अनुपालन दिखावा है, सुरक्षा कवच नहीं। डेस्कटॉप ब्राउज़रों पर, उपयोगकर्ता बाहरी सुरक्षा उपायों से संरक्षित होते हैं: Google Safe Browsing और Microsoft SmartScreen ज्ञात फ़िशिंग को पूर्ण-स्क्रीन लाल चेतावनियों के साथ रोकते हैं। **Steam के बिग पिक्चर मोड, इन-गेम ओवरले (Shift+Tab) और Steam डेक (SteamOS) में वे सुरक्षा उपाय मौजूद नहीं हैं।** एम्बेडेड ब्राउज़र शून्य एक्सटेंशन का समर्थन करता है, बाहरी सेफ़ ब्राउज़िंग इंजनों को अक्षम कर देता है, और उपयोगकर्ता के पास बचाता है केवल एक रक्षात्मक अवरोध: Valve का `linkfilter` अंतरकोशीय सभी चार परिणामों की तुलना करने के लिए स्वाइप करें → 92.5% 2025–2026 आधुनिक एज फ़िशिंग **बिना संशोधन के पारित** (37/40) 77.5% 2023–2024 सीएस2 युग की फ़िशिंग **बिना संशोधन के पारित** (31/40) 70.0% 2021–2022 विरासत फ़िशिंग **बिना संशोधन के पारित** (28/40) 7 / 7 जुआ मुख्यधारा अवरुद्ध (सकारात्मक नियंत्रण) बहु-वर्षीय दीर्घकालिक ऑडिट: 120 शुद्ध Steam फिशिंग डोमेन लाइव परीक्षण (24, 2026) यह परीक्षण करने के लिए कि क्या Valve का फ़िल्टर नए खतरों को शामिल करने में केवल धीमा है या उन पर मूल रूप से अंधा है, हमने ऑडिट किया **120 Steam-विशिष्ट फ़िशिंग डोमेन की पुष्टि** तीन ऐतिहासिक समूहों के विरुद्ध `steamcommunity.com/linkfilter`: - **कोहोर्ट 1:2021–2022 (क्लासिक ट्रेड-ऑफ़र और आइटम ड्रॉप्स) — 70.0% क्लीन पास (28/40).** कम्युनिटी वॉचडॉग्स द्वारा सूचीबद्ध किए जाने के 5 वर्षों बाद भी, 4 से तक, 10 की विरासत फिशिंग होस्ट्स में से 7 अभी भी बिना किसी ब्लॉक के खुले हैं। - **कोहोर्ट 2:2023–2024 (CS2 बीटा हाइप और फेक सपोर्ट अपील) — 77.5% क्लीन पास (31/40).** कॉउंटर-स्ट्राइक 2 की रिलीज़ का भेष धारण करने वाले अभियान और नकली सामुदायिक अपीलें (e.g `cs2-steam.com`, `appealsteamcommunity.help`) सीधे पार हो जाइए। - **कोहोर्ट 3:2025–2026 (सर्वरलेस एज डिप्लॉयज़ और फेविकॉन क्लोन्स) — 92.5% क्लीन पास (37/40).** एजवन, वर्सेल, और Cloudflare पेजेज़ (e.g) पर तैनात आधुनिक फ़िशिंग किट्स। `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) लगभग बिना किसी बाधा के गुजरें। **टेलीमेट्री और देयता सुरक्षा कवच, सुरक्षा नहीं।** यदि लिंक फ़िल्टर शुद्ध Steam फ़िशिंग के लिए 70% को 92.5% पर भेजता है तो यह लिंक फ़िल्टर मौजूद क्यों है? यह एक कॉर्पोरेट देयता अस्वीकरण और एक आउटबाउंड क्लिक टेलीमेट्री सेंसर के रूप में कार्य करता है। एक विनम्र *तुम Steam छोड़ रहे हो।* एक क्लिक करने योग्य हरे 'प्रोसीड' बटन के साथ नोटिस, Valve कानूनी दोष पीड़ित पर डालता है Steam सब्सक्राइबर एग्रीमेंट के तहत (*"उपयोगकर्ता ने स्वेच्छा से Steam के बाहर नेविगेट किया"*). Valve क्लिक की टेलीमेट्री एकत्र करता है, लेकिन चोरी को नहीं रोकता। **फ़ैविकॉन हैश प्रूफ़: थ्रेट फ़ीड्स का शून्य अवशोषण।** स्वतंत्र थ्रेट इंटेलिजेंस प्लेटफ़ॉर्म (urlscan.io, Shodan, Censys) Steam के आधिकारिक फ़ैविकॉन हैश के लिए एक सरल खोज का उपयोग करके लाइव Steam फ़िशिंग किट की पहचान करते हैं।`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). यह बुनियादी स्वचालित जाँच कुछ ही सेकंड में सक्रिय फ़िशिंग क्लस्टरों का पता लगाती है।Valve बाहरी फ़ीड्स के साथ सिंक नहीं करता, हैश-आधारित खतरे का शिकार नहीं करता, और केवल तब मैन्युअल रूप से हस्तक्षेप करता है जब नियामकों द्वारा (2016, WSGC जुआ आदेश) बाध्य किया जाए या अपने ट्रेडमार्क किए गए डोमेन स्ट्रिंग्स की रक्षा के लिए। **प्राथमिक ऑडिट साक्ष्य कलाकृतियाँ:** दीर्घकालिक 120-डोमेन बहु-वर्षीय ऑडिट: [longitudinal-steam-phishing-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 समर्पित Steam फ़िशिंग नमूना: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · व्यापक फीड ऑडिट (n=250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json). CSGOEmpire — दस क्रमांकित प्रमाणीकरण डोमेनों का बैच पंजीकरण पर **2020-07-20** दस क्रमांकित डोमेन, `csgoempirelogin1.com` के माध्यम से `csgoempirelogin10.com`, पंजीकृत थे। Verisign RDAP टाइमस्टैम्प सभी दस के लिए फाइल में हैं: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **22 सेकंड में नौ डोमेन** — और login10 at 05:56:03Z, सात मिनट बाद। यह अंतर एक ही रजिस्ट्रार के थोक संचालन के अनुरूप है। यह पैटर्न पूर्व-प्रबंधित फॉलबैक होस्ट्स के अनुरूप है; केवल `login4` एक लाइव OpenID अनुरोध में यह देखा गया है। csgoempire.com और csgoempirelogin4.com दोनों ने 2026-09-21 पर लिंक फ़िल्टर में CLEAN लौटाया; CSGOEmpire जुलाई के 2016 नोटिसों की प्रेस रिपोर्टों में नामित साइटों में शामिल नहीं था। # DNS — all 10 active (September 2026) ठीक है csgoempirelogin1.com 172.67.129.43 ठीक है csgoempirelogin2.com 172.67.175.168 ठीक है csgoempirelogin3.com 188.114.96.3 ठीक है csgoempirelogin4.com 188.114.96.11 ← OpenID ट्रैफ़िक में ठीक है csgoempirelogin5.com 172.67.160.194 ठीक है सीएसगोएम्पायरलॉगिन6–10.com Cloudflare आईपीएस एनएक्सडीओएमेन: csgoempirelogin11.com सभी 10 ने 2020-07-20 पंजीकृत किए; सभी 10 ने RDAPको टाइमस्टैम्प किया (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json) नियामकों के लिए निष्कर्ष ### मुख्य डोमेन को ब्लॉक करने और auth होस्ट को अनब्लॉक करने से लॉगिन मार्ग खुला रहता है — और यह वर्षों तक खुला रहता है। मुख्य डोमेन पर लिंक फ़िल्टर ब्लॉक एक सत्यापनीय सार्वजनिक रिकॉर्ड है। auth होस्ट "Steam के साथ साइन इन करें" ट्रैफ़िक को संभालता है और Valve के अपने OpenID अनुरोध पैरामीटर में दिखाई देता है। 26 फ़िल्टर-स्प्लिट जोड़ों में 2026-09-21 और 2026-09-22, पर किए गए जांचों में मुख्य डोमेन ने एक लिंक फ़िल्टर ब्लॉक लौटाया, जबकि लॉगिन ले जाने वाले प्रॉक्सी ने कोई नहीं लौटाया। ऊपर दिया गया रजिस्टर उस दूसरे हिस्से को मापता है: ये होस्ट अल्पकालिक बर्नर डोमेन नहीं हैं। जाँच की तारीख तक कई डोमेन एक दशक से अधिक समय से पंजीकृत थे, और उन दिनों में से प्रत्येक दिन ऐसा दिन था जब Valve ने अपने अनुरोध पैरामीटर में होस्टनेम प्राप्त किया था। Valve ने किसी भी ऑपरेटर-वार प्रवर्तन रिकॉर्ड का प्रकाशन नहीं किया है, इसलिए सार्वजनिक डेटा से यह स्थापित नहीं किया जा सकता कि इन होस्टों पर कोई अन्य उपाय लागू किया गया था या नहीं। 12 वर्ष6ह csgogem.com लिंक फ़िल्टर में अवरुद्ध है। इसका लॉगिन होस्ट `api.csgem.com` होया है 2014-03-08 से पंजीकृत है और नहीं है। सरल भाषा सारांश — नियामकों और न्यायालयों के लिए (विस्तारित करें) सरल भाषा सारांश — नियामकों के लिए ### Steam पृष्ठभूमि: ईएलएसडीए क्या है और यह यहाँ क्यों महत्वपूर्ण है Steam यह एक सॉफ्टवेयर प्लेटफ़ॉर्म है जिसे Valve कॉर्पोरेशन (बेलव्यू, वाशिंगटन, यूएसए) द्वारा संचालित किया जाता है। Steam एक डिजिटल पहचान प्रदाता के रूप में कार्य करता है: इंटरनेट पर जुआ और गेमिंग वेबसाइटें "Sign in with Steam" नामक एक सिस्टम का उपयोग करती हैं — यह एक बटन है जो एक वेबसाइट को यह सत्यापित करने की अनुमति देता है कि किसी आगंतुक के पास एक वास्तविक Steam खाता है। यह "Sign in with Google" या किसी सरकारी पहचान पत्र की जाँच के समान है: वेबसाइट उपयोगकर्ता को Steam के सर्वर पर भेजती है, Steam पुष्टि करता है कि वे कौन हैं, और Steam उन्हें वापस वेबसाइट पर भेज देता है। **Valve प्रामाणिकरण प्रणाली संचालित करता है। "Steam के साथ साइन इन करें" के माध्यम से प्रत्येक लॉगिन Valve के अपने सर्वरों से होकर गुजरता है।** ### Valve ने क्या किया: डोमेन ब्लॉक जुलाई 2016, में, स्किन जुआ को लेकर मीडिया और कानूनी दबाव के बाद, Valve के वकील ने लगभग 23 नामक जुआ साइटों को नोटिस भेजे ( 21 जुलाई 2016 की प्रेस रिपोर्टों के अनुसार); अक्टूबर में 2016 Valve ने वाशिंगटन स्टेट गैंबलिंग कमीशन को बताया कि उसने चालीस से अधिक साइटों से संपर्क किया था। कुछ जुआ डोमेन दिखाई देते हैं **Steam लिंक फ़िल्टर** — एक सूची जो Steam के अंदर (चैट में, प्रोफ़ाइल पेज पर, स्टोर में) पोस्ट किए गए उनसे जुड़े किसी भी लिंक पर चेतावनी पेज दिखाती है: *लिंक अवरुद्ध!* लिंक फ़िल्टर एकमात्र प्रवर्तन उपाय है जिसका प्रभाव Valve के बाहर से देखा जा सकता है। **उदाहरण:** के लिए एक लिंक `rollbit.com` Steam के अंदर लिंक फ़िल्टर चेतावनी पृष्ठ उत्पन्न होता है (2026-09-19 और 2026-09-21 की जाँच की गई)। कागज़ पर, जुआ साइट अवरुद्ध है। ### प्रॉक्सी डोमेन क्या है A **अलग-डोमेन प्रमाणीकरण होस्ट एक प्रमाणीकरण प्रॉक्सी है।**एक दूसरा वेबसाइट पता, एक अलग पंजीकरण योग्य डोमेन पर, जिसे वही ऑपरेटर अपने उपयोगकर्ताओं और Steam के बीच रखता है, केवल "Steam के साथ साइन इन करें" चरण को पूरा करने के उद्देश्य से। यह लॉगिन का प्रॉक्सी करता है। उपयोगकर्ता को लगता है कि वे प्लेटफ़ॉर्म में साइन इन कर रहे हैं; Valve तक पहुँचने वाला अनुरोध प्रॉक्सी के होस्टनेम को ले जाता है, न कि प्लेटफ़ॉर्म के। आमतौर पर इसका जुआ साइट से कोई सार्वजनिक रूप से दिखाई देने वाला संबंध नहीं होता है, और यह वही पता है जो Steam उनकी पहचान की पुष्टि करने के बाद उपयोगकर्ताओं को वापस प्राप्त करता है। **उदाहरण:** Rollbit के तहत संचालित होता है `rollbit.com`, जिसे लिंक फ़िल्टर ब्लॉक करता है। Steam प्रमाणीकरण के लिए, 2026-09-20 पर देखा गया फ़्लो एक अलग पता उपयोग करता था: `rbsnin.com` , पंजीकृत 2026-09-18. यह पता लौटा **कोई लिंक फ़िल्टर ब्लॉक नहीं** 2026-09-21. पर जुआ साइट चालू रही, और इसका Steam लॉगिन फ्लो अनब्लॉक किए गए होस्ट के माध्यम से चला। ### महत्वपूर्ण बिंदु: प्रत्येक अनुरोध में ऑथ होस्ट को Steam पर भेजा जाता है। Valve इसे यह जानने के लिए स्कैन या क्रॉल करने की आवश्यकता नहीं है कि कौन से auth होस्ट्स उपयोग में हैं। Steam है। **ओपनआईडी पहचान प्रदाता** इन साइटों के लिए, और हर "Steam के साथ साइन इन करें" क्लिक Valve के अपने सर्वरों को एक GET अनुरोध भेजता है जिसमें auth होस्टनेम प्लेनटेक्स्ट में होता है। ओपनआईडी 2.0 §9.1 के तहत `return_to` यह फ़ील्ड औपचारिक रूप से वैकल्पिक है, लेकिन इसके बिना Steam लॉगिन परिणाम प्रदान नहीं कर सकता, इसलिए एक कामकाजी Steam लॉगिन के लिए यह प्रभावी रूप से आवश्यक है। Steam स्वयं लॉगिन पेज पर होस्टनेम प्रदर्शित करता है ("* का Steam या Valve से कोई संबंध नहीं है।*"). — Steam को प्राप्त होने वाले अनुरोध का स्वरूप (2026-09-20 पर Rollbit के लिए अवलोकित होस्ट के रूप में): — प्राप्त करें steamcommunity.com/openid/login &openid.mode= चेकआईडी_सेटअप और ओपनआईडी.रिटर्न_टू= https://rbsnin.com/… ← प्रभावी रूप से आवश्यक; Valve के लॉग में आता है &openid.realm= https://rbsnin.com ← साइट द्वारा स्व-घोषित; Steam के लॉगिन पेज पर प्रदर्शित यदि साइट सर्वर-टू-सर्वर सत्यापन (check_authentication) का उपयोग करती है, तो Valve का लॉग प्लेटफ़ॉर्म के सर्वर आईपी और होस्टिंग नेटवर्क को भी रिकॉर्ड करता है। इस अनुरोध से होस्टनेम निकालना एक मानक प्रक्रिया है। प्रवर्तन रिकॉर्ड — किन होस्ट्स पर कार्रवाई की गई, किन पर नहीं, और किन मानदंडों के तहत — केवल Valve की अवसंरचना में मौजूद है और प्रकाशित नहीं किया गया है। ### यह क्या साबित करता है **1. लिंक फ़िल्टर ब्लॉक लिंक पर काम करता है, लॉगिन पर नहीं।** मुख्य डोमेन को ब्लॉक करना (उदाहरण के लिए) `rollbit.com`) उन उपयोगकर्ताओं को एक चेतावनी दिखाता है जो Steam के अंदर लिंक पर क्लिक करते हैं। यह साइट को काम करने से, या किसी अलग पते के माध्यम से Valve की अपनी OpenID सेवा का उपयोग करने से नहीं रोकता है। **2. परीक्षण किए गए प्रामाणिक होस्ट ब्लॉक नहीं थे।** ऊपर दी गई तालिका में 2011 और सितंबर 2026, के बीच पंजीकृत अलग-अलग-डोमेन प्रमाणीकरण होस्ट दिखाए गए हैं, जिनमें से कई जुलाई 2016 नोटिस के कई साल बाद पंजीकृत हुए थे। 26 जोड़ों में, मुख्य डोमेन ने एक लिंक फ़िल्टर ब्लॉक लौटाया और उसके लॉगिन को ले जाने वाले प्रॉक्सी ने नहीं लौटाया (अप्रमाणीकृत जाँचें, 2026-09-21 और 2026-09-22; कच्चे उत्तर और SHA-256 सहेजे गए)। वह प्रॉक्सी उस दिन काम करना बंद कर देगी जिस दिन Valve उसे अस्वीकार कर देगा, और यही कारण है कि यहाँ माप यह है कि यह कितने समय तक चली है, न कि यह कि क्या इसे सूचीबद्ध किया गया है। Valve को इन होस्टनामों की जानकारी अपने OpenID अनुरोधों में मिलती है। सार्वजनिक डेटा से यह निर्धारित नहीं किया जा सकता कि लिंक फ़िल्टर के अलावा कोई अन्य उपाय लागू किया गया था या नहीं, क्योंकि Valve ने प्रति-ऑपरेटर प्रवर्तन का कोई रिकॉर्ड प्रकाशित नहीं किया है। **3. साइटों ने Valve के बुनियादी ढांचे के माध्यम से प्रमाणीकरण जारी रखा।** "Steam के साथ साइन इन करें" Valve की सेवा है; इसके माध्यम से हर प्रमाणीकरण एक अनुरोध है जिसे Valve प्राप्त करता है और संसाधित करता है। Valve केस कीज़ से भी राजस्व अर्जित करता है, और Steam कम्युनिटी मार्केट मार्केट के अंदर पूरा किए गए लेन-देन पर (बाहरी ट्रेड पर नहीं) लगभग 15% का संयुक्त शुल्क लेता है। लिंक फ़िल्टर एक्शन ने एक सार्वजनिक रिकॉर्ड बनाया; इसने प्रमाणीकरण संबंध में बाधा नहीं डाली। क्या ब्लॉक करना काम करता? तुलना से: जब निःशुल्क डोमेन रजिस्ट्रार Freenom ने 2023, में अपना संचालन बंद कर दिया, तो उसके डोमेन पर निर्भर फ़िशिंग अभियानों में व्यवधान आ गया। परिचालन निरंतरता अवसंरचना की स्थिरता पर निर्भर करती है। यहाँ भी वही तर्क लागू होता है। यदि Steam की OpenID प्रक्रिया में auth होस्ट को अस्वीकार कर दिया जाता है, तो प्लेटफ़ॉर्म का "Sign in with Steam" फ़ंक्शन तब तक टूट जाएगा जब तक एक नया होस्ट पंजीकृत नहीं हो जाता, प्रमाणपत्र जारी नहीं हो जाते और DNS प्रसारित नहीं हो जाता। उस अवधि के दौरान: डाउनटाइम। **घुमाव अवरोध को व्यर्थ नहीं बनाता।** यह ब्लॉकिंग को एक परिचालन लागत बना देता है। चूंकि नए होस्ट पहली बार उपयोग पर Valve के अपने अनुरोध लॉग्स में दिखाई देते हैं, इसलिए प्रतिक्रिया उस पहली बार उपयोग की गति पर चल सकती है। **बैच पंजीकरण स्वयं एक संकेत है:** CSGOEmpire के login1–login10 को 2020-07-20, पर पंजीकृत किया गया था, जिनमें से नौ 22 सेकंड के भीतर पंजीकृत हुए (Verisign RDAP)। प्रतिक्रिया को डोमेन-दर-डोमेन होने की आवश्यकता नहीं है; एक रजिस्ट्रार सत्र से प्राप्त क्रमिक श्रृंखला को एक श्रृंखला के रूप में पहचाना जा सकता है। सार्वजनिक रिकॉर्ड में auth होस्ट्स को ब्लॉक करने का कोई प्रयास नहीं दिखता जिसे रोटेशन द्वारा विफल किया गया हो। यह दिखाता है कि मुख्य डोमेन ब्लॉक हैं, जबकि प्रत्येक लॉगिन को वह प्रॉक्सी ले जा रहा था जो अभी भी चल रही है — 26 जोड़े 2026-09-22, के अनुसार, सबसे पुराना auth होस्ट पंजीकृत 12 वर्ष 6 महीने — और किसी भी ऑपरेटर के लिए कोई प्रकाशित प्रवर्तन रिकॉर्ड नहीं है। नियामक के लिए प्रश्न इसलिए यह है: क्या Valve ने अपनी OpenID अनुरोधों में प्राप्त auth होस्ट्स पर कोई प्रवर्तन लागू किया है, यदि किया है तो क्या? Valve ने क्या किया — और उसने ऑथ पथ को क्यों बाधित नहीं किया नीचे दी गई तालिका प्रत्येक सार्वजनिक रूप से प्रलेखित Valve कार्रवाई को यह दर्शाती है कि क्या उसने OpenID प्रमाणीकरण प्रवेश बिंदु को प्रभावित किया। निष्कर्ष यह नहीं है कि "Valve ने कुछ नहीं किया" — बल्कि यह है कि सार्वजनिक रूप से प्रलेखित किसी भी कार्रवाई ने उस बिंदु को नहीं छुआ जहाँ जुआ-प्लेटफ़ॉर्म लॉगिन Valve के सर्वरों से होकर गुजरते हैं। | दिनांक | Valve कार्रवाई | प्रभावित `openid.return_to` मार्ग? | | --- | --- | --- | | July 2016 | Public statement of 13 July 2016; counsel's notices to ~23 named sites (press, 21 July 2016); >40 sites contacted per Valve's October 2016 letter to WSGC | No. Notices and the Link Filter act on operators and links; the OpenID request path was not changed. | | 2017 | Closure of `IEconItems_730/GetPlayerItems` (according to CSFloat's engineering account; no Valve changelog located) | No. Affected public item-history visibility. OpenID authentication was not modified. | | 2018-03-29 | CS:GO 7-day trade lock announced (blog.counter-strike.net) | No. Slowed item movement; the OpenID request path was not changed. | | 2022-05-10 | Trade-cancellation endpoints removed from the public Web API (user-detected; no Valve changelog — node-steam-tradeoffer-manager #325) | No. Closed the offer-swap tooling; OpenID authentication was not modified. | | 2023-12-04 | API-key creation now requires mobile confirmation (steamcommunity.com/dev/apikey; no changelog) | No. Protected the key endpoint; the auth hosts documented here were not affected. | | 2026-09-19 / 09-21 | Steam Link Filter state as observed by the authors | No. 14 main domains returned a block in the saved 2026-09-21 recheck — 26 split pairs in the register by 2026-09-22 — while the proxy carrying each login kept running. | स्रोत: Valve, 13 की 7 जुलाई की प्रेस विज्ञप्ति, 2016[store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [संग्रहीत 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · CSFloat: 2017 बंद होने का इंजीनियरिंग खाता ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [संग्रहीत 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · लिंक फ़िल्टर स्थिति: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json). इस निष्कर्ष को एकमात्र प्रकाशित उदाहरण से खंडित किया जा सकता है, जिसमें Valve ने OpenID अनुरोध को इसलिए अस्वीकार कर दिया क्योंकि `openid.return_to` एक जुआ प्राधिकरण होस्ट की ओर इशारा किया गया। सार्वजनिक अभिलेख में ऐसा कोई उदाहरण नहीं मिला है। दो सबसे हालिया auth-host पंजीकरण **howl.uno** 2026-08-11 (RDAP) को 2026-09-21 से 41 दिन पहले पंजीकृत किया गया था; howl.gg ने 2026-09-18,, 2026-09-19 और 2026-09-21. पर लिंक फ़िल्टर ब्लॉक लौटाया। ब्लॉक का पंजीकरण से पहले होना स्थापित नहीं है। **rbsnin.com** 2026-09-18T09:34:52Z (Verisign RDAP) पंजीकृत था और इसे Steam के अपने लॉगिन-पेज नोटिस के माध्यम से 2026-09-20 पर Rollbit के Steam लॉगिन फ्लो में देखा गया; rollbit.com ने 2026-09-19 और 2026-09-21, पर लिंक फ़िल्टर ब्लॉक लौटाया, जबकि rbsnin.com ने नहीं लौटाया। ऊपर दी गई तालिका में प्रत्येक होस्ट को Valve के प्रमाणीकरण सर्वरों पर as के रूप में भेजा जाता है। `openid.realm` हर लॉगिन प्रयास पर। पूर्ण मार्ग-वार डेटा और लिंक फ़िल्टर निर्णय: उपरोक्त अनुभाग 3 में तालिका; कच्चे परिणाम [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) और [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json). पद्धति — मार्ग और लिंक फ़िल्टर की गिनती कैसे स्थापित की गई 1. डोमेन समाधान 2026-09-21 ऑडिट ने 189 द्वारा अनुरोधित प्लेटफ़ॉर्मों में से 78 को हल किया: **33 20 अपने स्वयं के होस्टनेम पर प्रमाणीकरण करें और अपने स्वयं के सबडोमेन पर ईमेल — प्रत्यक्ष प्रमाणीकरण, और इनमें से कोई भी अलग-डोमेन मार्ग के रूप में नहीं गिना जाता।** शेष **25 एक अलग पंजीकरण योग्य डोमेन के माध्यम से प्रमाणीकरण करें**24 विशिष्ट होस्टनामों पर (dota2.net साझा है market.csgo.com और rust.tm): 10 लाइव ब्राउज़र कैप्चर द्वारा स्थापित, 3 Steam के अपने लॉगिन-पेज नोटिस द्वारा, 12 एक प्रदान किए गए OpenID URL द्वारा। लाइव रजिस्टर ([मास्टर_रजिस्ट्री.जेएसओएन](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) इसे तक विस्तारित करता है **44 अलग-डोमेन मार्ग**26 फ़िल्टर-स्प्लिट जोड़े (मुख्य डोमेन BLOCKED, प्रमाणन होस्ट CLEAN) और 18 अतिरिक्त मार्ग जिन्हें मुख्य-डोमेन विभाजन के बिना चलाया जाता है। 44, **27 प्रति मार्ग साक्ष्य फ़ाइल साथ रखें**; अन्य 17 हाथ से एकत्र किए गए थे और चिह्नित हैं `realm_src: user` रजिस्टर में। उन सत्रह में से पाँच — csgogem.com, gamdom.com, 12cs.fail, csgolounge.com और dota2lounge.com — को 2026-09-22 पर लिंक फ़िल्टर कैप्चर के साथ दोनों होस्ट्स (कच्चा HTML + SHA-256 में) जोड़ दिया गया। [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), इसलिए विभाजन स्वयं स्पष्ट है, भले ही डोमेन हाथ से एकत्रित किया गया हो; वे उपरोक्त तालिका में साक्ष्य-फ़ाइल मार्गों के साथ दिखाई देते हैं। `tfauth.com` (tf2easy.com) को 2026-09-22: से हटा दिया गया था, जैसे arena.fragnet.net; कोई भी सत्यापनीय लिंक इसे इसकी मूल साइट से नहीं जोड़ता। गिनती प्रकाशित से पुनः प्राप्त की जा सकती है। [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (2026-09-21 की एक श्रृंखला) एक नियम के अनुसार: एक प्लेटफ़ॉर्म तभी गिना जाता है जब इसके अवलोकित Steam OpenID होस्ट का डोमेन स्वयं प्लेटफ़ॉर्म के डोमेन से अलग हो। 2. Steam लिंक फ़िल्टर स्थिति के माध्यम से परीक्षण किया गया `steamcommunity.com/linkfilter/?url=https://[domain]`, अनाधिकृत, 2026-09-19 और 2026-09-21 पर; SHA-256. के साथ कच्चा HTML सहेजा गया। मुख्य डोमेन और auth होस्ट के लिए स्थिति अलग-अलग दर्ज की गई। एक वर्गीकरणकर्ता सामान्य "आप Steam छोड़ रहे हैं" सूचना (साफ) को "लिंक अवरुद्ध! ... संभावित रूप से दुर्भावनापूर्ण के रूप में चिह्नित" पृष्ठ (BLOCKED); एक google.com नियंत्रण पुष्टि करता है कि दोनों को एक साथ नहीं मिलाया गया है। इस परीक्षण का एक पूर्व प्रमाणित संस्करण, जिसने उस नियंत्रण सहित हर डोमेन के लिए "blocked" लौटाया था, खारिज कर दिया गया था — यह जांच स्क्रिप्ट में एक अमान्य सत्र कुकी के कारण हुआ था, वास्तविक परिणाम नहीं। 3. ऑथ होस्ट का अवलोकन लाइव कैप्चर: एक Playwright ब्राउज़र ने प्रत्येक प्लेटफ़ॉर्म के लॉगिन फ़्लो और `openid.return_to` hostname को इंटरसेप्ट की गई रिक्वेस्ट से पढ़ा गया था। लॉगिन-पेज सूचना: hostname को Steam के अपने " से पढ़ा गया था।* का Steam या Valve से कोई संबंध नहीं है।*" टेक्स्ट, जिसे Steam रेंडर करता है `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). प्रदान किया गया URL: लेखकों को दिया गया एक Steam लॉगिन फॉर्म URL; यह अनुरोध पैरामीटर स्थापित करता है, पूरा लॉगिन नहीं। किसी भी प्लेटफ़ॉर्म पर कोई लॉगिन पूरा नहीं किया गया। 4. कवरेज — जो निपटाया नहीं गया, और यह क्यों मायने रखता है 189 प्लेटफ़ॉर्मों में से, **110 कोई स्थापित मार्ग नहीं हुआ** और एक लागू नहीं था (189 − 78 − 1). इस दस्तावेज़ में इनमें से कोई भी शामिल नहीं है. ऑडिट फ़ाइल से 110, का ब्रेकडाउन: 22 बॉट चुनौतियाँ, 14 टाइमआउट, 12 HTTP त्रुटियाँ और 10 नेविगेशन त्रुटियाँ — पर्यवेक्षक लॉगिन फ़्लो तक नहीं पहुँच सका, हालांकि इनमें से अधिकांश साइटें सामान्य ब्राउज़र में ठीक से खुलती हैं; 20 ने लैंडिंग पेज पर कोई Steam लॉगिन नियंत्रण नहीं दिखाया; 16 एक लॉगिन फ्लो तक पहुँचा जो किसी होस्ट पर रिज़ॉल्व नहीं हो सका; 11 डोमेन DNS में रिज़ॉल्व नहीं हुए; 5 एक सहमति दीवार पर रुक गया। नीचे दिया गया रजिस्टर उसी 110 को अलग तरह से विभाजित करता है: DNS में रिज़ॉल्व न होने वाले 11 को अलग से सूचीबद्ध किया गया है, जैसे *हटाया गया · NXDOMAIN*, और एक अप्रासंगिक प्रविष्टि बाकी के साथ जुड़ जाती है। 189 प्लेटफ़ॉर्म ऑडिट किए गए, 11 को दोनों रिज़ॉल्वर्स से एक निश्चित NXDOMAIN पर हटा दिया गया, **178 रखे गए** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **137 नामकरण पैटर्न से अनुमानित किए गए auth डोमेन, 2026-09-19 के डेटा से हटा दिए गए — कभी देखे नहीं गए, इसलिए कोई सबूत नहीं।** तीन अनुमानों का OpenID URL द्वारा खंडन किया गया: buff.163.com, gamerpay.gg और csgoluck.com सीधे प्रमाणीकरण करते हैं, जबकि अनुमान buffauthproxy.163.com, gamerpayredirect.io और lucklogin.app थे। हटाई गई प्रविष्टियाँ प्रकाशित ऑडिट फ़ाइल में सूचीबद्ध हैं। 25 एक मंजिल है, छत नहीं। 78 प्लेटफ़ॉर्मों में जिनका समाधान हुआ, 25 ने एक अलग डोमेन का उपयोग किया और 53 ने नहीं किया। उस अनुपात से अनसुलझे 110 के बारे में कुछ भी मान्य नहीं किया गया है, और इस दस्तावेज़ में कहीं भी उससे कोई अनुमान नहीं लगाया गया है। प्रत्येक को कोई व्यक्ति साइट खोलकर "Sign in with Steam" पर क्लिक करके हल कर सकता है: auth होस्टनेम उस Steam पेज के URL में होता है जो लोड होता है। **इस अनुभाग का उद्देश्य:** एक स्वतंत्र पर्यवेक्षक को 189 प्लेटफ़ॉर्म को हल करने के लिए एक ब्राउज़र और बहुत धैर्य की आवश्यकता होती है, और उसे 78. Valve के लिए एक डेटाबेस क्वेरी की आवश्यकता होती है। हर प्लेटफ़ॉर्म जो "Sign in with Steam" का उपयोग करता है — हल किए गए और अनसुलझे दोनों — भेजता है `openid.realm` प्रत्येक लॉगिन पर Valve के प्रमाणीकरण एंडपॉइंट पर। इस तालिका में यह अंतर इसलिए है क्योंकि लेखक सिस्टम के बाहर हैं। यह Valve के लिए मौजूद नहीं है। निरीक्षित प्रॉक्सी होस्टनाम हैं [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). डोमेन पंजीकरण की तारीख RDAP (Verisign) / IP2WHOIS से। लिंक फ़िल्टर के परिणामस्वरूप [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json). स्पष्टता के लिए उपमा कल्पना कीजिए कि एक लाइसेंस प्राप्त टैक्सी कंपनी को नियामकों द्वारा बताया जाता है कि वह अब अपने पंजीकृत मेन स्ट्रीट पते से संचालन नहीं कर सकती है। कंपनी मेन स्ट्रीट से साइन हटा देती है। उस साइन को हटाने का दस्तावेजीकरण किया जाता है। हालांकि, वही कंपनी एक साइड स्ट्रीट पते को खोलती है — एक अलग नाम के तहत पंजीकृत — और वहां से अपना संचालन जारी रखती है। नियामक उस केंद्रीय प्रेषण प्रणाली को संचालित करते हैं जिसका उपयोग दोनों पतों से हर टैक्सी करती है। हर सवारी अनुरोध में "साइड स्ट्रीट से पिक-अप करें" दिखाता है। नियामक साइड स्ट्रीट का लाइसेंस कभी रद्द नहीं करते। **मेन स्ट्रीट के साइन को हटाना ही एकमात्र प्रवर्तन था। टैक्सी कंपनी ने कभी संचालन बंद नहीं किया।** भाग A — तकनीकी अभिलेख · अनुभाग 3.1 ### Steam के अंदर, Valve की सूची ही एकमात्र सूची है। Steam क्लाइंट में किसी लिंक पर क्लिक करने पर, इन-गेम ओवरले या बिग पिक्चर मोड उपयोगकर्ता के ब्राउज़र में नहीं खुलता। यह Steam के अपने एम्बेडेड ब्राउज़र के भीतर रेंडर होता है — जहाँ ब्राउज़र द्वारा लागू की जाने वाली चेतावनी परतें मौजूद नहीं होतीं। **लिंक फ़िल्टर कई सुरक्षा उपायों में से एक नहीं है। यह संपूर्ण सुरक्षा है।** **एक सामान्य ब्राउज़र में** तीन स्वतंत्र परतें - **Google Safe Browsing** गूगल की फ़िशिंग और मैलवेयर सूचियों में शामिल होस्ट्स के लिए एक पूर्ण-पृष्ठ इंटरस्टीशियल, जो लगातार अपडेट होता रहता है और जिस साइट पर जाया जा रहा है, उससे स्वतंत्र है। - **एंटीवायरस ब्राउज़र एक्सटेंशन** अधिकांश उपभोक्ता एंडपॉइंट उत्पाद एक ब्राउज़र ऐड-ऑन के साथ आते हैं जो गंतव्य की जाँच विक्रेता की अपनी प्रतिष्ठा सूची के विरुद्ध करता है। - **एंडपॉइंट HTTPS निरीक्षण** जहाँ उत्पाद TLS-निरीक्षण करता है, पृष्ठ की सामग्री उपयोगकर्ता तक पहुँचने से पहले स्कैन की जाती है। **Steam क्लाइंट, ओवरले और बिग पिक्चर** एक परत - **Google Safe Browsing** उपस्थित नहीं। इस जाँच के लिए Google API कुंजियों की आवश्यकता होती है जो एम्बेडेड Chromium बिल्ड्स में प्रदान नहीं की गई हैं; जहाँ ये अनुपस्थित होती हैं, Chromium की अपनी डिज़ाइन दस्तावेज़ीकरण में यह दर्ज है कि Safe Browsing हैंडलर अनुरोध श्रृंखला में कभी भी नहीं जोड़ा जाता। - **एंटीवायरस ब्राउज़र एक्सटेंशन** उपस्थित नहीं। Steam का रेंडरर उपयोगकर्ता का ब्राउज़र नहीं है और यह उपयोगकर्ता की ब्राउज़र प्रोफ़ाइल से कोई एक्सटेंशन लोड नहीं करता, इसलिए पेज पर कोई ऐड-ऑन नहीं चलता। - **एंडपॉइंट HTTPS निरीक्षण** उत्पाद-निर्भर। ट्रैफ़िक एक कोड-साइन्ड Valve प्रक्रिया के भीतर समाप्त होता है, मान्यता प्राप्त ब्राउज़र के बजाय, और कई एंडपॉइंट उत्पाद हस्ताक्षरित अनुप्रयोगों को TLS निरीक्षण से छूट देते हैं। - **Steam लिंक फ़िल्टर** Valve की अपनी ब्लॉकलिस्ट, जिसे तब परखा जाता है जब कोई लिंक Steam इकोसिस्टम से बाहर जाता है। यह एकमात्र जाँच है जो चलती है — और ऊपर दी गई तालिका इस बात का रिकॉर्ड रखती है कि यह इस अनुभाग में दस्तावेजीकृत auth होस्ट्स के लिए क्या लौटाती है। एक ऐसा परीक्षण जिसे कोई भी पाठक चला सकता है, और यदि यह विफल हो जाता है तो निष्कर्ष अमान्य हो जाता है। Google द्वारा प्रकाशित Safe Browsing परीक्षण URL में से एक खोलें (`testsafebrowsing.appspot.com`Chrome में: एक पूरे पेज का लाल इंटरस्टिशियल दिखाई देता है। उसी URL को Steam चैट संदेश से खोलें, ताकि यह Steam क्लाइंट या ओवरले में रेंडर हो: कोई इंटरस्टिशियल नहीं दिखता। Steam द्वारा उत्पन्न की जा सकने वाली एकमात्र चेतावनी इसका अपना लिंक फ़िल्टर पेज है, और वह भी केवल Valve की सूची में शामिल होस्ट्स के लिए। Valve का अपना बग-बाउंटी रिकॉर्ड **एक परत पहले ही आ चुकी है — Valve के अपने रिकॉर्ड पर** यदि लिंक फ़िल्टर ही एकमात्र जाँच है जो क्लाइंट के भीतर चलती है, तो इसकी विफलता के तरीके कोई गौण समस्या नहीं हैं। Valve के HackerOne कार्यक्रम पर दो रिपोर्टें, दोनों स्वीकार की गईं, दोनों का समाधान हो चुका है, और दोनों को पूरी तरह से प्रकट किया जा चुका है: - [#291750](https://hackerone.com/reports/291750) [संग्रहीत 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) ओपन रीडायरेक्ट · मीडियम ### लिंक फ़िल्टर सुरक्षा बाईपास 19 नवंबर 2017, में रिपोर्ट किया गया, हल किया गया, प्रकट किया गया 9 मई 2018.। रिपोर्ट का अपना प्रूफ-ऑफ़-कॉन्सेप्ट: आइडियोग्राफिक पूर्ण विराम का प्रतिस्थापन। `。` (`%E3%80%82`) होस्टनेम में बिंदु के लिए — it is possible to bypass the blocking. अंतःकोशिकीय यह अनुभाग जिसके बारे में है, वह प्रकट नहीं हुआ। - [#1079561](https://hackerone.com/reports/1079561) [संचित 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) सूचना प्रकटीकरण · उच्च ### बिग पिक्चर वेब ब्राउज़र लॉगिन कुकीज़ लीक करता है और संवेदनशील जानकारी का खुलासा करता है (जिससे खाते पर कब्ज़ा हो सकता है) 15 जनवरी 2021, में रिपोर्ट किया गया, समाधानित और प्रकटीकृत 21 सितंबर 2021. Valve की अपनी गंभीरता रेटिंग उच्च है, और शीर्षक परिणाम बताता है। प्रकटीकृत रिकॉर्ड में शीर्षक, रेटिंग और तिथियाँ शामिल हैं; तकनीकी विवरण प्रकाशित पेलोड में नहीं है, इसलिए यहाँ उससे और कुछ उद्धृत नहीं किया गया है। **लेखकों का पठन, न कि किसी भी रिपोर्ट का निष्कर्ष:** दोनों एक ही द्वार के दोनों ओर बैठे हैं। एक चेतावनी है जो गंतव्य खुलने से पहले प्रकट नहीं होने पर दी जाती है; दूसरी वह सत्र है जो क्लाइंट को तब छोड़ देता है जब उसमें कोई पृष्ठ खुल जाता है। एक चुराए गए सत्र के बाद जो क्रम आता है — बिना किसी संकेत के कुंजी पंजीकृत हो जाना, वास्तविक व्यापार रद्द हो जाना, एक प्रतिलिपि क्लोन को भेज दी जाना — वह पैटर्न है जो में निर्धारित किया गया है। [धारा 5](https://phishdestroy.io/steam_dossier/hi/#vulnerability-profile) के लिए [धारा 8](https://phishdestroy.io/steam_dossier/hi/#consent-analysis)दोनों रिपोर्टें बंद हैं; किसी को भी लाइव भेद्यता के रूप में पेश नहीं किया गया है। वे जो स्थापित करते हैं वह संकीर्ण है लेकिन पर्याप्त: एकमात्र शेष परत को Valve के अपने रिकॉर्ड के अनुसार पहले भी दरकिनार किया जा चुका है। स्रोत: प्रत्येक रिपोर्ट के लिए HackerOne प्रकटीकरण रिकॉर्ड, 2026-09-22 से प्राप्त — संख्या, शीर्षक, टीम, कमजोरी, गंभीरता, रिपोर्ट और प्रकटीकरण की तिथियाँ तथा स्थिति जैसा कि HackerOne द्वारा प्रकाशित किया गया है। पुनर्प्राप्ति रिकॉर्ड: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). यहाँ कोई इनाम राशि नहीं बताई गई है; प्राप्त किए गए प्रकटीकृत रिकॉर्ड में भी कोई राशि नहीं मिलती। मैदानी अवलोकन · PhishDestroy **पहचानों से जो आम तौर पर एक अभियान समाप्त हो जाता है, वे इन अभियानों को समाप्त नहीं कर पाईं।** हमने देखा कि फ़िशिंग होस्ट्स ट्रैफ़िक खींचते रहे, जबकि वे कैरी कर रहे थे। **20 या अधिक विक्रेता पहचान**वेब या ईमेल के माध्यम से पहुँचाया गया एक अभियान उस राज्य में कुछ ही दिनों में समाप्त हो जाता है — ब्राउज़र और एंटीवायरस दोनों उन निर्णयों पर अमल करते हैं। Steam के अंदर ऐसा नहीं होता। निर्णय पूरे समय मौजूद थे। क्लाइंट में कभी कुछ भी नहीं पूछा गया। ### एंटीवायरस इंस्टॉल किए गए माइनर के लिए इसका क्या मतलब है वह किसी भी चेतावनी को अनदेखा नहीं करता और कुछ भी अक्षम नहीं करता। एक संदेश 'Steam' में आता है — एक मुफ्त चाकू, एक दोस्त की टीम के लिए वोट — और पेज 'Steam' में खुलता है। वह कभी ब्राउज़र नहीं खोलता, इसलिए ब्राउज़र कभी उसकी रक्षा नहीं करता। उसका एंटीवायरस चल रहा है और शायद पहले से ही उस डोमेन को खतरनाक मान चुका है; उससे कभी पूछा ही नहीं जाता। **हर वह चेतावनी जो उसे पहले ही रोक सकती थी, पहले से मौजूद है। इनमें से कोई भी उस तक नहीं पहुँचती।** वह मानता है कि वह कभी Steam नहीं छोड़ा, और उसने नहीं छोड़ा। यह गिवअवे फिशर का आविष्कार नहीं है — मुफ्त Valve आइटम ही स्किन और जुआ साइटों का विज्ञापन करने का तरीका हैं, और यही वजह है कि यह संदेश सामान्य लगता है। शिकायतें: [प्रवर्तन अभिलेखागार](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records). आयु और बच्चों का डेटा: [धारा 17](https://phishdestroy.io/steam_dossier/hi/#minors-protection). स्रोत: Steam क्रोमियम एम्बेडेड फ्रेमवर्क के माध्यम से वेब सामग्री प्रस्तुत करता है। `steamwebhelper` प्रक्रिया — देखें [DARKNAVY का 27 का तकनीकी विश्लेषण, 6 जून 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) और Valve का अपना [Steam क्लाइंट बीटा फोरम ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [संग्रहीत 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/)किसी भी CEF संस्करण पर निर्भर नहीं किया जाता: एम्बेडेड क्रोमियम क्रोम नहीं है और इसमें क्रोम की कोई भी गूगल सेवाएँ शामिल नहीं हैं। API कुंजियों के बिना सुरक्षित ब्राउज़िंग: [क्रोमियम डिज़ाइन दस्तावेज़ ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [संग्रहीत 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [क्रोमियम API कुंजी ↗](https://www.chromium.org/developers/how-tos/api-keys/) [संचित 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) ("Chrome द्वारा उपयोग किए जाने वाले कई Google APIs Google के लिए विशिष्ट हैं और व्युत्पन्न उत्पादों में उपयोग के लिए अभिप्रेत नहीं हैं"), और अन्य अनकीड बिल्ड्स में भी यही प्रभाव — [होमब्रू कास्क #193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). परीक्षण यूआरएल: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/). भाग A — तकनीकी अभिलेख · अनुभाग 4 ## एक एंडपॉइंट बंद हो गया। सार्वजनिक ट्रेसिंग ने एक कुंजी खो दी। प्रसंग और स्रोत सीमाएँ Steam बदलाव भेजे गए जिन्होंने आइटम एसेट आईडी की सार्वजनिक दृश्यता को हटा दिया और API इन्वेंटरी तक पहुंच को प्रतिबंधित कर दिया। प्रभाव: सार्वजनिक डेटा से किसी विशिष्ट आइटम को उसकी मूल एसेट आईडी से ट्रेस करना असंभव हो गया। नीचे बताया गया है कि पहले क्या संभव था, बाद में क्या संभव नहीं रहा, और इससे पीड़ित को यह साबित करने में क्या-क्या खर्च आता है कि उनकी संपत्ति कहां गई। CSFloat के इंजीनियरिंग खाते के अनुसार तारीख 2017 है; किसी भी Valve चेंजलाग का पता नहीं चला है। यह क्रम — जुलाई 2016 जुआ बयान के लगभग एक साल बाद — एक खोज प्रश्न है, न कि कोई निष्कर्ष। आइटम रिकॉर्ड स्वयं Valve की प्रणालियों में बने हुए हैं; बाहरी जांचकर्ताओं ने मूल-आईडी श्रृंखला तक पहुंच खो दी है, जबकि फ्लोट, सीड और पेंट पहचानकर्ता केवल आंशिक मिलान की अनुमति देते हैं। **Valve का नियम लागू होता है:** Steam सहायता आपके खाते से बाहर गए आइटमों को पुनर्स्थापित नहीं करती है, और यह साबित करने का बोझ आप पर है कि क्या हुआ। **रिकॉर्ड:** 2017Valve ने उस एंडपॉइंट को बंद कर दिया था जिसमें मूल आइटम आईडी होती थीं। इसके पहले कोई भी पीड़ित के खाते से चोरी की गई स्किन को मार्केटप्लेस बॉट तक ट्रैक कर सकता था। इसके बाद Valve के बाहर कोई भी ऐसा नहीं कर सकता। **पीड़ित से जो प्रमाण माँगा जा रहा है, वह वही प्रमाण है जिसे बंद कर दिया गया था।** — और यह अभी भी मौजूद है, Valve के अंदर। ### ब्लैकआउट-पूर्व युग ऐतिहासिक रूप से, Steam पर उत्पन्न प्रत्येक आभासी वस्तु के पास एक वैश्विक रूप से अद्वितीय, अपरिवर्तनीय संपत्ति आईडी तीसरे पक्ष के OSINT डेटाबेस इन आईडीज़ को अनुक्रमित कर सकते हैं। यदि किसी उपयोगकर्ता का कोई आइटम हाईजैक हो जाता है, तो जांचकर्ता उस विशिष्ट संपत्ति की वंशावली का पता लगा सकते हैं, जब वह हाईजैक करने वाले के मध्यवर्ती खाते से किसी मार्केटप्लेस या जुआ साइट के स्टोरेज खातों में स्थानांतरित होती है। पहले: कोई भी सार्वजनिक डेटा का उपयोग करके पीड़ित के खाते से मध्यवर्ती खातों के माध्यम से एक मार्केटप्लेस या कैसीनो स्टोरेज बॉट तक किसी आइटम का पता लगा सकता था। ### बदलाव के बाद CSFloat की इंजीनियरिंग रिपोर्ट के अनुसार, Valve ने 2017 में एंडपॉइंट बंद कर दिया और मूल आइटम आईडी बाहरी पक्षों के लिए उपलब्ध नहीं रहीं। इस परिवर्तन के कारण के बारे में कोई Valve बयान नहीं मिला है। उसी अवधि में, बड़े पैमाने पर आइटम स्थानांतरित करने वाले वाणिज्यिक बॉट खातों के खिलाफ कोई प्रकाशित कार्रवाई भी नहीं मिली है। चाहे इसका कोई भी कारण हो, इस बदलाव ने सार्वजनिक हिरासत श्रृंखला को तोड़ दिया। एक पीड़ित अब सार्वजनिक डेटा से मूल-आईडी श्रृंखला को पुनः उत्पन्न नहीं कर सकता, जिससे यह दिखाया जा सके कि कोई विशिष्ट चोरी की गई वस्तु किसी विशिष्ट बाज़ार या कैसीनो के माध्यम से निपटाई गई थी। वस्तु के रिकॉर्ड अभी भी Valve की प्रणालियों में मौजूद हैं; सार्वजनिक डेटा पर काम करने वाले सार्वजनिक, शोधकर्ता और कानून प्रवर्तन उन तक नहीं पहुँच सकते। AFTER: सार्वजनिक डेटा से किसी विशिष्ट आइटम को उसकी मूल एसेट आईडी द्वारा ट्रेस करना अब संभव नहीं है। 2017 के बाद स्थानांतरित किसी आइटम की मूल-आईडी चेन ऑफ़ कस्टडी केवल Valve की अवसंरचना के भीतर मौजूद है; ऐसा कोई रिकॉर्ड सार्वजनिक रूप से उपलब्ध नहीं है। फ्लोट, सीड और पेंट पहचानकर्ता केवल आंशिक, संभाव्य मिलान की अनुमति देते हैं। आईईकॉनआइटम्स_730 प्राप्त करें `/IEconItems_730/GetPlayerItems/v1/` ट्रेस करने योग्य पेलोड (प्री-पैच) `"id": "14892281934" ,` `"original_id": "11829910211" ,` स्थिति: पीड़ित बॉट खातों के माध्यम से वस्तु की उत्पत्ति का पता लगा सकता है। अस्पष्ट पेलोड (पैच के बाद) वर्तमान `"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,` `"original_id": "NULL" ,` स्थिति: बाहरी पक्ष अब सार्वजनिक डेटा से मूल एसेट आईडी के माध्यम से आइटम की वंशावली का पता नहीं लगा सकते। **साक्ष्य पर प्रभाव:** बदलाव के बाद, सार्वजनिक डेटा के माध्यम से किसी पीड़ित के खाते से एक विशिष्ट आइटम को उसकी मूल एसेट आईडी से मार्केटप्लेस या कैसीनो बॉट में ट्रैक करने के लिए आवश्यक जानकारी अब उपलब्ध नहीं थी। आंतरिक रिकॉर्ड अभी भी Valve पर मौजूद हैं; सार्वजनिक डेटा के आधार पर काम करने वाला कोई पीड़ित, शोधकर्ता या जांचकर्ता मूल आईडी श्रृंखला को पुन: उत्पन्न नहीं कर सकता (float, seed और paint पहचानकर्ता केवल आंशिक मिलान की अनुमति देते हैं)। स्रोत: CSFloat इंजीनियरिंग खाता 2017 के बंद होने का `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/फ़्लोटडीबी-आइटम-ट्रैक-कैसे-करता-है](https://blog.csfloat.com/how-floatdb-tracks-items/) ([संग्रहीत 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · दिखाए गए पेलोड क्षेत्र के आकार का एक उदाहरण हैं, कैप्चर किए गए प्रतिक्रियाएँ नहीं · क्लोज़र के लिए कोई Valve चेंजलाग नहीं मिला है। भाग A — तकनीकी अभिलेख · अनुभाग 5 ## एक सत्र। उपयोगकर्ता को जितना दिखता है उससे अधिक पहुँच। प्रसंग और स्रोत सीमाएँ Valve की API-key आर्किटेक्चर, जैसा कि यह 2023 परिवर्तनों से पहले थी, बेसलाइन उद्योग मानकों (OWASP ASVS, NIST SP 800-63B) से विचलित थी और यह स्वचालित इन्वेंटरी-चोरी शिकायतों में वर्णित तंत्र है, जो साक्ष्य अभिलेखागार (अनुभाग 6–8) में संरक्षित हैं। **Valve का नियम लागू हुआ:** खाता धारक ने कुंजी बनाई, शर्तों को स्वीकार किया, और हानि वहन करता है — संग्रहीत अस्वीकृतियों में यही उत्तर है। **रिकॉर्ड:** 2023 दिसंबर तक केवल एक चोरी की गई सत्र कुकी ही उस कुंजी को पंजीकृत कर सकती थी। कोई पासवर्ड नहीं। कोई Steam गार्ड नहीं। उस व्यक्ति को कोई सूचना नहीं कि यह उसका खाता था। **उपयोगकर्ता ने कुंजी नहीं बनाई थी, वह उसे देख नहीं सकता था, और उसे बताया गया कि उसने ही बनाई थी।** 2023-12-04 पर मोबाइल पुष्टि जोड़ी गई — 2016 बयान के लगभग सात साल बाद और उस घोटाले पैनलों के लगभग छह साल बाद जिन्हें आर्काइव संरक्षित करता है। उन वर्षों का भुगतान Valve द्वारा नहीं किया गया था। उनका भुगतान बीच में खाली किए गए खातों से किया गया था, जिनमें से कुछ बच्चों के थे। OWASP ASVS 2.8 / NIST SP 800-63B गंभीरता: गंभीर ### 1. अपर्याप्त स्टेप-अप प्रमाणीकरण Steam केवल एक सत्र कुकी का उपयोग करके अत्यधिक विशेषाधिकार प्राप्त, लंबे समय तक चलने वाले API कुंजियों के निर्माण की अनुमति दी। डेवलपर API कुंजी सेटअप या संशोधित करते समय 2FA (Steam Guard) या स्टेप-अप ऑथेंटिकेशन चुनौती की आवश्यकता नहीं थी, इसलिए Steam Guard मोबाइल पुष्टि — जो Steam द्वारा प्रदान किया जाने वाला एकमात्र दूसरा फैक्टर है — ने इस चरण की रक्षा नहीं की। (Valve के अपने ट्रैकर में 2016 में हार्डवेयर सेकंड फैक्टर का अनुरोध किया गया था और यह मुद्दा अभी भी खुला है: परिशिष्ट D, GH-01.) स्थिति: 2023. से पहले बिना पैच किए। एक स्क्रिप्ट जिसे चोरी की गई कुकी मिली हो, बिना किसी उपयोगकर्ता इंटरैक्शन के एक कुंजी पंजीकृत कर सकती थी। OWASP A01:2021 / न्यूनतम विशेषाधिकार गंभीरता: गंभीर ### 2. न्यूनतम विशेषाधिकार के सिद्धांत का अभाव Steam वेब API में किसी भी भूमिका-आधारित प्राधिकरण दायरे का अभाव था। एक डेवलपर API कुंजी, जिसे "केवल-पढ़ने" इन्वेंटरी स्थिति के लिए जारी किया गया था, के पास पूर्ण "लिखने" की अनुमति थी — जिसमें मौजूदा ट्रेड्स में हेरफेर करने, नए ट्रेड्स आरंभ करने, वेबहुक्स पंजीकृत करने और मान्य लंबित एक्सचेंजों को अस्वीकार करने की क्षमता शामिल थी। स्थिति: प्रणालीगत डिज़ाइन दोष। एक कुंजी = खाते की इन्वेंटरी और ट्रेड्स पर पूर्ण पठन/लेखन नियंत्रण। OWASP A07:2021 / सत्र गंभीरता: उच्च ### 3. टूटा हुआ सत्र प्रबंधन सर्वर-होस्टिंग आईपी रेंज से उत्पन्न हाईजैक किए गए वेब सत्रों के उपयोगकर्ताओं द्वारा लगातार बने रहने की रिपोर्ट की गई। मानक प्रथा यह है कि भौगोलिक विसंगतियों और पासवर्ड बदलने पर सत्रों को समाप्त कर दिया जाता है; अभिलेखागार में एकत्रित उपयोगकर्ता रिपोर्टों में ऐसे सत्रों का वर्णन है जो पासवर्ड बदलने के बाद भी सक्रिय रहे। स्थिति: रिपोर्ट किया गया व्यवहार (आर्काइव में उपयोगकर्ता शिकायतें)। सत्र बिना पुनः प्रमाणीकरण के API कुंजियाँ उत्पन्न कर सकते थे। डोमेन-स्तरीय अवरोधन तकनीकी रूप से संभव था। प्रवर्तन व्यवहार्यता ### 4. प्रमाणन होस्ट्स को डोमेन-स्तर पर अवरुद्ध करना तकनीकी रूप से संभव था। Valve यह पहले से ही एक डोमेन सूची (लिंक फ़िल्टर) संचालित करता है और पहले से ही अपनी OpenID अनुरोधों में प्रत्येक auth होस्टनेम प्राप्त करता है। ये दोनों तंत्र बाहरी रूप से किसी भी तरह से जुड़े नहीं हैं: 2026-09-22, में 26 के जोड़े में मुख्य डोमेन फ़िल्टर में था, जबकि लॉगिन वहन करने वाला प्रॉक्सी फ़िल्टर में नहीं था। उन्हें जोड़ना एक छोटा इंजीनियरिंग कार्य है: पढ़ें `openid.realm` प्रत्येक इनकमिंग अनुरोध से होस्टनेम प्राप्त करें, उसे एक सूची से तुलना करें, और अनुरोध को अस्वीकार या फ़्लैग करें। दाईं ओर का चित्र इस तरह की रूटीन का स्वरूप दिखाता है। केवल सार्वजनिक लैंडिंग पेज के बजाय auth होस्ट को अस्वीकार करने से उन प्लेटफ़ॉर्म्स पर निर्भर "Steam के साथ साइन इन करें" चरण बाधित हो जाएगा। कोई सार्वजनिक प्रमाण नहीं है कि Valve ऐसा कोई जाँच करता है। Steam Community Market का संयुक्त शुल्क लगभग 15% है, जो मार्केट के भीतर पूरी हुई बिक्री पर लागू होता है; यह इन प्लेटफ़ॉर्मों के बाहरी लेन-देन पर वसूला नहीं जाता। ब्लॉक_ऑथ_होस्ट्स.पाइथन चित्रण // Read the host Steam already receives — no scanning परिभाषा on_openid_request(request): होस्ट = parse_openid_realm(अनुरोध) यदि मेज़बान में अवरुद्ध_डोमेन: अस्वीकार करें (अनुरोध) **नोट:** केवल उदाहरण के लिए प्स्यूडोकोड। दोनों हिस्से पहले से ही Valve पर मौजूद हैं — अनुरोध में auth होस्टनेम आता है, और डोमेन सूची लिंक फ़िल्टर है। कोई सार्वजनिक रिकॉर्ड यह नहीं बताता कि वे क्यों जुड़े नहीं हैं। धारा 5.1 — मानक अप्रकाशित नहीं थे। ### Valve यह हर दिन इन नियमों के खिलाफ बनता है। यहाँ यह इनके अनुसार नहीं बना। Steam App Store और Google Play पर उपलब्ध है, प्रमुख कार्ड प्रोसेसरों के माध्यम से बिक्री करता है, और किसी भी अन्य बड़े प्लेटफ़ॉर्म की तरह तृतीय-पक्ष API का उपयोग करता है। इन सभी संबंधों के लिए एक प्रकाशित, दिनांकित सुरक्षा आवश्यकता होती है जिसे Valve को संचालन जारी रखने के लिए पूरा करना होता है। इन आवश्यकताओं की तिथियों को Steam की अपनी वेब API द्वारा समान सुरक्षा प्राप्त करने की तिथियों से तुलना करें। **नीचे दिया गया कुछ भी निजी मानक, आंतरिक ज्ञापन या व्यापार रहस्य नहीं है: प्रत्येक पंक्ति एक सार्वजनिक दस्तावेज़ है जिसकी प्रकाशन तिथि है।** प्रकाशित बाहरी सुरक्षा आवश्यकताएँ, उनकी तिथियों सहित, उस तिथि के सापेक्ष निर्धारित की गईं जिस तिथि को Steam वेब API ने समतुल्य नियंत्रण प्राप्त किया। | प्रकाशित मानक, और वह तिथि जिस दिन यह लागू हुआ | Steam वेब API उसी प्रश्न पर | | --- | --- | | **Scoped authorisation** OAuth 2.0 — RFC 6749, October 2012. Section 3.3 defines `scope` so a client receives only the access it asks for. It has been the default of every major platform API since. | **Granular scopes arrived on 16 January 2026.** Before that a single Steam Web API key carried full read and write over the account's trades regardless of why it was issued. **Thirteen years and three months** after the specification that defines the control. | | **A key is not an authorisation** Google's own Cloud documentation: A standard API key doesn't authenticate a principal, and for APIs that create or manage resources, don't use authorization keys in production. | **The Steam Web API key was exactly that.** A bearer string, issued to an account, sufficient on its own to read the inventory, cancel a pending trade and send a new one. No principal was authenticated at the point of use. | | **Multi-factor authentication on privileged access** PCI DSS 3.2, requirement 8.3 — mandatory from 1 February 2018 for all non-console administrative and all remote access to the cardholder data environment. Apple then required two-factor authentication of every Developer Program account holder from 27 February 2019: developers with the Account Holder role in a developer program will need to enable two-factor authentication to sign in. | **A second factor was required to create an API key from 4 December 2023.** Until then a stolen session cookie was enough, with no prompt on the account holder's phone and no notification afterwards. **Four years and nine months** after Apple made Valve itself use a second factor merely to sign in to a developer portal. | | **Credential lifecycle and revocation** Twitch requires of every third-party application: Your app must validate the OAuth token when it starts and on an hourly basis thereafter, and states that it audits for applications that do not. Its legacy v5 API was retired outright on 28 February 2022 on a published schedule. | **No published key-lifecycle record.** The 2023 change protected the creation endpoint. No Valve statement located with it addresses keys already registered, and no changelog accompanied the change at all. Whether keys created before it were invalidated cannot be established from public data — which is the question a data subject would need answered to know whether a key created on their account years earlier is still live. | वास्तु मानक // टोकन वास्तुकला #### GitHub Valve फाइन-ग्रेन्ड स्कोप्स बनाम ई-लर्निंग वेब Steam API Valve डेवलपर्स प्रतिदिन GitHub पर सूक्ष्म न्यूनतम-अधिकार टोकन का उपयोग करके ओपन-सोर्स सॉफ़्टवेयर का प्रबंधन करते हैं। इसकी तुलना 130M Steam खिलाड़ियों को जारी की गई मोनोलिथिक कुंजी से करें। GitHub सूक्ष्म-कण टोकन Valve द्वारा GitHub पर उपयोग किया गया क्षेत्रबद्ध पृथक्करण और अनिवार्य जीवनचक्र प्रवर्तन वाला सूक्ष्म-कण। रिपॉजिटरी पहुँच: केवल चयनित रिपॉजिटरी (1 रिपॉजिटरी) अनुमति दें: केवल-पढ़ने योग्य [✓] कोड और रहस्य: कोई पहुँच नहीं [✕] समाप्ति: 30 दिन (अनिवार्य टीटीएल) ऑडिट लॉगिंग: आईपी, यूज़र-एजेंट और टाइमस्टैम्प **सुरक्षा की स्थिति:** न्यूनतम-अधिकार टोकन क्षति को एक ही केवल-पठन संसाधन तक सीमित करता है। ! Valve Steam वेब API कुंजी 130एम उपयोगकर्ताओं को जारी एकल 32--चरित्र मास्टर स्ट्रिंग जो सभी या कुछ नहीं व्यापार और इन्वेंटरी प्राधिकरण वहन करती है। खाता पहुँच: पूर्ण विवरण (एकल-खंडीय) व्यापार प्रबंधन: पढ़ें, रद्द करें, अस्वीकार करें [!] विस्तृत दायरे: कोई नहीं (2026,13य देर से पहुँचे) समाप्ति: कभी नहीं (अनंतकाल तक मान्य) ऑडिट लॉगिंग: कोई नहीं (उपयोगकर्ता के लिए शून्य आईपी इतिहास) **संवेदनशीलता:** चोरी की गई कुंजी सभी आउटगोइंग व्यापार प्रस्तावों को चुपचाप इंटरसेप्ट करने की अनुमति देती है। एक दिशा में लागू मानक मान लीजिए कि विक्रेता Valve जिस पर निर्भर है — एक क्लाउड प्रदाता, एक भुगतान प्रोसेसर, एक CDN — ने एक क्रेडेंशियल एंडपॉइंट को द्वितीयक कारक के बिना छोड़ दिया, और महीनों बाद Valve का अपना कॉर्पोरेट डेटा उस एंडपॉइंट पर मिंटे गई कुंजी के माध्यम से लीक हो गया। क्या Valve यह स्वीकार करेगा कि दोष उस व्यक्ति का था जिसने लिंक पर क्लिक किया था? इस दस्तावेज़ में संरक्षित संग्रहीत अस्वीकृतियाँ उपयोगकर्ता के लिए इसके विपरीत प्रश्न का उत्तर देती हैं: अपनाई गई स्थिति यह है कि खातेदार ने कुंजी बनाई और हानि उसी की है। **उसी वास्तुकला को एक ओर विक्रेता की विफलता और दूसरी ओर उपयोगकर्ता की जिम्मेदारी के रूप में वर्णित किया गया है।** यह तकनीकी प्रश्न नहीं है, और यह ऐसा मामला नहीं है जिसे यह जांच निपटा सकती है — यह निर्णय एक न्यायालय या पर्यवेक्षी प्राधिकरण लेता है। चित्रण, साक्ष्य नहीं — मानक को उल्टा पढ़ा जाता है - एक भुगतान प्रोसेसर जिसने किसी तीसरे पक्ष की स्क्रिप्ट को केवल ब्राउज़र कुकी से ही पूर्ण-अधिकार वाला लेनदेन क्रेडेंशियल बनाने की अनुमति दी, बिना खाताधारक से कोई पुष्टि मांगे। - एक पहचान प्रदाता जिसने उस छेद को बंद कर दिया जिससे उसके टोकन बनाए गए थे और पहले से बनाए गए टोकनों के बारे में कुछ भी प्रकाशित नहीं किया। - एक बैंक ने विवादित ट्रांसफर का जवाब यह देखते हुए दिया कि उपयोग किया गया प्रमाण-पत्र ग्राहक के अपने खाते पर पंजीकृत था, और टिकट बंद कर दिया। इनमें से कोई भी किसी नामित कंपनी के बारे में निष्कर्ष के रूप में प्रस्तुत नहीं किया गया है। ये वही डिज़ाइन निर्णय हैं, जिन्हें एक ऐसे परिवेश में स्थानांतरित किया गया है जहाँ पर्यवेक्षी प्रतिक्रिया अच्छी तरह से प्रलेखित है — और यही तुलना है जिसे एक नियामक से करने के लिए कहा जा रहा है। **रिकॉर्ड से यह स्थापित होता है:** Steam वेब API पर मौजूद नियंत्रण सार्वजनिक, पुराने और कई मामलों में वे शर्तें थीं जिन्हें Valve को अपने उत्पादों की शिपिंग जारी रखने के लिए पूरा करना पड़ता था। प्रत्येक मानक और उसके समकक्ष Steam परिवर्तन के बीच का अंतराल मापा जा सकता है और ऊपर दिया गया है। **यह यह स्थापित नहीं करता कि क्यों।** इनमें से किसी भी अंतराल के लिए कोई Valve कारण-विवरण नहीं मिला है, और यहाँ कोई भी मान्य नहीं किया गया है; वह रिकॉर्ड Valve के भीतर मौजूद है और प्रकाशित नहीं किया गया है। स्रोत, प्रत्येक एक सार्वजनिक दस्तावेज़: OAuth 2.0 — [आरएफसी 6749, अक्टूबर 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · गूगल क्लाउड — [API कुंजियाँ दस्तावेज़ीकरण ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · पीसीआई डीएसएस 3.2 आवश्यकता 8.3 — [पीसीआई एसएससी संसाधन मार्गदर्शिका ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · एप्पल — [खाताधारकों के लिए आगामी दो-कारक प्रमाणीकरण आवश्यकता, 20 फरवरी 2019 ↗](https://developer.apple.com/news/?id=02202019a) [संग्रहीत 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · ट्विच — [टोकन सत्यापन आवश्यकता ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) और [v5 शटडाउन सूचना ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [सहेजा गया 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589)Steam की अपनी तिथियाँ इस अनुभाग में अपडेट रिकॉर्ड में दी गई हैं; 2023 और 2026 की प्रविष्टियाँ वे हैं जिन्हें Valve ने बिना चेंज लॉग के भेजा था। 2026-09-22. से प्राप्त। Valve का अपना अपडेट रिकॉर्ड — सार्वजनिक स्रोतों से प्राप्त दिनांकित जानकारी | दिनांक | Valve बदलाव | घोषित? | यह क्या बंद हुआ | लैग: सार्वजनिक तंत्र → ठीक करें | स्रोत | | --- | --- | --- | --- | --- | --- | | 2026-09-01 | Automated Suspicious Chat Flagging | Yes | Dangerous links / patterns in group chats | — | [news ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) | | 2026-01-16 | Steamworks Web API granular scopes | Yes | Least-privilege scopes for developer keys | — | [announcement ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) | | 2025-07-15 | CS2 Trade Protection & reversal window | Yes | **Nothing.** Not a root-cause security fix. Support-side account recovery access remains untouched. Triggering reversal inflicts an automatic 30-day trade lockout ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), while cash-trading shock caused a $104M (-25%) 24h market cap plunge ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). In 2026, timers became per-item ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [FAQ ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) | | 2025-05-14 | Account Security Announcement | Yes | Stealer / session-hijack guidance | — | [announcement ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) | | 2024-10-02 | CS2 'The Armory' 7-day hold | Yes | Hold on trade/market for Armory items | — | [announcement ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) | | 2024-09-18 | New-device login trade restriction | Yes | 2–7 day trade lock on new devices | — | [FAQ ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) | | 2024-02-14 | Profile name & avatar change hold | Yes | 2–4 h cooldown on trades after rename | — | [post ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) | | 2023-12-04 | Mobile confirmation for API keys | No changelog | Silent cookie-only key registration | ≈6 years after the 2017-era panels | [dev page ↗](https://steamcommunity.com/dev/apikey) | | 2023-10-24 | SMS MFA for game build publications | Yes | Steamworks build publishing | — | [announcement ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) | | 2023-07-12 | Custom biography content warning | Yes | Phishing links in bios | — | [forum ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) | | 2023-01-25 | Profile {LINK REMOVED} & cooldown | Yes | Links in profile text | — | [FAQ ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) | | 2022-10-24 | Login overhaul & cookie truncation | No changelog | Infinite stolen sessions | — (IAuthenticationService token migration) | [news ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) | | 2022-10-12 | Mobile App 3.0 QR login | Yes | Session deauthorisation panel | — | [news ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) | | 2022-05-10 | Trade-cancellation endpoints removed | No changelog | Offer-swap (cancel & re-send) | ≈5 years after the 2017-era panels | [issue #325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) | | 2020-05-25 | Dota 2 7-day trade lock | Yes | Fast item flipping | — | [blog ↗](https://blog.dota2.com/2020/05/trading-cooldown/) | | 2018-03-29 | CS:GO 7-day trade lock | Yes | Instant bot laundering | ≈20 months after the July 2016 statement | [blog ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [archived 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) | स्रोत: लिंक किए गए Valve पोस्ट, सहायता पृष्ठ और GitHub मुद्दे, दिनांकित। तीन निर्णायक सुधार बिना चेंज-लॉग के जारी किए गए (2022-05, 2022-10, 2023-12) और इन्हें उपयोगकर्ताओं ने ही खोजा, Valve द्वारा घोषित नहीं किया गया — यह असममितता प्रवर्तन रिकॉर्ड का हिस्सा है। विलंब केवल वहीं गणना किए जाते हैं जहाँ दस्तावेज़ की अपनी दिनांक (जुलाई 2016 बयान; 2017-युग के घोटाला पैनल) प्रारंभ बिंदु प्रदान करती है; "—" का अर्थ है कि यहाँ ऐसा कोई प्रारंभ बिंदु स्थापित नहीं है। भाग A — तकनीकी अभिलेख · अनुभाग 6 ## इंटरैक्टिव एक्सप्लॉइट और हाईजैक सिमुलेटर प्रसंग और स्रोत सीमाएँ फ़िशिंग संदेश से लेकर सर्वर-साइड कुंजी पंजीकरण और ट्रेड स्वैप तक के मार्ग का पुनर्निर्माण। 2023, से पहले, किसी खाते पर पंजीकृत वेब API कुंजी अपनी इन्वेंटरी पढ़ सकती थी, लंबित ट्रेड प्रस्ताव रद्द कर सकती थी और एक नया प्रस्ताव बना सकती थी, और इन किसी भी क्रिया के लिए खाते के धारक को कोई ट्रेड-पुष्टि स्क्रीन नहीं दिखाई जाती थी। यह न्यूनतम विशेषाधिकार की अनुपस्थिति (OWASP A01:2021) है। इस सिमुलेशन में समय-सीमाएँ केवल उदाहरण के लिए हैं और वर्तमान प्लेटफ़ॉर्म के वास्तविक माप नहीं हैं। पुनर्निर्मित अपहरण का क्रम-दर-क्रम अवलोकन करें। प्रत्येक चरण में दिखाया गया है कि खाताधारक क्या देखता है और उसी क्षण कॉल Steam को क्या प्राप्त होती है। **उन सभी कॉलों में से प्रत्येक को सही ढंग से प्रमाणीकृत किया गया है।** क्रम में कवनो चीज़ के लिए ई आवश्यक नइखे कि Steam की प्रमाणीकरण विफल हो — जरूरी बा कि ई जारी करे वाली कुंजी का कोई दायरा ना हो (OWASP A01:2021). **खिलाड़ी क्या देखता है। इसके पीछे क्या बदलता है।** वॉकथ्रू सिम्युलेटर 01 / चैट लूर**एक मित्र वोट देने के लिए कहता है** पीड़ित को एक लिंक वाला संदेश प्राप्त होता है। 02 / लॉगिन**एक नकली पोर्टल** पीड़ित साइन-इन क्रेडेंशियल दर्ज करता है। 03 / पहुँच**साइलेंट वेब API निर्माण** हमलावर एक डेवलपर कुंजी पंजीकृत करता है। 04 / द स्विच**वैध व्यापार का आदान-प्रदान** क्लोन बॉट लक्ष्य प्राप्तकर्ता की नकल करता है। 05 / पुष्टि**नकली स्वीकृत** मोबाइल पर गलत ऑफर स्वीकृत। **चरण A: फ़िशिंग प्रवेश।** हमलावर एक मित्र का खाता हैक करता है और उसका उपयोग एक भ्रामक लिंक भेजने के लिए करता है, जिसमें पीड़ित को वोट करने या टूर्नामेंट टीम में शामिल होने के लिए आमंत्रित किया जाता है। **फ़िशिंग जाल।** यह मानते हुए कि वे Steam पर सुरक्षित रूप से लॉग इन कर रहे हैं, पीड़ित क्रेडेंशियल और Steam गार्ड कोड दर्ज करता है। फिशिंग सर्वर इन विवरणों को और सक्रिय को कैप्चर करता है। `steamLoginSecure` सत्र कुकी। **चरण बी: साइलेंट कुंजी पंजीकरण।** चोरी की गई सत्र कुकी का उपयोग करके, हमलावर का सर्वर मास्टर डेवलपर वेब API कुंजी पंजीकृत करने के लिए कुंजी पंजीकरण एंडपॉइंट पर POST करता है। ऐतिहासिक रूप से (2023 से पहले), इसके लिए किसी द्वितीयक Steam गार्ड की मंजूरी या सूचना की आवश्यकता नहीं होती थी। **चरण C: स्वचालित व्यापार विनिमय।** हमलावर की स्क्रिप्ट पोल करती है `IEconService/GetTradeOffers`जब पीड़ित एक वैध व्यापार शुरू करता है, तो स्क्रिप्ट तुरंत उसे रद्द कर देती है और क्लोन बॉट का उपयोग करके प्राप्तकर्ता को उसी नाम और अवतार के साथ एक समान प्रस्ताव भेजती है। **शोषण पूरा हो गया।** अपनी मूल ट्रेड के लिए मोबाइल प्रॉम्प्ट की उम्मीद करते हुए, पीड़ित प्रतिस्थापन ट्रेड को मंजूरी दे देता है। यह एक एकीकृत फोरेंसिक वॉकथ्रू है जो दिखाता है कि न्यूनतम विशेषाधिकार (OWASP A01:2021) की अनुपस्थिति स्वचालित, सब-सेकंड संपत्ति अपहरण को कैसे सक्षम करती है। नेटवर्क से देखा गया वही कदम पूर्व-2023 पैटर्न का पुनर्निर्माण · आदर्श कॉल आकार **हमलावर** लिंक उस खाते से भेजा जाता है जिस पर पीड़ित पहले से ही भरोसा करता है। **पीड़ित** एक दोस्त का संदेश पढ़ता है, अजनबी का नहीं। **Steam देखता है** दो मित्र खातों के बीच एक चैट संदेश। ``` Channel Steam chat / Steam group invite Payload a link to an external host No Steam API call is made at this stage. Nothing in this step is anomalous to the platform. ``` **यह काम क्यों करता है:** खर्च किया जा रहा ट्रस्ट समझौता किए गए मित्र खाते का है, न कि हमलावर का। **पीड़ित** Steam पासवर्ड और ईमेल सुरक्षा कोड को एक नकली पृष्ठ में दर्ज करता है। **हमलावर सर्वर** प्रमाण-पत्रों को और परिणामस्वरूप उत्पन्न होने वाली सत्र कुकी को कैप्चर करता है। **Steam देखता है** एक सफल साइन-इन जिसने दो-चरणीय प्रमाणीकरण को पूरा किया। ``` Captured steamLoginSecure = Captured Steam Guard code (single use, already spent) From this point the attacker holds an authenticated session. The second factor has been used, not bypassed. ``` **यह काम क्यों करता है:** टू-फैक्टर ऑथेंटिकेशन लॉगिन के क्षण की सुरक्षा करता है। यह सुरक्षा नहीं करता कि परिणामी सत्र बाद में क्या कर सकता है। **हमलावर सर्वर** पीड़ित के खाते पर डेवलपर वेब कुंजी API पंजीकृत करता है। **पीड़ित** कोई संकेत और कोई सूचना प्राप्त नहीं होती। **Steam देखता है** एक प्रलेखित एंडपॉइंट का उपयोग करके प्रमाणीकृत सत्र। ``` POST steamcommunity.com/dev/ajaxregisterkey Cookie: steamLoginSecure= Body: agreeToTerms=agreed&domain=localhost A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog. ``` **यह संरचनात्मक कदम है।** एक सत्र कुकी को एक टिकाऊ, पूर्ण-अधिकार वाला प्रमाणपत्र में परिवर्तित किया जाता है — यह दोष धारा 5 में OWASP ASVS 2.8 और A01:2021. के रूप में दर्ज किया गया है। **हमलावर स्क्रिप्ट** व्यापार प्रस्तावों के लिए मतदान, असली को रद्द करता है, एक प्रतिलिपि भेजता है। **पीड़ित** अभी-अभी एक वैध व्यापार शुरू किया है और इसकी पुष्टि का इंतजार कर रहा है। **Steam देखता है** उस खाते के लिए जारी की गई वैध कुंजी के साथ वैध API कॉल। ``` GET IEconService/GetTradeOffers/v1 ← polled POST IEconService/CancelTradeOffer/v1 ← voids the real offer POST new offer from a clone bot (matching name and avatar) Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed. ``` **यह काम क्यों करता है:** कुंजी में कोई केवल-पठन दायरा नहीं था, इसलिए सूची पढ़ने वाला प्रमाण-पत्र भी लेनदेन रद्द और बना सकता था। **पीड़ित** मूल व्यापार के लिए अपेक्षित मोबाइल प्रॉम्प्ट को अनुमोदित करता है। **हमलावर** क्लोन खाते में आइटम प्राप्त करता है। **Steam देखता है** खाताधारक द्वारा पंजीकृत डिवाइस पर पुष्टि किया गया स्थानांतरण। ``` Confirmation genuine — made by the account holder Recipient the clone bot, not the intended counterparty The confirmation is authentic. The offer it confirms is not the one the user initiated. ``` **छोड़कर गया रिकॉर्ड:** एक ऐसा व्यापार जिसे उपयोगकर्ता ने मंजूरी दी। यही वह रिकॉर्ड है जो Steam सपोर्ट तब पढ़ता है जब शिकायत आती है, और यही कारण है कि संग्रहीत शिकायतों को उपयोगकर्ता की त्रुटि के रूप में बंद कर दिया गया था। शिकायतें हैं [प्रवर्तन अभिलेखागार](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records). भाग A — तकनीकी अभिलेख · अनुभाग 7 ## क्रम के पीछे के एंडपॉइंट्स। प्रसंग और स्रोत सीमाएँ ये वे Steam वेब API एंडपॉइंट्स हैं जिनका उपयोग रिपोर्ट की गई हाईजैक स्क्रिप्ट्स ने ट्रेड्स को इंटरसेप्ट करने के लिए किया, बिना ब्राउज़र-साइड पुष्टि प्रक्रियाओं से गुज़रे। चार दस्तावेजीकृत एंडपॉइंट्स पूरा काम कर देते हैं। इनमें से कोई भी खामी नहीं है, किसी का भी शोषण करने की आवश्यकता नहीं — एक वैध कुंजी उन्हें कॉल करती है और Steam उत्तर देता है। **कुंजी ही एकमात्र चीज़ थी जिसे हमलावर को चुराना था।** आईईकॉनसर्विस / गेटट्रेडऑफ़र्स / v1 मतदान खाते की ट्रेड ऑफ़र्स की निगरानी के लिए उपयोग किया जाता है। स्क्रिप्ट्स इस एंडपॉइंट को समझौता किए गए API कुंजी के साथ बार-बार पोल करती हैं; यह नए बनाए गए, लंबित या संशोधित ट्रेड ऑफ़र्स का विवरण लौटाती है। पोलिंग अंतराल यहां मापे नहीं जाते। **धमकी वेक्टर:** लंबित व्यापार प्रस्ताव आईडी और प्राप्तकर्ता की प्रोफ़ाइल विवरण प्रकट करता है। आईईकॉनसर्विस / रद्द करें ट्रेड ऑफर / v1 परस्पर क्रिया उपयोगकर्ता के वैध व्यापार प्रस्ताव को प्रोग्रामेटिक रूप से अमान्य करने के लिए प्रयुक्त। 2023 से पहले, कोई स्टेप-अप प्रमाणीकरण कुंजी की सुरक्षा नहीं करता था, इसलिए एक स्वचालित सर्वर जैसे ही इसे पहचान लेता, बिना खाताधारक से कोई पुष्टिकरण मांगे प्रस्ताव को रद्द कर सकता था। **धमकी वेक्टर:** खाता धारक द्वारा मोबाइल पुष्टि पूरी करने से पहले व्यापार को रद्द कर देता है। आईस्ट्रीमयूज़र / खिलाड़ी सारांश प्राप्त करें / v2 निरीक्षण वैध व्यापार प्राप्तकर्ता का प्रोफ़ाइल नाम, अवतार छवि URL और स्तर प्राप्त करने के लिए क्वेरी की गई। इससे स्क्रिप्ट को मिलान के लिए तैयार क्लोन खाते को तैयार करने की अनुमति मिलती है। यहां कोई समय मापा नहीं जाता। **धमकी वेक्टर:** लक्षित प्राप्तकर्ता का भेष धारण करने के लिए आवश्यक डेटा प्रदान करता है। /dev/ajaxregisterkey सृजन Steam की कुंजियों के लिए पंजीकरण एंडपॉइंट। ऐतिहासिक रूप से, कोई भी सक्रिय ब्राउज़र कुकी सत्र (`steamLoginSecure`) मोबाइल डिवाइस पर Steam गार्ड पुष्टि के बिना, और खाता धारक को किसी भी सूचना दिए बिना, एक कुंजी पंजीकृत कर सकता था। **धमकी वेक्टर:** एक स्क्रिप्ट द्वारा बनाई गई एक स्थायी क्रेडेंशियल, जिसे खाता धारक देख नहीं पाता। भाग A — तकनीकी अभिलेख · अनुभाग 8 · GDPR लेख 7 ## एक चेक किया हुआ बॉक्स। किसकी कार्रवाई? प्रसंग और स्रोत सीमाएँ रिइम्बर्समेंट अस्वीकार करते समय, आर्काइव में संरक्षित Steam समर्थन प्रतिक्रियाएँ यह स्थिति अपनाती हैं कि खाता धारक ने API कुंजी बनाई और बॉक्स पर टिक करके शर्तों को स्वीकार किया। समर्थन प्रतिक्रिया कुंजी को खाते के धारक से जोड़ती है। प्रश्न यह है कि क्या रिकॉर्ड यह स्थापित करता है कि वास्तव में इसे किसने बनाया था। पर्यवेक्षित API–key हाईजैक पैटर्न में, हालांकि पीड़ित ने कभी भी API key निर्माण पृष्ठ को नहीं देखा या उस पर नेविगेट नहीं किया। सहमति फ़ील्ड को चोरी की गई सत्र कुकी के साथ हेडलेस POST करने वाली स्क्रिप्ट द्वारा सबमिट किया जाता है। GDPR के अनुच्छेद 7 और अनुच्छेद 4 (11) के तहत, सहमति डेटा विषय की इच्छाओं का स्वतंत्र रूप से दिया गया, विशिष्ट, सूचित और अस्पष्ट रहित संकेत होना चाहिए। लेखकों का मानना है कि एक शत्रुतापूर्ण स्क्रिप्ट द्वारा चोरी की गई कुकी के साथ प्रस्तुत किया गया, बिना खाताधारक को कोई पृष्ठ दिखाए, नियम-स्वीकृति फ़ील्ड उस परिभाषा को पूरा नहीं कर सकता। यह निर्णय पर्यवेक्षी प्राधिकरण पर निर्भर है। फोरेंसिक पेलोड विश्लेषण: कुंजी पंजीकरण पोस्ट https://steamcommunity.com/dev/ajaxregisterkey // Request Payload (Injected via hijacking script) { **शर्तों से सहमत हैं**: सहमत हूँ , <-- मशीन-इनजेक्टेड, कोई मानवीय हस्तक्षेप नहीं **डोमेन**: स्थानीय होस्ट , ← सत्यापित नहीं — कोई भी मान स्वीकार्य है, जिसमें localhost भी शामिल है सत्र आईडी: 8f0d8ef763ab2140bf89de2a } **निरिक्षण प्राधिकरण के लिए प्रश्न:** जहाँ खाताधारक ने सहमति क्षेत्र पर कभी क्लिक नहीं किया, क्या खाते के विरुद्ध दर्ज शर्तों की स्वीकृति अनुच्छेद 7 की डेटा विषय की इच्छाओं के स्वतंत्र रूप से दिए गए, विशिष्ट, सूचित और स्पष्ट संकेत की आवश्यकता को पूरा करती है, और क्या Steam सपोर्ट दावे को अस्वीकार करने के लिए इस पर भरोसा कर सकता है। स्रोत: सार्वजनिक एंडपॉइंट और साक्ष्य संग्रह में संरक्षित हाईजैक रिपोर्टों से पुनर्निर्मित कुंजी पंजीकरण के आकार का अनुरोध ([2026-09-17 की खोजने योग्य बिल्ड](https://phishdestroy.io/steam_dossier/steam_evidence_archive)) · दिखाया गया सत्र पहचानक एक प्लेसहोल्डर है, कैप्चर किया गया मान नहीं। न्यायिक शव-परीक्षा · प्रतिस्थापन व्यापार वेक्टर ### Valve ने आखिरकार "ट्रेड सब्स्टिट्यूशन" को कैसे निष्प्रभावी किया — और 7 को इसके लिए वर्षों तक कामचलाऊ समाधान क्यों अपनाने पड़े लगभग एक दशक से, **API की मुख्य व्यापार प्रतिस्थापन (या API का MitM घोटाला)** Steam पर सबसे अधिक लाभदायक खाता चोरी मॉडल था, जिसने अनजान खिलाड़ियों से स्किन्स के रूप में सैकड़ों मिलियन डॉलर निकाल लिए। Valve ने कमजोर API आर्किटेक्चर को ठीक करके इस एक्सप्लॉइट को खत्म नहीं किया; इसके बजाय, Valve ने सात साल बिताए प्लेटफ़ॉर्म-व्यापी चार अवरोधक परतें लगाकर, जिससे समुदाय के व्यापार की तरलता ठप हो गई, जबकि मूल कारण अनसुलझा रह गया। 1. अनुकरण मृत्यु #### अवतार और नाम कूलडाउन (फरवरी 2024) इस शोषण के लिए सब-सेकंड नकल की आवश्यकता थी: स्कैम बॉट ने एक आउटगोइंग ट्रेड को इंटरसेप्ट किया, प्राप्तकर्ता का अवतार/नाम स्क्रैप किया via `ISteamUser`, और प्रोफ़ाइल को 200ms. में क्लोन किया। 14 फरवरी 2024, पर Valve ने चुपचाप एक अनिवार्य लागू किया। **2-टू-4 घंटे का ट्रेड कूलडाउन (त्रुटि 34)** किसी भी प्रोफ़ाइल नाम या अवतार परिवर्तन के तुरंत बाद। एक बॉट अब प्राप्तकर्ता को तुरंत क्लोन नहीं कर सकता, बिना खुद को ट्रेडिंग से लॉक आउट किए। 2. आर्थिक मृत्यु #### 7-डे सीएस2 ट्रेड रिवर्सल (जुलाई 2025) Valve एकपक्षीय पेश किया गया **व्यापार पलटफेर** काउंटर-स्ट्राइक आइटम्स के लिए। किसी भी ट्रेड की गई स्किन पर सात दिनों के लिए "Trade Protected" टैग लगा रहता है। यदि पीड़ित को प्रतिस्थापन का पता चलता है, तो वे Steam सपोर्ट में "Reverse Trade" पर क्लिक करते हैं, और स्किन तुरंत उनकी इन्वेंटरी में वापस आ जाती है, साथ ही प्राप्तकर्ता का खाता फ्रीज हो जाता है। क्योंकि 7-के दिन के ट्रेड लॉक से स्कैमर आइटम को कैशआउट साइट पर नहीं भेज सकते, इसलिए चोरी लाभहीन हो जाती है। 3. मौन कुंजी मृत्यु #### API के लिए अनिवार्य मोबाइल पुश (दिसंबर 2023) ऐतिहासिक रूप से, एक चोरी की गई सत्र कुकी ने दुर्भावनापूर्ण स्क्रिप्ट्स को एक हेडलेस बैकग्राउंड POST करने की अनुमति दी। `/dev/ajaxregisterkey` पीड़ित को सूचित किए बिना। 4 दिसंबर 2023,Valve ने Steam मोबाइल ऐप पर वेब API कुंजी उत्पन्न करने के लिए एक स्पष्ट पुश पुष्टि अनिवार्य कर दी, जिससे चुपचाप पृष्ठभूमि कुंजी प्रावधान समाप्त हो गया। 4. ऐप में मोबाइल चेतावनियाँ #### खाते की आयु और नाम बैनर (2022–2024) Valve व्यापार भागीदार को प्रदर्शित करने के लिए मोबाइल पुष्टि मोडाल को नया रूप दिया। **Steam खाता कार्यकाल (सृजन तिथि)**, Steam स्तर, और एक स्पष्ट एम्बर चेतावनी: *इस उपयोगकर्ता ने हाल ही में अपना प्रोफ़ाइल नाम बदला है।*, चौकस शिकारों के लिए दृश्य भ्रम को तोड़ते हुए। Valve के पैचवर्क में तीन खामियाँ: ठगों ने लक्ष्य क्यों बदल लिए **1. गेम अपवाद का छेद (डोटा 2 और TF2)** ट्रेड रिवर्सल्स विशेष रूप से काउंटर-स्ट्राइक 2. के लिए तैनात किए गए थे। **डोटा 2 और टीम फोर्ट्रेस 2 की वस्तुएँ पूरी तरह से असुरक्षित हैं।** क्राफ्टिंग और सॉकेटिंग की जटिलताओं के कारण। हजारों डॉलर मूल्य की उच्च-स्तरीय वस्तुएँ (Dragonclaw Hooks, Golden Baby Roshans, Unusual TF2 burning flames) में कोई रिवर्सल विंडो नहीं होती। स्कैमर्स ने बस स्वचालित API इंटरसेप्शन को Dota 2 और TF2 ट्रेडर्स पर रीडायरेक्ट कर दिया, जहाँ Steam सपोर्ट अपनी 2016 "नो आइटम रिस्टोरेशन" नीति को सख्ती से लागू करता है। **2. "ज़ॉम्बी की" जलाशय (शून्य समाप्ति)** जबकि Valve ने मोबाइल पुश 2FA उत्पन्न करने के लिए जोड़ा *नया* कुंजी दिसंबर में2023, **Valve मौजूदा लीगेसी API कुंजियों को कभी रद्द, समाप्त या साफ़ नहीं किया गया।**. लाखों सक्रिय खाते जिन्होंने कुंजीएँ उत्पन्न कीं (या जिनकी कुंजीएँ फ़िशिंग/मैलवेयर द्वारा 2023 से पहले चुपचाप बनाई गई थीं) अभी भी सक्रिय क्रेडेंशियल्स के साथ मौजूद हैं **शून्य समाप्ति (कोई TTL नहीं) और शून्य निष्क्रियता टाइमआउट**. खतरे के कर्ता इन स्थायी कुंजियों का विशाल ऐतिहासिक डेटाबेस बनाए रखते हैं, और लगातार पोल करते रहते हैं `IEconService` अबाधित **3. पीड़ित दंड: 30-डे ट्रेडिंग लॉकडाउन** CS2 में भी, Valve धोखा खाए गए खिलाड़ी को दंडित करता है: Steam सपोर्ट में "Reverse Trade" पर क्लिक करने से स्वचालित रूप से एक **पीड़ित के खाते पर अनिवार्य 30--डे ट्रेडिंग और कम्युनिटी मार्केट प्रतिबंध**Valve उपयोगकर्ता को "बेबुनियाद" रिवर्सलों के खिलाफ निवारक के रूप में एक महीने के लिए प्लेटफ़ॉर्म से निष्कासित कर दंडित करता है, जिससे पीड़ितों को कम-मूल्य वाले तरल आइटमों पर ट्रेड रिवर्स करने से हतोत्साहित किया जाता है। मुख्य नियामक घोटाला: सात वर्षों के कामचलाऊ उपायों बनाम एक API दायरा Valve ने उद्योग-मानक समाधान लागू करने के बजाय व्यापार होल्ड, खाता कूलडाउन और रिवर्सिबल ट्रेड लॉक जैसी चीज़ें आविष्कार करने में सात साल क्यों बिताए—जिससे पूरी गेमिंग अर्थव्यवस्था में उथल-पुथल मच गई और बाजार पूंजीकरण में $104मिलियन का नुकसान हो गया? Valve की आधिकारिक Steamworks रिलीज़ 16 जनवरी 2026 (घोषणा) द्वारा प्रमाणित। [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve पहले से ही बना हुआ **दानेदार अनुमति समूह (सामान्य, माइक्रोट्रांजेक्शन, अर्थव्यवस्था, बिक्री डेटा)** और **आईपी व्हाइटलिस्टिंग** कॉर्पोरेट पब्लिशर कीज़ के लिए। Valve के पास वर्षों से इंजीनियरिंग समाधान हाथ में था। एक ही उपयोगकर्ता-सामना वाला चेकबॉक्स—*इस वेब API कुंजी को IEconService (ट्रेड मैनेजमेंट) तक पहुँचने से रोकें।* या एक होम आईपी व्हाइटलिस्ट—ने 2018 में व्यापार प्रतिस्थापन घोटाले को शून्य आर्थिक सह-क्षति के साथ समाप्त कर दिया होता।Valve ने नियमित खिलाड़ियों को वह सुरक्षा देने से इनकार कर दिया जो उसने कॉर्पोरेट भागीदारों के लिए तैयार की थी। भाग बी — नियम और प्रवर्तन अभिलेख · धारा 9 ## उनकी नियमावली। रिकॉर्डेड प्लेटफ़ॉर्म। प्रसंग और स्रोत सीमाएँ यह लेजर से स्पष्ट प्रावधानों को मानचित्रित करता है **Steam सब्सक्राइबर समझौता (एसएसए)** और **Steam ऑनलाइन आचरण (एसओसी)** सीधे तौर पर सक्रिय, बड़े पैमाने पर वाणिज्यिक संस्थाओं के खिलाफ दिशानिर्देश। **नियम:** कोई व्यावसायिक उपयोग नहीं, कोई जुआ नहीं, कोई बॉट्स नहीं — और Steam पीड़ित की वस्तुएँ वापस करने से इनकार करते समय इन शर्तों का हवाला देता है। **रिकॉर्ड:** वे ही प्रावधान, स्पष्ट रूप से, इस रजिस्टर में व्यावसायिक प्लेटफ़ॉर्मों को कवर करते हैं, जो Steam पहचानों, Steam बॉट्स और Steam ट्रांसफ़र्स पर चलते हैं। **यह प्रावधान उन व्यक्तियों पर लागू होता है जिन्होंने स्किन्स खोए हैं, न कि किसी भी प्रकाशित रिकॉर्ड में उन्हें स्थानांतरित करने वाले व्यवसायों पर।** आर्काइव की गई शिकायतों में, Steam सपोर्ट उद्धृत करता है वाणिज्यिक उपयोग निषिद्ध और कोई ऑटोमेशन/बॉट्स नहीं API-key धोखाधड़ी के शिकारों को वस्तुएँ पुनर्स्थापित करने से इनकार करते समय लागू होने वाली शर्तें। ये शर्तें इस दस्तावेज़ में दर्ज वाणिज्यिक प्लेटफ़ॉर्मों पर भी प्रत्यक्ष रूप से लागू होती हैं, जो Steam OpenID के माध्यम से प्रमाणीकरण करते हैं और स्वचालित Steam खातों के जरिए वस्तुएँ स्थानांतरित करते हैं। यहाँ कोई समग्र बाज़ार राजस्व आंकड़ा अनुमानित नहीं किया गया है (नीचे प्रवर्तन सांख्यिकी देखें)। रिकॉर्ड से पता चलता है कि संग्रहीत मामलों में व्यक्तिगत खातों पर नियम लागू किया गया है और प्लेटफ़ॉर्मों के लिए प्रति-ऑपरेटर कोई प्रकाशित प्रवर्तन रिकॉर्ड नहीं है। इस असममितता को ही यह अनुभाग दस्तावेज़ित करता है। मुख्य प्रश्न / चयनात्मक प्रवर्तन नियम → पैमाना → जवाबदेही ### एक नियमपुस्तिका। असमान प्रवर्तन। Steam रजिस्टर दिखाता है कि वाणिज्यिक सेवाएँ ऑपरेटिंग इंफ्रास्ट्रक्चर के रूप में ईमेल पते, इन्वेंटरी, बॉट्स और ट्रांसफर का उपयोग कर रही हैं। SSA बिना अनुमति के वाणिज्यिक शोषण और स्वचालन पर प्रतिबंध लगाता है। संग्रहित शिकायतों से पता चलता है कि यह नियम व्यक्तिगत खातों पर लागू किया गया था, जबकि सार्वजनिक रिकॉर्ड में यहाँ दस्तावेजीकृत प्लेटफ़ॉर्मों के लिए प्रत्येक ऑपरेटर-वार खाता नहीं दिखता। प्रत्येक के लिए नियम, साक्ष्य और प्रवर्तन निर्णय प्रकाशित करें। **189** ऑडिट के दायरे में वेबसाइटें **44** लाइव रजिस्टर में अलग-डोमेन राउट्स — 27 एक प्रकाशित साक्ष्य फ़ाइल के साथ, और 17 मैन्युअल रूप से एकत्रित। केवल 189-वेबसाइट ब्राउज़र ऑडिट ने इनमें से 25 को हल किया; रजिस्टर मैन्युअल रूप से एकत्रित राउट्स को जोड़ता है। **12 वर्ष6ह** csgogem.com लिंक फ़िल्टर में अवरुद्ध; `api.csgem.com` 2014-03-08 पंजीकृत और कभी अवरुद्ध नहीं — 2026-09-22 तक ऐसे 26 युग्मों में से एक। **कोई सत्यापित कुल नहीं** बाज़ार-व्यापी राजस्व अनुमान शामिल नहीं किया गया Steam ऑनलाइन आचरण > "…you shall not do, or attempt to do, any of the following on Steam: […] Engage in commercial activity. Examples of such prohibited behavior include: posting advertisements; running contests; **gambling**; buying or selling Steam accounts; selling content, gift cards, or other items; and begging." [store.steampowered.comऑनलाइन आचरण ↗](https://store.steampowered.com/online_conduct) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct) एसएसए § 2.G — वाणिज्यिक उपयोग > "…[you may not] exploit the Content and Services or any of its parts for any commercial purpose, except as expressly permitted elsewhere in this Agreement…" Valve की 2016 सूचनाओं ने, जैसा कि रिपोर्ट किया गया है, व्यक्तिगत, गैर-व्यावसायिक लाइसेंस का सहारा लिया। किसी भी ऑपरेटर ने रिकॉर्ड पर Valve प्राधिकरण प्रस्तुत नहीं किया है। [store.steampowered.com/सदस्यता_अनुबंध ↗](https://store.steampowered.com/subscriber_agreement/) [संग्रहीत 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) Steam वेब API उपयोग की शर्तें > "You may not use the Steam Web API or Steam Data in any way that violates the Steam Subscriber Agreement." तृतीय-पक्ष स्किन मार्केटप्लेस स्वचालित खातों के माध्यम से SteamAPI का उपभोग करते हुए संचालित होते हैं। नियम पाठ वाणिज्यिक पैमाने के लिए कोई अपवाद नहीं छोड़ता। [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) एसएसए § 4.C #### स्वचालन स्क्रिप्ट्स, बॉट्स और गैर-मानवीय इंटरैक्शन प्रतिबंधित हैं। लेजर वाणिज्यिक स्तर पर बॉट ट्रेडिंग, अकाउंट फार्म्स और स्वचालित रूटिंग को रिकॉर्ड करता है। [निरीक्षण करें ओह इस खंड के अंतर्गत टैग किए गए रिकॉर्ड](https://phishdestroy.io/steam_dossier/hi/#legal-ledger-workspace-section) एसएसए § 2.G #### व्यावसायिक उपयोग व्यावसायिक शोषण के लिए स्पष्ट अनुमति आवश्यक है। दस्तावेजीकृत व्यावसायिक मॉडलों, उनके पैमाने और किसी भी प्रकटीकृत प्राधिकरण या प्रवर्तन की तुलना करें। [निरीक्षण करें ओह इस खंड के अंतर्गत टैग किए गए रिकॉर्ड](https://phishdestroy.io/steam_dossier/hi/#legal-ledger-workspace-section) एसएसए § 3.A #### वीपीएन और स्थान छुपाना आईपी प्रॉक्सी के माध्यम से निवास स्थान छिपाने से सेवा समाप्ति हो सकती है। अलग-डोमेन प्रमाणीकरण होस्ट्स के लिए एक अलग विश्लेषण आवश्यक है: यह निर्धारित करें कि क्या छिपाया गया है और कौन सा नियम लागू होता है। [auth-host साक्ष्य का निरीक्षण करें](https://phishdestroy.io/steam_dossier/hi/#proxy-bypass-explainer) Steam सहायता / यूआरएल नीति #### लिंक अस्पष्टीकरण Steam लिंक शॉर्टनर और उन उपकरणों को प्रतिबंधित करता है जो लिंक गंतव्यों को अस्पष्ट करते हैं। एक अलग auth डोमेन — `rbsnin.com` Rollbit के लॉगिन फ्लो में, `auth.dota.trade` CS.MONEY में — यह तुलनीय प्रश्न उठाता है कि क्या Steam के OpenID सत्यापनकर्ता को दिखाया गया गंतव्य संचालन स्थल की पहचान करता है। [Valve की URL नीति ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36) नियम संदर्भ: [Steam सब्सक्राइबर समझौता, संशोधन 10 सितंबर 2026](https://store.steampowered.com/subscriber_agreement/) [संग्रहीत 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam वेब API उपयोग की शर्तें](https://steamcommunity.com/dev/apiterms) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam यूआरएल नीति (लिंक अस्पष्टीकरण)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). काउंट्स इस डोजियर के रिकॉर्ड और टैग का वर्णन करते हैं; ये निर्णयित उल्लंघनों की संख्या नहीं हैं। विश्वास की कमी #### जब सहायता विभाग मामला बंद कर देता है, तो उस निर्णय की समीक्षा कौन करता है? संरक्षित शिकायतों में स्थायी प्रतिबंध, अनुत्तरित चुनौतियाँ और चोरी की गई वस्तुओं को पुनर्स्थापित करने से इनकार का वर्णन है। उन विवरणों की तुलना वास्तविक टिकट इतिहास, उपलब्ध उपायों और खाते तक पहुँच लॉग से करें। एक सामान्य फ़िशिंग स्पष्टीकरण यह स्थापित नहीं कर सकता कि किसने रीसेट शुरू किया या 'API' कुंजी बनाई। [कैप्चर की गई शिकायतें पढ़ें ↗](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records)[मूल अभिलेखों का अनुरोध करें →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook)[मॉडरेटर संबंध ग्राफ़ →](https://phishdestroy.io/steam_dossier/social_graph) भाग बी — नियम और प्रवर्तन अभिलेख · धारा 10 ## एक स्वचालन API। स्वचालन के खिलाफ एक नियम। प्रसंग और स्रोत सीमाएँ इस खंड का प्रश्न यह है कि दोनों को कैसे सामंजस्यपूर्ण बनाया जाए: API के कौन से उपयोग अधिकृत हैं, इन्हें किसने अधिकृत किया है, और किन प्रकाशित मानदंडों के आधार पर। यहाँ अधिकृत वाणिज्यिक API उपयोगकर्ताओं की कोई संख्या अनुमानित नहीं की गई है, और प्रकाशित सूची की अनुपस्थिति से कोई संख्या निहित नहीं होती — अनुपस्थिति ही निष्कर्ष है, न कि उसके पीछे कोई संख्या। उपरोक्त उद्धृत Steam समर्थन संदेश ArchiSteamFarm परियोजना द्वारा अपनी FAQ में पुनरुत्पादित किए गए हैं (शब्दशः सत्यापित 2026-09-22); ये Valve प्रकाशन नहीं हैं, और जिन्हें ये संदेश भेजे गए थे उन खातों की पहचान नहीं की गई है। **नियम (एसएसए § 4.C):** Steam पर कोई स्क्रिप्ट, कोई बॉट, कोई गैर-मानवीय सिस्टम नहीं। **रिकॉर्ड:** Valve एक हेडलेस REST API प्रदान करता है, जिसका पूरा उद्देश्य सर्वर-टू-सर्वर ऑटोमेशन है, और किसी भी खाते की चाबी सौंप देता है। **उपयोगकर्ताओं को ऑटोमेशन के लिए प्रतिबंधित किया जाता है; ऑटोमेशन इंटरफ़ेस Valve का अपना उत्पाद है।** कौन से व्यावसायिक उपयोग अधिकृत हैं, यह कभी प्रकाशित नहीं किया गया है। ### "गेम डेवलपर" भ्रम स्टीमवर्क्स एसडीके (वैध) वैध गेम स्टूडियो द्वारा अपने गेम क्लाइंट्स में उपलब्धियाँ, मैचमेकिंग और लीडरबोर्ड्स को एकीकृत करने के लिए उपयोग किया जाता है। इसके लिए जटिल C++ एकीकरण और आधिकारिक पार्टनर ऑनबोर्डिंग की आवश्यकता होती है। Steam वेब API (दरार) एक हेडलेस JSON/REST आर्किटेक्चर जो बाहरी वेब सर्वरों के लिए डिज़ाइन किया गया है। यहाँ दस्तावेज़ित हाइजैक पैटर्न में इसका उपयोग रिमोट सर्वरों से इन्वेंटरी पढ़ने और पीयर-टू-पीयर ट्रेड्स को मैनिपुलेट करने के लिए किया जाता है; इसके वैध उपयोग इस दस्तावेज़ में सूचीबद्ध नहीं हैं। कुंजी किसके लिए है एक सामान्य Steam उपयोगकर्ता को इन-क्लाइंट में वेब API कुंजी की कोई आवश्यकता नहीं होती; यह कुंजी पेज एक डेवलपर URL के अंतर्गत रहता है और इसका दस्तावेजीकृत उद्देश्य बाहरी, सर्वर-साइड एक्सेस है। संग्रहीत हाईजैक शिकायतों में उन पीड़ितों का वर्णन है जिन्हें तब तक इस पेज के अस्तित्व का पता नहीं था जब तक कि उनकी खाता पर एक कुंजी पंजीकृत नहीं हो गई थी। #### स्वचालन का विरोधाभास एसएसए § 4.C प्रदान करता है: आप Steam पर सामग्री और सेवाओं के साथ किसी भी प्रकार से संवाद करने के लिए किसी भी प्रकार की स्क्रिप्ट्स, बॉट्स, मैक्रोज़, या अन्य गैर-मानव-नियंत्रित प्रणालियों ('ऑटोमेशन') का उपयोग नहीं कर सकते। फिर भी वेब API एंडपॉइंट्स (जैसे `CancelTradeOffer`) इन्हें किसी मानवीय UI या कैप्चा की आवश्यकता नहीं होती और ये Steam क्लाइंट को पूरी तरह बाईपास कर देते हैं। API को सर्वर-टू-सर्वर ऑटोमेशन के लिए डिज़ाइन किया गया है; नियम उपयोगकर्ताओं द्वारा ऑटोमेशन को प्रतिबंधित करता है; दोनों के बीच की सीमा प्रकाशित नहीं की गई है। #### व्यापार प्रवाह में सर्वर-साइड स्थिति एक वेब API कुंजी तीसरे पक्ष के सर्वर को Steam क्लाइंट के बिना खाते के ट्रेड्स पर कार्रवाई करने की अनुमति देती है। हाइजैक पैटर्न में, वह सर्वर खाता धारक और ट्रेड सर्वर के बीच स्थित होता है। - → की की क्रियाओं के लिए कोई ट्रेड-पुष्टि स्क्रीन नहीं दिखाई जाती है। - → पृष्ठभूमि पोलिंग (GetTradeOffers) की अनुमति देता है। - → उपयोगकर्ता की सहभागिता के बिना ऑफ़र्स को रद्द और पुनः जारी करता है। Valve इंटरफ़ेस बनाया, अपने नियमों में उपयोगकर्ता स्वचालन पर प्रतिबंध लगाया, और इस बात के कोई मानदंड प्रकाशित नहीं किए हैं कि कौन से व्यावसायिक उपयोग अधिकृत हैं। भाग बी — नियम और प्रवर्तन अभिलेख · धारा 11 ## दस दिनों की मांग। दस सालों का हिसाब। प्रसंग और स्रोत सीमाएँ 20 जुलाई 2016 Valve के मुख्य कानूनी सलाहकार ने जुआ संचालकों को 10-दिन की समयसीमा दी। दस साल बाद (डॉसियर स्नैपशॉट के अनुसार, 2026-09-21) उस नोटिस में नाम आए कम से कम एक प्लेटफ़ॉर्म, CSGOFast, अभी भी एक अलग-डोमेन ऑथ होस्ट के साथ संचालित हो रहा है। नीचे की शब्दावली 21 जुलाई 2016 की प्रेस रिपोर्टों से पुनर्निर्मित की गई है; यह पुनर्निर्माण स्कैन नहीं है। सूचना में निहित प्रवर्तन रिकॉर्ड प्रकाशित नहीं किया गया है। आयोग को खुला पत्र है [धारा 2](https://phishdestroy.io/steam_dossier/hi/#wsgc-public-address). बाद के अवलोकनों के बगल में जुलाई के 2016 नोटिस को पढ़ें। बकाया मांग ऑपरेटर-दर-ऑपरेटर प्रवर्तन रिकॉर्ड है। एक सप्ताह पहले — 13 जुलाई 2016, सार्वजनिक रूप से पर [13 जुलाई 2016](https://store.steampowered.com/oldnews/22883) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)Valve ने बताया कि जुआ साइटों ने खाता पहचान के लिए Steam और व्यापार के लिए स्वचालित खातों का उपयोग कैसे किया।Valve ने कहा कि उन तंत्रों का उपयोग करके जुआ व्यवसाय चलाना इसकी API और उपयोगकर्ता समझौतों का उल्लंघन था। **यंत्रणा का विवरण और प्रतिबंध दोनों ही Valve के स्वयं के दिनांकित बयान में हैं।** 2026-09-21 पर परीक्षण किए गए अलग-डोमेन प्रमाणीकरण होस्ट्स ने कोई लिंक फ़िल्टर ब्लॉक नहीं लौटाया, और Valve ने कोई प्रति-ऑपरेटर प्रवर्तन रिकॉर्ड प्रकाशित नहीं किया है। ### वॉल्व कॉर्पोरेशन बेलव्यू, डब्ल्यूए **दिनांक:** जुलाई 2016 (प्रेस द्वारा रिपोर्ट किया गया 21 जुलाई 2016) **से:** कार्ल क्वैकेनबुश, महाधिवक्ता **उत्तर:** Steam खातों के व्यावसायिक उपयोग को बंद करें और रोका जाए **नोट:** रिपोर्ट किए गए पाठ का पुनर्निर्माण; स्कैन नहीं हमें पता है कि आप नीचे सूचीबद्ध जुआ साइटों में से एक का संचालन कर रहे हैं। आप इस व्यवसाय को चलाने के लिए Steam खाते का उपयोग कर रहे हैं। Steam सदस्यता अनुबंध के तहत, Steam और Steam सेवाएँ केवल व्यक्तिगत, गैर-व्यावसायिक उपयोग के लिए लाइसेंस प्राप्त हैं। आपको तुरंत अपने Steam खातों का किसी भी व्यावसायिक उद्देश्य के लिए आगे का उपयोग बंद कर देना चाहिए। यदि आप ऐसा करने में विफल रहते हैं दस (10) दिनों के भीतर Valve सभी उपलब्ध उपायों का सहारा लेगा, जिसमें आपके खातों को समाप्त करना भी शामिल है, लेकिन यह इन्हीं तक सीमित नहीं है। जुलाई 2016 के नोटिस टेक्स्ट का पुनर्निर्माण, जिसे लेखकों ने 21 जुलाई 2016 की प्रेस रिपोर्टों से तैयार किया है। कार्ल क्वैकेनबुश मुख्य विधिक सलाहकार, Valve कॉर्प. समयरेखा जुलाई 2016 – सितम्बर 2026 सूचना में अंतिम तिथि: 10 दिन जुलाई2016 सूचना के बाद से बीता समय: 3,715 दिन 20 जुलाई 2016 से 21 सितंबर 2026, के दस्तावेज़ स्नैपशॉट तक का निश्चित गणना, यह कोई लाइव आंकड़ा नहीं है। प्रकाशित प्रवर्तन रिकॉर्ड: कोई नहीं टर्मिनेशन या ब्लॉकों का प्रति-ऑपरेटर खाता स्थित नहीं है। ◀ **दिन0–10** — पैमाने पर विस्तार करने की समयसीमा **दिन3715** — झलक ▶ - 20 जुलाई2016**दस-दिवसीय मांग जारी की गई***दिन0* - 17 फरवरी2024**डीएसए दायित्व लागू हैं***दिन2,768* - 25 फरवरी2026**एनवाई एजी शिकायत की घोषणा***दिन3,507* - 21 सितंबर 2026**डॉसियर स्नैपशॉट***दिन3715* दस साल बाद **सीएसगोफास्ट** — जिसे प्रेस रिपोर्टों में 2016 नोटिस के रूप में नामित किया गया है — परिचालन में है: csgofast.com ने 2026-09-19 और 2026-09-21, पर एक लिंक फ़िल्टर ब्लॉक लौटाया, जबकि इसका auth होस्ट `steam-login.authtofast.com` (पंजीकृत 2026-06-30) ने नहीं किया। Valve की सुरक्षा परिवर्तनों का पूर्ण दिनांकित रिकॉर्ड: [सुरक्षा समयरेखा →](https://phishdestroy.io/steam_dossier/security_timeline) · वाशिंगटन रिकॉर्ड और प्रवर्तन मानक: [नीचे](https://phishdestroy.io/steam_dossier/hi/#washington-record-heading) **रिकॉर्ड से पता चलता है:** 2016 नोटिस ने 10-दिन की समयसीमा निर्धारित की; Valve पहले से ही एक डोमेन सूची (लिंक फ़िल्टर) संचालित कर रहा था और अपनी OpenID अनुरोधों में प्रामाणिक होस्टनाम प्राप्त कर रहा था; किसी भी ऑपरेटर-विशिष्ट प्रवर्तन रिकॉर्ड का प्रकाशन नहीं किया गया है। सामुदायिक रिपोर्टों में एक मार्केटप्लेस (SkinJar) के खिलाफ 2018 कार्रवाई का वर्णन है, लेकिन वे रिपोर्टें अप्रमाणित हैं और यहाँ उन पर भरोसा नहीं किया गया है। सीएसगोफास्ट / सुरक्षित प्रमाणीकरण मार्ग ### घोषित रिटर्न होस्ट का अनुसरण करें। सहेजे गए मार्ग रिकॉर्ड लिंक `csgofast.com` के लिए `steam-login.authtofast.com`अलग होस्टनेम Steam OpenID अनुरोध में शामिल किया जाता है। यह जांचकर्ताओं को एक ठोस पता प्रदान करता है, जिसे वे Valve के फ़िल्टरिंग और प्रवर्तन रिकॉर्ड्स से तुलना कर सकते हैं। [CSGOFast मार्ग और इसके स्रोत की जाँच करें ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [सहेजे गए Steam लिंक फ़िल्टर परिणामों की तुलना करें ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) सार्वजनिक अभिलेख / वाशिंगटन · 2016 → 2026 ### दो समयसीमाएँ। एक अनुत्तरित प्रवर्तन मानक। **20 जुलाई** #### Valve जुआ साइटों को 10 दिन उसके वकील की मांग ने चेतावनी दी कि Steam खातों के निरंतर व्यावसायिक उपयोग से खाता समाप्त किया जा सकता है। **27 अलगाव** #### वाशिंगटन दबाव डालता हValve राज्य के जुआ आयोग ने जुआ के लिए स्किन ट्रांसफर रोकने के लिए उठाए गए कदमों के प्रमाण की मांग की और 14 अक्टूबर तक जवाब देने की समयसीमा निर्धारित की। **17 ओसीटी** #### Valve आरोप खारिज करता है Valve अंतिम तिथि के बाद जवाब दिया, यह विवादित किया कि उसने जुआ की सुविधा प्रदान नहीं की, कहा कि उसने संबंधित खातों को अक्षम कर दिया है, और कहा कि वह सभी के लिए ट्रेडिंग और OpenID बंद नहीं करना चाहता था। जुलाई नोटिसों की प्रेस रिपोर्टों में नाम आने वाले कम से कम एक प्लेटफ़ॉर्म (CSGOFast) एक दशक बाद भी संचालित हो रहा था। ये दोनों तथ्य केवल तभी सही हो सकते हैं जब ऑपरेटर ने निष्क्रिय किए गए खातों को बदल दिया हो; यह दिखाने वाला रिकॉर्ड प्रकाशित नहीं किया गया है। WSGC को इन दोनों तथ्यों के बीच सामंजस्य स्थापित करने के लिए Valve से पूछना चाहिए। **2026** #### सितंबर में देखे गए मार्ग2026 रूट रजिस्टर में OpenID और ट्रेडिंग तंत्र (Valve) का उपयोग करते हुए अलग-अलग डोमेन ऑथ होस्ट्स के माध्यम से प्रमाणित होने वाले ई44 प्लेटफ़ॉर्मों का रिकॉर्ड है, जिनमें CSGOFast शामिल है, जैसा कि 2016. में वर्णित है। कौन से ऑपरेटरों को काट दिया गया था, यह दिखाने वाला प्रवर्तन रिकॉर्ड अभी तक तैयार नहीं किया गया है। आयोग की अपनी ब्रीफिंग · 30 जनवरी 2018 #### Valve ने जवाब देने के अठारह महीने बाद भी नियामक ने इसे इरादा ही कहा। एचबी 2881 की सार्वजनिक सुनवाई में अपनी विधायिका को संक्षिप्त जानकारी देते हुए, आयोग ने जुलाई के 2016 बयान का वर्णन अपने शब्दों में किया: Valve **इसने स्किन्स जुए को सुगम बनाने के लिए अपने प्लेटफ़ॉर्म के उपयोग पर सख्त कार्रवाई करने का इरादा घोषित किया।** उसी पृष्ठ में यह दर्ज है कि उस घोषणा ने उद्योग के पूर्वानुमान को कैसे प्रभावित किया — *परिणामस्वरूप* अनुमानित 2020 त्वचा-जुआ बाज़ार को से संशोधित किया गया था **$19.7 billion** के लिए **$670 million**केवल इस घोषणा के दम पर लगभग 97% की कटौती। पूर्वानुमान में बदलाव आया। इसे औचित्यसंगत ठहराने वाला प्रति-ऑपरेटर प्रवर्तन रिकॉर्ड अभी तक प्रकाशित नहीं हुआ है। बाजार के आंकड़े आयोग की ब्रीफिंग में पुनरुत्पादित Narus Advisors / Eilers & Krejcik Gaming के अनुमान हैं, आयोग के निष्कर्ष नहीं; उसी दस्तावेज़ में '2016' स्किन सट्टेबाजी को लगभग $5 बिलियन बताया गया है, जिसमें से लगभग $3 बिलियन कैसीनो-शैली की साइटों पर है। प्राप्त किया गया 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`. Valve की सार्वजनिक 2016 स्थिति और आज की दृश्यमान अवसंरचना को एक साथ रखा जा सकता है। सवाल यह है कि क्या प्रवर्तन निषिद्ध ऑपरेटरों द्वारा उपयोग किए गए खातों और मार्गों तक पहुँच पाया। **दस दिन का नोटिस इस बात का प्रमाण नहीं है कि यह नोटिस नामित ऑपरेटरों तक लागू किया गया था।** 2018 OPSkins कार्रवाई नामित ऑपरेटर के खिलाफ एकमात्र दर्ज की गई हस्तक्षेप है; 189 प्लेटफ़ॉर्मों की जाँच की गई और प्रत्येक ऑपरेटर का कोई प्रकाशित रिकॉर्ड नहीं है, एकमात्र दर्ज की गई कार्रवाई प्रवर्तन के पैटर्न को नहीं दर्शाती। [वाशिंगटन जुआ आयोग की 2016 सूचना ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [संग्रहीत 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Valve की 17 अक्टूबर 2016 प्रतिक्रिया (दस्तावेज़ की प्रति) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [WSGC की विधायिका को ब्रीफिंग, 30 जनवरी 2018 (स्थानीय प्रति, 4 पृष्ठ) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [wsgc.wa.gov पर वही फ़ाइल ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [पुनर्प्राप्ति रिकॉर्ड और हैश ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [Valve का 2018 OPSkins एक्शन ↗](https://blog.counter-strike.net/expresstrade/) [संग्रहीत 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [वर्तमान मार्ग ऑडिट ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) फॉरेंसिक दीर्घकालिक ऑडिट · 2016 रोकने और मना करने के लक्ष्य ### 10-दिवस सूचना दशक: 23 नामित स्थलों का फोरेंसिक उत्तरजीविता ऑडिट 19–20 जुलाई 2016,Valve के जनरल काउंसल कार्ल क्वैकेनबुश ने 23 स्किन जुआ प्लेटफ़ॉर्म्स को औपचारिक रोक-और-निषेध नोटिस जारी किए, उन्हें Steam खातों के व्यावसायिक उपयोग को बंद करने का आदेश देते हुए **10 दिन** खाता समाप्त करने और कानूनी कार्रवाई की धमकी के तहत। 3,700 दिनों बाद, एक अनुभवजन्य ऑडिट से प्रवर्तन का असली पैटर्न सामने आता है: कई ऑपरेटरों ने कभी संचालन बंद नहीं किया, अन्य ने समयसीमा के बाद छह साल तक संचालन जारी रखा, और अरबों डॉलर का इकोसिस्टम Valve की ओपनआईडी आर्किटेक्चर का लाभ उठाता रहा। 5+ लाइव 2026 (CSGOBig, CSGO500, CSGOFast, आदि) में दृढ़ता से संचालित 6 वर्ष क्लोज़र से पहले नोटिस के बाद सबसे लंबा सक्रिय रहने का समय (2022 तक सक्रिय) $5.01B 2016 स्किन सट्टेबाजी की मात्रा (नारस / ईलर्स और क्रेजिक) 200+ बाजार के शिखर पर सक्रिय त्वचा जुआ साइटें | प्लेटफ़ॉर्म / डोमेन | जुलाई2016 सूचना | प्रवर्तन परिणाम और जीवित रहने की स्थिति | रिकॉर्डेड सत्यापन / प्राथमिक लिंक | | --- | --- | --- | --- | | CSGOBig csgobig.com | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Temporarily paused, relaunched; authenticates via letmeinbig.com & csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) | | CSGO500 csgo500.com / 500.casino | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Rebranded into 500 Casino (Curaçao license #8048/JAZ2014-037), multi-million monthly turnover | [Live Platform (500.casino) ↗](https://500.casino) | | CSGOFast csgofast.com | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Actively operating roulette, crash, and jackpot via steam-login.authtofast.com | [Dossier Auth Audit ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) | | CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Pivoted to esports coin wagering and crypto betting; maintained continuous operation | [Live Platform ↗](https://csgolounge.com) | | CSGOCasino csgocasino.net / csgocasino.gg | 10-Day Notice (Jul 2016) | LIVE VIA SUCCESSOR (2026) Domain redirected; active successor portal operates under csgocasino.gg | [Successor Domain ↗](https://csgocasino.gg/) | | CSGOatse csgoatse.com | 10-Day Notice (Jul 2016) | SURVIVED 6 YEARS (ACTIVE TO 2022) Continued full gambling operations for six years following Valve's 10-day ultimatum | [X: @CSGOatsecom (Active to 2022) ↗](https://x.com/CSGOatsecom) | | CSGOSweep csgosweep.com | 10-Day Notice (Jul 2016) | SURVIVED TO DEC 2017 Operated publicly for 17 months after deadline | [X: CSGOSweep Status Dec 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) | | CSGOWild csgowild.com | 10-Day Notice (Jul 2016) | SURVIVED TO DEC 2017 Promoted by major influencers; ran for 1.5 years post-C&D before crypto migration | [X: @Wild (Active Dec 2017) ↗](https://x.com/Wild) | | CSGOPot csgopot.com | 10-Day Notice (Jul 2016) | SURVIVED TO SEPT 2017 Operated high-stakes jackpot betting 14 months past notice | [X: @csgopot (Active Sep 2017) ↗](https://x.com/csgopot) | | CSGODiamonds csgodiamonds.com | 10-Day Notice (Jul 2016) | SURVIVED TO MID 2017 Ran through 2017 despite admitted outcome tampering for sponsored streamers | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) | | CSGOLotto csgolotto.com | 10-Day Notice (Jul 2016) | CLOSED JULY 2016 Shut down under public scandal; target of federal FTC consent order | [FTC Consent Order (Docket C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) | | CSGODouble csgodouble.com | 10-Day Notice (Jul 2016) | CLOSED JULY 2016 Shut down voluntarily immediately after C&D publication | [X: @CSGODouble (Closed Jul 2016) ↗](https://x.com/CSGODouble) | | CSGOMassive csgomassive.com | 10-Day Notice (Jul 2016) | CLOSED 2016 Ceased public operations in late 2016 | [X: @csgo_massive ↗](https://x.com/csgo_massive) | | CSGOStrong csgostrong.com | 10-Day Notice (Jul 2016) | CLOSED 2016 Ceased public operations in 2016 | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) | | Skins2 skins2.com | 10-Day Notice (Jul 2016) | CLOSED 2016 Ceased public operations in 2016 | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) | उत्कृष्ट मांग **प्रवर्तन रिकॉर्ड प्रकाशित करें: किन जुआ खातों और बॉट्स को अक्षम किया गया, किन रिटर्न होस्ट्स को प्रतिबंधित किया गया, और किन व्यावसायिक सेवाओं को अनुमति दी गई। सार्वजनिक प्रतिबंध और होमपेज चेतावनी यह साबित नहीं करतीं कि मूल संचालन को रोका गया था।** भाग बी — नियम और प्रवर्तन अभिलेख · धारा 12 ## होस्टनेम पहले से ही अनुरोध में है। प्रसंग और स्रोत सीमाएँ Valve यह पहले से ही डोमेन सूची (लिंक फ़िल्टर) रखता है और प्रत्येक OpenID अनुरोध में auth होस्टनेम प्राप्त करता है। नीचे दिया गया प्यूडोकोड दोनों को जोड़ने की तार्किक संरचना दिखाता है। कोई सार्वजनिक प्रमाण नहीं है कि Valve ऐसा करता है। Valve पहले से ही एक डोमेन ब्लॉकलिस्ट चलाता है। Valve पहले से ही प्रत्येक OpenID अनुरोध में लॉगिन होस्ट प्राप्त करता है। **कुछ भी बनाने की ज़रूरत नहीं है — दोनों को जोड़ना है।** यह एक होस्टनेम लुकअप है जो Valve द्वारा स्वयं बनाए गए एक सूची के खिलाफ किया जाता है। नीचे दिया गया प्यूडोकोड केवल एक उदाहरण है, यह Valve का कार्यान्वयन नहीं है। न्यायिक_स्वचालितप्रतिबंध.पाइ # ILLUSTRATIVE PSEUDOCODE — Valve.block_domain() and flag_session_as_mitm() are not real API calls. This demonstrates the logical structure of a mitigation Valve could implement against proxy auth domains, not actual Valve internals. # Illustration: the logical shape of a check on the incoming OpenID request परिभाषा ऑडिट_ओपनआईडी_रिक्वेस्ट (अनुरोध): ब्लॉक किए गए_मूल = डेटाबेस. ब्लैकलिस्ट किए गए प्लेटफ़ॉर्म प्राप्त करें () प्रॉक्सी_डोमेन = request.params. प्राप्त करना ( 'openid.realm' ) लक्ष्य पुनर्निर्देश = request.params. प्राप्त करना ( ओपनआईडी.रिटर्न_टू ) # Logic: If the proxy routes back to a blocked site, ban the proxy. के लिए साइट में अवरुद्ध_मूल: यदि साइट में लक्ष्य पुनर्निर्देश: Valve. ब्लॉक_डोमेन (प्रॉक्सी_डोमेन) Valve. सत्र को मिडिलमैन हमले के रूप में चिह्नित करें (request.session) # Result: उस होस्ट के लिए लॉगिन अनुरोध अस्वीकार कर दिया गया है। निरीक्षण: जब कोई मुख्य डोमेन पहले से ही लिंक फ़िल्टर (e.g.howl.gg, blocked 2026-09-18/19/21) में हो और उसका auth होस्ट (howl.uno) उस साइट के लॉगिन बटन से आने वाले OpenID अनुरोध में दिखाई दे, तो यह संबंध Valve को उसके अपने अनुरोध डेटा से स्पष्ट रूप से दिखाई देता है। यह जाँच स्वचालित की जा सकती है; इसे चलाया जाए या नहीं, यह स्वचालित नहीं है। ### दस्तावेजीकृत और रिपोर्ट किए गए पूर्वनिर्णय Valve रिकॉर्ड पर कम से कम एक बार एक तीसरे पक्ष के ऑपरेटर के खिलाफ हस्तक्षेप किया है: 2018 में इसने ExpressTrade सिस्टम पर OPSkins की पहुंच रद्द कर दी ([Valve की घोषणा ↗](https://blog.counter-strike.net/expresstrade/) [संग्रहीत 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)2018 की सामुदायिक रिपोर्टों में भी एक मार्केटप्लेस (SkinJar) के एक्सेस खोने का वर्णन है; ये रिपोर्टें अप्रमाणित हैं और तंत्र परिणाम से अनुमानित है, न कि किसी प्रकटीकृत प्रक्रिया से। पूर्व उदाहरण क्या स्थापित करता है: Valve यह जब चाहे किसी तीसरे पक्ष के ऑपरेटर की पहुँच काट सकता है। CSGOFast, जिसे जुलाई के 2016 नोटिस से संबंधित प्रेस रिपोर्टों में नामित किया गया था, 2026-09-21 पर ऑपरेट कर रहा था, जिसमें auth होस्ट 2026-06-30 पंजीकृत था, जिसने कोई लिंक फ़िल्टर ब्लॉक नहीं लौटाया। किसी एक ऑपरेटर को काटा गया और अन्य को नहीं, इसका कोई प्रकाशित मानदंड नहीं बताता। ### पंजीकरण की तारीख क्या दिखाती है और क्या नहीं दिखाती एक auth होस्ट की पंजीकरण तिथि उस समय की न्यूनतम सीमा है जब होस्ट पहली बार OpenID अनुरोध में प्रकट हो सकता था; यह निरंतर उपयोग स्थापित नहीं करती। `sc-auth.net`उदाहरण के लिए, इसे 2019-04-02 (RDAP) पर पंजीकृत किया गया था और सितंबर 2026 में Skin.Club के Steam लॉगिन फ्लो में देखा गया था; इन दोनों तारीखों के बीच क्या हुआ, यह सार्वजनिक रिकॉर्ड में नहीं है। ### तुलनात्मक ऑडिट: API अनुपालन मानक | प्रवर्तन आयाम | GitHub API नियम | Steam वेब API (Valve) | | --- | --- | --- | | 1. Compliance Neutrality | Published, uniform rules. Documented rate limits (e.g. 5,000 calls/hr for authenticated users, 15,000/hr for GitHub Enterprise Cloud organisations) and published acceptable-use policies apply to every account. | No published criteria. Individual accounts are terminated under the automation and commercial-use clauses (archived complaints), while no per-operator enforcement record for commercial platforms has been published. | | 2. OpenID / Auth Proxy Abuse | GitHub's published policies allow OAuth apps and tokens to be suspended or revoked for abuse, and its documentation describes automatic revocation of exposed tokens (authors' summary of GitHub documentation). | Separate-domain auth hosts observed in Steam OpenID flows (e.g. rbsnin.com, howl.uno, sc-auth.net) returned no Link Filter block on 2026-09-21 while their main domains did. | | 3. Monetization of Abuse | GitHub takes no transaction fee on items moved by third-party automation; its revenue model is subscriptions and marketplace listings. | Valve sells the case keys that produce the items, and the Community Market charges a combined fee of about 15% on sales completed inside the Market. No figure for revenue attributable to third-party platforms is estimated here. | | 4. Evasion Loop Lifespans | Suspended OAuth client IDs stop working platform-wide at suspension; the documentation does not publish a time-to-action figure and none is assumed here. | Separate-domain auth hosts with registration dates from 2011 to September 2026 returned no Link Filter block in the checks of 2026-09-19 and 2026-09-21. Registration date is a lower bound on possible use, not proof of continuous use. | स्रोत: GitHub स्तंभ — GitHub द्वारा प्रकाशित API दर-सीमा और प्लेटफ़ॉर्म-नीति दस्तावेज़ीकरण (लेखकों का सारांश, उद्धृत नहीं) · Steam स्तंभ — Link Filter की 2026-09-19 और 2026-09-21 की जाँचें ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), RDAP रजिस्ट्री ([domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) और संग्रहीत सहायता शिकायतें ([साक्ष्य संग्रह](https://phishdestroy.io/steam_dossier/steam_evidence_archive)). भाग बी — नियम और प्रवर्तन अभिलेख · अनुभाग 13 ## ऑफ़-Steam मूल्य अंतर यह वस्तु एक Steam की इन्वेंटरी में रखी गई है; बिक्री कहीं और होती है। एक फैक्ट्री न्यू AWP Dragon Lore था **62 CSFloat पर लाइव ऑफ़र**; सबसे सस्ता मांगा गया **$10,623.95**Steam का अपना बाजार लगभग $1,800. से अधिक का मांगा गया मूल्य प्रदर्शित नहीं कर सकता। देखी गई उच्च कीमत पर बेचने के लिए, मालिक को ऑफ-Steam खरीदार या बाज़ार की आवश्यकता होती है। वस्तु और उसका हस्तांतरण अभी भी Steam पर निर्भर करते हैं। प्रसंग और स्रोत सीमाएँ इस अनुभाग में तीन अलग-अलग गणनाएँ दी गई हैं और वे परस्पर प्रतिस्थापन योग्य नहीं हैं। **245** यह उन CS2 आइटम-नाम श्रेणियों की संख्या है जिनकी सबसे सस्ती सक्रिय पेशकश केवल CSFloat पर $1,800 से अधिक थी, 20 सितंबर 2026. **241** यह वही सेट है, जिसमें से उन चार श्रेणियों को हटा दिया गया है, जिन्हें CSFloat की $100,000 की ऊपरी सीमा पर पिन किया गया है, और यही वह पैनल है जिस पर $13.63M के निचले फर्श की गणना की जाती है। **248** यह एक अलग स्नैपशॉट है: 23 सितंबर 2026. पर पांच मार्केटप्लेस में से दो या अधिक द्वारा कैप से ऊपर कीमत वाली श्रेणियाँ। मार्केटप्लेस ओवरलैप करते हैं, इसलिए विभिन्न प्लेटफ़ॉर्म के आंकड़ों को कभी भी जोड़ा नहीं जाना चाहिए। यहाँ प्रत्येक आंकड़ा माँग मूल्य है, पूरी हुई बिक्री नहीं, और इनमें से कोई भी राजस्व, टर्नओवर या लाभ नहीं है — न Valve के लिए, न किसी और के लिए। PriceEmpire के सूचीबद्ध मान उस साइट द्वारा प्रकाशित गोल-मोल अनुमान हैं, और इसका Steam कार्ड अन्य Steam गेम्स की वस्तुओं को भी कवर करता है, इसलिए तुलना के दायरे समान नहीं हैं। **एक आइटम। दो मूल्य प्रणालियाँ।** रिकॉर्ड का पालन करें स्ट्रीम**लगभग $1,800** प्रकाशित सामुदायिक बाजार सूचीकरण सीमा सहेजा गया कैटलॉग**$10,623.95** फ़ैक्टरी न्यू AWP ड्रैगन लॉर फ़्लोर आस्क निर्भरता**अभी भी एक Steam आइटम** इन्वेंटरी और ट्रांसफर Steam पर ही बने रहते हैं। Steam सूचीकरण मूल्य को सीमित करता है। विक्रेता कम स्वीकार कर सकता है, लेकिन उस बाजार में देखे गए पाँच-अंकीय अनुरोधित मूल्य को पोस्ट नहीं कर सकता। सहेजा गया CSFloat कैटलॉग 62 की पेशकशें दिखाता है। यह एक मांगी गई कीमत है, पूरी हुई बिक्री का प्रमाण नहीं। उस अनुरोध पर, विक्रेता को एक ऑफ-Steam स्थल या खरीदार की आवश्यकता होती है। वस्तु अभी भी Steam की इन्वेंटरी और ट्रांसफर सिस्टम पर निर्भर करती है। 01 / आइटम **Valve गेम सूची**Steam में आयोजित CS2 या Dota 2 आइटम 02 / छत **लगभग $1,800 पर Steam**एक मार्केट लिस्टिंग के लिए अधिकतम मूल्य 03 बाहर पूछें **$10,623.95 for Dragon Lore**पुरानी तस्वीर में सबसे सस्ता CSFloat ऑफर 04 / डिलीवरी **Steam श्रृंखला में बना रहता है**स्वामित्व और वस्तु हस्तांतरण इसकी प्रणाली पर निर्भर करते हैं। **245 CSFloat पर CS2 श्रेणियाँ।****166 Skinport पर CS2 और 3, Dota 2 श्रेणियाँ।** प्रत्येक आकृति उन आइटम-नाम श्रेणियों की गिनती करती है जिनकी सबसे सस्ती सक्रिय पेशकश 20 सितंबर 2026. को सख्ती से $1,800 से ऊपर थी। बाज़ार एक-दूसरे में ओवरलैप करते हैं; उनकी गिनतियों को जोड़ना नहीं चाहिए। एक पेशकश पूरी हुई बिक्री नहीं है। [आइटम-स्तर के रजिस्टर का निरीक्षण करें →](https://phishdestroy.io/steam_dossier/elite_skins#register) सीधे CSFLOAT API / दिनांकित स्नैपशॉट **$13.63M** में न्यूनतम समग्र अनुरोधित मूल्य **241 आइटम श्रेणियाँ** और **3,395 सक्रिय ऑफ़र**. प्रत्येक श्रेणी की सबसे सस्ती बोली × उसकी ऑफ़र संख्या के रूप में गणना की गई। CSFloat की $100,000 की ऊपरी सीमा पर पिन की गई चार श्रेणियों को इस रूढ़िवादी पैनल से बाहर रखा गया है। ### डॉलर की राशि क्या दर्शाती है ये ऑफ़र कम से कम का प्रतिनिधित्व करते हैं **$13,631,888.25** पोस्ट किए गए इस सीमित CSFloat उपसमूह के लिए पूछी गई कीमतें। चार उच्चतम मूल्य श्रेणियों को शामिल करने पर **$14,231,888.25**. यह एक है *सक्रिय अनुरोधों पर सीमा*, न तो पूरी हुई बिक्री, न नकद कारोबार, न लाभ और न ही पूरा CS2 बाज़ार। [245-पंक्ति CSFloat स्नैपशॉट से पुनः गणना करें ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json) मूल्यसम्राज्य / सूचीबद्ध मूल्य **Steam: #15 का 39** ### कई स्थल Steam से अधिक डॉलर मूल्य सूचीबद्ध करते हैं। यूयूस्किन्स **$133.8M** यू-पिन 898 **$127.5M** बफ़।163 **$104M** Moon.Market **$100.3M** White.Market **$89.6M** Buff.Market **$86.7M** Steam **$31M** छह सबसे बड़े प्रदर्शित मान और Steam। PriceEmpire इन आंकड़ों को गोल करता है; Steam दिखाता है। **$31M**प्रदर्शित डॉलर मूल्यों के आधार पर चौदह सूचीबद्ध स्थल इससे आगे हैं। प्राइसएम्पायर / ऑफर काउंट **Steam: #1 का 39** ### Steam अभी भी ऑफ़र्स की संख्या में आगे है। Steam **32.2एम** यू-पिन 898 **5.9एम** सी5गेम **4.6एम** हेलोस्किन्स **4.4एम** Skinport **3.8एम** Steam दिखाता है **32.2एम** ऑफ़र्स। ऑफ़र्स की संख्या और कुल मांगा गया मूल्य अलग-अलग सवालों का जवाब देते हैं; कई कम कीमत वाली लिस्टिंग गिनती में हावी हो सकती हैं। स्रोत: [प्राइसएम्पायर की सार्वजनिक तुलना ↗](https://pricempire.com/cs2-marketplaces) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), कैप्चर क2026-09-2019:03यूटीसी; [तिथि 39-पंक्ति निष्कर्षण ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). इसके आंकड़े गोल-मोल अनुमान हैं, और इन्वेंटरी विभिन्न साइटों पर ओवरलैप हो सकती है। Steam का कार्ड अन्य Steam खेलों की वस्तुओं का भी वर्णन करता है, इसलिए दायरे समान नहीं हैं। सूचीबद्ध मूल्य पूछी जाने वाली कीमतों को मापता है, बिक्री या राजस्व को नहीं। **42** एक और स्रोत / स्टीमएनालिस्ट ### व्यावसायिक पारिस्थितिकी तंत्र स्पष्ट रूप से दिखाई दे रहा है। [SteamAnalyst की मार्केटप्लेस निर्देशिका](https://www.steamanalyst.com/marketplace) [संग्रहीत 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) 42 को तीसरे पक्ष के CS2 मार्केटप्लेस के रूप में सूचीबद्ध करता है, साथ ही Steam को भी, और 43 प्रविष्टियों के लिए 32 का हालिया मूल्य डेटा प्रदान करता है। PriceEmpire अपने स्वयं के समावेशन मानदंडों के तहत 39 मार्केटप्लेस को सूचीबद्ध करता है। नामित व्यवसाय, सार्वजनिक प्रस्ताव, दृश्यमान कीमतें: यह अर्थव्यवस्था निरीक्षण के लिए खुली है। सीलिंग ही तंत्र है: बिक्री भाप छोड़ती है, वस्तु नहीं। एक लाइसेंस प्राप्त स्नैपशॉट में कैद पाँच मार्केटप्लेस, **248 CS2 आइटम श्रेणियों में से दो या अधिक की कीमतें स्वतंत्र रूप से Steam की लगभग $1,800 लिस्टिंग सीमा से ऊपर हैं — और इनमें से प्रत्येक Steam पर अनुपस्थित है।**. उसी स्नैपशॉट ने पूरे कैटलॉग को कीमत के अनुसार वर्गीकृत किया: Valve की मार्केट में अपनी कैप से नीचे की आइटम श्रेणियों का 95.3% और उससे ऊपर की श्रेणियों का 1.9% होता है। यह पतन गिरती मांग का अनुसरण नहीं करता; यह ठीक प्रकाशित नियम पर ही लागू होता है। उन कीमतों पर बेचने के लिए एक बाहरी खरीदार या बाज़ार की आवश्यकता होती है, जबकि Steam अभी भी इन्वेंटरी और हस्तांतरण को नियंत्रित करता है — व्यवसाय Valve के चेकआउट से बाहर चला जाता है और डिलीवरी Valve के इन्फ्रास्ट्रक्चर पर ही रहती है। [Steam बाज़ार अक्सर पूछे जाने वाले प्रश्न ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam सब्सक्राइबर समझौता ↗](https://store.steampowered.com/agreement/?l=english)[संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[पाँच-मार्केटप्लेस एटलस डेटासेट ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[प्रोवेंन्स प्रदर्शनी ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[पहले CSFloat स्नैपशॉट ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Skinport झलक ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[प्राइसएम्पायर ↗](https://pricempire.com/cs2-marketplaces) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[स्टीमएनालिस्ट ↗](https://www.steamanalyst.com/marketplace) [संग्रहीत 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[मूल्य-अंतर रजिस्टर ↗](https://phishdestroy.io/steam_dossier/elite_skins)[मूल्य-सीढ़ी एटलस ↗](https://phishdestroy.io/steam_dossier/skin_atlas) भाग C — कानूनी ढाँचे भाग C — कानूनी ढाँचे · अनुभाग 14 · कार्मिक पहुँच ## सुरक्षा उपायों को कौन रीसेट कर सकता है? प्रसंग और स्रोत सीमाएँ API खाते की सुरक्षा उन लोगों पर भी निर्भर करती है जो खाते को पुनः प्राप्त कर सकते हैं, निजी रिकॉर्ड की जांच कर सकते हैं या इसकी सुरक्षा व्यवस्थाओं को रीसेट कर सकते हैं। जांच को उन विशेषाधिकार प्राप्त कार्यों का उतना ही बारीकी से अनुसरण करना चाहिए जितना कि ईमेल खाता दुरुपयोग का। खाता वसूली एक सहायता एजेंट को खाते को उसके मालिक से अलग करने की शक्ति देती है। **Valve ने लिखित रूप में, दो बार — फरवरी 2023 और नवंबर 2025 — की पुष्टि की है कि इस शक्ति का उपयोग गलत लोगों को खाते सौंपने के लिए किया गया था।** तीस-तीन महीने के अंतराल पर, एक ही चैनल के माध्यम से। नीचे: उस पहुँच का मूल्य, छह स्रोत-आधारित मामले, और लॉग Valve के पास प्रत्येक मामले के लिए है और जिसे उसने किसी को नहीं दिखाया। संरक्षित गवाही / 9 मई 2025 ### एक रिकवरी टिकट जिसने खाते की सुरक्षा अक्षम कर दी, और रिपोर्ट किए गए $10,000 के नुकसान एकत्रित समर्थन अभिलेखागार में एक उपयोगकर्ता ने बताया कि Steam समर्थन ने पासवर्ड रीसेट किया और खाता सुरक्षा अक्षम कर दी, जब किसी अन्य व्यक्ति ने रिकवरी टिकट जमा किया था। लेखक का कहना है कि खाता वर्षों से निष्क्रिय था, उसमें 2016–2017 से वस्तुएँ रखी थीं और उसमें Steam गार्ड, एक लिंक किया गया फोन और संग्रहीत रिकवरी कोड थे। > "Steam Support still gave someone else access to my account." प्रथम-पुरुष आरोप, संरक्षित `steam_support_tickets_MEGA.json`, रिकॉर्ड 110. [पूरा कैप्चर किया गया पोस्ट पढ़ें ↗](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#case-support-recovery) यह किसी एक उपयोगकर्ता की बदकिस्मती नहीं है। वही दरवाज़ा — एक सहायता अनुरोध जो खाते को उस व्यक्ति को स्थानांतरित कर देता है जो पुराना डेटा प्रदान करता है — नीचे दिए गए लेजर में हर मामले में दर्ज किया गया प्रवेश मार्ग है, और Valve ने इसे दो बार लिखित रूप में रखा है। **मालिक वह बहस नहीं जीत सकता।** रिकवरी पहली सीडी कुंजी, पहला ईमेल, पहला कार्ड, पहला फोन नंबर मांगती है। ये तथ्य Valve के डेटाबेस में हैं, और सपोर्ट-साइड एक्सेस इन्हें पढ़ती है — बताया गया है कि यह पंद्रह साल पीछे तक जाती है। आपके पास आपकी फ़ाइल की एक प्रति रखने वाला व्यक्ति हमेशा आपके बारे में आपकी तुलना में अधिक इतिहास पेश कर सकता है। लक्षित खातों का चयन इस तरह से किया गया कि वे वर्षों से निष्क्रिय हों, उच्च-मूल्य वाले हों, और अक्सर सेकंड-हैंड खरीदे गए हों, ताकि धारक को कभी मूल कुंजी का पता ही न चले। इसके बाद उन खातों को पूरी तरह से हटा दिया गया, जिससे आइटम-इतिहास की वह श्रृंखला टूट गई जिसका उपयोग समुदाय किसी स्किन का पता लगाने के लिए करता है — एक ऐसा हटाना जो एक साधारण उपयोगकर्ता मानक प्रतीक्षा अवधि के बिना नहीं कर सकता। न्यूनतम विशेषाधिकार / ओवास्प A01 Steam रिकवरी विशेषाधिकार कार्य तक सीमित होने चाहिए, स्वतंत्र रूप से समीक्षा और लॉग किए जाने चाहिए। ऑडिट करें कि कौन प्रमाण-पत्र रीसेट कर सकता है, ईमेल खाते को हटा सकता है, ईमेल सुरक्षा गार्ड को हटा सकता है, बिलिंग रिकॉर्ड पढ़ सकता है या खाता डेटा निर्यात कर सकता है। [OWASP पहुँच-नियंत्रण मार्गदर्शन ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [संग्रहीत 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) व्यापक समर्थन पहुँच पहुँच-दायरा जोखिम ### भंडार से परे यदि व्यापक समर्थन पहुँच का दुरुपयोग किया जाए, तो निजी टेलीमेट्री प्रोफाइलिंग, लक्षित फ़िशिंग और निगरानी का एक उपकरण बन सकती है। संभावित पीड़ितों में साधारण उपयोगकर्ता, सैन्यकर्मी, सार्वजनिक हस्तियाँ और उनके परिवार शामिल हैं। यह एक खतरा मॉडल है; सटीक अनुमतियों के लिए पहुँच-नियंत्रण रिकॉर्ड की आवश्यकता होती है। 01 आईपी इतिहास और स्थान आईपी लॉग्स नेटवर्क के इतिहास और अनुमानित स्थान को उजागर कर सकते हैं। वे स्वयं में सटीक भौतिक गतिविधियों को स्थापित नहीं करते। 02 डिवाइस फिंगरप्रिंटिंग डिवाइस पहचानकर्ता, जहाँ एकत्रित और सुलभ हों, सत्रों और खातों को जोड़ सकते हैं। 03 गतिविधि टेलीमेट्री लॉगिन टाइमस्टैम्प और सत्र रिकॉर्ड दिनचर्या का खुलासा कर सकते हैं, जिसमें सार्वजनिक प्रोफ़ाइल पर अदृश्य गतिविधियाँ भी शामिल हैं। 04 संचार और संपर्क रखे गए संदेशों या संपर्क जानकारी तक पहुंच प्रोफाइलिंग और सोशल इंजीनियरिंग की संभावनाओं को बढ़ा देगी। 05 पहचान उजागर करना मूल ईमेल, फोन और भुगतान रिकॉर्ड एक छद्म नाम वाले खाते को किसी व्यक्ति से जोड़ सकते हैं। 06 डेटा पुनर्विक्रय और जवाबदेही निर्यात की गई लक्षित सूचियाँ लक्षित धोखाधड़ियों का समर्थन कर सकती हैं। कार्यकर्ता, पहुँच स्थान, प्राप्तकर्ता और हस्तांतरणों की पहचान करें; केवल स्थान से न तो पहुँच स्थापित होती है और न ही कानूनी प्रतिरक्षा। Valve अपने में आईपी लॉगिंग, डिवाइस जानकारी, भुगतान रिकॉर्ड और तृतीय-पक्ष सहायता प्रदाताओं का वर्णन करता है। [गोपनीयता नीति §§ 3, 5.2](https://store.steampowered.com/privacy_agreement/) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)नीति तीसरे पक्ष को समर्थन तक पहुँच की अनुमति देती है — वह ऑडिट ट्रेल, जो यह दिखाता कि किस ठेकेदार ने किस श्रेणी तक कब और किस प्राधिकरण के तहत पहुँच की, प्रकट नहीं किया गया है। अनुभाग 14.1 · रजिस्टर · जून 2022 → नवंबर 2025 · प्रत्येक आंकड़ा स्रोत सहित ### Valve दरवाज़ा दो बार बंद हुआ, तेईस महीने के अंतराल पर। यह कभी बंद नहीं हुआ। छह रिपोर्ट किए गए मामले जिनमें खाते Steam के स्वयं सहायता अनुरोध चैनल के माध्यम से, या उन प्रमाण-पत्रों के माध्यम से लिए गए थे जिन्हें वह चैनल सुरक्षित रखता है। प्रत्येक राशि वह आंकड़ा है जिसे उद्धृत स्रोत ने प्रकाशित किया था, और प्रत्येक स्रोत का नाम बताया गया है। छह में से दो मामलों में पूरी राशि वापस कर दी गई। उनके और बाकी के बीच अंतर यह नहीं था कि क्या हुआ — बल्कि यह था कि कौन देख रहा था। Valve, लिखित रूप में — फरवरी 2023 "The items in question were removed from your account because they were received from an account that was compromised through a support help request, for which the CS:GO team takes responsibility. We have reversed the trades and removed them from any account which received them."Steam एचएफबी की वस्तुओं के प्राप्तकर्ता को समर्थन उत्तर, द्वारा पुनरुत्पादित [डेक्सेर्टो, 21 फरवरी 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [संग्रहीत 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) Valve, फिर से लिखते हुए — नवंबर 2025 · 33 महीने बाद "A support technician that handled the help request failed to follow our process which resulted in your account restored to someone else. I apologize for this error."Steam Hawkeye337 को उत्तर, उद्धृत [डेक्सेर्टो, 14 नवम्बर 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) मामलों को फ़िल्टर करें: प्रतिपूर्ति: 100% वायरल बनाम 0% गैर-वायरल - 21 जून2022 **HFB — खेल में सबसे बड़ी इन्वेंटरी** $2,000,000+ *· फरवरी के 2023 फॉलो-अप में बढ़ाकर $3,000,000+ किया गया* सात सवेनियर AWP ड्रैगन लॉर्स और #1 ब्लू जेम करम्बिट, वह चाकू अकेले ही लगभग **$1.26 million**खाता तीन साल से निष्क्रिय था, लेकिन मोबाइल ऑथेंटिकेटर अभी भी सक्रिय था; फिर भी ईमेल और पासवर्ड सपोर्ट रिकवरी मार्ग के माध्यम से बदल दिए गए। **चीज़ों से पहले पैसा निकल गया।** एक रिपोर्ट के अनुसार **$200,000+** बिक्री से प्राप्त आय का एक हिस्सा पहले ही market.csgo.com के माध्यम से निकाल लिया गया था — एक ऐसा मार्केटप्लेस जो नकद और क्रिप्टो में निपटान करता है। ट्रेड को रिवर्स करने पर एक स्किन वापस मिलती है। यह उस नकद को वापस नहीं करता जिसे पहले ही बैंक में जमा कर लिया गया है। **और मरम्मत टूट गई।** एक खरीदार ने अपना Souvenir Dragon Lore इन-गेम स्टोरेज यूनिट में स्थानांतरित कर दिया। Valve की रोलबैक स्क्रिप्ट अपने कंटेनर के अंदर नहीं देख सकी, इसलिए उसने मालिक को एक नई प्रति जारी की और छिपी हुई प्रति को वैसे ही छोड़ दिया — Valve ने एक की नकल की। **$130,000** चोरी को रद्द करने की कोशिश करते समय एक आइटम। इसे आइटम आईडी मिलान और समुदाय की रिपोर्टिंग से पकड़ा गया, और एक महीने बाद, जुलाई 2022. में हटा दिया गया। खरीदार को BUFF द्वारा रिफंड किया गया, न कि Valve द्वारा। इस तरह की आपातकालीन सुधार कोई नियंत्रण नहीं है; यह वह है जो एक प्लेटफ़ॉर्म तब करता है जब उसके पास कोई नियंत्रण नहीं होता। [डेक्सेर्टो, 21 जून 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [संग्रहित 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [कास्परस्की ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · प्रति कैश-आउट आंकड़ा [Esportfire, 22 जून 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [संग्रहीत 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), वहाँ कई Twitter स्रोतों को श्रेय दिया गया · प्रतिलिपि और प्रतिलिपि-मुक्ति प्रति [ईस्पोर्ट्स बेटिंग, 14 जुलाई 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/) **पुनर्स्थापित***व्यापार उलट दिए गए। उन वस्तुओं को उन लोगों की इन्वेंटरी से वापस ले लिया गया जिन्होंने उनके लिए पूरी कीमत चुकाई थी।* - 14 अगस्त2022 **CS.Money — प्लेटफ़ॉर्म के अपने बॉट्स** $6,300,000 *· 19,000+ स्किन्स · पहला अनुमान $1.6M* हमलावरों ने मार्केटप्लेस के ट्रेडिंग बॉट्स की मोबाइल-प्रमाणीकरण फ़ाइलों को लेकर उन्हें खाली कर दिया, फिर लूट का एक हिस्सा प्रसिद्ध व्यापारियों को भेज दिया ताकि निशान धुंधले हो जाएँ। सामुदायिक शोधकर्ताओं ने मैप किया **55 हमलावर खाते कुछ ही घंटों में** और उन्हें प्रकाशित किया। Valve कुछ भी उलट नहीं किया गया। दी गई वजह यह थी कि एक तृतीय-पक्ष साइट Steam के बाहर स्थित है — वही Steam जिसकी इन्वेंटरी, ट्रेड API और खाता प्रणाली पर चोरी शुरू से अंत तक चली। [Esportfire, 14 अगस्त2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [संग्रहीत 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) **अस्वीकार कर दिया गया***कोई उलटफेर नहीं। हानि प्लेटफ़ॉर्म और उसके उपयोगकर्ताओं के साथ ही रही।* - रिपोर्ट किया गया 21 फरवरी2023 **Qkss — वही दरवाज़ा, वही अभिनेता** $1,000,000+ रिपोर्ट किया गया कि इसे उसी तरह लिया गया जैसा HFB को लिया गया था, उसी अभिनेता द्वारा, उसी सपोर्ट हेल्प रिक्वेस्ट के माध्यम से। HFB को आठ महीने पहले पूरी तरह बहाल कर दिया गया था। Qkss को नहीं। **एक मार्ग। दो उत्तर।** प्रकाशित रिकॉर्ड में दर्शकों की संख्या को छोड़कर दोनों मामलों में कोई अंतर नहीं है। [डेक्सेर्टो, 21 फरवरी 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [संग्रहीत 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) **अस्वीकार कर दिया गया***पुनर्स्थापित नहीं किया गया।* - रिपोर्ट किया गया फरवरी2023 **अंदरूनी व्यापार स्वयं — इसका एक साल** ≈ $320,000 *· यह लगभग एक वर्ष में पूरा होता है, न कि एक सूची मूल्यांकन* सपोर्ट-साइड एक्सेस ने खाता इतिहास तक पहुँच प्राप्त की **15 वर्ष का/की** — पहला सीडी की, पहला ईमेल, पहला कार्ड। यही वह सबूत है जिसकी रिकवरी प्रक्रिया मांग करती है, और इसलिए डेटाबेस रखने वाला व्यक्ति हमेशा खाते को रखने वाले व्यक्ति के खिलाफ बहस जीत जाता है। ब्लॉगर Mzkshow ने उजागर किया कि इनसाइडर ऑपरेटर "Steam Help" और सहयोगी "Alexander" ने उन निष्क्रिय खातों को निशाना बनाया जिनमें स्किन्स में $100k से अधिक मूल्य था। एक चोरी किया गया M4A4 Howl, जिस पर iBUYPOWER और Titan Katowice 2014 होलो थे, बेचा गया। **$35,000** और अंत में वे NAVI के Valerii "b1t" Vakhovskyi के पास पहुँच गए, जिन्हें इसका कोई अंदाज़ा नहीं था। जबValve ने हस्तक्षेप किया, तो ठेकेदार ने अपनी पूरी Steam सपोर्ट डेस्क को बर्खास्त कर दिया। [वीकेप्ले ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [लिस्-स्किन्स ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [एस्कोरन्यूज़ (आरयू) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [डेक्सेर्टो (EN) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) **कोई रजिस्टर नहीं***Valve कभी यह प्रकाशित नहीं किया कि इससे कितने खाते प्रभावित हुए, या प्रभावित लोगों को यह नहीं बताया।* - रिपोर्ट किया गया 2 दिसं2024 **"मैटवे" — बर्खास्तगियों के बाद** $13,000 रिकवरी उस व्यक्ति को दी गई जिसने ऐसा खाता डेटा प्रदान किया जिसे मालिक स्वयं भी मेल नहीं खा सकता था। दो साल बाद जब ठेकेदार ने अपना Steam समर्थन डेस्क खाली कर दिया, उसी रास्ते से फिर वही परिणाम मिला। [संरक्षित पोस्ट, 2 दिसं2024↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [संग्रहीत 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [स्रोत पंक्तियाँ और हैश ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json) **अस्वीकार कर दिया गया***पुनर्स्थापित नहीं किया गया।* - 13 नवंबर2025 **Hawkeye337 (मार्क स्पर्लॉक) — और दूसरा स्वीकारोक्ति** ≈ $300,000–$500,000 *· पूरा काटोविसे 2014 होलो संग्रह* हमलावर ने मांग की **1 बिटकॉइन** और उसे नष्ट करने के लिए संग्रह को नेगेव्स पर खुरचना शुरू कर दिया। Steam सपोर्ट की लिखित प्रतिक्रिया ऊपर दूसरी स्वीकारोक्ति है: एक तकनीशियन ने सहायता अनुरोध को संभाला, प्रक्रिया का पालन नहीं किया, और खाता किसी और को दे दिया। **जो चीज़ सुधार का कारण बनी, वह फ़ीड थी।** X पर Valve को टैग करने वाली पोस्ट्स के कुछ ही घंटों बाद, अकाउंट वापस ले लिया गया और हर स्टिकर बहाल कर दिया गया। Qkss के पास वह दर्शक वर्ग नहीं था। [Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [डेक्सेर्टो ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [ईस्पोर्टफायर ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [संग्रहीत 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) **पुनर्स्थापित***कहानी के ट्रेंड होने के कुछ ही घंटों में पलट दिया गया।* #### लेजर वही कहता है जो कोई एक मामला नहीं कहता। **मार्ग कभी बंद नहीं हुआ।** पहला प्रवेश दिनांकित है फरवरी 2023 और दूसरा नवंबर 2025 — **तेइस महीने का अंतर**ठेकेदार की बड़े पैमाने पर बर्खास्तगी, एक दस्तावेजी आवृत्ति और बीच में $6.3 मिलियन का प्लेटफ़ॉर्म उल्लंघन। इस लेज़र में पहली चोरी से गिनती शुरू करते हुए, चैनल खुला रहा **तीन साल और पाँच महीने**2023, में जो कुछ भी ठीक किया गया था, सहायता अनुरोध ने फिर भी नवंबर में एक खाता गलत व्यक्ति के पास भेज दिया 2025 — Valve का अपना वाक्य। **प्रतिपूर्ति ने ध्यान को ट्रैक किया, हानि को नहीं।** पुनर्स्थापित: खेल में सबसे बड़ी सूची, और वह संग्रहकर्ता जिसका थ्रेड ट्रेंड हुआ। अस्वीकृत: $1,000,000, $6,300,000, $13,000.Valve ने वह नियम कभी प्रकाशित नहीं किया जिसे वह लागू करता है, क्योंकि एक प्रकाशित नियम को उन तीनों को समझाना होगा। **किसी को नहीं बताया गया।** न तो वे उपयोगकर्ता जिनके खाते का इतिहास डेटाबेस से पढ़ा गया, न कोई पर्यवेक्षी प्राधिकरण, न वह बाजार जिसने अच्छी नियत से वस्तुएँ खरीदीं और जिन्हें वापस ले लिया गया। कोई उल्लंघन सूचना नहीं, कोई घटना रिपोर्ट नहीं, प्रभावित खातों की कोई गिनती नहीं — **और बची हुई राशि नकद में**, ऐसे मार्केटप्लेस के माध्यम से जो नकद और क्रिप्टो में भुगतान करते हैं। एक ट्रेड रिवर्सल Steam से बाहर गए पैसे का अनुसरण नहीं कर सकता। Valve उपरोक्त प्रत्येक पंक्ति के लिए सपोर्ट ऑडिट ट्रेल, रिकवरी-टिकट लॉग और लेनदेन रिकॉर्ड रखता है। इनमें से कोई भी प्रस्तुत नहीं किया गया है। [अपनी प्रति मांगें →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) एनडीए प्रश्न ### गोपनीयता के साथ तकनीकी जवाबदेही भी होनी चाहिए। गोपनीयता समझौतों की तुलना वास्तविक अनुमतियों, निर्यात नियंत्रणों, रीसेट अनुमोदनों और एक्सेस लॉग्स से करें। एक तैयार प्रतिक्रिया उस आरोप को हल नहीं कर सकती कि पुनर्प्राप्ति प्रक्रिया स्वयं का दुरुपयोग की गई थी। GDPR लेख 28, 32–34 धारा 33 नियंत्रक को व्यक्तिगत डेटा उल्लंघन की सूचना पर्यवेक्षी प्राधिकरण को 72 घंटे के भीतर देने का समय देती है; धारा 34 प्रभावित लोगों को तब सूचित करने की मांग करती है जब उनके लिए जोखिम अधिक हो। Valve ने लिखित रूप में दो बार पुष्टि की है कि उसके सपोर्ट चैनल ने खाते—खाते का इतिहास, बिलिंग रिकॉर्ड आदि—गलत लोगों को सौंप दिए। **किसी भी अनुच्छेद के तहत कोई अधिसूचना प्रकाशित नहीं की गई है, और किसी भी प्रभावित उपयोगकर्ता ने इसे प्राप्त करने की सूचना नहीं दी है।** [नियम पढ़ें ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [संग्रहीत 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [अपने अनुरोध में सहायता पहुँच शामिल करें →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) भाग C — कानूनी ढाँचे · अनुभाग 15 · वाणिज्यिक पैमाना ## पैसे का पीछा करो। लेन-देन को अलग करो। प्रसंग और स्रोत सीमाएँ Valveजब धन प्रवाह अलग-अलग हो जाते हैं, तो वाणिज्यिक उपयोग का प्रश्न और तीक्ष्ण हो जाता है। तीसरे पक्ष को वस्तु हस्तांतरण, ई-कॉमर्स प्लेटफ़ॉर्म की प्राथमिक बिक्री और बाहरी नकद निकासी अलग-अलग लेनदेन हैं। यह आइटम Valve का है। इन्वेंटरी Valve की है। ट्रांसफर Valve के सर्वरों पर चलता है। **भुगतान ही कहीं और होता है।** — जो यह तय करने वाला कदम है कि कोई मनी ट्रांसमीटर है या नहीं, और यही एक ऐसा कदम है जो Valve संचालित नहीं करता। राजस्व तंत्र ### जहाँ पैसा वास्तव में चलता है। तीन मार्ग / एक वस्तु अर्थव्यवस्था - 01 / खाता **उपयोगकर्ता सूची** Steam पर रखे गए आइटम - 02 / स्थानांतरण **पी2पी व्यापार** उपयोगकर्ता ↔ बॉट या उपयोगकर्ता ↔ उपयोगकर्ता - 03 / समझौता **बाहरी प्लेटफ़ॉर्म** Steam पर साइट संतुलन या भुगतान **परिसंचरणआर्थिक इंजन एक ट्रांसफर शुल्क से परे तक फैला हुआ है।** Steam बाहरी बाजारों द्वारा उपयोग की जाने वाली इन्वेंटरी और स्थानांतरण अवसंरचना प्रदान करता है। जांच का आर्थिक तर्क यह है कि पुनर्विक्रय तरलता और बार-बार होने वाली मांग मामलों, कुंजियों और प्रतिस्थापन वस्तुओं पर खर्च को बनाए रखती है, साथ ही बाद की कम्युनिटी मार्केट बिक्री पर शुल्क भी लगाती है। एक सीधे P2P स्थानांतरण में कोई कम्युनिटी मार्केट कमीशन नहीं लगता; यह लेखांकन तथ्य व्यापक लाभ को निर्धारित नहीं करता।Valve पूरे समय खाता पहुँच और व्यापार प्रतिबंधों पर नियंत्रण बनाए रखता है। - 01 / द्वितीयक मांग **तरलता और पुनर्विक्रय मूल्य** बाहरी व्यापार और जुआ की मांग - 02 / प्राथमिक खर्च **चाबियाँ, केस और कैप्सूल** Valveपर जहाँ पेशकश की गई हो, खरीदारी - 03 / राजस्व **प्राथमिक-विक्रय आय** वास्तविक बाज़ार बिक्री पर अतिरिक्त शुल्क **5% + 10%Steam + कम्युनिटी मार्केट बिक्री पर CS2 शुल्क** जांच का आर्थिक निष्कर्ष: तरल पुनर्विक्रय बाजार नए उत्पादों पर खर्च को प्रोत्साहित कर सकते हैं। परिचित 15% न्यूनतम सीमाओं और राउंडिंग के अधीन मार्केट शुल्क दरों को जोड़ता है; यह प्रत्येक बाहरी व्यापार पर लगाया जाने वाला कोई शुल्क नहीं है। [Valve का सामुदायिक बाज़ार शुल्क अनुसूची ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). 25 फरवरी 2026 [न्यूयॉर्क के अटॉर्नी जनरल ने एक कार्रवाई दायर की।](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [संग्रहीत 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) यह आरोप लगाते हुए कि भुगतान किए गए लूट बॉक्स बाहरी नकद पुनर्विक्रय और जुए से होने वाले नुकसान से जुड़े हैं — वही संबंध जिसे यह दस्तावेज़ तकनीकी-अवरसंरचना पक्ष से प्रदर्शित करता है। वह शिकायत एक आरोप है, निष्कर्ष नहीं; इसे यहाँ इसलिए उद्धृत किया गया है क्योंकि एक राज्य कानून-प्रवर्तन एजेंसी ने 'Valve' पर उसी प्रश्न को रखा है जो यह दस्तावेज़ पूछता है: सार्वजनिक घोषणाओं से मेल खाने वाला प्रवर्तन रिकॉर्ड कहाँ है? - 01 / प्रवेश **क्रिप्टो जमा** बाहरी सेवा और वॉलेट रिकॉर्ड - 02 / रूपांतरण **बैलेंस → स्किन्स** Steam ट्रेड्स के माध्यम से वितरित की गई वस्तुएँ - 03 / बाहर निकलें **बाहरी फ़िएट बिक्री** विक्रेता, खरीदार और भुगतान प्रदाता **केवाईसी?प्रत्येक हस्तांतरण पर नियंत्रण की पहचान करें।** जांच करने का यह मार्ग है, न कि कोई नेटिव SteamAPI कैश-कन्वर्जन सेवा। बिना KYC कैश-आउट का दावा करने से पहले प्रत्येक बाहरी ऑपरेटर पर पहचान जांच, हिरासत, लेनदेन आईडी और भुगतान प्राप्तकर्ताओं का दस्तावेजीकरण करें। संयुक्त राज्य अमेरिका / बैंक गोपनीयता अधिनियम ### पहले गतिविधि का वर्गीकरण करें, फिर दायित्व का। FinCEN व्यवसाय की गतिविधियों के आधार पर धन प्रेषण का आकलन करता है। परिवर्तनीय वर्चुअल मुद्रा को स्वीकार करना और प्रेषित करना, लागू परिभाषाओं और अपवादों के अधीन, धन-सेवा संबंधी दायित्वों को सक्रिय कर सकता है।Valve का Steam वॉलेट निधियाँ स्वीकार करता है और उन्हें इन-गेम आइटम्स में परिवर्तित करता है; ये आइटम्स फिर तीसरे पक्ष के ऑपरेटरों के माध्यम से वास्तविक मुद्रा में नकदीकृत किए जाते हैं। वस्तु और उसका हस्तांतरण Valve के बुनियादी ढांचे पर चलते हैं; कैश-आउट नहीं, और उस चक्र के किसी भी भाग का मनी-ट्रांसमिशन परिभाषाओं को पूरा करता है या नहीं, यह FinCEN के लिए वर्गीकरण का प्रश्न है, न कि यहाँ निकाला गया कोई निष्कर्ष। [FinCEN FIN-2019-G001, §§ 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [संग्रहीत 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) यूरोपीय संघ / धन शोधन ### निशान, प्रक्रिया, ज्ञान और सहायता। निर्देश (EU) 2018/1673 जानबूझकर की गई लॉन्ड्रिंग और आपराधिक आय में भागीदारी को कवर करता है। जांच का प्रश्न यह है कि Valve को 13 जुलाई 2016, के बाद ऑपरेटरों द्वारा इसके ट्रेडिंग और OpenID इंफ्रास्ट्रक्चर का उपयोग करने के बारे में क्या पता था, जब उसने सार्वजनिक रूप से उस उपयोग का वर्णन किया था, और उसने उनके खिलाफ क्या कार्रवाई की। Valve ने किसी भी ऑपरेटर-वार प्रवर्तन रिकॉर्ड का प्रकाशन नहीं किया है; वह रिकॉर्ड, यह दस्तावेज़ नहीं, इस प्रश्न का उत्तर देगा। [ईयू आपराधिक-कानून ढांचा ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673) **AMLD6 शब्दावली:** उपरोक्त आपराधिक-कानून निर्देश Directive (EU) 2024/1640,, जिसे AMLD6 भी कहा जाता है, से अलग है। बाद वाले के लिए सामान्य रूपांतरण की समयसीमा 10 जुलाई 2027, है, जिसमें विशिष्ट अपवाद शामिल हैं। [लेख78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [संचित 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) भाग C — कानूनी ढाँचे · अनुभाग 16 · सूचना, प्रतिक्रिया, जिम्मेदारी ## डिजिटल सेवा अधिनियम: तथ्यों को सामने रखें प्रसंग और स्रोत सीमाएँ लेख 16 की सूचना के दो तत्व इस दस्तावेज़ के बजाय प्रस्तुतकर्ता के पास रहते हैं: प्रस्तुतकर्ता का अपना विवरण और यह घोषणा कि जानकारी सटीक है। लेख द्वारा आवश्यक बाकी सभी चीज़ें — प्रमाणित स्पष्टीकरण और सटीक इलेक्ट्रॉनिक स्थान — धारा 3 और मार्ग रजिस्टर में, संग्रहीत प्रतिक्रियाओं और हैश के साथ निर्धारित की गई हैं, ताकि कोई भी पक्ष इसे दर्ज कर सके। कानून पर दो और सीमाएँ हैं: होस्टिंग छूट खोने से स्वयं में किसी अन्य कानून के तहत देयता स्थापित नहीं होती, और अनुच्छेद 52(3) में उल्लिखित '6%' एक वैधानिक सीमा है, न कि Valve के खिलाफ आकलित दंड। डीएसए के तहत, एक होस्टिंग प्रदाता अपनी देयता सुरक्षा केवल तब तक बनाए रखता है जब तक उसे विशिष्ट जानकारी न हो और वह कार्रवाई करने में विफल रहता है। **यह दस्तावेज़ वह सूचना है।** यह होस्ट्स, तिथियाँ, सहेजी गई प्रतिक्रियाएँ और हैश नाम बताता है। प्रकाशन के बाद सवाल यह नहीं रहा कि क्या Valve को पता था — सवाल यह है कि Valve ने इसके बाद क्या किया। 01 जुलाई 2016 / द डॉसियर प्रदर्शनी ### एक दस-दिवसीय मांग। उपरोक्त पुनर्निर्मित नोटिस जांच के प्रवर्तन तुलना के लिए ऐतिहासिक प्रारंभिक बिंदु है। 02 17 फरवरी 2024 / सामान्य आवेदन ### डीएसए समय खिड़की। प्रासंगिक डीएसए दायित्वों के लागू होने की अवधि के दौरान आचरण से ऐतिहासिक आचरण को अलग करें। 03 दस साल / मूल दस्तावेज़ का स्नैपशॉट ### अवधि के लिए सूचना पथ आवश्यक है। जुलाई 2016 से अब तक का समय (देखें धारा 11) एक दस्तावेज़ी मेट्रिक है। यह स्थापित DSA उल्लंघनों के दस वर्षों का नहीं है। प्रत्येक सूचना को एक विशिष्ट आइटम, लागू कानून, वितरण के प्रमाण और प्रतिक्रिया से लिंक करें। लेख 52(3) / वैधानिक सीमा **6 %** ### वार्षिक विश्वव्यापी कारोबार का डीएसए दायित्वों के उल्लंघन के लिए अधिकतम जुर्माना, प्रदाता के पिछले वित्तीय वर्ष के आधार पर। यह एक कानूनी सीमा है, न कि Valve के खिलाफ आकलित दंड। लेख 6, 8 और 16 / कानूनी परीक्षण संबंधित होस्टिंग सेवाओं के लिए विशिष्ट जानकारी और शीघ्रता से कार्रवाई न करने पर होस्टिंग छूट समाप्त हो सकती है। एक पर्याप्त रूप से सटीक सूचना विशेष सामग्री की जानकारी स्थापित कर सकती है। डीएसए कोई सामान्य निगरानी दायित्व नहीं लगाता; छूट का समाप्त होना स्वयं में किसी अन्य कानून के तहत दायित्व स्थापित नहीं करता। [DSA: अनुच्छेद 6, 8, 16, 52, 53, 93 और पुनरावलोकन 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [संग्रहीत 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [संरक्षित शिकायतों की समीक्षा करें ↗](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records)[खाते की समयरेखा बनाएँ →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook)[पूर्ण कानूनी और आर्थिक विश्लेषण →](https://phishdestroy.io/steam_dossier/legal_analysis) भाग C — कानूनी ढाँचे · अनुभाग 17 · पहचान, आयु, वाणिज्यिक पहुँच ## नाबालिग: Steam लॉगिन आयु जांच नहीं है। प्रसंग और स्रोत सीमाएँ इस दस्तावेज़ में किसी भी नाबालिग का डेटा कहीं भी नहीं है और कोई डेटा एकत्रित भी नहीं किया गया: लेखकों ने किसी भी नामित प्लेटफ़ॉर्म पर पंजीकरण नहीं किया, जमा नहीं किया, या लॉगिन पूरा नहीं किया। इस अनुभाग पर काम करने वाले किसी भी व्यक्ति को बच्चे से संबंधित साक्ष्य निजी रखना चाहिए और सार्वजनिक प्रदर्शनों से पहचान संबंधी विवरण हटा देना चाहिए। COPPA का यहाँ बच्चों की गोपनीयता कानून के रूप में उल्लेख किया गया है, जिसके अपने दायरे की शर्तें हैं — दर्शक, वास्तविक जानकारी, एकत्रित व्यक्तिगत डेटा — न कि सामान्य जुआ-आयु नियम के रूप में; 2026न्यूयॉर्क शिकायत एक राज्य प्राधिकरण द्वारा लगाया गया आरोप है, न कि कोई निष्कर्ष। "Steam के साथ साइन इन करें" यह साबित करता है कि एक खाता मौजूद है। **यह उम्र के बारे में कुछ भी साबित नहीं करता।** — और इन साइटों पर यह एक बच्चे और जमा के बीच का एकमात्र द्वार है। इसे के साथ पढ़ें [धारा 3.1](https://phishdestroy.io/steam_dossier/hi/#inside-steam-filter)Steam क्लाइंट के अंदर ब्राउज़र द्वारा दिखाई जाने वाली चेतावनी कभी भी नहीं दिखती, इसलिए चाइल्ड उसे कभी नहीं देखता। Steam OpenID क्या प्रदान करता है **खाता पहचान** एक सत्यापित SteamID जिसका उपयोग लॉग इन करने या खाते को लिंक करने के लिए किया जाता है। ऑपरेटर को क्या स्थापित करना चाहिए **भाग लेने की पात्रता** आयु, क्षेत्राधिकार और कोई भी आवश्यक पहचान जांच। तकनीकी आधार: [स्टीमवर्क्स ओपनआईडी दस्तावेज़ीकरण ↗](https://partner.steamgames.com/doc/features/auth#website) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth)दस्तावेजीकृत पहचान पुष्टि यह प्रमाणन नहीं है कि उपयोगकर्ता कानूनी रूप से जुआ खेल सकता है। COPPA / 13 से कम उम्र के बच्चे ### ऑपरेटर और डेटा की पहचान करें। COPPA उन कवर की गई बाल-उन्मुख सेवाओं और उन सेवाओं पर लागू होती है जिन्हें वास्तव में पता है कि वे 13. से कम उम्र के बच्चों से व्यक्तिगत जानकारी एकत्रित कर रही हैं। यह बच्चों की गोपनीयता संबंधी कानून है, सार्वभौमिक जुआ-आयु नियम नहीं। दर्शकों की पहचान, एकत्रित व्यक्तिगत डेटा, जानकारी और अभिभावक सहमति प्रक्रिया स्थापित करें। [एफटीसी: COPPA आवश्यकताएँ ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) संरक्षित करने के लिए साक्ष्य ### लॉगिन से जमा तक की यात्रा रिकॉर्ड करें। साइट के आयु गेट, पंजीकरण की शब्दावली, पात्रता की शर्तें, भुगतान प्रक्रिया और शिकायत इतिहास को संरक्षित करें। प्रत्येक ऑपरेटर का अलग से आकलन करें। किसी भी ऐसे साक्ष्य को जो किसी बच्चे से संबंधित हो, निजी रखें और सार्वजनिक प्रदर्शनों से पहचान संबंधी विवरण हटा दें। एक संबंधित सार्वजनिक प्रवर्तन रिकॉर्ड है [2026 न्यूयॉर्क शिकायत घोषणा](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [संग्रहीत 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), जो भुगतान किए गए लूट बॉक्स से युवा उपयोगकर्ताओं को होने वाले नुकसान का आरोप लगाता है। यह COPPA का निष्कर्ष नहीं है। भाग C — कानूनी ढाँचे · अनुभाग 18 · GDPR लेख 15 अनुरोध ## अनुरोध। उत्तर। अनुपस्थित तुलना। उसने चार चीज़ों की मांग की, जिनमें से एक था वह लॉग जो यह बताएगा कि उसके खाते पर 'API' कुंजी किसने लगाई थी। **तीन दिन बाद टिकट को एक ऐसे पृष्ठ के लिंक के साथ बंद कर दिया गया जिस पर उनमें से कोई भी नहीं है।** — और इसे समाप्त करने के लिए इस्तेमाल किया गया वाक्य Valve के अपने वकीलों द्वारा खंडित किया गया है। यह किसका खाता है · उत्पत्ति और सीमाएँ **ये स्क्रीनशॉट PhishDestroy के नहीं हैं।** ये एक साधारण Steam खाताधारक से आए हैं — इस परियोजना द्वारा चलाए गए एक छोटे सर्वेक्षण के एक उत्तरदाता, जिसने स्वयं अनुरोध दायर किया और स्क्रीनशॉट प्रदान किए। खाता उनका है, टिकट उनका है, और पत्राचार उनके और Steam समर्थन के बीच है। इस परियोजना ने अनुरोध प्रस्तुत नहीं किया, प्लेटफ़ॉर्म पर इसका कोई खाता नहीं है, और यह इस टिकट में पक्षकार नहीं है। 16 सितंबर को 2026 ने एक GDPR/CCPA अनुच्छेद 15 विषय पहुँच अनुरोध दायर किया, जिसमें विशेष रूप से API-की पंजीकरण लॉग, आईपी के साथ लॉगिन इतिहास, डिवाइस प्राधिकरण इतिहास और व्यापार इतिहास की मांग की गई। 17 सितंबर को एजेंट "Logen" ने उन्हें स्वयं-सेवा खाता डेटा पृष्ठ पर भेज दिया। 18 सितंबर को उन्होंने कहा कि अनुरोधित श्रेणियाँ उस पृष्ठ पर नहीं थीं और उन्होंने प्राइवेसी टीम या DPO को एस्केलेशन करने का अनुरोध किया। 19 सितंबर को एजेंट "Kal" ने उसी रेफरल के साथ टिकट बंद कर दिया। दोनों स्क्रीनशॉट नीचे संरक्षित हैं (अनुरोधकर्ता का ईमेल हटाया गया; SHA-256 में `steam_tos_assets/screenshot-manifest.json`). वह एक साधारण कारण से अनुरोध करने के लिए उपयुक्त है: **उसके खाते में एक Steam Web API कुंजी है जिसे उसने नहीं बनाया, पंजीकृत है `localhost`**. **यह कब बनाया गया था, यह ज्ञात नहीं है।** — न तो उसे, और न ही Valve द्वारा उपलब्ध कराई गई किसी भी चीज़ से, क्योंकि एकमात्र रिकॉर्ड जो इसकी तारीख बता सकता है, वह API-की पंजीकरण लॉग है, और यही वह श्रेणी है जिसे समापन ने छिपाया था। कुंजी नई नहीं है: यह उसकी जानकारी में आने से पहले से मौजूद थी, और वह उस अंतराल को माप नहीं सकता, ठीक उसी कारण से। अन्य खाताधारक भी समान अनुरोध दायर कर रहे हैं। कोई भी प्राप्त होने वाली प्रतिक्रिया इन दोनों की शर्तों के अनुसार—टिकट संख्या, कैप्चर तिथि, SHA-256, अनुरोधकर्ता का नाम हटाया गया—यहाँ जोड़ी जाएगी, चाहे वह श्रेणियाँ प्रदान करे या उन्हें अस्वीकार करे। यह परियोजना टिकट क्यों बंद किया गया, इस पर कोई पक्ष नहीं लेती। इसमें कोई कारण नहीं बताया गया था, और यहाँ कोई अनुमान भी नहीं लगाया गया है। **अनुरोध। प्रतिक्रिया। तुलना।** रिकॉर्ड का पालन करें अनुरोध**विशिष्ट श्रेणियाँ** API-कुंजी, लॉगिन, डिवाइस और व्यापार रिकॉर्ड प्रतिक्रिया**खाता डेटा संदर्भ** समर्थन विनिमय का निरीक्षण करें परीक्षा**क्या प्रदान किया गया था?** प्रत्येक अनुरोधित श्रेणी की तुलना करें संरक्षित अनुरोध पढ़ें ताकि यह देखा जा सके कि खाताधारक ने किन श्रेणियों का अनुरोध किया था। संरक्षित उत्तर खाता डेटा की ओर इशारा करता है। स्क्रीनशॉट्स में शब्दावली और टिकट का परिणाम दिखाया गया है। उसने चार नामित श्रेणियों का अनुरोध किया। जिस Account Data पेज का उसे संदर्भ दिया गया था, वह Valve का अपना स्वयं-सेवा निर्यात है, और यह परियोजना किसी अन्य के खाते की सामग्री को सूचीबद्ध नहीं कर सकती — इसलिए यहाँ कोई पूर्ण श्रेणी-दर-श्रेणी तुलना प्रकाशित नहीं की गई है। रिकॉर्ड पर जो है, वह 18 सितंबर का उनका बयान है कि श्रेणियाँ वहाँ नहीं थीं, और 19 सितंबर का समापन है, जिसने उन्हें संबोधित किए बिना ही रेफ़रल दोहराया। स्क्रीन 1/2 — अनुरोध (16 Sep) और पहला उत्तर, एजेंट "Logen" (17 Sep) Image: [GDPR टिकट HT-2YBP-F7JP-D4VB — अनुरोध और पहला उत्तर](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) स्रोत: help.steampowered.com, टिकट HT-2YBP-F7JP-D4VB · कैप्चर 16–17 सितंबर 2026 · अनुरोधकर्ता का ईमेल हटाया गया 2026-09-21 · फ़ाइल: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · एसएचए-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)). स्क्रीन2/2 — एस्केलेशन अनुरोध (18 Sep) और समापन, एजेंट "Kal" (19 Sep) Image: [GDPR टिकट HT-2YBP-F7JP-D4VB — वृद्धि अनुरोध और समापन](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) स्रोत: help.steampowered.com, टिकट HT-2YBP-F7JP-D4VB · कैप्चर 18–19 सितंबर 2026 · फ़ाइल: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · एसएचए-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)). अंतिम प्रतिक्रिया, 19 सितम्बर (शाब्दिक): Steam द्वारा संग्रहीत डेटा पहले से ही आपके Account Data पृष्ठ पर पाया जा सकता है। चूंकि Steam सपोर्ट और कोई अतिरिक्त जानकारी प्रदान नहीं कर सकता, **यह अनुरोध बंद कर दिया जाएगा।**" कोई डेटा प्रदान नहीं किया गया · अस्वीकृति का कोई कानूनी आधार नहीं बताया गया · कोई एस्केलेशन परिणाम नहीं दिखाया गया **वह वाक्य झूठा है, और Valve के अपने वकील ही इसे साबित करते हैं।** 1 के वकील का पत्र, दिनांक 2025,, पैराग्राफ 1.9,, एक डिवाइस-स्तर का सहसंबंध वर्णन करता है जो एक डिवाइस को दर्जनों खातों से जोड़ता है ([परिशिष्ट अ](https://phishdestroy.io/steam_dossier/hi/#official-memorandum)). उसी प्रतिक्रिया में रखे गए अभिलेखों के 830 पृष्ठ शामिल थे ([परिशिष्ट B](https://phishdestroy.io/steam_dossier/hi/#academic-response)). इनमें से कुछ भी खाता डेटा पृष्ठ पर नहीं है। इस खाते ने API-की लॉग क्यों माँगा? उसने उन चार श्रेणियों को यादृच्छिक रूप से नहीं चुना। `localhost` उसके खाते की कुंजी है **एक स्क्रिप्ट का निशान है, न कि डेवलपर पेज में कोई वास्तविक डोमेन टाइप करने वाले व्यक्ति का।** ([धारा 5](https://phishdestroy.io/steam_dossier/hi/#vulnerability-profile), [धारा 6](https://phishdestroy.io/steam_dossier/hi/#hijack-simulation)). एकमात्र रिकॉर्ड जो दिखाता है कि इसे किसने बनाया और कहाँ से बनाया, वह API-key पंजीकरण लॉग है। वह पहली चीज़ थी जिसकी उसने मांग की। यही वह चीज़ थी जिसे क्लोज़र ने छिपाया। स्रोत: इस परियोजना के सर्वेक्षण के दौरान खाता धारक। ऊपर दिए गए टिकट के स्क्रीनशॉट हैश किए गए हैं; मुख्य पृष्ठ प्रकाशित नहीं किया गया है। मूल्यांकन · PhishDestroy यहाँ टिकट को प्रश्न अभी भी खुला होने के बावजूद बंद करना कोई आकस्मिक घटना नहीं है। यह सामान्य परिणाम है। हम मानते हैं [16,319 संरक्षित शिकायत और समर्थन रिकॉर्ड](https://phishdestroy.io/steam_dossier/steam_evidence_archive) और [354 दोहराए गए समर्थन आदान-प्रदान हटाए गए](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records) उनसे लिया गया। यह टिकट उस आकार का एक दिनांकित, पूरी तरह से कैद किया गया उदाहरण है। समर्थन टिकट — संरक्षित HT-2YBP-F7JP-D4VB अनुरोध का प्रकार GDPR लेख 15 डीएसएआर टिकट की स्थिति बंद 19 सितम्बर 2026 — कोई डेटा प्रदान नहीं किया गया विनिमय में एजेंट "लोगेन" (17 सित), "काल्" (19 सित) दाखिल 16 सितंबर2026 अनुरोधित डेटा इस खाते से जुड़ी Web API कुंजी किसने पंजीकृत की, और वह किस IP / डिवाइस / टाइमस्टैम्प से की गई थी? उद्धृत कानूनी आधार GDPR धारा 15 — व्यक्तिगत डेटा तक पहुँच का अधिकार **कानूनी ढांचा:** लेख 12(3) नियंत्रक को प्राप्ति से एक महीने का समय देता है (कारण बताकर बढ़ाया जा सकता है)। वह अवधि प्रकाशन के समय समाप्त नहीं हुई थी, और यह दस्तावेज़ समयसीमा के उल्लंघन का दावा नहीं करता। आपत्ति विषय-वस्तु से संबंधित है: अंतिम प्रतिक्रिया एक स्व-सेवा पृष्ठ से लिंक करती है लेकिन यह नहीं दिखाती कि चार नामित डेटा श्रेणियाँ तैयार की गई थीं, और यदि नियंत्रक कार्रवाई करने से इनकार करता है, तो अनुच्छेद 12(4) के अनुसार उसे कारण और शिकायत मार्ग बताने होंगे। ये दोनों अंतिम प्रतिक्रिया में नहीं हैं। यह विशिष्ट डेटा क्यों मायने रखता है वेब API कुंजी इवेंट लॉग वह रिकॉर्ड है जो यह दर्शाता है कि किसी तीसरे पक्ष ने चोरी की गई सत्र कुकी का उपयोग करके एक कुंजी पंजीकृत की है या नहीं — यह उस तंत्र का वर्णन है जो इस दस्तावेज़ के अभिलेखागार में संरक्षित इन्वेंटरी-चोरी की शिकायतों में बताया गया है। यह खुलासा करना कि किसने एक API कुंजी पंजीकृत की, किस आईपी से, और किस टाइमस्टैम्प पर, तो: - पीड़ित को API निर्माण आईपी की तुलना अपने लॉगिन इतिहास से करने की अनुमति दें। - ज्ञात फ़िशिंग/जुआ बॉट इंफ्रास्ट्रक्चर से जुड़े डेटा-सेंटर आईपी पतों का खुलासा करें। - कार्यकर्ता के खिलाफ दीवानी या आपराधिक कार्यवाहियों में उपयोगी साक्ष्य प्रस्तुत करें। - दिखाएँ कि कुंजी बनाए जाने पर खाते के धारक को सूचित किया गया था या नहीं। **रिकॉर्ड से पता चलता है:** Valve डिवाइस-स्तर और खाता-संबंधी रिकॉर्ड्स को बनाए रखता है — इसके वकील का पत्र 1, 10 अक्टूबर 2025 में उनका वर्णन किया गया है (देखें परिशिष्ट A, साक्ष्य ज्ञापन — स्रोत 1)। टिकट HT-2YBP-F7JP-D4VB में डेटा विषय द्वारा उसी श्रेणी के रिकॉर्ड का अनुरोध किया गया था और टिकट को एक स्व-सेवा पृष्ठ पर भेजकर बंद कर दिया गया, जिसके बारे में डेटा विषय ने रिपोर्ट किया कि उसमें वे रिकॉर्ड नहीं थे। यह कि वह इनकार वैध है या नहीं, यह पर्यवेक्षी प्राधिकरण के लिए एक प्रश्न है; इसका प्रभाव यह है कि जिस व्यक्ति से डेटा संबंधित है, उसे यह नहीं मिलता। विनिमय — चार संदेश, तीन दिन Steam के दो सपोर्ट एजेंटों ने टिकट पर दिखाए गए पहले नामों के तहत जवाब दिया: 17 सितंबर को "Logen" और 19 सितंबर को "Kal". दोनों ने अनुरोधकर्ता को अकाउंट डेटा पेज पर भेज दिया। टिकट पर यह नहीं दिखता कि अनुरोध Valve की प्राइवेसी टीम या डेटा प्रोटेक्शन ऑफिसर तक पहुँचा या नहीं, और दस्तावेज़ में यह नहीं बताया गया कि एजेंट कौन हैं, उनकी भूमिकाएँ क्या हैं, या टिकट कैसे रूट किया गया। 16 अलगाव लेख 15चार नामित डेटा श्रेणियों के साथ दायर अनुरोध 17–18 अलगाव खाता डेटा के लिए रेफ़रल; अनुरोधकर्ता DPO एस्केलेशन का अनुरोध करता है 19 अलगाव टिकट उसी रेफरल के साथ बंद कर दिया गया; कोई डेटा नहीं, कोई आधार नहीं बताया गया। लेख 15GDPR स्पष्ट रूप से विषय को क्या अधिकार प्रदान करता है धारा15(1)(क) प्रसंस्करण उद्देश्यों — Valve डेटा क्यों रखता है धारा15(1)(ख) डेटा की श्रेणियाँ — Valve के पास क्या है धारा15(1)(c) प्राप्तकर्ता या प्राप्तकर्ताओं की श्रेणियाँ — **जिनके पास डेटा प्राप्त हुआ (e.g., API कुंजी धारक)** धारा15(1)(d) रखने की अवधि या इसे निर्धारित करने के मानदंड लेख15(3) प्रसंस्करण के अधीन व्यक्तिगत डेटा की एक प्रति — i.e., API-की लॉग स्वयं धारा12 (3) के भीतर प्रतिक्रिया आवश्यक है **एक महीना** प्राप्ति की; विस्तार उसी महीने के भीतर सूचित किया जाना चाहिए। प्रकाशन के समय यह अवधि समाप्त नहीं हुई थी। **धारा 12(4):** यदि नियंत्रक कार्रवाई नहीं करता है, तो उसे कारण बताना होगा और शिकायत निवारण मार्गों की जानकारी देनी होगी। नियामक शिकायत मार्ग — किसी भी उपयोगकर्ता के लिए कोई भी उपयोगकर्ता जिसने Valve को एक लेख 15 GDPR अनुरोध प्रस्तुत किया और कोई अनुपालन प्रतिक्रिया (या डेटा के बिना एक टेम्पलेट अस्वीकृति) प्राप्त नहीं की, वह अपने EU/EEA सदस्य राज्य में पर्यवेक्षी प्राधिकारी के पास शिकायत दर्ज कर सकता है। Valve की EU स्थापना हैम्बर्ग में Valve GmbH है, इसलिए सीमा-पार शिकायतों के लिए प्रमुख पर्यवेक्षी प्राधिकारी है **हैम्बर्ग की डेटा सुरक्षा और सूचना स्वतंत्रता की आयुक्त (HmbBfDI)**. (Valve के अनुच्छेद 27 का प्रतिनिधि भी हैम्बर्ग में स्थित है; एक प्रतिनिधि का पता अपने आप में सक्षम प्राधिकरण निर्धारित नहीं करता।) अनुच्छेद 77. के तहत शिकायतकर्ता के अपने सदस्य राज्य के प्राधिकरण के पास भी शिकायत दर्ज की जा सकती है। [HmbBfDI शिकायत प्रपत्र ↗](https://datenschutz.hamburg.de/beschwerde) [GDPR पाठ (लेख12,15,77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [संग्रहीत 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [ईडीपीबी दिशानिर्देश ↗](https://edpb.europa.eu) किसी भी शिकायत के लिए टिकट संदर्भ: **HT-2YBP-F7JP-D4VB** — इस दस्तावेज़ में एक प्रलेखित उदाहरण के रूप में संरक्षित। एक प्रलेखित उदाहरण ### रिकॉर्ड मौजूद हैं; डेटा विषय को वे प्राप्त नहीं हुए। Valve के वकील ने 1 अक्टूबर 2025. के एक पत्र में डिवाइस-स्तरीय सहसंबंध रिकॉर्ड का वर्णन किया। 19 सितंबर 2026 पर, इसी श्रेणी के रिकॉर्ड के लिए एक Article 15 अनुरोध को एक स्वयं-सेवा पृष्ठ पर भेजकर बंद कर दिया गया, जिसे अनुरोधकर्ता ने बताया कि उसमें वे रिकॉर्ड नहीं थे, बिना किसी कानूनी आधार के। टिकट HT-2YBP-F7JP-D4VB एक प्रलेखित उदाहरण है; यह व्यापक प्रथा को दर्शाता है या नहीं, यह पर्यवेक्षी प्राधिकरण का प्रश्न है, जो Valve से इसकी हैंडलिंग रिकॉर्ड्स की मांग कर सकता है। GDPR लेख 12, 15, 77 / पर्यवेक्षी प्राधिकरण लेख 12 और 15 के तहत शिकायत सीधे संबंधित पर्यवेक्षी प्राधिकरण के पास बिना किसी शुल्क के दर्ज की जा सकती है (लेख 77)। प्राधिकरण सुधारात्मक उपाय लागू कर सकता है, जिसमें पहुँच अनुरोध का पालन करने के आदेश और अनुच्छेद 83(5)(b) के तहत डेटा विषय के अधिकारों के उल्लंघन के लिए जुर्माना शामिल है। मूल टिकट संदर्भ और किसी भी Valve प्रतिक्रिया (या उसकी अनुपस्थिति) को संरक्षित रखना शिकायत को मजबूत करता है। [DSAR टेम्पलेट देखें →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) भाग C — कानूनी ढाँचे · अनुभाग 19 · संविदा कानून ## प्लेटफ़ॉर्म की अपनी वास्तुकला के विरुद्ध सदस्यता समझौता प्रसंग और स्रोत सीमाएँ लेखक वकील नहीं हैं और यह कोई कानूनी सलाह नहीं है। एसएसए का उद्धरण 10, सितंबर 2026 के संशोधन से लिया गया है; किसी अन्य संशोधन में यह अलग हो सकता है, और खंड संख्या संशोधनों के साथ बदल गई है — प्रश्नगत आचरण को नियंत्रित करने वाले संस्करण के अनुसार खंड की जाँच करें। लेख 25 और 32 के तर्क बताते हैं कि विनियमन में क्या आवश्यक है, न कि किसी पर्यवेक्षी प्राधिकरण ने उल्लंघन पाया है। तर्क 1 में दिए गए आंकड़े अनुभाग 13. में निर्धारित दायरा सीमाएँ दर्शाते हैं। एसएसए के तीन केंद्रीय प्रावधान इस बात से मेल नहीं खाते कि प्लेटफ़ॉर्म कैसे बनाया गया है: एक बाज़ार मूल्य सीमा के खिलाफ व्यावसायिक उपयोग पर रोक जो उच्च-मूल्य वाली बिक्री को प्लेटफ़ॉर्म से बाहर धकेलती है; उपयोगकर्ता-देयता खंड (API) एक ऐसे मुख्य लक्ष्य बिंदु के विरुद्ध है, जिसके लिए 2023, से पहले किसी द्वितीयक कारक की आवश्यकता नहीं होती थी; और सार्वजनिक रिकॉर्ड के विरुद्ध प्रवर्तन भाषा, जो प्रति-ऑपरेटर प्रवर्तन नहीं दिखाती। ये तनाव प्रवर्तन क्षमता को प्रभावित करते हैं या नहीं, यह अदालत का प्रश्न है; इस अनुभाग में वे तथ्य प्रस्तुत किए गए हैं जो अदालत के समक्ष होंगे। तर्क 1 / मार्केट कैप आर्किटेक्चर ### बाजार की ऊपरी सीमा और वाणिज्यिक उपयोग पर प्रतिबंध Steam Community Market की लिस्टिंग सीमा लगभग $1,800. है। एक पुराने स्नैपशॉट (23, Sep 2026) में पाँच मार्केटप्लेस में, 248 CS2 आइटम श्रेणियाँ उनमें से दो या अधिक द्वारा स्वतंत्र रूप से उस सीमा से ऊपर मूल्यनिर्धारित की गई हैं; ऐसे आइटम **Valve के अपने प्लेटफ़ॉर्म पर उन कीमतों पर बेचा नहीं जा सकता।**जो मालिक वे कीमतें चाहते हैं, वे तृतीय-पक्ष बाज़ारों का उपयोग करते हैं, जो Steam खातों और Steam API पर चलते हैं — जब तक स्पष्ट रूप से अनुमति न दी जाए, SSA इन्हें वाणिज्यिक के रूप में वर्गीकृत करता है। आइटम बाजार की ऊपरी सीमा से अधिक हो जाते हैं → तृतीय-पक्ष बाजार इस अंतर को भरते हैं → ये बाजार Steam खातों और Steam API का उपयोग करते हैं → SSA बिना अनुमति के व्यावसायिक उपयोग पर रोक लगाता है → अनुमति का कोई रजिस्टर प्रकाशित नहीं किया गया है। कम्युनिटी मार्केट की संयुक्त शुल्क राशि लगभग 15% केवल मार्केट के भीतर पूरी हुई बिक्री पर लागू होती है, इन बाहरी लेनदेन पर नहीं। तर्क 2 / API कुंजी सुरक्षा वास्तुकला ### API-की भेद्यता को उपयोगकर्ता की लापरवाही के बजाय एक प्लेटफ़ॉर्म डिज़ाइन प्रश्न के रूप में देखना 2023,Steam के API कुंजी निर्माण एंडपॉइंट ने एक चोरी किए गए sessionid के साथ एक POST स्वीकार किया और एक उच्च-अधिकार वाला क्रेडेंशियल उत्पन्न किया। **ई-मेल पुष्टि के बिना, एक दूसरा फैक्टर या डिवाइस सत्यापन**API में इस जांच में एकत्रित हाईजैक शिकायतें एक ही पैटर्न का पालन करती हैं: हमलावर स्क्रिप्ट, चोरी की गई सत्र कुकी, चुपके कुंजी निर्माण, व्यापार इंटरसेप्शन (अनुरोध पेलोड अनुभाग 8 में दिखाया गया है)। GDPR लेख 25 (डिज़ाइन द्वारा डेटा संरक्षण) और लेख 32 (प्रसंस्करण की सुरक्षा) जोखिम के अनुरूप तकनीकी उपायों की आवश्यकता करते हैं। दूसरे कारक या स्वामी को सूचित किए बिना व्यापार इंटरसेप्शन में सक्षम क्रेडेंशियल जारी करना नियंत्रक के लिए एक डिज़ाइन संबंधी प्रश्न है। उस पृष्ठभूमि में उपयोगकर्ता पर दायित्व लगाने वाली SSA क्लॉज पर भरोसा किया जा सकता है या नहीं, यह न्यायालय और पर्यवेक्षी प्राधिकरण का प्रश्न है। तर्क3 / वास्तविक-समय दृश्यता ### Valve हर लॉगिन पर auth होस्टनेम प्राप्त करता है। auth होस्टनेम Valve के OpenID एंडपॉइंट पर प्लेनटेक्स्ट में पहुँचता है। `openid.return_to` और `openid.realm` (रिक्वेस्ट का आकार सेक्शन 3 में दिखाया गया है)। इसे निकालना एक मानक ऑपरेशन है। 2026-09-22, के अनुसार, 26 में मुख्य डोमेन लिंक फ़िल्टर पर था, जबकि होस्ट जिस पर Steam लॉगिन था, वह लिंक फ़िल्टर पर नहीं था। Valve ने किसी भी ऑपरेटर-विशिष्ट प्रवर्तन रिकॉर्ड का प्रकाशन नहीं किया है, इसलिए सार्वजनिक डेटा से यह स्थापित नहीं किया जा सकता कि लिंक फ़िल्टर के अलावा इन होस्ट्स पर कोई अन्य उपाय लागू किया गया है या नहीं। लागत कौन वहन करता है ### संग्रहीत शिकायतों में पैटर्न समीक्षित शिकायतों में, Steam सपोर्ट की 'API' की-हाइजैक दावे पर प्रतिक्रिया एक ही रूप में होती है: पुनर्स्थापना से इनकार, खाते और इसकी API कुंजी के लिए उपयोगकर्ता की जिम्मेदारी का हवाला, और टिकट बंद करना। इस दस्तावेज़ में प्रभावित खातों या खोए मूल्य का कोई समग्र आंकड़ा अनुमानित नहीं किया गया है; ऐसे आंकड़े का कोई स्रोत नहीं मिला है। प्रश्न यह नहीं है कि व्यक्तिगत उपयोगकर्ताओं ने गलतियाँ कीं या नहीं। प्रश्न यह है कि उस आर्किटेक्चर के लिए कौन जिम्मेदार है, जिसने 2023, तक एक चोरी की कुकी के साथ POST अनुरोध को बिना किसी सूचना और बिना द्वितीयक प्रमाणीकरण के उच्च-अधिकार वाला ट्रेडिंग क्रेडेंशियल बनाने की अनुमति दी। दस्तावेज़ के रूप में SSA बनाम अनुबंध के रूप में SSA ### इस रिकॉर्ड का मूल्यांकन करने वाली अदालत एसएसए को अलग से नहीं पढ़ेगी। 2026. यह वकील के 10 अक्टूबर के 2025 पत्र के साथ पढ़ा जाएगा, जिसमें डिवाइस-स्तर की सहसंबंध, auth-host पंजीकरण तिथियाँ, बैच पंजीकरण टाइमस्टैम्प, API-key अनुरोध पेलोड और जुलाई के 2016 नोटिस और सितंबर में अभी भी संचालित हो रहे प्लेटफ़ॉर्म के बीच के दस वर्षों का वर्णन है। यही वह रिकॉर्ड है जिसे Valve को संबोधित करना होगा। रिकॉर्ड के विरुद्ध SSA / मुख्य बिंदु - "वाणिज्यिक उपयोग नहीं" — मार्केट की ऊपरी सीमा उच्च-मूल्य की बिक्री को वाणिज्यिक तृतीय-पक्ष बाजारों में धकेलती है। - "उपयोगकर्ता API कुंजियों के लिए उत्तरदायी" — 2023 से पहले कुंजी एंडपॉइंट पर कोई दूसरा कारक नहीं। - "हम उल्लंघनकर्ताओं के खिलाफ प्रवर्तन करते हैं" — जुलाई 2016 से कोई प्रति-ऑपरेटर प्रवर्तन रिकॉर्ड प्रकाशित नहीं किया गया है। - "आप शर्तों से सहमत हुए" — हाईजैक पैटर्न में स्वीकृति स्क्रिप्ट द्वारा प्रस्तुत की जाती है, खाता धारक द्वारा नहीं। निष्कर्ष · रिकॉर्ड क्या स्थापित करता है और हम क्या मांगते हैं ## निष्कर्ष। वे रिकॉर्ड जिन्हें हम मांगते हैं। प्रसंग और स्रोत सीमाएँ नीचे दी गई प्रत्येक खोज उपरोक्त अनुभागों में दिनांकित सार्वजनिक अभिलेख से जुड़ी है। ये अनुरोध उन प्राधिकरणों को संबोधित हैं जो उस एक चीज़ को जबरदस्ती प्राप्त कर सकते हैं जिसे यह जांच प्राप्त नहीं कर सकती: Valve के अपने प्रवर्तन, पहुँच और प्रसंस्करण अभिलेख। प्रत्येक अनुरोध एक दिनांकित निष्कर्ष का अनुसरण करता है। प्राधिकरण ऐसे अभिलेखों की मांग कर सकते हैं जिन्हें यह सार्वजनिक-स्रोत जांच जबरदस्ती प्राप्त नहीं कर सकती। सार्वजनिक अभिलेख से जो स्थापित होता है - 44 लाइव प्लेटफ़ॉर्म एक अलग पंजीकरण योग्य डोमेन — 27 के माध्यम से प्रमाणीकरण करते हैं, जिसमें एक प्रकाशित प्रति-मार्ग साक्ष्य फ़ाइल होती है, 17 जिसे मैन्युअल संग्रह से एकत्रित किया जाता है और अलग से सूचीबद्ध किया जाता है। 2026-09-22, के अनुसार, 26 जोड़ों के मुख्य डोमेन को Steam लिंक फ़िल्टर में ब्लॉक किया गया था, जबकि लॉगिन वह होस्ट नहीं था — csgogem.com ब्लॉक किया गया था। `api.csgem.com` मार्च से पंजीकृत2014.Steam को वह होस्टनाम प्राप्त होता है `openid.realm` और `openid.return_to` हर लॉगिन पर। [धारा 3](https://phishdestroy.io/steam_dossier/hi/#proxy-bypass-explainer) - 13 जुलाई 2016Valve ने सार्वजनिक रूप से उस तंत्र का नाम लिया और उसे प्रतिबंधित कर दिया, और उनके वकील की 20 जुलाई 2016 की नोटिस ने दस दिन की समयसीमा निर्धारित की। उस समयसीमा के बाद से पिछले दस वर्षों में किसी भी ऑपरेटर-वार प्रवर्तन रिकॉर्ड का प्रकाशन नहीं किया गया है। [धारा 11](https://phishdestroy.io/steam_dossier/hi/#case-study-section) - Steam वेब API की मुख्य एंडपॉइंट ने केवल एक सत्र कुकी के आधार पर, बिना किसी द्वितीयक कारक के, 2023. से पहले उच्च-अधिकार वाला, व्यापार-सक्षम क्रेडेंशियल जारी किया। [धारा 5](https://phishdestroy.io/steam_dossier/hi/#vulnerability-profile) - GDPR लेख 15 अनुरोध (टिकट HT-2YBP-F7JP-D4VB) तीन दिनों के बाद स्व-सेवा लिंक के साथ बिना किसी डेटा के बंद कर दिया गया। [धारा 18](https://phishdestroy.io/steam_dossier/hi/#gdpr-live-case) हम प्रत्येक प्राधिकरण से क्या पूछते हैं वाशिंगटन राज्य जुआ आयोग 2016 फ़ाइल को फिर से खोलें। ऑपरेटर-दर-ऑपरेटर विवरण मांगें कि दस-दिन की सूचनाओं के बाद किन खातों, बॉट्स और रिटर्न होस्ट्स को अक्षम किया गया था, और बाद में किन ऑपरेटरों ने फिर से पहुँच प्राप्त की। [धारा 2](https://phishdestroy.io/steam_dossier/hi/#wsgc-public-address) एचएमबीबीएफडीआई (हैम्बर्ग; Valve जीएमबीएच) परीक्षण करें कि क्या अनुच्छेद 15 प्रतिक्रिया ने नियंत्रक के दायित्व को पूरा किया, और अभियुक्त की पहचान करने के लिए प्रासंगिक API-कुंजी पंजीकरण और पहुँच रिकॉर्ड का प्रकटीकरण अनिवार्य करें। [धारा 18](https://phishdestroy.io/steam_dossier/hi/#gdpr-live-case) डीएसए डिजिटल-सेवा समन्वयक auth-host राउटिंग को रिकॉर्ड में सूचना के रूप में दर्ज करें, फिर जब जानकारी दस्तावेजीकृत हो जाए, तो आकलन करें कि क्या Valve की प्रतिक्रिया उसकी जिम्मेदारियों को पूरा करती है। [धारा 16](https://phishdestroy.io/steam_dossier/hi/#dsa-accountability) कोई भी डेटा विषय अपने स्वयं के खाते के लिए वही रिकॉर्ड अनुरोध करने हेतु अनुच्छेद 15 टेम्पलेट का उपयोग करें; एक संरक्षित रिकॉर्ड यह परीक्षण कर सकता है कि रीसेट किसने आरंभ किया या कुंजी किसने बनाई। [परिशिष्ट G](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) चारों के पीछे एक ही अनुरोध है: केवल Valve के पास मौजूद प्रवर्तन, पहुँच और प्रसंस्करण रिकॉर्ड प्रकाशित करें। एक होमपेज चेतावनी, एक दस-दिवसीय पत्र और एक स्व-सेवा पृष्ठ नियंत्रण के दावे हैं। नियंत्रण का प्रयोग किया गया या नहीं, यह एक ऐसा प्रश्न है जिसका उत्तर सार्वजनिक रिकॉर्ड नहीं दे सकता, लेकिन एक नियामक दे सकता है। परिशिष्ट — प्राथमिक प्रदर्श और कार्यशील सामग्री परिशिष्ट A — वकील पत्राचार ## साक्ष्य ज्ञापन — स्रोत 1 द्वारा प्रदान की गई सामग्री खंड 1,18 और 19. में निर्भर परामर्श पत्राचार के लिए साक्ष्य आधार और स्रोत स्थिति **साक्ष्य आधार और स्रोत स्थिति — स्रोत द्वारा प्रदान किए गए दस्तावेज़ 1** जिस उपयोगकर्ता पर स्थायी प्रतिबंध लगने से यह ऑडिट शुरू हुआ, वह इसका विषय नहीं है। यह यहाँ नहीं देखा जाता कि वह प्रतिबंध उचित था या नहीं, और यह दस्तावेज़ न तो उसका बचाव करता है और न ही उस पर विवाद करता है। खाता महत्वपूर्ण नहीं है। जो मायने रखता है वह सामग्री है: **स्रोत 1** — प्रतिबंधित खाते के धारक, जिन्हें Valve के वकील से उनकी अपनी GDPR अनुरोध के डेटा विषय के रूप में नीचे दी गई पत्राचार प्राप्त हुई — ने उस पत्राचार और संलग्न केस फाइलों को, साथ ही उन्हें सार्वजनिक रूप से जांचने का अधिकार भी, अग्रेषित किया। नाम छिपाया गया है; दस्तावेज़ों का वर्णन तिथि, निर्माता मेटाडेटा और हैश के आधार पर किया गया है। GDPRयह पत्राचार एक ईमेल/डीएसएआर अनुरोध के जवाब में भेजा गया था। इस प्रक्रिया के दौरान, Valve के वकील ने हस्ताक्षर के तहत रिकॉर्ड पर एक बयान दिया, जिसमें एक ऐसी क्षमता का वर्णन किया गया था जिसे Steam सपोर्ट ने पहले उपयोगकर्ताओं को तकनीकी रूप से असंभव बताया था। नीचे उद्धृत पैराग्राफ वही बयान है। लेखकों का उत्पादित लॉग अर्क का आगे का विश्लेषण है **इस दस्तावेज़ से हटाया गया** स्वतंत्र समीक्षा लंबित है। इस जांच के किसी अन्य भाग द्वारा इस पर भरोसा नहीं किया जाता है। रिकॉर्ड पर स्वीकारोक्ति: निरंतर डिवाइस-स्तरीय टेलीमेट्री Valve के वकील द्वारा लिखित बताई गई चिट्ठी के पैराग्राफ 1.9 में, Valve के वकीलों ने कहा: *2019 और 2023, के बीच, इस खाते का उपयोग मुख्य रूप से एक ऐसे डिवाइस से किया गया था, जिसका उपयोग दर्जनों चोरी हुए Steam खातों में लॉग इन करने के लिए भी किया गया था।* **तथ्य:** Valve के वकील ने यहाँ चार वर्षों में फैले खातों में डिवाइस-स्तरीय सहसंबंध का वर्णन किया है। Steam सपोर्ट ने चोरी के शिकारों को बताया कि चोरी हुई वस्तुओं का ट्रैक करना या खातों को उपकरणों से जोड़ना तकनीकी रूप से संभव नहीं था। Steam गार्ड डिवाइस प्राधिकरण सार्वजनिक रूप से प्रलेखित है, इसलिए प्रति-उपकरण रिकॉर्ड का अस्तित्व स्वयं में नया नहीं है; जो नया है वह वकील की लिखित पुष्टि है कि ये रिकॉर्ड कई वर्षों की अवधि में खातों के बीच बनाए रखे और संबंधित किए जाते हैं। **यह क्यों मायने रखता है:** वह सहसंबंध जो एक डिवाइस को चार वर्षों में दर्जनों हाईजैक किए गए खातों से जोड़ सकता है, उसी श्रेणी का रिकॉर्ड है जिसे सपोर्ट ने पीड़ितों के लिए उपयोग करने में असमर्थ होने की बात कही। उस श्रेणी के रिकॉर्ड चोरी और पुनर्विक्रय श्रृंखला में खातों और उपकरणों की पहचान करने में सक्षम होंगे। कौन से रिकॉर्ड मौजूद हैं, उन्हें कितनी अवधि तक रखा जाता है, और डेटा विषयों से उन्हें किस आधार पर रोका जाता है, ये पर्यवेक्षी प्राधिकरण के लिए प्रश्न हैं। स्रोत: Valve के वकील का पत्र दिनांक 1, अक्टूबर 2025,, पैराग्राफ 1.9, और उसका 830-पृष्ठ PDF परिशिष्ट · प्राप्तकर्ता Source 1 को एक GDPR अनुच्छेद 15 अनुरोध के जवाब में · परिशिष्ट का SHA-256 दर्ज किया गया [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · पत्र स्वयं पुनरुत्पादित नहीं किया गया है; खाता नाम और तृतीय-पक्ष डेटा को छोड़ दिया गया है। स्थिति: खुला साक्ष्य अभिलेखागार के माध्यम से स्रोत सामग्री उपलब्ध हैं। परिशिष्ट B — उत्पन्न PDF · छुपांकन जाँच ## उत्पादित PDF में की गई छंटनी केवल दिखावटी है: छिपाया गया पाठ अभी भी निकालने योग्य है। Valve के वकील ने GDPR के एक्सेस अनुरोध का उत्तर एक 830-पेज परिशिष्ट के साथ दिया, जिसमें पाठ को हटाने के बजाय उस पर लाल रंग से छपाई की गई है। **902,270 अक्षर काले बार के नीचे बैठते हैं और टेक्स्ट-एक्सट्रैक्शन टूल से सीधे बाहर आते हैं।** — जिसमें वे तृतीय-पक्ष पहचानकर्ता भी शामिल हैं जिन्हें छिपाने के लिए बार लगाए गए थे। यहाँ केवल समेकित गणनाएँ प्रकाशित की गई हैं; कोई भी कवर की गई सामग्री पुनरुत्पादित नहीं की गई है, और परिशिष्ट स्वयं प्रकाशित नहीं किया गया है। 1. ज्योमेट्री जांच में क्या पाया गया GDPR कला. 15 दिनांकित प्रतिक्रिया **1 अक्टूबर 2025** इसके साथ एक 830-पेज PDF परिशिष्ट था (.NET निर्माता मेटाडेटा के लिए Aspose.PDF, उसी तारीख को बनाया और संशोधित)। लेखकों ने पेज-स्तरीय ज्यामिति जांच की: प्रत्येक पेज के लिए, पाठ परत के बाद बनाए गए अपारदर्शी, लगभग काले आयत पाए गए और उनके नीचे स्थित निकालने योग्य अक्षरों की गिनती की गई। उत्पादित फ़ाइल पर मापा गया 902,270 काले बारों के नीचे से अभी भी पात्र निकाले जा सकते हैं। गणना की गई है, अनुमानित नहीं। यह कवर किए गए पात्रों की संख्या है — पीड़ितों, पुनः पहचानों या घटनाओं की नहीं। 830 / 830 प्रभावित पृष्ठ — प्रत्येक पृष्ठ 986 निकालने योग्य पाठ पर आयतें 1,329 कुल मिलाकर अपारदर्शी काले आयत काले बार टेक्स्ट लेयर पर खींचे गए हैं; वे इसे हटाते नहीं हैं। बार के नीचे का टेक्स्ट मानक PDF उपकरणों से निकाला जा सकता है। केवल समग्र गणनाएँ प्रकाशित की गई हैं; यहाँ कोई आच्छादित सामग्री पुनरुत्पादित नहीं की गई है। फोरेंसिक प्रदर्शन: परत पृथक्करण ASPOSE.PDF .NET वेक्टर ओवरले मॉकअप के लिए (परिशिष्ट P. 412) खाते के खिलाफ रिपोर्ट दर्ज: [लॉगिन: redacted_user_667] उपयोगकर्ता द्वारा प्रस्तुत कारण: [टेक्स्ट: "उपयोगकर्ता ने इन्वेंटरी में डुप्लिकेट आइटम और दुर्व्यवहारपूर्ण व्यापार आचरण की सूचना दी..."] अग्रभूमि: खामी: अंतर्निहित UTF-8 स्ट्रीम अक्षुण्ण 2025 स्रोत: 1 के 10 अक्टूबर 2019 के परामर्श पत्र का PDF परिशिष्ट (830 पृष्ठ, .NET निर्माता मेटाडेटा के लिए Aspose.PDF ) · लेखकों, विधि और प्रति-पृष्ठ गणनाओं द्वारा मापा गया [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · SHA-1:256, संलग्नक उसी फ़ाइल में दर्ज है · संलग्नक स्वयं प्रकाशित नहीं है। 2. डेटा विषय प्रतिक्रिया के लिए यह क्यों महत्वपूर्ण है **Valve के वकील ने उस व्यक्ति के अपने अभिलेखों की मांग के जवाब में यह फ़ाइल डेटा विषय को भेजी।** इस पर लगे बार केवल सजावटी हैं: नीचे का टेक्स्ट कभी हटाया ही नहीं गया था, इसलिए जिन तीसरे पक्ष की पहचानकर्ताओं को छिपाने के लिए बार लगाए गए थे, वे फ़ाइल के साथ प्राप्तकर्ता तक पहुँच गए। एक ऐसी छुपाव जो टेक्स्ट-एक्सट्रैक्शन टूल से हटाया जा सकता है, कुछ भी छिपा नहीं पाता, और यह प्राप्तकर्ता को यह भी नहीं बता पाता कि क्या प्रकट किया गया था और क्या नहीं। लेख 15(4) ही वह कारण है कि ये प्रतिबंध मौजूद हैं: एक प्रति प्राप्त करने का अधिकार दूसरों के अधिकारों और स्वतंत्रताओं को प्रतिकूल रूप से प्रभावित नहीं करना चाहिए। यह वही दायित्व है जिसे इस उत्पादन ने पूरा नहीं किया। कि इसे अनुच्छेद 4(12) के तहत व्यक्तिगत डेटा उल्लंघन के रूप में वर्गीकृत किया जाना चाहिए या नहीं, यह पर्यवेक्षी प्राधिकरण द्वारा निर्धारित किया जाएगा; प्रकटीकरण स्वयं फ़ाइल में मापा जा सकता है, और वही बाइट्स रखने वाला कोई भी व्यक्ति इसे पुन: उत्पन्न कर सकता है — SHA-256 प्रकाशित है, परिशिष्ट नहीं। **बारों के नीचे जो था, वे खाता नंबर नहीं थे।** यह अनुरोधकर्ता के खिलाफ दायर उपयोगकर्ता रिपोर्टों का मूल भाग था, जिनके लेखक संलग्न थे: Steam लॉगिन, जो क्योंकि एक लॉगिन शायद ही कभी केवल Steam पर ही उपयोग किया जाता है, उनके पीछे छिपे व्यक्ति की पहचान करते हैं — **लेखकों के अनुसार, दस्तावेज़ में नामित उपयोगकर्ताओं में से 60% से अधिक पूरी तरह से पहचाने जा सकते हैं।** — साथ ही उन्होंने जो लिखा था, उसका कच्चा, बिना संपादित पाठ। उस पाठ में मृत्यु की कामनाएँ और आवेदक की राष्ट्रीयता के प्रति अपमानजनक भाषा शामिल है। इस प्रकार पहचाने गए कुछ लोग नाबालिग हैं। **प्रोडक्शन ने उस व्यक्ति को, जिसकी उन्होंने रिपोर्ट की थी, पत्रकारों की नामित सूची सौंपी।**, जो कि वही सटीक हानि है जिसे रोकने के लिए अनुच्छेद15(4) लिखा गया है। **फ़ाइल के आसपास का क्रम उसकी सामग्री जितना ही महत्वपूर्ण है।** अनुरोध को पहले पहचान के अतिरिक्त प्रमाण की मांग के साथ अस्वीकार किया गया, इस आधार पर कि अनुरोधकर्ता के छद्म ईमेल पते में उसका नाम नहीं था; बाद में हुई देरी के दौरान खाते पर स्थायी रूप से प्रतिबंध लगा दिया गया। अंततः डेटा प्रदान करने वाले पत्र में, अनुच्छेद 12(3) महीने की समय-सीमा समाप्त होने के छह सप्ताह से अधिक समय बाद, प्राप्तकर्ता को आपराधिक अभियोजन की धमकी दी गई और जब तक उसने अपने खाते की गतिविधि वकील को समझा नहीं दी, तब तक उसके शेष डेटा को रोक लिया गया। यह खुलासा दो ऐसे सवालों का भी समाधान करता है जिनका जवाब Valve ने सार्वजनिक रूप से नहीं दिया है: प्रस्तुत रिकॉर्ड दिखाते हैं कि खाते को जोड़ने का काम 2019, तक जाता है और आंतरिक टेलीमेट्री की गहराई Valve ने कभी वर्णन नहीं की है। **इस अनुभाग का दायरा:** यहाँ का अवलोकन केवल संशोधन की प्रक्रिया तक सीमित है, जिसे प्रस्तुत फ़ाइल पर मापा गया है। लेखकों का प्रस्तुत लॉग्स का आगे का विश्लेषण स्वतंत्र समीक्षा के लंबित होने तक रोका गया है और इस दस्तावेज़ के अन्य भागों में उस पर भरोसा नहीं किया गया है। 2025 साक्ष्य: 1 के 10 अक्टूबर 2019 के वकील पत्र और उसका PDF परिशिष्ट (SHA-256, ऑडिट फ़ाइल में दर्ज); [पृष्ठ-स्तरीय PDF मापन और विधि ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). अनुरोध का क्रम, पेज-8 का अस्वीकार और प्रकट किए गए रिकॉर्डों का वर्णन, PhishDestroy के विवरण में पूरी तरह से दिए गए हैं, ["मेरा कुत्ता बनाम एलीट GDPR वकील", 17 अगस्त 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [संग्रहीत 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). खाता नाम और तृतीय-पक्ष डेटा यहां छोड़े गए हैं; बारों द्वारा ढके गए किसी भी भाग को पुन: प्रस्तुत नहीं किया गया है। > **Page 8 of the covering letter refuses part of the request, and states the reason in writing:** Eine genauere Auskunft ist aufgrund des Schutzes der personenbezogenen Daten anderer Nutzer der Steam-Plattform… nicht möglich. — a more detailed answer is not possible, because the personal data of other Steam users must be protected. The 830-page appendix was in the same package. What the bars covered was not account numbers: it was the reports filed against the requester, their authors named, with the raw unredacted messages attached. The account holder had asked Valve, through its counsel, for his own file; what he could extract from it was other people's. Nothing in this appendix turns on who drew the boxes. What it establishes is that the protection Valve invoked as its ground for withholding is the protection this same production failed, in the same envelope, on the same day. परिशिष्ट C — प्रदर्श ## समर्थन और कानूनी पत्राचार प्रदर्शनी आर्काइव रिकॉर्ड प्रारूप, और दो प्रदर्शों के लिंक, जिन्हें इस दस्तावेज़ के अन्य भागों में पूरी तरह से तर्कसंगत रूप से प्रस्तुत किया गया है, न कि यहाँ दोहराया गया है। प्रत्येक कैप्शन में बताया गया है कि छवि क्या है और क्या नहीं। जहाँ अन्य प्रदर्शनों पर बहस की जाती है प्रदर्शनी A: जुलाई 2016िस सूचना (पुनर्निर्माण) रेंडर किया गया स्क्रीनशॉट के रूप में नहीं, बल्कि लाइव रेंडर किया गया, में [धारा 11 — जुलाई 2016 की सूचना](https://phishdestroy.io/steam_dossier/hi/#valve-demand-letter). 21 जुलाई 2016 पर प्रेस द्वारा रिपोर्ट की गई शब्दावली से पुनर्निर्माण; मूल की स्कैन नहीं। प्रदर्शनी B: GDPR टिकट HT-2YBP-F7JP-D4VB बंद 19 सितं 2026 दो संरक्षित स्क्रीनशॉट, उनके SHA-256 हैश और पूरा विश्लेषण में हैं। [धारा 18 — लाइव GDPR मामला](https://phishdestroy.io/steam_dossier/hi/#gdpr-live-case). 16 सितंबर 2026 को दायर; खाता डेटा पृष्ठ के लिंक के साथ बंद किया गया, कोई डेटा नहीं और अस्वीकृति का कोई कानूनी आधार नहीं बताया गया। प्रदर्शनी C: साक्ष्य संग्रह (नमूना रिकॉर्ड) दिखाया गया सार्वजनिक GitHub, Reddit और समीक्षा पोस्ट के खोजने योग्य अभिलेखागार से सहेजे गए रिकॉर्ड का उदाहरण; अभिलेखागार में प्रत्येक दावे के साथ उसकी अपनी श्रेय-सूचना जुड़ी होती है और प्रत्येक के लिए अलग साक्ष्य परीक्षण की आवश्यकता होती है। Image: [परिशिष्ट C: सहेजे गए अभिलेखागार रिकॉर्ड का उदाहरण](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) प्रदर्शनी C · साक्ष्य अभिलेखागार में सहेजे गए रिकॉर्ड का उदाहरण (सार्वजनिक GitHub समस्या जैसा कि 2026-09-17 के बिल्ड में संरक्षित है)। केवल रिकॉर्ड प्रारूप को दर्शाता है। · फ़ाइल: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · एसएचए-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)). परिशिष्ट डी — स्रोत संग्रह ## चयनित प्राथमिक अभिलेख आर्काइव से छह रिकॉर्ड — Valve के ट्रैकरों में तीन GitHub मुद्दे और विवादित समर्थन परिणामों के तीन Reddit खाते। प्रत्येक स्रोत उस दावे, संग्रहीत पाठ और उससे उठने वाले प्रश्न से जुड़ा रहता है। 1 / 6 एक स्रोत रिकॉर्ड चुनें GH-01 / GITHUB Open in saved build ### Hardware keys, requested in 2016 ValveSoftware / steam-for-linux · #4521 · 2016-06-27 A user asked Valve to support U2F hardware keys as an alternative second factor. The saved issue carries both Feature Request and reviewed labels, with its state recorded as open. > I request U2F usb dongle support in steam as an alternative. > > [Excerpt from the GitHub issue ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521) Documented record A dated request for an additional account safeguard, published in Valve's own issue tracker and labelled reviewed. Accountability demand Publish the product decision, the response date and the protection delivered after review. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=GitHub&record=484)[Open GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521) [In the dossier: Account safeguards →](https://phishdestroy.io/steam_dossier/hi/#consent-analysis) Archive #484 · build 2026-09-17 GH-02 / GITHUB Open in saved build ### Crash reports without an effective opt-out ValveSoftware / steam-for-linux · #6459 · 2019-08-18 The reporter describes a Steam client from 12 August 2019 on Ubuntu 16. They say disabling the crash-upload destination did not persist after a restart, and include the relevant configuration. > If I disable the `ServerURL`, it gets overwritten after every reboot. > > [Excerpt from the GitHub issue ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archived 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459) Documented record A specific privacy complaint with a client date, operating system and configuration excerpt. The saved issue is open. Accountability demand Identify the investigation, the affected builds and the change that made the opt-out effective. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=GitHub&record=467)[Open GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archived 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459) [In the dossier: Request the underlying records →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) Archive #467 · build 2026-09-17 GH-03 / GITHUB Open in saved build ### Auth-ticket abuse reported to Valve ValveSoftware / Source-1-Games · #3857 · 2022-02-26 The author alleges that a server operation retained Steam authentication tickets after players disconnected and used misleading server listings. The post asks Valve to address the behavior. > Making their servers look packed. > > [Excerpt from the GitHub issue ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857) Documented record A public abuse report lodged in Valve's tracker on 26 February 2022. Its saved state is open; the report includes links to screenshots. Accountability demand Produce the investigation result and the mitigation record for the reported authentication-ticket abuse. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=GitHub&record=768)[Open GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857) [In the dossier: Dataset scope →](https://phishdestroy.io/steam_dossier/hi/#evidence-base) Archive #768 · build 2026-09-17 RD-01 / REDDIT Author's account ### 44 disputed Market purchases r/DotA2 · author handle withheld · 2022-07-07 The author reports 44 unauthorized Market purchases on 6 July 2022 and roughly $500+ in losses. They say two-factor authentication was enabled and describe repeated template replies from support. > 2nd ticket in and I have still yet to receive a non robotic copy paste template response from Steam. > > [Excerpt from the Reddit post ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archived 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) Documented record A dated account of disputed purchases, with links to transaction screenshots and a support response. The amounts and events are the author's report. Accountability demand Reconcile the disputed purchases with transaction and session logs. Explain the evidence behind support's decision. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=Reddit&record=4533)[Open Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archived 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [In the dossier: Support and enforcement →](https://phishdestroy.io/steam_dossier/hi/#enforcement-standard) Archive #4,533 · build 2026-09-17 RD-02 / REDDIT Author's account ### A permanent ban and closed appeals r/ohnePixel · author handle withheld · 2024-12-09 The author disputes a permanent ban and says support cited suspected account transfer and community reports. They describe closed tickets and plans to request their personal data. > I explained my situation and asked for more details, but they're sticking to their decision and closing my tickets. > > [Excerpt from the Reddit post ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/) Documented record A preserved appeal account, including the reasons the author says support supplied and links to four images. The post date comes from the selected support export. Accountability demand Identify the evidence supporting the permanent ban and the review available to challenge it. Closing an appeal does not explain the decision. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=Reddit&record=4766)[Open Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/) [In the dossier: Request the underlying records →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) Archive #4,766 · build 2026-09-17 RD-03 / REDDIT Author's account ### A recovery reset and a reported $10,000 loss r/legaladvice · author handle withheld · 2025-05-09 The author alleges that support reset credentials and disabled account protections after someone else submitted a recovery ticket. They report a loss of about US$10,000 from an inactive account. > Steam Support reset my password and turned off all my account security. > > [Excerpt from the Reddit post ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/) Documented record A preserved allegation about the recovery process overriding account safeguards. The saved post records what the author says support told them. Accountability demand Identify who authorised the reset, the ownership evidence they accepted and the access log. Account recovery is part of the security system Valve controls. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=Reddit&record=4592)[Open Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/) [In the dossier: Request the underlying records →](https://phishdestroy.io/steam_dossier/hi/#dsar-playbook) Archive #4,592 · build 2026-09-17 छह चयनित रिकॉर्ड। GitHub बताता है कि सहेजा गया बिल्ड कैसा है। Reddit पोस्ट लेखकों के खातों को संरक्षित करते हैं। [छह रिकॉर्ड डाउनलोड करें ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json) खोजने योग्य बिल्ड में शामिल हैं **16,319 अलग-अलग रिकॉर्ड**393 Trustpilot, 5,635 Reddit, 2,395 GitHub, 276 वेब और 7,620 विकी रिकॉर्ड्स। कई रिकॉर्ड एक ही घटना से संबंधित हो सकते हैं। अलग 40,448-पंक्ति मास्टर एक्सपोर्ट का दायरा अलग है। [पूरे आर्काइव में खोजें ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive) · [निर्माण घोषणा ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [डेटासेट का दायरा और गणनाएँ →](https://phishdestroy.io/steam_dossier/hi/#evidence-base) परिशिष्ट ई — केस अध्ययन ## ArchiSteamFarm और स्वचालन खंड एक ओपन-सोर्स कार्ड-फार्मिंग टूल, जिसकी अपनी FAQ में कहा गया है कि यह लाखों खातों पर चलता है, सब्सक्राइबर एग्रीमेंट की धारा (§ 4.C) के खिलाफ है जो स्वचालन को प्रतिबंधित करती है। मैकेनिक्स — एक फार्म को Valve से क्या खरीदना होता है इससे पहले कि वह कुछ भी उत्पादन कर सके, कार्ड को नकद में बदलने का हर तरीका लाइसेंस का उल्लंघन क्यों करता है, प्रवर्तन रिकॉर्ड और कार्ड अर्थव्यवस्था का संचालन कौन करता है — पूरी तरह से में वर्णित हैं [प्रदर्शनी V ↗](https://phishdestroy.io/steam_dossier/card_economy). Steam सदस्य अनुबंध, § 4.C, में कहा गया है: आप Steam पर सामग्री और सेवाओं के साथ किसी भी प्रकार से संवाद करने के लिए किसी भी प्रकार की स्क्रिप्ट्स, बॉट्स, मैक्रोज़, या अन्य गैर-मानव-नियंत्रित प्रणालियों ('ऑटोमेशन') का उपयोग नहीं कर सकते। — [Steam सब्सक्राइबर समझौता § 4.C (वर्तमान) ↗](https://store.steampowered.com/subscriber_agreement/) [संग्रहीत 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) **Valve इस खंड को लागू करता है। यह इसमें बहुत अच्छा है।** के अक्सर पूछे जाने वाले प्रश्न **आर्चीस्टीमफार्म (एएसएफ)** — एक ओपन-सोर्स टूल जिसे इसकी अपनी डॉक्यूमेंटेशन इस पर चलने वाला बताती है **कई मिलियन से अधिक Steam खाते** 11 साल पहले पहली रिलीज़ के बाद से — यह तीन Steam सपोर्ट संदेशों को पुन: प्रस्तुत करता है, जिनमें उन उपयोगकर्ताओं को स्थायी रूप से प्रतिबंधित किया गया था जिन्होंने बॉट नेटवर्क चलाए थे। Valve ने इन नेटवर्कों का पता लगाया, उन्हें नाम दिए और नष्ट कर दिया। इसलिए प्रासंगिक प्रश्न यह नहीं है कि क्या Valve बड़े पैमाने पर ऑटोमेशन का पता लगा सकता है। परियोजना का आधिकारिक [आर्चिस्टीमफार्म अक्सर पूछे जाने वाले प्रश्न](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) सीधे प्रतिबंध के जोखिम को संबोधित करता है: यह अत्यंत असंभव है, यह देखते हुए कि ASF का उपयोग लाखों से अधिक Steam खातों पर किया जा रहा है, इसकी पहली रिलीज़ से जो 11 साल पहले हुई थी — लेकिन फिर भी यह एक संभावना है, वास्तविक संभावना की परवाह किए बिना। Valve स्पष्ट रूप से 'Steam के आलसी' के अस्तित्व को स्वीकार करता है, जैसा कि यहां कहा गया है, इसलिए अगर आप मुझसे पूछें तो मुझे पूरा यकीन है कि अगर वे उनसे सहज नहीं होते, तो वे पहले ही कुछ कर चुके होते, बजाय इसके कि यह बताने के कि वे VAC-संबंधी समस्याएं पैदा कर सकते हैं। **यहाँ मुख्य शब्द 'Steam' आइडलर हैं, उदाहरण के लिए ASF, न कि गेम आइडलर।**" — आर्किस्टीमफार्म अक्सर पूछे जाने वाले प्रश्न, जस्टआर्चीनेट। [स्रोत: GitHub विकी ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · सत्यापित शब्दशः 2026-09-22 उसी FAQ में "क्या किसी को इसके लिए प्रतिबंधित किया गया?" का उत्तर है **हाँ**, और यह वही पुन: प्रस्तुत करता है जो Steam सपोर्ट ने उन तीनों को लिखा था: 1,000+ बॉट्स · व्यापार प्रतिबंधित *Steam ऐसा लगता है कि इस खाते का उपयोग बॉट खातों के एक नेटवर्क को प्रबंधित करने के लिए किया गया था। बॉटिंग, ईमेल सेवा सदस्यता समझौते का उल्लंघन है।* 170+ बॉट्स · स्थायी रूप से प्रतिबंधित, 2017 विंटर सेल *इस खाते का उपयोग Steam पर अवैध रूप से संग्रहणीय कार्ड इकट्ठा करने के साथ-साथ संबंधित और केवल वाणिज्यिक गतिविधियों के लिए किया गया था। यह खाता स्थायी रूप से अवरुद्ध कर दिया गया है और Steam सहायता इस मामले पर अतिरिक्त सहायता प्रदान नहीं कर सकती।* 120+ बॉट्स · स्थायी रूप से प्रतिबंधित *इस और अन्य खातों का उपयोग हमारे नेटवर्क इंफ्रास्ट्रक्चर को बाधित करने के लिए किया गया था, जो कि Steam की ऑनलाइन आचार संहिता का उल्लंघन है।* — Steam समर्थन संदेश ArchiSteamFarm FAQ के "क्या किसी को इसके लिए प्रतिबंधित किया गया?" अनुभाग में पुनरुत्पादित। [स्रोत ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · सत्यापित शब्दशः 2026-09-22 **दोनों रिकॉर्डों को एक-दूसरे के बगल में रखें।** 1,000 फार्मिंग बॉट्स वाले एक निजी उपयोगकर्ता की पहचान की गई, उसे बताया गया कि "बॉटिंग Steam सदस्यता अनुबंध का उल्लंघन है", और स्थायी रूप से हटा दिया गया। इस दस्तावेज़ में शामिल वाणिज्यिक प्लेटफ़ॉर्म अपने मुख्य व्यवसाय के रूप में स्वचालित Steam खाते चलाते हैं, और कहीं बड़े पैमाने पर ऐसा करते हैं, तथा हर लॉगिन पर Valve के अपने OpenID के माध्यम से प्रमाणीकरण करते हैं — और इनमें से किसी के भी लिए प्रति-ऑपरेटर प्रवर्तन रिकॉर्ड प्रकाशित नहीं किया गया है। **यह प्रावधान काम करता है। सवाल यह है कि यह किसकी ओर निर्देशित है।** यहाँ ASF पर किसी भी बात का आरोप नहीं है, और Valve की स्थिति की अपनी व्याख्या है — इसके लेखक ने स्पष्ट रूप से कहा है कि "ASF को Valve द्वारा अधिकृत नहीं किया गया है"। यहाँ इस उपकरण का उपयोग एक मापक यंत्र के रूप में किया गया है: यह दिखाता है कि Valve बॉट नेटवर्क का पता लगाता है, उन्हें लिखित रूप में नामित करता है और स्थायी रूप से प्रतिबंधित कर देता है। Valve एक ही वाक्य में प्रश्न का निपटारा कर सकता है, यह प्रकाशित करके कि वह कौन सी व्यावसायिक स्वचालन को अधिकृत करता है, और बाकी के संबंध में उसने क्या कार्रवाई की, इसका ऑपरेटर-वार रिकॉर्ड प्रस्तुत करके। जहाँ कार्ड फार्मिंग Valve की आय को प्रभावित करती है फार्म्ड ट्रेडिंग कार्ड्स को Steam कम्युनिटी मार्केट पर बेचा जाता है, जो मार्केट के भीतर पूरी हुई प्रत्येक बिक्री पर लगभग 15% का संयुक्त शुल्क लेता है; खाते ने Steam पर $5.00 USD खर्च किए होने चाहिए, तभी वह कोई कार्ड प्राप्त कर सकता है; और कार्ड ड्रॉप्स के लिए गेम का स्वामित्व या इन-गेम खरीदारी आवश्यक है। यहाँ कोई समग्र राजस्व आंकड़ा अनुमानित नहीं किया गया है — परिचालन पैमाना केवल ASF FAQ में बताए अनुसार दर्शाया गया है। FAQ में Valve को भी दर्ज किया गया है, जो अलग करता है। *Steamइडलर* (कार्ड फार्मिंग) से *गेम आइडलर्स*; देखें [ASF अक्सर पूछे जाने वाले प्रश्न ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). यांत्रिकी पूरी तरह से में निर्धारित की गई हैं [प्रदर्शनी V — पैमाना](https://phishdestroy.io/steam_dossier/card_economy#scale) और [व्यावसायिक जाल](https://phishdestroy.io/steam_dossier/card_economy#licence). विषय आर्चीस्टीमफार्म — स्वचालित कार्ड खेती निर्दिष्ट पैमाना लाखों खाते (ASF FAQ के अनुसार — सटीक सक्रिय संख्या अज्ञात) गिना गया, उद्धृत नहीं 10,880,610 ASF के अपने Steam समूह में कुल API प्रविष्टियाँ (5,360,499 गैर-सीमित, जैसा कि Steam दिखाता है) — FAQ में "मिलियंस" कोई कहानी नहीं है, यह एक जनगणना है। 88.97% पर किसी भी प्रकार का Steam प्रतिबंध नहीं है। [पूर्ण प्रतिबंध जनगणना ↗](https://phishdestroy.io/steam_dossier/enforcement_audit) टूल की अपनी दस्तावेज़ीकरण में प्रकटीकरण - ASF, प्रोजेक्ट दस्तावेज़ीकरण के अनुसार, Steam क्लाइंट को लॉन्च किए बिना ही हेडलेस मोड में खातों को लॉग इन करता है और कार्ड ड्रॉप्स के लिए गेम्स को निष्क्रिय रखता है। - FAQ में यह बताया गया है कि Valve को "Steam के आलसी लोगों" की जानकारी है और "अगर वे उनसे खुश नहीं होते, तो वे पहले ही कुछ कर चुके होते"। - 11 वर्षों से लक्षित प्रवर्तन की कोई रिपोर्ट नहीं मिली (FAQ के अनुसार); कम्युनिटी मार्केट के भीतर होने वाली कार्ड बिक्री पर Steam की संयुक्त शुल्क दर लगभग 15%. होती है। - FAQ में प्रति ऑपरेटर दस खातों की अनुशंसित अधिकतम सीमा बताई गई है और इसे Valve को श्रेय दिया गया है: "यह सिफारिश आंतरिक Valve दिशानिर्देशों के साथ-साथ हमारी अपनी सुझावों पर आधारित है।" Valve द्वारा ऐसा कोई दिशानिर्देश प्रकाशित नहीं किया गया है। - तकनीकी सीमा, उसी FAQ के अनुसार: "आप एक ही IP और एक ही ASF इंस्टेंस के साथ अधिकतम 100-200 बॉट्स चला सकते हैं।" - फार्म्ड प्लेटाइम को Valve द्वारा रिकॉर्ड किया जाता है — "यह आमतौर पर हर लगभग 30 मिनट में अपडेट होता है" — और § 4.C "गेमप्ले आँकड़ों की जालसाजी (e.g., बढ़ा-चढ़ाकर दिखाए गए जीत या हार, XP, प्लेटाइम)" को एक निषिद्ध कृत्य के रूप में सूचीबद्ध करता है। स्रोत [आधिकारिक JustArchi ASF FAQ विकी ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm रिपॉजिटरी ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [संचित 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm) स्वचालन खंड स्पष्ट है; ASF FAQ में वर्षों से कहा गया है कि यह उपकरण लाखों खातों पर चलता है; इसके खिलाफ कोई लक्षित प्रवर्तन रिपोर्ट नहीं किया गया है। नियम और उसके अनुप्रयोग के बीच का अंतर रिकॉर्ड है; इसका कारण यहाँ स्थापित नहीं किया गया है। [पूर्ण प्रदर्शनी कार्ड अर्थव्यवस्था: प्रक्रिया, पैमाना, लाइसेंस और इसे कौन नियंत्रित करता है ↗ Valve से एक कार्ड बनाने से पहले एक फार्म को क्या-क्या खरीदना होता है; §4.C की वे दो पंक्तियाँ जो कार्ड फार्मिंग को उसके प्रभावों के आधार पर परिभाषित करती हैं; कार्ड को कैश आउट करने का हर तरीका लाइसेंस का उल्लंघन क्यों करता है Valve ने लिखा था जबकि Valve दरवाजे पर शुल्क लेता है; प्रवर्तन रिकॉर्ड जिसमें जून की 2025 VAC लहर और साझा फोन नंबर द्वारा चेन-प्रतिबंध शामिल हैं; और Valve के कर्मचारी तथा सामुदायिक मॉडरेटर कार्ड-ट्रेडिंग और प्रतिबंध-सूची सेवाओं का संचालन करते हुए पाए गए, जो Steam के आसपास हैं।](https://phishdestroy.io/steam_dossier/card_economy) [प्रतिबंध जनगणना हमने Valve से नहीं पूछा कि खेत कितना बड़ा है। हमने इसकी गिनती की। ↗ 10,880,610 कुल खातों (सीमित और गैर-सीमित) को ArchiSteamFarm के अपने Steam समूह से पढ़ा जाता है, जिसमें सॉफ़्टवेयर पहली बार लॉन्च करते समय डिफ़ॉल्ट रूप से शामिल हो जाता है, जब तक कि उपयोगकर्ता समूह-संयोजन सेटिंग को अनचेक न कर दे (जिससे वाणिज्यिक बॉट फार्म और डिफ़ॉल्ट छोड़ने वाले नियमित खिलाड़ी दोनों कैप्चर होते हैं)। 88.97% इन पर किसी भी प्रकार का Steam प्रतिबंध नहीं है; जिन पर 11% लागू है, उनमें से 99.8% केवल कॉस्मेटिक कम्युनिटी प्रतिबंध हैं जो ट्रेडिंग कभी नहीं रोकते। SteamRep के साथ क्रॉस-चेक करने पर, सूचीबद्ध स्कैमर्स में से 67.77% एंटी-चीट प्रतिबंध हटाए जाने के बाद स्वतंत्र हो जाते हैं। पंजीकरण तिथि, भूगोल और सर्वाइवल ब्रेकडाउन के साथ — असली पैमाना, मापा गया, बताया नहीं गया।](https://phishdestroy.io/steam_dossier/enforcement_audit) परिशिष्ट F — कार्यशील खाता-बही ## एक नियम चुनें। मिलान वाले रिकॉर्डों का निरीक्षण करें। FSB मार्केट एक गुमनाम लेबल है; मूल आपराधिक मार्केटप्लेस का नाम यहाँ छिपाया गया है। प्रसंग और स्रोत सीमाएँ सब्सक्राइबर समझौते या ऑनलाइन आचरण नियमों की किसी एक धारा का चयन करें; रजिस्टर इसके अंतर्गत टैग किए गए रिकॉर्डेड प्लेटफ़ॉर्मों को उनकी मुख्य डोमेन, घोषित ऑथ होस्ट और सहेजे गए लिंक फ़िल्टर परिणाम के साथ सूचीबद्ध करता है। रजिस्टर इस जांच के रिकॉर्ड के दायरे का वर्णन करता है, न कि किसी प्लेटफ़ॉर्म के खिलाफ उल्लंघन का निष्कर्ष। टैग किए गए प्लेटफ़ॉर्म, ऑथ होस्ट और सहेजे गए लिंक फ़िल्टर परिणाम देखने के लिए एक क्लॉज चुनें। तुलना का परीक्षण करने के लिए प्रत्येक स्रोत खोलें। परिशिष्ट G — एक टेम्पलेट अस्वीकृति से मूल रिकॉर्ड तक ## DSAR प्लेबुक: साक्ष्य का अनुरोध करें APIसे संबंधित व्यक्तिगत डेटा का अनुरोध करने के लिए अनुच्छेद15GDPR का उपयोग करें। एक संरक्षित रिकॉर्ड यह परीक्षण कर सकता है कि किसी कार्रवाई की शुरुआत किसने की और प्लेटफ़ॉर्म किस आधार पर निर्भर था। - 01 ### अपनी टाइमलाइन को संरक्षित करें। खाते के नोटिस, टिकट, ट्रेड आईडी और तिथियों को UTC में सहेजें। खाते को सुरक्षित करें और गेम व लेनदेन के लिए लागू पुनर्प्राप्ति विकल्पों की समीक्षा करें। [Steam व्यापार संरक्षण जानकारी ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD) - 02 ### अपने संग्रहित डेटा का अनुरोध करें। टाइमस्टैम्प, स्रोत आईपी, कुंजी जीवनचक्र घटनाएँ, सुरक्षा पुष्टि और खाते से संबंधित पुनर्प्राप्ति क्रियाएँ माँगें। जहाँ ये डेटा आपसे संबंधित हों, वहाँ समर्थन-पहुँच घटनाएँ और प्राप्तकर्ता भी शामिल करें। - 03 ### डिलीवरी का रिकॉर्ड रखें। Valve के गोपनीयता संपर्क मार्ग का उपयोग करें। सामान्य प्रतिक्रिया अवधि एक माह है; यदि पहले माह के भीतर दो अतिरिक्त महीनों तक का विस्तार आवश्यक हो, तो उसका कारण स्पष्ट करना होगा। [Valve गोपनीयता संपर्क मार्ग ↗](https://store.steampowered.com/privacy_agreement/#8) [संचित 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/) - 04 ### प्रतिक्रिया की तुलना करें। लॉग्स को अपनी समयरेखा के साथ मिलाएँ। छूटी हुई प्रविष्टियों के कारण पूछें, फिर यदि आवश्यक हो तो पर्यवेक्षी-प्राधिकरण शिकायत मार्ग का उपयोग करें। प्रतिक्रिया को बिल्कुल वैसे ही संरक्षित करें जैसे प्राप्त हुई थी। दायरा / लेख 15 एक्सेस में लॉग्स में मौजूद डेटा सहित व्यक्तिगत डेटा शामिल है। यह हर आंतरिक दस्तावेज़, पुनर्निर्मित रिकॉर्ड या दूसरों के बारे में बिना संपादित डेटा की गारंटी नहीं देता। एक सुबोध प्रति और किसी भी प्रतिबंध के आधार के लिए अनुरोध करें। [EDPB पहुँच दिशानिर्देश, §§ 2, 4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [GDPR लेख12, 15, 77 ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [संग्रहीत 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) डेटा विषय पहुँच अनुरोध GDPR / लेख 15 ### खाता सुरक्षा और पहुँच रिकॉर्ड सबमिट करने से पहले कोष्ठक वाले फ़ील्ड्स को बदलें। ``` To: Valve Privacy Team Subject: Article 15 GDPR request — account security records Account / SteamID: [YOUR ACCOUNT IDENTIFIER] Relevant period (UTC): [START] to [END] Related support tickets: [TICKET REFERENCES] I request a copy of the personal data concerning me that you retain for this period, including: 1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers. 2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions. 3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others. 4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses. Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me. Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time. Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder. Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled. Name: [YOUR NAME] Date: [DATE] ``` [.txt डाउनलोड करें](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt) एक डेटा-सेंटर आईपी क्या स्थापित कर सकता है ### अंतर जांच के लिए साक्ष्य है। API-key अनुरोध, जो डेटा-सेंटर नेटवर्क से उत्पन्न होता है, जैसा कि इस जांच में उठाए गए होस्टिंग-प्रदाता उदाहरण में है, लॉगिन रिकॉर्ड, पुष्टि और उपयोगकर्ता की टाइमलाइन की तुलना में प्रासंगिक हो सकता है। केवल एक आईपी पता स्वयं अपराधी की पहचान नहीं करता और न ही स्वचालित रूप से सभी सुरक्षा उपायों को ध्वस्त कर देता है। यह प्रमाण कि एक शत्रुतापूर्ण पक्ष ने दर्ज की गई सहमति प्रदान की थी, उस सहमति पर निर्भरता को चुनौती दे सकता है; अन्य कानूनी आधारों और देयता संबंधी मुद्दों का अलग से विश्लेषण आवश्यक है। [संरक्षित प्रतिबंध औरGDPR की शिकायत देखें →](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records) परिशिष्ट H — Wayback Machine अभिलेखागार विश्लेषण · प्रकाशित समर्थन सांख्यिकी ## समर्थन मात्रा। प्रकाशित प्रतिक्रिया समय। प्रसंग और स्रोत सीमाएँ Valve दैनिक समर्थन सांख्यिकी प्रकाशित करता है `store.steampowered.com/stats/support`Wayback Machine आर्काइव्स इस पृष्ठ के 2018 से 2026. तक के ऐतिहासिक स्नैपशॉट्स को संरक्षित करते हैं। इन आंकड़ों से संकेतित वॉल्यूम-से-हेडकाउंट अनुपात प्रकाशित प्रतिक्रिया समयों पर प्रति टिकट मानवीय समीक्षा के साथ असंगत है। Valve के संग्रहीत समर्थन आंकड़ों की विभिन्न सहेजी गई स्नैपशॉट्स में तुलना करें। यह पद्धति बताती है कि ये आंकड़े क्या माप सकते हैं और क्या नहीं। प्रकाशित प्रतिक्रिया समय के विरुद्ध वॉल्यूम (2018 → 2026) ### एक ही सपोर्ट डेस्क पर दो कतारें, 21 में संग्रहीत कैप्चर को क्रॉस-रीड करें। Valve लाइव सपोर्ट आंकड़े प्रकाशित करता है `store.steampowered.com/stats/support`नीचे प्रत्येक बिंदु उस पृष्ठ पर उसी दिन प्रिंट किया गया निचला सीमा Valve है, जिस दिन इंटरनेट आर्काइव ने उसे कैप्चर किया था — यह हमारा कोई अनुमान नहीं है। दोनों श्रृंखलाएँ एक ही माप और एक ही इकाई में हैं, इसलिए वे एक ही अक्ष पर हैं और सीधे एक-दूसरे के सापेक्ष पढ़ी जा सकती हैं। **रिफंड अनुरोध** — पैसा Valve रख रहा है **खाता सुरक्षा और पुनर्प्राप्ति** — वह खाता जो आप खो चुके हैं **49–55 मिन** फरवरी 2018 से अगस्त 2026. तक हर कैप्चर में रिफंड की निचली सीमा। आठ साल और आधे वर्ष में यह छह मिनट से भी कम समय में बदलता है, जबकि दैनिक रिफंड वॉल्यूम नौ गुना तक बदलता है। **2.4 h → 8.7 h** खाता-रिकवरी का निचला सीमा दिसंबर 2022 तक हर कैप्चर में लगभग 2.4 घंटे के पास रहती है, सिवाय एक के। तीन 2026 कैप्चर में Valve प्रकाशित करता है: 10.9 घंटे, 5.8 घंटे और 8.7 घंटे। **×2.8 → ×13** Valve के अपने प्रकाशित आंकड़ों के अनुसार, पुनर्प्राप्ति रिफंड की तुलना में कितनी धीमी है। पांच साल तक स्थिर रहने के बाद यह अंतर बढ़ जाता है — वह कतार जो धीमी हो जाती है, वह वही है जिसमें पैसे का नुकसान उपयोगकर्ता को होता है, न कि Valve को। स्रोत: 21 Wayback Machine कैप्चर [store.steampowered.com/सांख्यिकी/समर्थन](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), 2018-02-03 से 2026-08-10 तक; निष्कर्षण में `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. आंकड़ों के साथ सीमाएँ पढ़ें: चार्ट दर्शाता है *निम्न, नीचा, नीचे* Valve प्रिंट्स की सीमा का एक बाउंड। प्रकाशित ऊपरी सीमा दोनों ही मामलों में खराब है — रिफंड्स 1.5 घंटे से 1.5 दिन तक, रिकवरी 7.0 घंटे से 3.6 दिन तक। दो कैप्चर एक ही Valve पृष्ठ के स्थानीय संस्करण में संग्रहीत किए गए थे — चेक में 2018-11-03, फ्रेंच में 2020-03-25 — और तालिका में (cs) और (fr) से चिह्नित हैं; उनके आंकड़े यहां इकाई शब्दों के अनुवाद और प्रकाशन के अनुसार संख्याओं के साथ दिखाए गए हैं, और शब्दशः स्रोत स्ट्रिंग्स निष्कर्षण फ़ाइल में रखी गई हैं। प्रत्येक कैप्चर ने दोनों कतारों के लिए प्रतिक्रिया समय प्रकाशित किया, और किसी भी रेखा पर कोई बिंदु अंतर-पोलिनेटेड नहीं है। 2020-10-21 के एकल 15-मिनट रिकवरी आंकड़े को चार्ट पर चिह्नित किया गया है और शामिल रखा गया है: यह केवल एक कैप्चर में दिखाई देता है और कोई अन्य कैप्चर इसके एक क्रम-परिमाण के भीतर नहीं है। 2022-12-08 और 2026-02-01 के बीच कोई कैप्चर मौजूद नहीं है; रिकॉर्ड में उस 38-महीने के अंतराल को छायांकित किया गया है, और उस पर कुछ भी नहीं दिखाया गया है। ये आंकड़े प्रकाशित प्रतिक्रिया समय का वर्णन करते हैं। वे यह नहीं दिखाते कि टिकट के अंदर क्या होता है, और Valve ने उन्हें पढ़ने के लिए कोई हेडकाउंट प्रकाशित नहीं किया है। हर कैप्चर को एक तालिका के रूप में खोलें प्रत्येक संग्रहीत कैप्चर, जैसा प्रकाशित | कैप्चर | रिफंड / दिन | रिफंड प्रतिक्रिया | रिकवरी / दिन | रिकवरी प्रतिक्रिया | | --- | --- | --- | --- | --- | | 2018-02-03 | 98,788 | 50.12 minutes to 1.52 hours | 25,662 | 2.51 hours to 1.80 days | | 2018-05-07 | 60,494 | 53.83 minutes to 1.47 days | 24,226 | 2.45 hours to 2.22 days | | 2018-08-02 | 69,084 | 50.27 minutes to 1.59 hours | 28,953 | 2.44 hours to 22.17 hours | | 2018-11-03 (cs) | 63,410 | 49.28 minutes to 1.54 hours | 33,910 | 2.42 hours to 1.31 days | | 2019-02-01 | 76,305 | 50.13 minutes to 1.52 hours | 35,164 | 2.44 hours to 2.04 days | | 2019-05-18 | 78,951 | 51.03 minutes to 3.12 hours | 27,514 | 2.46 hours to 20.39 hours | | 2019-09-07 | 78,941 | 50.65 minutes to 1.66 hours | 28,812 | 2.42 hours to 13.59 hours | | 2019-12-13 | 69,589 | 50.77 minutes to 1.55 hours | 25,322 | 2.45 hours to 1.13 days | | 2020-03-25 (fr) | 139,278 | 49.45 minutes to 1.53 hours | 32,302 | 2.48 hours to 3.62 days | | 2020-06-26 | 278,504 | 48.98 minutes to 2.29 hours | 20,343 | 2.39 hours to 6.99 hours | | 2020-10-21 | 107,633 | 50.80 minutes to 1.54 hours | 20,688 | 15.33 minutes to 8.62 hours | | 2021-03-20 | 158,956 | 50.80 minutes to 1.64 hours | 25,760 | 2.34 hours to 11.62 hours | | 2021-06-26 | 547,907 | 51.93 minutes to 6.73 hours | 29,728 | 2.40 hours to 15.63 hours | | 2021-10-10 | 170,103 | 51.88 minutes to 3.25 hours | 23,989 | 2.39 hours to 13.05 hours | | 2022-01-31 | 354,386 | 53.65 minutes to 8.09 hours | 24,391 | 2.42 hours to 15.29 hours | | 2022-05-09 | 172,555 | 51.83 minutes to 1.65 hours | 23,289 | 2.41 hours to 16.90 hours | | 2022-09-05 | 153,453 | 53.67 minutes to 4.15 hours | 23,594 | 2.45 hours to 1.22 days | | 2022-12-08 | 181,075 | 54.83 minutes to 6.67 hours | 27,111 | 2.46 hours to 18.89 hours | | 2026-02-01 | 317,762 | 50.30 minutes to 1.52 hours | 47,197 | 10.91 hours to 21.30 hours | | 2026-05-09 | 246,776 | 50.12 minutes to 1.52 hours | 35,264 | 5.81 hours to 15.60 hours | | 2026-08-10 | 373,244 | 52.05 minutes to 2.07 hours | 45,319 | 8.73 hours to 16.52 hours | मुख्य अवलोकन: पार **21 वेबैक कैप्चर** 2018-02-03 से 2026-08-10, तक दैनिक रिफंड सबमिशन की सीमा थी **60,494** (मई 2018) से **547,907** (जून2021) — एक **9.1× फैलाव**2026 का आंकड़ा 373,244 है (+278% बनाम फरवरी के 2018 कैप्चर)। उसी नौ वर्षों के दौरान, रिफंड प्रतिक्रिया समय के लिए प्रकाशित निचला सीमा कभी भी एक से ऊपर नहीं गई। **49–55 एक मिनट** बैंड: छह मिनट से भी कम समय में एक कुल गति, जबकि इसके पीछे का कार्यभार नौ गुना बढ़ गया। यदि कोई व्यक्ति प्रत्येक टिकट को केवल 5 सेकंड में पढ़े, तो वर्तमान में प्रतिदिन 373,244 टिकटों को संसाधित करने में लगेगा **22 24/7 पर काम करने वाले एजेंट** सिर्फ उन्हें खोलने और बंद करने के लिए; चरम पर (547,907, जून 2021) यह 32. तक बढ़ जाता है। यदि प्रकाशित प्रतिक्रिया समय प्रति टिकट हैंडलिंग समय (~52मिनट/टिकट) को दर्शाता है, तो निहित समवर्ती स्टाफिंग लगभग इस प्रकार होगी **13,500 एजेंट्स** वर्तमान वॉल्यूम पर और चरम पर लगभग20,000। Valve के समर्थन हेडकाउंट के लिए कोई स्रोत आंकड़ा नहीं मिला है; यहाँ कोई अनुमान नहीं लगाया गया है। निम्नलिखित: वॉल्यूम-टू-हेडकाउंट अनुपात प्रकाशित प्रतिक्रिया समयों पर प्रति-टिकट मानवीय समीक्षा के साथ असंगत है। ये आंकड़े मुख्यतः स्वचालित प्रथम समीक्षा के अनुरूप हैं; कितनी मात्रा में समीक्षा मानवीय रूप से की जाती है, यह प्रकाशित नहीं किया गया है। GDPR अनुपालन के लिए यह क्यों महत्वपूर्ण है GDPR अनुच्छेद22 केवल स्वचालित व्यक्तिगत निर्णय लेने पर रोक लगाता है, जो अनुरोध पर मानवीय समीक्षा का अधिकार दिए बिना महत्वपूर्ण कानूनी प्रभाव पैदा करते हैं। यदि Steam समर्थन निर्णय (टिकट बंद करना, खाते पर कार्रवाई, डेटा अनुरोधों से इनकार) पूरी तरह से स्वचालित स्क्रिप्ट द्वारा लिए जाते हैं, तो प्रत्येक ऐसा निर्णय जो उपयोगकर्ता को "महत्वपूर्ण रूप से प्रभावित करता है" अनुच्छेद 22. का उल्लंघन कर सकता है। टिकट **HT-2YBP-F7JP-D4VB** (धारा18) को तीन दिनों के बाद एक टेम्पलेट रेफरल के साथ बंद कर दिया गया और उद्धृत कानूनी आधार के साथ कोई संलग्नता नहीं दिखाई गई। टिकट से यह निर्धारित नहीं किया जा सकता कि किसी व्यक्ति ने इसकी समीक्षा की या नहीं; यह एक ऐसा प्रश्न है जिसे पर्यवेक्षी प्राधिकरण अनुच्छेद 22 और अनुच्छेद 15(1)(h) के तहत Valve से पूछ सकता है। स्रोत: Wayback Machine के store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) के स्नैपशॉट — डेटा VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json में निकाला गया (21 स्नैपशॉट, 2018–2026). नोट: "~52 मिनट" प्रतिक्रिया समय रिफंड-श्रेणी का निचला सीमा है; खाता सुरक्षा प्रतिक्रिया समान स्नैपशॉट्स में 2.4–16.5 घंटे थी। 2021-06-26 सभी समय का उच्चतम स्तर (547,907 रिफंड अनुरोध) है, न कि कोई एकरूप मध्यबिंदु — वॉल्यूम ~6गुना बढ़ गया 2020–2021 में, फिर आंशिक रूप से गिरकर 2026. में 373K तक पुनः उबर गया। परिशिष्ट I — डेटासेट का दायरा · पुनरुत्पादित किए जा सकने वाले गणनाएँ ## रिकॉर्ड्स की गिनती करें। दायरा जांचें। प्रसंग और स्रोत सीमाएँ रिकॉर्ड्स की गिनती करें, फिर दावों का परीक्षण करें: नीचे दी गई प्रत्येक संख्या प्रकाशित फ़ाइलों से पुनः प्राप्त की जा सकती है। निहित डेटासेटों का निरीक्षण करें, गणनाओं को पुनः उत्पन्न करें, और स्रोत पंक्तियों को अद्वितीय घटनाओं से अलग करें। मास्टर CSV में शामिल हैं **40,448 कतारें**इनमें से, **36,516** Discord-AntiScam फ़िशिंग फ़ीड से आते हैं। शेष **3,932** पंक्तियाँ रिपोर्ट किए गए सामुदायिक विषयों और सुरक्षा रिपोर्टों का एक व्यापक अनुक्रमणिका प्रदान करते हुए, GitHub, समीक्षाएं, खोज परिणाम, फोरम सामग्री और अन्य स्रोतों में फैली हुई हैं। उस CSV में, 1,690 पंक्तियाँ "Unpatched Security Exploit" संग्रह लेबल के अंतर्गत वर्गीकृत हैं, जो ऐतिहासिक उपयोगकर्ता समस्याओं और भेद्यता प्रकटीकरणों का प्रतिनिधित्व करती हैं। इन रिपोर्टों का पता लगाने में प्रत्येक थ्रेड की विशिष्ट बिल्ड समयरेखा और सार्वजनिक पैच इतिहास की समीक्षा शामिल है। 16,319-रिकॉर्ड सर्चेबल आर्काइव एक अलग, क्यूरेट किया गया बिल्ड है, जिसका अपना मैनिफेस्ट है, और जिसे विशिष्ट उपयोगकर्ता दावों और घटना रिपोर्टों की सटीक स्थानीय खोज के लिए डिज़ाइन किया गया है। > To build a reliable audit trail, every user-reported record must be verified against documented build timelines and historical patch logs. अलग भाग II संग्रह रिकॉर्ड **231,829 अनूठी लिस्टिंग आईडी**, जिसमें स्वचालित पंजीकरण श्रेणी में 33,509 और unverified transfers के रूप में चिह्नित 198,320 शामिल हैं। इनपुट फ़ाइल का SHA-256 संरक्षित माप से मेल खाता है। ये गणनाएँ अंतिम लेनदेन मूल्यों या सत्यापित चोरी के कुल योग के बजाय लिस्टिंग प्रयासों और देखे गए ट्रांसफर का वर्णन करती हैं, जो सटीक आर्थिक प्रभाव को मापने के लिए प्राथमिक प्लेटफ़ॉर्म रिकॉर्ड्स की आवश्यकता को उजागर करती हैं। [माप और हैश सूचीबद्ध करें ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json) [मास्टर सीएसवी ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [खोजने योग्य अभिलेखागार मैनिफेस्ट ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [स्रोत रिकॉर्ड्स का निरीक्षण करें ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive) परिशिष्ट J — इस जांच के बारे में ## Valve कोई प्रवर्तन रिकॉर्ड प्रकाशित नहीं करता। *हमने एक बनाया।* स्वतंत्र। गैर-व्यावसायिक। केवल सार्वजनिक डेटा से निर्मित। नियामकों को प्रस्तुत। **88.97%** स्वचालित बेड़े को अछूता छोड़ा गया — किसी भी प्रकार का प्रतिबंध नहीं **67.77%** 51,732: मुकदमेबाजी के बाद घोटालेबाज़ बरी **$26.8M+** गैर-लिमिटेड फ्लीट द्वारा स्टोर खर्च पर न्यूनतम सीमा **3.6%** Valve के लिंक फ़िल्टर द्वारा अवरुद्ध जुआ डोमेन **8 वर्ष** दस्तावेजीकृत सुरक्षा घटनाओं की **यह क्या है।** Valve कॉर्पोरेशन के Steam प्लेटफ़ॉर्म पर एक फोरेंसिक दस्तावेज़ — इसके प्रवर्तन रिकॉर्ड, कार्ड-फार्मिंग अर्थव्यवस्था, कानूनी ढाँचा, और प्रमाणीकरण अवसंरचना, जिसका उपयोग जुआ संचालक Steam के अपने OpenID रिले के माध्यम से करते हैं। प्रत्येक आंकड़ा दो स्रोतों से पुनः प्राप्त किया जा सकता है: Valve का अपना सार्वजनिक API और इस जांच के साथ प्रकाशित डेटासेट। **यह किसके लिए है।** Valve GDPR — नीदरलैंड के लिए पर्यवेक्षी प्राधिकरण, FinCEN, SEC, DSA डिजिटल सेवा समन्वयक, UOKiK, और कोई भी कानून प्रवर्तन एजेंसी जो से जुड़े वित्तीय प्रवाहों की जांच कर रही है, पर अधिकार क्षेत्र रखने वाले नियामक। पत्रकारों, शोधकर्ताओं और उन सभी उपयोगकर्ताओं के लिए भी जिन्होंने स्थायी खाते पर प्रतिबंध, अस्वीकृत रिफंड या चोरी हुई इन्वेंटरी का सामना किया और जिन्हें बताया गया कि कोई अपील नहीं है। Steam **एकमात्र मांग।** Valve यह डेटा पूर्ण विश्वसनीयता के साथ रखता है — कारण संलग्न, पूर्ण आईडी स्पेस, वास्तविक समय में। यह इस दस्तावेज़ में मौजूद हर क्वेरी को सेकंडों में चला सकता है और उसने इसका कोई भी हिस्सा प्रकाशित न करने का निर्णय लिया है। किसी भी सक्षम प्राधिकारी के लिए प्रश्न सरल है: *क्यों नहीं?* **लेखक जो दावा नहीं करते।** इस कार्य के दौरान किसी भी तृतीय-पक्ष प्लेटफ़ॉर्म पर Steam में कोई लॉगिन पूरा नहीं किया गया। एक प्रदान किया गया OpenID URL अनुरोध पैरामीटर स्थापित करता है, पूरा लॉगिन नहीं। एक अलग पंजीकरण योग्य डोमेन अपने आप में छलावा का प्रमाण नहीं है। पंजीकरण की तिथियाँ उस समय की न्यूनतम सीमाएँ हैं जब कोई होस्ट पहली बार OpenID अनुरोध में प्रकट हो सकता था; वे निरंतर उपयोग को स्थापित नहीं करतीं। लेखक यह दावा नहीं करते कि Valve को क्या पता था या उनका इरादा क्या था: Valve के बारे में प्रत्येक कथन किसी दिनांकित सार्वजनिक दस्तावेज़ या दिनांकित अवलोकन से जुड़ा है। जहाँ किसी दावे को किसी स्रोत दस्तावेज़ के आधार पर प्रस्तुत नहीं किया जा सका, उसे हटा दिया गया है। हम कौन हैं PhishDestroy — स्वतंत्र जांचकर्ता।Valve कॉर्पोरेशन या यहां नामित किसी भी प्लेटफ़ॉर्म से कोई संबद्धता नहीं। एक Steam खाता केवल धारा 18. में GDPR अनुरोध को दस्तावेज़ित करने के लिए उपयोग किया गया था। कानूनी अस्वीकरण गैर-व्यावसायिक, विकेंद्रीकृत सार्वजनिक-हित जांच। सभी डेटा "जैसा है" प्रदान किया गया है, बिना किसी वारंटी के। यह प्रकाशन कोई न्यायिक निष्कर्ष नहीं है। सार्वजनिक डोमेन लाइसेंसिंग सभी अधिकार मानवता को समर्पित। प्रतिलिपि बनाना, अनुकूलित करना, प्रकाशित करना — श्रेय देना आवश्यक नहीं। OFAC-क्षेत्र पहुँच: निषिद्ध। [पूर्ण लाइसेंस और अस्वीकरण →](https://phishdestroy.io/steam_dossier/license_disclaimer)