# Cronologia degli eventi relativi alla sicurezza — Il dossier “Steam” Canonical: https://phishdestroy.io/steam_dossier/it/security_timeline Language: it Author: PhishDestroy Team Publisher: PhishDestroy > Cronologia degli incidenti di sicurezza, degli aggiornamenti alle politiche e delle azioni di applicazione relative a “Valve”, da “2018” a “2026,”, con classificazione probatoria. IL BILANCIO SULLA SICUREZZA MOSTRA / OPERE PARTECIPANTI ALL’16 2018 — 2026 # Cronologia della sicurezza — Da 2018 a 2026 La sicurezza è cambiata. *Segui la traccia.* COSA DIMOSTRA QUESTA SEZIONE Questo resoconto cronologico ricostruisce otto anni di modifiche alla sicurezza apportate allo stack di negoziazione e autenticazione di Steam. Esso tiene traccia dell’2018, dell’7-, dell’implementazione del blocco giornaliero delle negoziazioni, dell’2023, delle conferme mobili tramite chiave Web API e della 2026, nonché della dismissione dei token di sessione in risposta alle tecniche di aggiramento documentate. La cronologia dimostra che gli aggiornamenti della piattaforma sono stati costantemente in ritardo rispetto ai vettori di exploit noti, pur preservando i vantaggi strutturali per gli operatori commerciali. [← Torna al briefing esecutivo](https://phishdestroy.io/steam_dossier/it/index#briefing-heading) Blocchi delle transazioni. Controlli di accesso. Restrizioni relative all’API. Una cronologia dettagliata di ciò che è cambiato e di ciò che le fonti effettivamente dimostrano. [Esplora la cronologia](https://phishdestroy.io/steam_dossier/it/security_timeline#timeline) OTTO ANNI. UN DISCO. **16 tappe da esaminare** Ogni voce conserva la data di invio e la fonte. Accanto ad essa viene visualizzata la verifica. RECENSITO / 24 SET 2026 **10** Evento e data confermati **06** Verificato in parte **00** Discrepanza tra sorgenti **00** È necessaria la fonte Come leggere questo documento **Evento e data verificati:** entrambi supportati da una fonte primaria attendibile. **Verificato in parte:** è stata documentata una modifica correlata, ma la data o l'ambito di applicazione rimangono da definire. **Discrepanza tra sorgenti:** Il materiale allegato non conferma quanto affermato. **È necessaria la fonte:** In questa analisi non è stata verificata alcuna fonte datata corrispondente. La mancanza di una voce confermata non costituisce prova che un evento non si sia verificato. Le date riportate nelle voci non risolte sono le date di invio, non le date di pubblicazione verificate. Il testo originale dell'indagine non è stato riscritto. ## La cronologia 01 — 16 16 tra i post di “16” · i più recenti per primi 2026 09-01Data di invio Comunità Verificato in parte ## [Avvisi relativi a messaggi sospetti nelle chat di gruppo](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2026-09-01) Un annuncio ufficiale relativo alla versione beta conferma la disponibilità della funzionalità su 31 nel mese di agosto. La data di rilascio della versione stabile indicata su 1 per il mese di settembre necessita ancora di note di rilascio specifiche. [Steam Client Beta — 31st agosto](https://steamcommunity.com/groups/SteamClientBeta?l=english) [archiviato su 2026-03-13 ↗](https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english) Voce originale e link inviato Segnalazione automatica delle chat sospette [Esamina il codice sorgente inviato ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) 2026 01-16Data di verifica API Evento e data confermati ## [Autorizzazioni granulari e whitelist IP per le chiavi degli editori (annuncio su Valve)](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2026-01-16) Il 16 gennaio 2026, Valve ha pubblicato un annuncio ufficiale su Steamworks (*"NOVITÀ: autorizzazioni e controlli migliorati per le chiavi di "API" sul Web"*) che confermano l'introduzione di nuovi strumenti per la gestione granulare delle autorizzazioni, che consentono agli sviluppatori di suddividere le chiavi di "API" del Web in gruppi distinti (**Dati generali, microtransazioni, economia e vendite**), limitare le chiavi a specifici ID app e applicare una lista bianca degli indirizzi IP dei server. **Il palese doppio standard:** Il presente comunicato ufficiale conferma che Valve ha completato lo sviluppo dell'infrastruttura tecnica necessaria per la gestione granulare delle autorizzazioni relative a API e delle restrizioni IP, ma **le nasconde deliberatamente agli account utente standard (`steamcommunity.com/dev/apikey`)**. Le chiavi "API" utilizzate abitualmente dagli utenti rimangono credenziali monolitiche, del tipo "tutto o niente", prive di whitelist IP: ed è proprio questa omissione tecnica a rendere possibile l'esistenza di un settore da svariati milioni di dollari dedicato all'intercettazione delle transazioni "API". [Valve Annuncio — NOVITÀ: autorizzazioni e controlli migliorati per le chiavi di WebAPI (16 Jan 2026)](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) · [Documentazione: Autenticazione tramite WebAPIe di Steamworks ↗](https://partner.steamgames.com/doc/webapi_overview/auth) Voce originale e link inviato APIe web di Steamworks: Scopes granulari [Leggi l'annuncio ufficiale di Valve su Steamworks (493839547938902179) ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) 2025 07-15Data di verifica Operazioni di trading Evento e data confermati ## [Le operazioni su CS2 beneficiano di una finestra di inversione di sette giorni](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2025-07-15) L'annuncio pubblicato da Valve introduce l'annullamento degli scambi di oggetti di Counter-Strike effettuati nei sette giorni precedenti. Sebbene sia stato concepito per mitigare il fenomeno dell'hijacking, le verifiche economiche condotte da terze parti ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)) ha registrato un **$104M (-25%) collapse** in termini di capitalizzazione di mercato nell’arco di 24 ore a causa di un’interruzione delle negoziazioni in contanti. Come analizzato da [Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/), l'attivazione di un'inversione comporta un blocco automatico del day trading 30-sul conto. In estate 2026, Valve è passato dal reset globale a mezzanotte UTC a timer individuali di un minuto per ogni voce ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). [Valve — 15, 2025, annuncio del](https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000) · [Analisi CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) Voce originale e link inviato Protezione delle operazioni CS2 / Finestra di annullamento [Esamina il codice sorgente inviato ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2025 05-14Data di verifica Autenticazione Evento e data confermati ## [Valve pubblica un avviso sulla sicurezza degli account in merito alla fuga di dati tramite SMS](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2025-05-14) L'annuncio ufficiale di Valve del 14, 2025, riguarda la sicurezza degli account e gli autenticatori basati su SMS. Sebbene la comunicazione si concentri sulle fughe di dati tramite SMS e confermi che nessun sistema di Steam sia stato violato, essa costituisce un aggiornamento ufficiale sulla sicurezza alla data di pubblicazione. [Valve — Una nota sulla sicurezza del tuo account Steam](https://store.steampowered.com/news/posts/?enddate=1747349559) Voce originale e link inviato Avviso sulla sicurezza dell'account [Esamina il codice sorgente inviato ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) 2024 10-02Data di verifica Operazioni di trading Evento e data confermati ## [Sette giorni prima della rivendita o della ricommercializzazione](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2024-10-02) Le note di rilascio riguardano gli oggetti acquistati tramite il negozio in-game, tra cui l’Armeria, le offerte di scambio e il Mercato della community. L’ambito trattato è più ampio rispetto ai soli oggetti dell’Armeria. [Valve — Note di rilascio per l'10/2/2024](https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements) Voce originale e link inviato CS2 The Armory / 7-Day Hold [Esamina il codice sorgente inviato ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) 2024 09-18Data di invio Operazioni di trading Verificato in parte ## [Restrizioni relative ai nuovi dispositivi verificate nelle pagine della guida](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2024-09-18) La documentazione ufficiale di supporto di Steam conferma una restrizione relativa al day trading 7-quando si effettua l'accesso da un nuovo dispositivo che non è stato autorizzato da almeno 7 giorni. Sebbene la data esatta di implementazione, 18, 2024,, non sia riportata come milestone nel changelog, la funzionalità è documentata in modo completo. [Steam Assistenza — Restrizioni relative al trading e al mercato](https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E) Voce originale e link inviato Restrizione commerciale relativa all'accesso da un nuovo dispositivo [Esamina il codice sorgente inviato ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2024 02-14Data di invio Comunità Verificato in parte ## [Implementato il tempo di attesa per il cambio di nome in 2024](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2024-02-14) I registri della community e degli sviluppatori confermano che all’inizio del 2024, Valve è stato introdotto, senza preavviso, un periodo di attesa di 2-to-4 ora subito dopo la modifica del nome del profilo, al fine di mitigare le truffe basate sull’usurpazione rapida dell’identità. Poiché Valve non ha pubblicato alcun comunicato stampa ufficiale, log delle modifiche del client o articolo di supporto relativo a questa restrizione, la data indicata nel 14 di febbraio non è stata verificata formalmente; la guida del Steam Workshop funge da conferma indiretta da parte della community piuttosto che da documentazione ufficiale Valve. [Steam Guida al workshop (corroborazione indiretta) — Dettagli sulle restrizioni relative al cambio di nome](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) Voce originale e link inviato Sospensione della modifica del nome del profilo / dell'avatar [Esamina il codice sorgente inviato ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 2023 12-04Data di verifica API Evento e data confermati ## [La generazione della chiave richiede una conferma tramite dispositivo mobile](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2023-12-04) È stato accertato che l'introduzione della conferma obbligatoria tramite l'app mobile "Steam Guard" per la creazione delle chiavi Web API è avvenuta alla fine di 2023,, come documentato dalle librerie di sviluppatori di terze parti. La data esatta del 4, 2023, rappresenta il periodo di implementazione osservato all'interno della comunità degli sviluppatori. [Documentazione del responsabile della manutenzione — marzo 2024](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [archiviato su 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) Voce originale e link inviato Conferma tramite cellulare per le chiavi “API” [Esamina il codice sorgente inviato ↗](https://steamcommunity.com/dev/apikey) 2023 10-24Data di verifica Sviluppatore Evento e data confermati ## [Entra in vigore l'obbligo per la FA (2) di definire le formazioni in tempo reale durante le partite](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2023-10-24) L'annuncio ufficiale di Valve su Steamworks del 10, 2023, conferma che, a partire dal 24, 2023,, qualsiasi account che pubblichi una build sul ramo predefinito di un'applicazione già rilasciata dovrà autorizzare la modifica tramite SMS o tramite l'app mobile Steam. Questa modifica ha aggiornato direttamente la pagina web SetAppBuildLive API. [Steamworks — Miglioramenti alla sicurezza per la gestione delle build e degli utenti](https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) [archiviato su 2025-12-03 ↗](https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) Voce originale e link inviato Autenticazione a più fattori tramite SMS per le pubblicazioni relative alle build dei giochi [Esamina il codice sorgente inviato ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) 2023 07-12Data di invio Comunità Verificato in parte ## [Avvisi relativi ai contenuti delle biografie personalizzate segnalati dalla comunità](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2023-07-12) Steam Le segnalazioni della community a partire da luglio 2023 documentano che le biografie dei profili personalizzati contenenti link esterni o parole chiave hanno iniziato a visualizzare avvisi automatici sui contenuti. La data di invio del 7 luglio 12, 2023, coincide con la prima ondata di segnalazioni degli utenti sui forum della community Steam. [Steam Forum della comunità — Segnalazioni relative agli avvisi sui contenuti biografici](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) Voce originale e link inviato Avviso relativo ai contenuti personalizzati della biografia [Esamina il codice sorgente inviato ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 2023 01-25Data di invio Comunità Verificato in parte ## [Filtraggio dei link ai profili e tempi di attesa per la modifica attivi](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2023-01-25) La documentazione ufficiale di supporto di Steam conferma che i link presenti nelle biografie personalizzate vengono filtrati e che modifiche abusive al nome o all’avatar possono comportare il divieto di modifica. Sebbene l’introduzione effettiva del periodo di attesa di un’4-, avvenuta il 1° gennaio 25, 2023,, rappresenti l’inizio effettivo di questa misura, il meccanismo di filtraggio dei link è già pienamente attivo, come indicato nella pagina di aiuto pubblicata. [Steam Assistenza — Restrizioni relative al nome del profilo e all'avatar](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) Voce originale e link inviato Profilo LINK RIMOSSO / Tempo di recupero [Esamina il codice sorgente inviato ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 2022 10-24Data di verifica Autenticazione Evento e data confermati ## [Steam Transizione dei clienti ai token di aggiornamento e di accesso OAuth](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2022-10-24) Principali aggiornamenti di Valve relativi ai client e alle app mobili nel mese di ottobre 2022 ha rinnovato il sistema di autenticazione Steam. La vecchia struttura basata sui cookie di sessione è stata sostituita da token di accesso e di aggiornamento basati su OAuth ed è stato introdotto un elenco dei dispositivi autorizzati attivi per consentire la revoca manuale delle sessioni attive. [Valve — Aggiornamento dell’app mobile “Steam” e revisione del sistema di autenticazione](https://store.steampowered.com/news/group/4/view/3314112260640237775) Voce originale e link inviato Steam Riorganizzazione della procedura di accesso / Tronchamento dei cookie [Consulta l'annuncio su Valve ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 10-12Data di verifica Autenticazione Evento e data confermati ## [Accesso tramite codice QR e gestione dei dispositivi autorizzati](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2022-10-12) L'annuncio di Valve del 1° ottobre, intitolato "12", descrive la procedura di accesso tramite codice QR, l'approvazione o il rifiuto degli accessi e un elenco di dispositivi in grado di revocare l'accesso all'account. [Valve — È ora disponibile la versione aggiornata dell’app mobile “Steam”](https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog) Voce originale e link inviato Steam App mobile 3.0 / Accesso tramite codice QR [Esamina il codice sorgente inviato ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 05-10Data di invio API Verificato in parte ## [Gli endpoint relativi all'annullamento delle transazioni sono stati rimossi dall'elenco pubblico API](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2022-05-10) I registri degli sviluppatori confermano che a maggio 2022, Valve sono stati silenziosamente rimossi gli endpoint di gestione delle transazioni, quali IEconService/CancelTradeOffer e DeclineTradeOffer, dal Web API (come documentato in node-steam-tradeoffer-manager #325). Sebbene tali metodi rimangano funzionanti nei protocolli client privati, la data del 10, 2022, indica la loro effettiva rimozione dalle API Web pubbliche al fine di contrastare i pannelli truffaldini. [Discussione degli sviluppatori — Issue n.325 (CancelTradeOffer rimosso)](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) · [Sito web di Steamworks API — Documentazione di IEconService](https://partner.steamgames.com/doc/webapi/IEconService) Voce originale e link inviato Rimozione dei punti finali di annullamento delle transazioni [Visualizza il ticket #325 relativo a node-steam-tradeoffer-manager ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) 2020 05-25Data di verifica Operazioni di trading Evento e data confermati ## [Gli oggetti di Dota2s sono soggetti a un periodo di attesa di sette giorni prima di poter essere scambiati](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2020-05-25) Il 25, 2020,, in concomitanza con il lancio del Battle Pass dell’International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve ha introdotto un blocco di 7-giorni sugli scambi degli oggetti di Dota 2, in linea con la politica di 2018 relativa a Counter-Strike. Questa restrizione si applica a tutti gli oggetti scambiati e agli acquisti effettuati sul Mercato. [Comunità di Dota2 — Blocco degli scambi e aggiornamento del client per TI10](https://steamcommunity.com/app/570/announcements/) Voce originale e link inviato Dota 2 / 7-Blocco delle operazioni di day trading [Esamina il codice sorgente inviato ↗](https://blog.dota2.com/2020/05/trading-cooldown/) 2018 03-29Data di verifica Operazioni di trading Evento e data confermati ## [Gli oggetti di CS:GO scambiati sono soggetti a un periodo di attesa di sette giorni](https://phishdestroy.io/steam_dossier/it/security_timeline#event-2018-03-29) Le note di rilascio ufficiali confermano la data e la restrizione. L'URL fornito reindirizzava a un aggiornamento della mappa su 2013; l'URL corrispondente delle note di rilascio termina con 20309. [Valve — Note di rilascio per l'3/29/2018](https://blog.counter-strike.net/2018/03/20309/) Voce originale e link inviato CS:GO / Blocco delle operazioni di day trading su 7- [Esamina il codice sorgente inviato ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [archiviato su 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) ### Nessun risultato corrispondente. Prova a inserire una frase diversa oppure deseleziona i filtri. Segui le prove. Verifica la fonte. [Torna all'indagine ↗](https://phishdestroy.io/steam_dossier/it/#vulnerability-profile)