# Kalendarium wydarzeń związanych z bezpieczeństwem — Dokumentacja dotycząca „Steam” Canonical: https://phishdestroy.io/steam_dossier/pl/security_timeline Language: pl Author: PhishDestroy Team Publisher: PhishDestroy > Kalendarium incydentów związanych z bezpieczeństwem w ramach programu „Valve”, aktualizacji zasad oraz działań egzekucyjnych – od strony 2018 do 2026, wraz z oceną dowodową. HISTORIA BEZPIECZEŃSTWA WYSTAWA / PRACE Z KONKURSU „16” 2018 — 2026 # Kalendarium zmian w zabezpieczeniach — od „2018” do „2026” Zmiany w zakresie bezpieczeństwa. *Postępuj zgodnie z zapisem.* CO WYKAZUJE TA CZĘŚĆ Niniejszy zapis chronologiczny przedstawia osiem lat zmian w zabezpieczeniach stosu transakcyjnego i uwierzytelniającego serwisu Steam. Obejmuje on wdrożenie 2018 7-mechanizmu blokady dziennej transakcji, 2023 potwierdzeń kluczem mobilnym API oraz 2026 wycofanie tokenów sesyjnych w odpowiedzi na udokumentowane techniki omijania zabezpieczeń. Oś czasu wskazuje, że aktualizacje platformy konsekwentnie pozostawały w tyle za znanymi wektorami ataków, zachowując jednocześnie korzyści strukturalne dla operatorów komercyjnych. [← Powrót do podsumowania dla kadry kierowniczej](https://phishdestroy.io/steam_dossier/pl/index#briefing-heading) Blokady transakcji. Kontrola logowania. Ograniczenia dotyczące „API”. Aktualny zapis tego, co uległo zmianie — oraz tego, co faktycznie wynika ze źródeł. [Zapoznaj się z osią czasu](https://phishdestroy.io/steam_dossier/pl/security_timeline#timeline) OSIEM LAT. JEDEN ALBUM. **16 kamienie milowe, które należy przeanalizować** Każdy wpis zachowuje datę zgłoszenia i źródło. Obok niego wyświetlana jest informacja o weryfikacji. SPRAWDZONE / 24 09.2026 **10** Potwierdzone wydarzenie i data **06** Częściowo zweryfikowane **00** Niezgodność źródła **00** Potrzebne źródło Jak odczytać ten zapis **Zweryfikowane wydarzenie i data:** oba poparte wiarygodnym źródłem pierwotnym. **Częściowo zweryfikowane:** udokumentowano powiązaną zmianę, ale data lub zakres pozostają nieokreślone. **Niezgodność źródła:** materiał, do którego prowadzi link, nie potwierdza przedstawionego twierdzenia. **Potrzebne źródło:** W ramach niniejszego przeglądu nie zweryfikowano żadnego pasującego źródła z podaną datą. Brak potwierdzenia danego wpisu nie stanowi dowodu na to, że wydarzenie nie miało miejsca. Daty przy wpisach nierozstrzygniętych to daty zgłoszenia, a nie zweryfikowane daty publikacji. Oryginalny tekst dochodzenia nie został zmieniony. ## Chronologia 01 — 16 16 z wpisów na stronie 16 · najnowsze najpierw 2026 09-01Data złożenia Społeczność Częściowo zweryfikowane ## [Ostrzeżenia o podejrzanych wiadomościach w czatach grupowych](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2026-09-01) Oficjalne ogłoszenie dotyczące wersji beta potwierdza wprowadzenie tej funkcji w dniu 31 sierpnia. Podana data stabilnej premiery 1 września nadal wymaga szczegółowej notatki dotyczącej wydania. [Steam Wersja beta dla klientów — 1 sierpnia 31](https://steamcommunity.com/groups/SteamClientBeta?l=english) [zarchiwizowano 2026-03-13 ↗](https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english) Oryginalny wpis i przesłany link Automatyczne oznaczanie podejrzanych rozmów [Sprawdź przesłany kod źródłowy ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) 2026 01-16Data weryfikacji API Potwierdzone wydarzenie i data ## [Szczegółowe uprawnienia i biała lista adresów IP dla kluczy wydawcy (ogłoszenie dotyczące Valve)](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2026-01-16) W dniu 16 stycznia 2026, Valve opublikowano oficjalne ogłoszenie dotyczące Steamworks (*„NOWOŚĆ: Ulepszone uprawnienia i opcje kontroli dla kluczy WebAPI”*) potwierdzające wprowadzenie nowych narzędzi do precyzyjnego zarządzania uprawnieniami, które umożliwiają programistom podział kluczy „WebAPI” na odrębne grupy (**Ogólne informacje, mikrotransakcje, ekonomia i dane dotyczące sprzedaży**), ograniczyć klucze do określonych identyfikatorów aplikacji oraz egzekwować stosowanie białej listy adresów IP serwerów. **Rażąca podwójna moralność:** W niniejszym oficjalnym komunikacie stwierdza się, że serwis Valve w pełni wdrożył infrastrukturę techniczną umożliwiającą precyzyjne zarządzanie uprawnieniami w ramach funkcji „API” oraz stosowanie ograniczeń adresów IP, jednak **celowo nie udostępnia ich zwykłym kontom użytkowników (`steamcommunity.com/dev/apikey`)**. Standardowe klucze użytkownika typu „API” pozostają monolitycznymi poświadczeniami typu „wszystko albo nic”, bez białej listy adresów IP — a właśnie to techniczne zaniedbanie umożliwia funkcjonowanie wartej wiele milionów dolarów branży zajmującej się przechwytywaniem transakcji typu „API”. [Valve Ogłoszenie — NOWOŚĆ: Lepsze uprawnienia i mechanizmy kontroli dla kluczy Web API (16 Jan 2026)](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) · [Dokumentacja: Uwierzytelnianie w serwisie Steamworks Web API ↗](https://partner.steamgames.com/doc/webapi_overview/auth) Oryginalny wpis i przesłany link Strona internetowa Steamworks: API – szczegółowe zakresy [Zapoznaj się z oficjalnym ogłoszeniem dotyczącym Steamworks w grze „Valve” (493839547938902179) ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) 2025 07-15Data weryfikacji Handel Potwierdzone wydarzenie i data ## [Transakcje na CS2 zyskują siedmiodniowe okno na odwrócenie trendu](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2025-07-15) W opublikowanym komunikacie Valve ogłoszono cofnięcie transakcji dotyczących przedmiotów w grze Counter-Strike z ostatnich siedmiu dni. Chociaż rozwiązanie to ma na celu ograniczenie przypadków przejęcia kont, zewnętrzne audyty ekonomiczne ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)) odnotowała **$104M (-25%) collapse** pod względem kapitalizacji rynkowej w ciągu godzin sesji „24” z powodu zakłóceń w obrocie gotówkowym. Jak wynika z analizy przeprowadzonej przez [Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/), a uruchomienie funkcji odwrócenia powoduje automatyczne nałożenie na konto blokady na transakcje jednodniowe (30-). Latem 2026, Valve przeszło z globalnego resetowania o północy czasu UTC na indywidualne minutowe liczniki dla poszczególnych pozycji ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). [Valve — 15, lipiec 2025, komunikat prasowy](https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000) · [Analiza CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) Oryginalny wpis i przesłany link Ochrona transakcji CS2 / Okno cofnięcia transakcji [Sprawdź przesłany kod źródłowy ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2025 05-14Data weryfikacji Uwierzytelnianie Potwierdzone wydarzenie i data ## [Valve opublikował ostrzeżenie dotyczące bezpieczeństwa kont w związku z wyciekami wiadomości SMS](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2025-05-14) Oficjalny komunikat serwisu Valve z 14, 2025, dotyczy bezpieczeństwa kont oraz uwierzytelniania za pomocą wiadomości SMS. Chociaż komunikat skupia się na wyciekach wiadomości SMS i potwierdza, że nie doszło do włamania do systemów Steam, stanowi on oficjalną aktualizację dotyczącą bezpieczeństwa z podanej daty. [Valve — Informacja dotycząca bezpieczeństwa Twojego konta Steam](https://store.steampowered.com/news/posts/?enddate=1747349559) Oryginalny wpis i przesłany link Komunikat dotyczący bezpieczeństwa konta [Sprawdź przesłany kod źródłowy ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) 2024 10-02Data weryfikacji Handel Potwierdzone wydarzenie i data ## [Siedem dni przed ponowną sprzedażą lub wprowadzeniem na rynek](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2024-10-02) Informacje o aktualizacji obejmują przedmioty nabyte w sklepie w grze, w tym w Zbrojowni, w ramach ofert wymiany oraz na rynku społecznościowym. Zakres opisanych zmian wykracza poza same przedmioty ze Zbrojowni. [Valve — Informacje o aktualizacji programu „10/2/2024”](https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements) Oryginalny wpis i przesłany link CS2: The Armory / Dzień zamknięcia „7-” [Sprawdź przesłany kod źródłowy ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) 2024 09-18Data złożenia Handel Częściowo zweryfikowane ## [Ograniczenia dotyczące nowych urządzeń – informacje na stronach pomocy](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2024-09-18) Oficjalna dokumentacja pomocy technicznej serwisu Steam potwierdza ograniczenie dotyczące handlu dziennego (day trading) na stronie 7-w przypadku logowania się z nowego urządzenia, które nie było autoryzowane przez co najmniej 7 dni. Chociaż dokładna data wprowadzenia tej zmiany we wrześniu 18, 2024, nie została odnotowana jako kamień milowy w dzienniku zmian, funkcjonalność ta jest w pełni udokumentowana. [Steam Pomoc — Ograniczenia dotyczące handlu i rynku](https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E) Oryginalny wpis i przesłany link Ograniczenia dotyczące logowania nowych urządzeń [Sprawdź przesłany kod źródłowy ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2024 02-14Data złożenia Społeczność Częściowo zweryfikowane ## [Wprowadzono czas oczekiwania na zmianę nazwy w pliku 2024](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2024-02-14) Zapisy społeczności i deweloperów potwierdzają, że na początku 2024, Valve wprowadzono bez uprzedzenia 2-godzinny okres blokady4 bezpośrednio po zmianie nazwy profilu, aby ograniczyć oszustwa polegające na szybkim podszywaniu się pod inne osoby. Ponieważ Valve nie opublikowało żadnego oficjalnego komunikatu prasowego, listy zmian w kliencie ani artykułu pomocy technicznej dotyczącego tego ograniczenia, podana data z lutego 14 nie została formalnie zweryfikowana; przewodnik Steam Workshop stanowi raczej pośrednie potwierdzenie ze strony społeczności niż oficjalną Valve dokumentację. [Steam Przewodnik po warsztatach (potwierdzenie pośrednie) — Szczegóły dotyczące ograniczeń dotyczących zmiany nazwy](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) Oryginalny wpis i przesłany link Wstrzymanie zmiany nazwy profilu / awatara [Sprawdź przesłany kod źródłowy ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 2023 12-04Data weryfikacji API Potwierdzone wydarzenie i data ## [Utworzenie klucza wymaga potwierdzenia za pomocą telefonu komórkowego](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2023-12-04) Potwierdzono, że obowiązkowe potwierdzanie za pomocą aplikacji mobilnej Steam Guard podczas generowania kluczy w serwisie API zostało wprowadzone pod koniec 2023,, co potwierdzają biblioteki programistyczne stron trzecich. Dokładna data 4, 2023, odpowiada okresowi wdrażania zaobserwowanemu w środowisku programistów. [Dokumentacja opiekuna — marzec 2024](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [zarchiwizowano 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) Oryginalny wpis i przesłany link Potwierdzenie na telefonie komórkowym dla kluczy „API” [Sprawdź przesłany kod źródłowy ↗](https://steamcommunity.com/dev/apikey) 2023 10-24Data weryfikacji Programista Potwierdzone wydarzenie i data ## [Wchodzi w życie obowiązkowa procedura „2” dotycząca zatwierdzania konfiguracji gry na serwerach live](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2023-10-24) Oficjalny komunikat Valve dotyczący Steamworks z dnia 10, 2023, potwierdza, że od dnia 24, 2023, każde konto, które uruchamia kompilację w gałęzi domyślnej wydanej aplikacji, musi autoryzować tę zmianę za pomocą wiadomości SMS lub aplikacji mobilnej Steam. Zmiana ta spowodowała bezpośrednią aktualizację strony internetowej SetAppBuildLive API. [Steamworks — Ulepszenia w zakresie bezpieczeństwa dotyczące zarządzania kompilacjami i użytkownikami](https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) [zarchiwizowano 2025-12-03 ↗](https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) Oryginalny wpis i przesłany link SMS MFA w publikacjach dotyczących kompilacji gier [Sprawdź przesłany kod źródłowy ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) 2023 07-12Data złożenia Społeczność Częściowo zweryfikowane ## [Ostrzeżenia dotyczące treści w biografiach użytkowników, na które zwraca uwagę społeczność](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2023-07-12) Steam Zgłoszenia użytkowników społeczności, pojawiające się od lipca 2023, wskazują, że w spersonalizowanych opisach profili zawierających linki zewnętrzne lub słowa wyzwalające zaczęły wyświetlać się automatyczne ostrzeżenia dotyczące treści. Data zgłoszenia z lipca 12, 2023, pokrywa się z pierwszą falą zgłoszeń użytkowników na forach społecznościowych Steam. [Steam Forum społeczności — Zgłoszenia dotyczące ostrzeżeń o treściach związanych z biografiami](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) Oryginalny wpis i przesłany link Ostrzeżenie dotyczące treści biografii tworzonej na zamówienie [Sprawdź przesłany kod źródłowy ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 2023 01-25Data złożenia Społeczność Częściowo zweryfikowane ## [Aktywne są ograniczenia czasu na filtrowanie i edycję linków w profilu](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2023-01-25) Oficjalna dokumentacja pomocy serwisu Steam potwierdza, że linki w niestandardowych biografiach są filtrowane, a nadużycia związane ze zmianą nazwy lub awatara mogą skutkować blokadą możliwości edycji. Chociaż dokładne wprowadzenie godzinnego okresu oczekiwania 4-w dniu 1 stycznia 25, 2023, stanowi obserwowany początek tego zjawiska, sam mechanizm filtrowania linków jest w pełni aktywny, jak wynika z opublikowanej strony pomocy. [Steam Pomoc techniczna — Ograniczenia dotyczące nazwy profilu i awatara](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) Oryginalny wpis i przesłany link Profil – LINK USUNIĘTY / Czas odnowienia [Sprawdź przesłany kod źródłowy ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 2022 10-24Data weryfikacji Uwierzytelnianie Potwierdzone wydarzenie i data ## [Steam Przejście klienta na tokeny odświeżające i dostępowe OAuth](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2022-10-24) Najważniejsze aktualizacje serwisu Valve oraz aplikacji mobilnej w październiku 2022 gruntownie przebudowało system uwierzytelniania Steam. Dotychczasową strukturę plików cookie sesji zastąpiono tokenami dostępu i odświeżania opartymi na protokole OAuth, a także wprowadzono listę aktywnych, autoryzowanych urządzeń, umożliwiającą ręczne unieważnianie aktywnych sesji. [Valve — Aktualizacja aplikacji mobilnej „Steam” i gruntowna zmiana systemu uwierzytelniania](https://store.steampowered.com/news/group/4/view/3314112260640237775) Oryginalny wpis i przesłany link Steam Przebudowa systemu logowania / Skracanie plików cookie [Zapoznaj się z ogłoszeniem na stronie Valve ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 10-12Data weryfikacji Uwierzytelnianie Potwierdzone wydarzenie i data ## [Logowanie za pomocą kodu QR i zarządzanie autoryzowanymi urządzeniami](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2022-10-12) W opublikowanym w październiku przez Valve ogłoszeniu dotyczącym usługi „12” opisano logowanie za pomocą kodów QR, zatwierdzanie lub odrzucanie logowań oraz listę urządzeń, z których można cofnąć dostęp do konta. [Valve — Zaktualizowana aplikacja mobilna „Steam” jest już dostępna](https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog) Oryginalny wpis i przesłany link Steam Aplikacja mobilna 3.0 / Logowanie za pomocą kodu QR [Sprawdź przesłany kod źródłowy ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 05-10Data złożenia API Częściowo zweryfikowane ## [Punkty końcowe dotyczące anulowania transakcji zostały usunięte z publicznej listy API](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2022-05-10) Z danych deweloperów wynika, że w maju 2022, Valve po cichu usunięto punkty końcowe związane z zarządzaniem transakcjami, takie jak IEconService/CancelTradeOffer i DeclineTradeOffer, z serwisu API (udokumentowano to w wątkach node-steam-tradeoffer-manager #325). Chociaż metody te nadal działają w prywatnych protokołach klienckich, data 5 maja 10, 2022, oznacza ich faktyczne usunięcie z publicznych interfejsów API w celu zwalczania oszukańczych paneli. [Dyskusja deweloperów — Problem nr325 (usunięto funkcję „CancelTradeOffer”)](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) · [Strona internetowa Steamworks API — Dokumentacja IEconService](https://partner.steamgames.com/doc/webapi/IEconService) Oryginalny wpis i przesłany link Usunięcie punktów końcowych związanych z anulowaniem transakcji [Zobacz zgłoszenie nr325 dotyczące modułu node-steam-tradeoffer-manager ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) 2020 05-25Data weryfikacji Handel Potwierdzone wydarzenie i data ## [Przedmioty w grze „Dota2” mają siedmiodniowy okres blokady handlu](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2020-05-25) W dniu 25, 2020,, wraz z premierą przepustki bitewnej turnieju The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), serwis Valve wprowadził 7-jednodniowy blokadę wymiany przedmiotów w grze Dota 2, zgodnie z zasadami obowiązującymi w grze 2018 Counter-Strike. Ograniczenie to dotyczy wszystkich przedmiotów wymienianych oraz zakupionych na rynku. [Społeczność Dota 2 — blokada wymiany oraz aktualizacja klienta TI10](https://steamcommunity.com/app/570/announcements/) Oryginalny wpis i przesłany link Dota 2 / 7-Blokada transakcji dziennych [Sprawdź przesłany kod źródłowy ↗](https://blog.dota2.com/2020/05/trading-cooldown/) 2018 03-29Data weryfikacji Handel Potwierdzone wydarzenie i data ## [Przedmioty z gry CS:GO, które zostały wymienione, podlegają siedmiodniowemu okresowi blokady](https://phishdestroy.io/steam_dossier/pl/security_timeline#event-2018-03-29) Oficjalne informacje o wydaniu potwierdzają datę i ograniczenie. Podany adres URL przekierowywał do aktualizacji mapy pod adresem 2013; adres URL odpowiadający informacjom o wydaniu kończy się na 20309. [Valve — Informacje o aktualizacji „3/29/2018”](https://blog.counter-strike.net/2018/03/20309/) Oryginalny wpis i przesłany link CS:GO / Blokada transakcji dziennych w trybie „7-” [Sprawdź przesłany kod źródłowy ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [zarchiwizowano 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) ### Brak pasujących wpisów. Spróbuj wpisać inne wyrażenie lub wyczyść filtry. Kieruj się dowodami. Sprawdź źródło. [Powrót do śledztwa ↗](https://phishdestroy.io/steam_dossier/pl/#vulnerability-profile)