# Cronologia da segurança — O dossiê «Steam» Canonical: https://phishdestroy.io/steam_dossier/pt/security_timeline Language: pt Author: PhishDestroy Team Publisher: PhishDestroy > Cronologia dos incidentes de segurança, atualizações de políticas e medidas coercivas da «Valve», desde 2018 até 2026,, com classificação probatória. O HISTÓRICO DE SEGURANÇA EXPOSIÇÃO / INSCRIÇÕES PARA O «16» 2018 — 2026 # Cronologia de segurança — 2018 para 2026 A segurança mudou. *Siga o registo.* O QUE ESTA SECÇÃO DEMONSTRA Este registo cronológico reconstrói oito anos de alterações de segurança na pilha de transações e autenticação dSteam. Acompanha a implementação da retenção de transações diárias 2018 7-, as confirmações por telemóvel da Web 2023 API e a descontinuação dos tokens de sessão 2026 face a técnicas de contorno documentadas. A cronologia demonstra que as atualizações da plataforma ficaram consistentemente aquém dos vetores de exploração conhecidos, mantendo, no entanto, as vantagens estruturais para os operadores comerciais. [← Voltar ao resumo executivo](https://phishdestroy.io/steam_dossier/pt/index#briefing-heading) Bloqueios comerciais. Controlos de início de sessão. Restrições de «API». Um registo cronológico do que mudou — e do que as fontes realmente comprovam. [Explora a linha do tempo](https://phishdestroy.io/steam_dossier/pt/security_timeline#timeline) OITO ANOS. UM RECORDE. **16 marcos a analisar** Cada entrada mantém a data de envio e a fonte. A verificação é apresentada ao lado da mesma. REVISADO / 24 SET 2026 **10** Evento e data confirmados **06** Parcialmente verificado **00** Incompatibilidade de fonte **00** É necessária uma fonte Como interpretar este registo **Evento e data confirmados:** ambas apoiadas por uma fonte primária de fácil compreensão. **Parcialmente verificado:** Está documentada uma alteração relacionada, mas a data ou o âmbito continuam por definir. **Incompatibilidade de fonte:** O material indicado no link não corrobora a alegação apresentada. **É necessária uma fonte:** Nesta análise, não foi verificada nenhuma fonte datada que correspondesse. O facto de uma entrada não ter sido esclarecida não constitui prova de que um acontecimento não tenha ocorrido. As datas relativas às entradas por resolver correspondem às datas de envio e não às datas de lançamento confirmadas. O texto original da investigação não foi reescrito. ## A cronologia 01 — 16 16 das publicações de «16» · mais recentes primeiro 2026 09-01Data de envio Comunidade Parcialmente verificado ## [Avisos sobre mensagens suspeitas nas conversas em grupo](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2026-09-01) Um aviso oficial sobre a versão beta confirma a disponibilização da funcionalidade em 31 de agosto. A data de lançamento da versão estável indicada em 1 de setembro ainda carece de notas de lançamento específicas. [Steam Versão Beta para Clientes — 31de agosto](https://steamcommunity.com/groups/SteamClientBeta?l=english) [arquivado em 2026-03-13 ↗](https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english) Entrada original e link enviado Sinalização automática de conversas suspeitas [Verificar o código-fonte enviado ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) 2026 01-16Data de verificação API Evento e data confirmados ## [Permissões granulares e lista de IPs autorizados para chaves de editor (anúncio do Valve)](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2026-01-16) No dia 16 de janeiro de 2026, Valve foi publicado um comunicado oficial sobre o Steamworks (*"NOVIDADE: Melhores permissões e controlos para as chaves de «API» na Web"*) que confirmam a existência de novas ferramentas de permissão granular que permitem aos programadores segmentar as chaves do WebAPI em grupos distintos (**Dados gerais, microtransações, economia e vendas**), restringir as chaves a IDs de aplicação específicas e aplicar uma lista branca de IPs de servidor. **O flagrante duplo padrão:** Este comunicado oficial confirma que o site Valve já desenvolveu na íntegra a infraestrutura técnica necessária para a gestão granular de permissões API e restrições de IP, mas **retém-nas deliberadamente das contas de utilizador normais (`steamcommunity.com/dev/apikey`)**. As chaves de «API» dos utilizadores normais continuam a ser credenciais monolíticas do tipo «tudo ou nada», sem lista de endereços IP autorizados — o que constitui precisamente a lacuna técnica que permite a existência da indústria multimilionária de interceção de transações «API». [Valve Anúncio — NOVIDADE: Melhores permissões e controlos para as chaves de «API» na Web (16 Jan 2026)](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) · [Documentação: Autenticação na Web do SteamAPI ↗](https://partner.steamgames.com/doc/webapi_overview/auth) Entrada original e link enviado APIes da Web da Steamworks: Âmbitos Granulares [Consulte o anúncio oficial do Valve no Steamworks (493839547938902179) ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) 2025 07-15Data de verificação Negociação Evento e data confirmados ## [As transações CS2 passam a dispor de um período de reversão de sete dias](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2025-07-15) O comunicado da Valve, datado de [data], anuncia a reversão das transações de itens do Counter-Strike realizadas nos sete dias anteriores. Embora tenha sido concebido para mitigar o «hijacking», as auditorias económicas realizadas por terceiros ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)) registou um **$104M (-25%) collapse** em capitalização bolsista no espaço de 24 horas, devido a uma perturbação nas transações à vista. Conforme analisado por [Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/), o facto de se desencadear uma reversão implica um bloqueio automático 30-para operações de day trading na conta. No verão 2026, Valve, passou-se de reinícios globais à meia-noite UTC para temporizadores individuais por item, com duração de um minuto ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). [Valve — 15 Anúncio de 2025, em julho de](https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000) · [Análise da CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) Entrada original e link enviado Proteção de transações CS2 / Janela de reversão [Verificar o código-fonte enviado ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2025 05-14Data de verificação Autenticação Evento e data confirmados ## [Valve publica um aviso de segurança sobre contas devido a fugas de SMS](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2025-05-14) O comunicado oficial da Valve, publicado em 5 de maio 14, 2025,, aborda a segurança das contas e os sistemas de autenticação por SMS. Embora o comunicado se centre nas fugas de SMS e confirme que nenhum sistema da Steam foi violado, constitui uma atualização oficial de segurança na data em que foi publicado. [Valve — Uma nota sobre a segurança da sua conta Steam](https://store.steampowered.com/news/posts/?enddate=1747349559) Entrada original e link enviado Comunicado sobre a segurança da conta [Verificar o código-fonte enviado ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) 2024 10-02Data de verificação Negociação Evento e data confirmados ## [Sete dias antes da revenda ou da nova comercialização](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2024-10-02) As notas de lançamento abrangem os itens adquiridos através da loja do jogo, incluindo o Arsenal, as ofertas de troca e o Mercado da Comunidade. O âmbito documentado é mais vasto do que apenas os itens do Arsenal. [Valve — Notas de lançamento do 10/2/2024](https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements) Entrada original e link enviado CS2 The Armory / 7-Day Hold [Verificar o código-fonte enviado ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) 2024 09-18Data de envio Negociação Parcialmente verificado ## [Restrições relativas a novos dispositivos verificadas nas Páginas de Ajuda](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2024-09-18) A documentação oficial de suporte do Steam confirma uma restrição de day trading 7-ao iniciar sessão a partir de um novo dispositivo que não tenha sido autorizado há, pelo menos, 7 dias. Embora a data exata de implementação de 18, 2024, em setembro não conste como um marco no registo de alterações, a funcionalidade está totalmente documentada. [Steam Apoio — Restrições de negociação e de mercado](https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E) Entrada original e link enviado Restrição de transações no início de sessão num novo dispositivo [Verificar o código-fonte enviado ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2024 02-14Data de envio Comunidade Parcialmente verificado ## [Foi implementado um período de espera para a troca de nome em 2024](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2024-02-14) Os registos da comunidade e dos programadores confirmam que, no início de 2024,, o Valve introduziu, sem aviso prévio, 2-um período de espera de4 horas para transações, imediatamente após uma alteração do nome de perfil, com o objetivo de mitigar esquemas de fraude por suplantação de identidade. Uma vez que Valve não publicou qualquer comunicado de imprensa oficial, registo de alterações do cliente ou artigo de apoio relativo a esta restrição, a data apresentada de 14, em fevereiro, carece de verificação formal; o guia do Steam Workshop serve como corroboração indireta da comunidade, em vez de documentação oficial Valve. [Steam Guia do Workshop (corroboração indireta) — Detalhes sobre a restrição à alteração de nome](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) Entrada original e link enviado Suspensão da alteração do nome do perfil / avatar [Verificar o código-fonte enviado ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 2023 12-04Data de verificação API Evento e data confirmados ## [A criação da chave requer confirmação através do telemóvel](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2023-12-04) Verificou-se que a introdução da confirmação obrigatória através da aplicação móvel «Steam Guard» para a criação de chaves Web API ocorreu no final de 2023,, conforme documentado por bibliotecas de programadores de terceiros. A data exata de 4, 2023, representa o período de implementação observado na comunidade de programadores. [Documentação do responsável pela manutenção — 2024 de março](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [arquivado em 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) Entrada original e link enviado Confirmação por telemóvel para chaves «API» [Verificar o código-fonte enviado ↗](https://steamcommunity.com/dev/apikey) 2023 10-24Data de verificação Desenvolvedor Evento e data confirmados ## [Entra em vigor a FA obrigatória 2para a definição de versões do jogo em tempo real](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2023-10-24) O anúncio oficial da Valve no Steamworks, publicado em 10 de outubro 10, 2023,, confirma que, a partir de 10 de outubro 24, 2023,, qualquer conta que coloque uma compilação em produção no ramo padrão de uma aplicação lançada terá de autorizar a alteração através de SMS ou da aplicação móvel Steam. Esta alteração atualizou diretamente a página Web SetAppBuildLive API. [Steamworks — Melhorias de segurança na gestão de compilações e utilizadores](https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) [arquivado em 2025-12-03 ↗](https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) Entrada original e link enviado Autenticação multifatorial por SMS para publicações de compilações de jogos [Verificar o código-fonte enviado ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) 2023 07-12Data de envio Comunidade Parcialmente verificado ## [Avisos de conteúdo personalizados nas biografias, observados pela comunidade](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2023-07-12) Steam Relatos da comunidade, a partir de julho 2023, indicam que as biografias dos perfis personalizados que continham links externos ou palavras-chave passaram a apresentar avisos de conteúdo automáticos. A data de envio de julho 12, 2023, coincide com a primeira onda de relatos dos utilizadores nos fóruns da comunidade Steam. [Steam Fórum da Comunidade — Relatórios de aviso sobre conteúdo biográfico](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) Entrada original e link enviado Aviso sobre o conteúdo da biografia personalizada [Verificar o código-fonte enviado ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 2023 01-25Data de envio Comunidade Parcialmente verificado ## [Os períodos de espera para a filtragem e edição de links de perfil estão ativos](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2023-01-25) A documentação oficial de apoio da Steam confirma que as ligações nas biografias personalizadas são filtradas e que alterações abusivas de nome ou avatar podem desencadear proibições de edição. Embora a implementação exata do período de espera de uma hora 4-em 1 de janeiro 25, 2023, represente o início observado, o próprio mecanismo de filtragem de ligações está totalmente ativo, conforme indicado na página de ajuda disponibilizada. [Steam Apoio — Restrições relativas ao nome do perfil e ao avatar](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) Entrada original e link enviado Perfil LINK REMOVIDO / Tempo de recarga [Verificar o código-fonte enviado ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 2022 10-24Data de verificação Autenticação Evento e data confirmados ## [Steam Transição do cliente para os tokens de atualização e de acesso do OAuth](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2022-10-24) Principais atualizações de clientes e aplicações móveis da Valve em outubro A 2022 reformulou o sistema de autenticação Steam. A antiga estrutura de cookies de sessão foi substituída por tokens de acesso e de atualização baseados em OAuth, tendo sido introduzida uma lista de dispositivos autorizados ativos para permitir a revogação manual de sessões ativas. [Valve — Atualização da aplicação móvel «Steam» e reformulação do sistema de autenticação](https://store.steampowered.com/news/group/4/view/3314112260640237775) Entrada original e link enviado Steam Reestruturação do processo de início de sessão / Truncagem de cookies [Consulte o anúncio «Valve» ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 10-12Data de verificação Autenticação Evento e data confirmados ## [Início de sessão por QR e gestão de dispositivos autorizados](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2022-10-12) O anúncio de Valve sobre o «12», publicado em outubro, descreve o início de sessão através de código QR, a aprovação ou recusa de inícios de sessão e uma lista de dispositivos que permite revogar o acesso à conta. [Valve — A aplicação móvel «Steam», na sua versão atualizada, já está disponível](https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog) Entrada original e link enviado Steam Aplicação móvel 3.0 / Início de sessão com QR [Verificar o código-fonte enviado ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 05-10Data de envio API Parcialmente verificado ## [Os pontos finais de cancelamento de transações foram removidos da lista pública API](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2022-05-10) Os registos dos programadores confirmam que, em maio de 2022, Valve, foram silenciosamente removidos pontos de extremidade de gestão de transações, tais como IEconService/CancelTradeOffer e DeclineTradeOffer, do Web API (documentado em node-steam-tradeoffer-manager #325). Embora os métodos continuem a funcionar nos protocolos privados do cliente, a data de 10, 2022, representa a sua remoção efetiva das APIs Web públicas, com o objetivo de combater os painéis fraudulentos. [Discussão dos programadores — Tópico n.º325 (CancelTradeOffer removido)](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) · [Site da Steamworks API — Documentação do IEconService](https://partner.steamgames.com/doc/webapi/IEconService) Entrada original e link enviado Remoção dos pontos finais de cancelamento de transações [Verificar o issue n.º325 do node-steam-tradeoffer-manager ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) 2020 05-25Data de verificação Negociação Evento e data confirmados ## [Os itens do Dota2 passam a ter um período de espera de sete dias para a troca](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2020-05-25) Em maio de 25, 2020,, a par do lançamento do Passe de Batalha do The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve implementou um bloqueio de trocas de um dia 7-para os itens do Dota 2, em consonância com a política do 2018 para o Counter-Strike. Esta restrição aplica-se a todos os itens trocados e às compras no Mercado. [Comunidade Dota 2 — Bloqueio de trocas e atualização do cliente do TI10](https://steamcommunity.com/app/570/announcements/) Entrada original e link enviado Dota 2 / 7-Bloqueio de transações diárias [Verificar o código-fonte enviado ↗](https://blog.dota2.com/2020/05/trading-cooldown/) 2018 03-29Data de verificação Negociação Evento e data confirmados ## [Os itens do CS:GO trocados ficam sujeitos a um período de espera de sete dias](https://phishdestroy.io/steam_dossier/pt/security_timeline#event-2018-03-29) As notas oficiais de lançamento confirmam a data e a restrição. O URL fornecido redirecionava para uma atualização do mapa em 2013; o URL correspondente das notas de lançamento termina em 20309. [Valve — Notas de lançamento do 3/29/2018](https://blog.counter-strike.net/2018/03/20309/) Entrada original e link enviado CS:GO / Bloqueio de transações diárias no «7-» [Verificar o código-fonte enviado ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [arquivado em 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) ### Não foram encontradas entradas correspondentes. Experimente utilizar uma frase diferente ou desative os filtros. Siga as provas. Analise a fonte. [Voltar à investigação ↗](https://phishdestroy.io/steam_dossier/pt/#vulnerability-profile)