# Cronología de la seguridad — El expediente «Steam» Canonical: https://phishdestroy.io/steam_dossier/es/security_timeline Language: es Author: PhishDestroy Team Publisher: PhishDestroy > Cronología de los incidentes de seguridad, las actualizaciones de políticas y las medidas coercitivas de «Valve», desde «2018» hasta «2026,», con una clasificación de las pruebas. EL HISTORIAL DE SEGURIDAD EXPOSICIÓN / PARTICIPACIONES EN EL «16» 2018 — 2026 # Cronología de seguridad: de «2018» a «2026» Se han producido cambios en la seguridad. *Sigue el historial.* LO QUE DEMUESTRA ESTA SECCIÓN Este registro cronológico reconstruye ocho años de modificaciones de seguridad en la pila de operaciones y autenticación de Steam. En él se recogen la implementación de la retención de operaciones de un día 2018 7-, las confirmaciones móviles con clave 2023 Web API y la retirada de los tokens de sesión 2026 frente a técnicas de elusión documentadas. La línea temporal pone de manifiesto que las actualizaciones de la plataforma siempre iban por detrás de los vectores de explotación conocidos, al tiempo que se preservaban las ventajas estructurales para los operadores comerciales. [← Volver al informe ejecutivo](https://phishdestroy.io/steam_dossier/es/index#briefing-heading) Bloqueos comerciales. Controles de acceso. Restricciones de «API». Un registro cronológico de lo que cambió y de lo que realmente demuestran las fuentes. [Explora la línea temporal](https://phishdestroy.io/steam_dossier/es/security_timeline#timeline) OCHO AÑOS. UN RÉCORD. **16 hitos que hay que analizar** Cada entrada conserva la fecha de envío y la fuente. La verificación aparece junto a ella. REVISADO / 24 SEP 2026 **10** Evento y fecha confirmados **06** Verificado parcialmente **00** Incompatibilidad de fuentes **00** Se necesita fuente Cómo interpretar este registro **Evento y fecha confirmados:** ambas respaldadas por una fuente primaria fiable. **Verificado parcialmente:** Se ha documentado un cambio relacionado, pero la fecha o el alcance siguen sin estar claros. **Discrepancia entre fuentes:** El material al que se hace referencia no respalda la afirmación presentada. **Se necesita fuente:** En esta revisión no se ha verificado ninguna fuente con fecha que coincida. El hecho de que una entrada no se haya resuelto no prueba que el suceso no haya tenido lugar. Las fechas que figuran en las entradas sin resolver corresponden a las fechas de presentación, no a las fechas de publicación verificadas. El texto original de la investigación no se ha modificado. ## La cronología 01 — 16 16 de las entradas de «16» · las más recientes primero 2026 09-01Fecha de presentación Comunidad Verificado parcialmente ## [Avisos sobre mensajes sospechosos en los chats de grupo](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2026-09-01) Un comunicado oficial sobre la versión beta confirma esta función el 31 de agosto. La fecha de lanzamiento de la versión estable, indicada en 1 de septiembre, aún no cuenta con sus notas de lanzamiento específicas. [Steam Versión beta para clientes — 31de agosto](https://steamcommunity.com/groups/SteamClientBeta?l=english) [archivado en 2026-03-13 ↗](https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english) Entrada original y enlace enviado Detección automática de chats sospechosos [Revisa el código fuente enviado ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) 2026 01-16Fecha de verificación API Evento y fecha confirmados ## [Permisos detallados y listas blancas de direcciones IP para las claves de editor (anuncio sobre Valve)](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2026-01-16) El 16 de enero de 2026, Valve publicó un comunicado oficial de Steamworks (*«NOVEDAD: Mejores permisos y controles para las claves de «API» en la web»*) en la que se confirman nuevas herramientas de permisos detallados que permiten a los desarrolladores dividir las claves de «API» de la web en grupos independientes (**Datos generales, sobre microtransacciones, economía y ventas**), restringir las claves a ID de aplicación específicos y aplicar una lista blanca de direcciones IP de servidor. **El flagrante doble rasero:** Este comunicado oficial establece que Valve ha desarrollado por completo la infraestructura técnica necesaria para la gestión detallada de permisos (API) y restricciones de IP, pero **las oculta deliberadamente a las cuentas de usuario normales (`steamcommunity.com/dev/apikey`)**. Las claves de los usuarios habituales de API siguen siendo credenciales monolíticas, del tipo «todo o nada», sin listas blancas de direcciones IP, lo que constituye precisamente la omisión técnica que permite la existencia de una industria de interceptación de transacciones de API valorada en varios millones de dólares. [Valve Anuncio — NOVEDAD: Mejores permisos y controles para las claves de «API» en la web (16, 2026 de enero)](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) · [Documentación: Autenticación web de Steamworks API ↗](https://partner.steamgames.com/doc/webapi_overview/auth) Entrada original y enlace enviado Steamworks Web API Alcances granulares [Echa un vistazo al anuncio oficial de «Valve» en Steamworks (493839547938902179) ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) 2025 07-15Fecha de verificación Operaciones bursátiles Evento y fecha confirmados ## [Las operaciones con CS2 cuentan con un plazo de reversión de siete días](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2025-07-15) El comunicado publicado por Valve anuncia la anulación de los intercambios de objetos de Counter-Strike realizados durante los siete días anteriores. Aunque está pensado para mitigar el secuestro de cuentas, las auditorías económicas realizadas por terceros ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)) registró un **$104M (-25%) collapse** en capitalización bursátil en unas hor24es debido a una interrupción en la negociación al contado. Según el análisis realizado por [Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/), al activar una reversión, se aplica automáticamente un bloqueo de operaciones intradía 30-en la cuenta. En verano, 2026, Valve pasó de los reinicios globales a medianoche (UTC) a temporizadores individuales por artículo, con una duración de un minuto ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). [Valve — 15, 2025, anuncio de julio](https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000) · [Análisis de CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) Entrada original y enlace enviado Protección comercial de CS2 / Ventana de reversión [Revisa el código fuente enviado ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2025 05-14Fecha de verificación Autenticación Evento y fecha confirmados ## [Valve publica una advertencia sobre la seguridad de las cuentas en relación con las filtraciones de SMS](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2025-05-14) El comunicado oficial de Valve del 14, 2025, aborda la seguridad de las cuentas y los autenticadores basados en SMS. Aunque el comunicado se centra en las filtraciones de SMS y confirma que no se ha producido ninguna brecha en los sistemas de Steam, sirve como actualización oficial de seguridad en la fecha de publicación. [Valve — Una nota sobre la seguridad de tu cuenta de Steam](https://store.steampowered.com/news/posts/?enddate=1747349559) Entrada original y enlace enviado Anuncio sobre la seguridad de la cuenta [Revisa el código fuente enviado ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) 2024 10-02Fecha de verificación Operaciones bursátiles Evento y fecha confirmados ## [Siete días antes de volver a poner a la venta o volver a comercializar](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2024-10-02) Las notas de la actualización abarcan los artículos adquiridos a través de la tienda del juego, incluyendo la Armería, las ofertas de intercambio y el Mercado de la Comunidad. El alcance descrito es más amplio que el de los artículos de la Armería por sí solos. [Valve — Notas de la versión de «10/2/2024»](https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements) Entrada original y enlace enviado CS2: The Armory / 7-Día de retención [Revisa el código fuente enviado ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) 2024 09-18Fecha de presentación Operaciones bursátiles Verificado parcialmente ## [Restricciones para nuevos dispositivos verificadas en las páginas de ayuda](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2024-09-18) La documentación oficial de soporte de Steam confirma una restricción de operaciones intradía 7-al iniciar sesión desde un nuevo dispositivo que no haya sido autorizado durante al menos 7 días. Aunque la fecha exacta de implementación de septiembre 18, 2024, no figura como hito en el registro de cambios, la funcionalidad está plenamente documentada. [Steam Asistencia — Restricciones comerciales y de mercado](https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E) Entrada original y enlace enviado Restricción comercial para el inicio de sesión en un nuevo dispositivo [Revisa el código fuente enviado ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2024 02-14Fecha de presentación Comunidad Verificado parcialmente ## [Se ha implementado el tiempo de espera para el cambio de nombre en 2024](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2024-02-14) Los registros de la comunidad y de los desarrolladores confirman que, a principios de 2024,, Valve introdujo, sin previo aviso, 2-un tiempo de espera de4 horas inmediatamente después de un cambio de nombre de perfil, con el fin de mitigar las estafas por suplantación de identidad. Dado que Valve no publicó ningún comunicado de prensa oficial, registro de cambios del cliente ni artículo de soporte técnico sobre esta restricción, la fecha de febrero 14 que se ha facilitado carece de verificación formal; la guía de Steam Workshop sirve como corroboración indirecta de la comunidad, más que como documentación oficial Valve. [Steam Guía del taller (corroboración indirecta) — Detalles sobre la restricción al cambio de nombre](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) Entrada original y enlace enviado Suspensión del cambio de nombre de perfil o avatar [Revisa el código fuente enviado ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 2023 12-04Fecha de verificación API Evento y fecha confirmados ## [La creación de la clave requiere una confirmación a través del móvil](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2023-12-04) Se ha comprobado que la introducción de la confirmación móvil obligatoria de Steam Guard para la creación de claves en la web API tuvo lugar a finales de 2023,, tal y como lo documentan las bibliotecas de desarrolladores de terceros. La fecha exacta de diciembre 4, 2023, corresponde al periodo de implantación observado en la comunidad de desarrolladores. [Documentación para administradores — 2024 de marzo](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [archivado en 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) Entrada original y enlace enviado Confirmación a través del móvil para las claves de API [Revisa el código fuente enviado ↗](https://steamcommunity.com/dev/apikey) 2023 10-24Fecha de verificación Desarrollador Evento y fecha confirmados ## [Entra en vigor la solicitud de autorización (FA) obligatoria de 2para la publicación de las versiones del juego](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2023-10-24) El anuncio oficial de Valve sobre Steamworks, publicado el 10, de octubre en 2023,, confirma que, a partir del 24, de octubre en 2023,, cualquier cuenta que publique una versión en la rama predeterminada de una aplicación ya lanzada deberá autorizar el cambio mediante SMS o a través de la aplicación móvil Steam. Este cambio se ha reflejado directamente en la página web SetAppBuildLive API. [Steamworks: mejoras de seguridad para la gestión de compilaciones y usuarios](https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) [archivado en 2025-12-03 ↗](https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) Entrada original y enlace enviado Autenticación multifactorial (MFA) por SMS para la publicación de versiones de videojuegos [Revisa el código fuente enviado ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) 2023 07-12Fecha de presentación Comunidad Verificado parcialmente ## [Advertencias sobre el contenido de las biografías personalizadas señaladas por la comunidad](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2023-07-12) Steam Los informes de la comunidad, que se remontan a julio 2023, indican que las biografías de los perfiles personalizados que contenían enlaces externos o palabras clave comenzaron a mostrar advertencias automáticas sobre el contenido. La fecha de envío, 12, 2023,, coincide con la primera oleada de informes de los usuarios en los foros de la comunidad de Steam. [Steam Foro de la comunidad — Informes sobre advertencias de contenido biográfico](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) Entrada original y enlace enviado Advertencia sobre el contenido de la biografía personalizada [Revisa el código fuente enviado ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 2023 01-25Fecha de presentación Comunidad Verificado parcialmente ## [Filtrado de enlaces de perfil y tiempos de espera para la edición activos](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2023-01-25) La documentación oficial de soporte de Steam confirma que los enlaces de las biografías personalizadas se filtran y que los cambios abusivos de nombre o avatar pueden dar lugar a prohibiciones de edición. Si bien la implementación exacta del periodo de espera de una hora 4-el 1 de enero 25, 2023, marca el inicio observado, el mecanismo de filtrado de enlaces en sí mismo está plenamente activo, tal y como se indica en la página de ayuda facilitada. [Steam Asistencia técnica — Restricciones sobre el nombre de perfil y el avatar](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) Entrada original y enlace enviado Perfil ENLACE ELIMINADO / Tiempo de espera [Revisa el código fuente enviado ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 2022 10-24Fecha de verificación Autenticación Evento y fecha confirmados ## [Steam Transición de los clientes a los tokens de actualización y de acceso de OAuth](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2022-10-24) Principales actualizaciones de Valve para clientes y aplicaciones móviles en octubre 2022 ha renovado por completo el sistema de autenticación de Steam. La antigua estructura de cookies de sesión se ha sustituido por tokens de acceso y de actualización basados en OAuth, y se ha introducido una lista de dispositivos autorizados activos para permitir la revocación manual de las sesiones activas. [Valve — Actualización de la aplicación móvil «Steam» y renovación del sistema de autenticación](https://store.steampowered.com/news/group/4/view/3314112260640237775) Entrada original y enlace enviado Steam Revisión del proceso de inicio de sesión / Truncamiento de cookies [Consulta el anuncio de «Valve» ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 10-12Fecha de verificación Autenticación Evento y fecha confirmados ## [Inicio de sesión mediante código QR y gestión de dispositivos autorizados](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2022-10-12) En el anuncio de Valve sobre «12» del mes de octubre se describen el inicio de sesión mediante código QR, la aprobación o denegación de inicios de sesión y una lista de dispositivos que pueden revocar el acceso a la cuenta. [Valve — Ya está disponible la versión actualizada de la aplicación móvil «Steam»](https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog) Entrada original y enlace enviado Steam Aplicación móvil 3.0 / Inicio de sesión mediante código QR [Revisa el código fuente enviado ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 05-10Fecha de presentación API Verificado parcialmente ## [Se han eliminado los puntos finales de cancelación de operaciones de la lista pública API](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2022-05-10) Los registros de los desarrolladores confirman que, en mayo de 2022, Valve, se eliminaron de forma silenciosa los puntos finales de gestión de intercambios, como IEconService/CancelTradeOffer y DeclineTradeOffer, del sitio web API (documentado en node-steam-tradeoffer-manager #325). Aunque los métodos siguen funcionando en los protocolos de cliente privados, la fecha del 10, 2022, marca su retirada efectiva de las API web públicas para combatir los paneles fraudulentos. [Debate de desarrolladores — Tema n.º325 (se ha eliminado «CancelTradeOffer»)](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) · [Sitio web de Steamworks API — Documentación de IEconService](https://partner.steamgames.com/doc/webapi/IEconService) Entrada original y enlace enviado Eliminación de los puntos finales de cancelación de operaciones [Consultar el problema n.º325 de node-steam-tradeoffer-manager ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) 2020 05-25Fecha de verificación Operaciones bursátiles Evento y fecha confirmados ## [Los objetos de «2» de Dota tienen un tiempo de espera de siete días para su intercambio](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2020-05-25) El 25, de mayo, 2020,, coincidiendo con el lanzamiento del Pase de Batalla de The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve implementó un bloqueo de intercambio de un día 7-para los objetos de Dota 2, en consonancia con la política de 2018 para Counter-Strike. Esta restricción se aplica a todos los objetos intercambiados y a las compras realizadas en el Mercado. [Comunidad de Dota 2: bloqueo de intercambios y actualización del cliente de TI10](https://steamcommunity.com/app/570/announcements/) Entrada original y enlace enviado Dota 2 / 7-Bloqueo de operaciones intradía [Revisa el código fuente enviado ↗](https://blog.dota2.com/2020/05/trading-cooldown/) 2018 03-29Fecha de verificación Operaciones bursátiles Evento y fecha confirmados ## [Los objetos de CS:GO intercambiados tienen un periodo de espera de siete días.](https://phishdestroy.io/steam_dossier/es/security_timeline#event-2018-03-29) Las notas oficiales de la versión confirman la fecha y la restricción. La URL facilitada redirigía a una actualización de mapas de 2013; la URL correspondiente a las notas de la versión termina en 20309. [Valve — Notas de la versión de «3/29/2018»](https://blog.counter-strike.net/2018/03/20309/) Entrada original y enlace enviado CS:GO / Bloqueo de operaciones intradía de «7-» [Revisa el código fuente enviado ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [archivado en 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) ### No se han encontrado resultados. Prueba con otra frase o desactiva los filtros. Sigue las pistas. Comprueba la fuente. [Volver a la investigación ↗](https://phishdestroy.io/steam_dossier/es/#vulnerability-profile)