Cronologia della sicurezza — Da 2018 a 2026

Avvisi relativi a messaggi sospetti nelle chat di gruppo

Un annuncio ufficiale relativo alla versione beta conferma la disponibilità della funzionalità su 31 nel mese di agosto. La data di rilascio della versione stabile indicata su 1 per il mese di settembre necessita ancora di note di rilascio specifiche.

Autorizzazioni granulari e whitelist IP per le chiavi degli editori (annuncio su Valve)

Il 16 gennaio 2026, Valve ha pubblicato un annuncio ufficiale su Steamworks ("NOVITÀ: autorizzazioni e controlli migliorati per le chiavi di "API" sul Web") che confermano l'introduzione di nuovi strumenti per la gestione granulare delle autorizzazioni, che consentono agli sviluppatori di suddividere le chiavi di "API" del Web in gruppi distinti (Dati generali, microtransazioni, economia e vendite), limitare le chiavi a specifici ID app e applicare una lista bianca degli indirizzi IP dei server.

Il palese doppio standard: Il presente comunicato ufficiale conferma che Valve ha completato lo sviluppo dell'infrastruttura tecnica necessaria per la gestione granulare delle autorizzazioni relative a API e delle restrizioni IP, ma le nasconde deliberatamente agli account utente standard (steamcommunity.com/dev/apikey). Le chiavi "API" utilizzate abitualmente dagli utenti rimangono credenziali monolitiche, del tipo "tutto o niente", prive di whitelist IP: ed è proprio questa omissione tecnica a rendere possibile l'esistenza di un settore da svariati milioni di dollari dedicato all'intercettazione delle transazioni "API".

Le operazioni su CS2 beneficiano di una finestra di inversione di sette giorni

L'annuncio pubblicato da Valve introduce l'annullamento degli scambi di oggetti di Counter-Strike effettuati nei sette giorni precedenti. Sebbene sia stato concepito per mitigare il fenomeno dell'hijacking, le verifiche economiche condotte da terze parti (CSMarketCap ↗) ha registrato un $104M (-25%) collapse in termini di capitalizzazione di mercato nell’arco di 24 ore a causa di un’interruzione delle negoziazioni in contanti. Come analizzato da Skinvault ↗, l'attivazione di un'inversione comporta un blocco automatico del day trading 30-sul conto. In estate 2026, Valve è passato dal reset globale a mezzanotte UTC a timer individuali di un minuto per ogni voce (Skin.land ↗).

Valve pubblica un avviso sulla sicurezza degli account in merito alla fuga di dati tramite SMS

L'annuncio ufficiale di Valve del 14, 2025, riguarda la sicurezza degli account e gli autenticatori basati su SMS. Sebbene la comunicazione si concentri sulle fughe di dati tramite SMS e confermi che nessun sistema di Steam sia stato violato, essa costituisce un aggiornamento ufficiale sulla sicurezza alla data di pubblicazione.

Sette giorni prima della rivendita o della ricommercializzazione

Le note di rilascio riguardano gli oggetti acquistati tramite il negozio in-game, tra cui l’Armeria, le offerte di scambio e il Mercato della community. L’ambito trattato è più ampio rispetto ai soli oggetti dell’Armeria.

Restrizioni relative ai nuovi dispositivi verificate nelle pagine della guida

La documentazione ufficiale di supporto di Steam conferma una restrizione relativa al day trading 7-quando si effettua l'accesso da un nuovo dispositivo che non è stato autorizzato da almeno 7 giorni. Sebbene la data esatta di implementazione, 18, 2024,, non sia riportata come milestone nel changelog, la funzionalità è documentata in modo completo.

Implementato il tempo di attesa per il cambio di nome in 2024

I registri della community e degli sviluppatori confermano che all’inizio del 2024, Valve è stato introdotto, senza preavviso, un periodo di attesa di 2-to-4 ora subito dopo la modifica del nome del profilo, al fine di mitigare le truffe basate sull’usurpazione rapida dell’identità. Poiché Valve non ha pubblicato alcun comunicato stampa ufficiale, log delle modifiche del client o articolo di supporto relativo a questa restrizione, la data indicata nel 14 di febbraio non è stata verificata formalmente; la guida del Steam Workshop funge da conferma indiretta da parte della community piuttosto che da documentazione ufficiale Valve.

La generazione della chiave richiede una conferma tramite dispositivo mobile

È stato accertato che l'introduzione della conferma obbligatoria tramite l'app mobile "Steam Guard" per la creazione delle chiavi Web API è avvenuta alla fine di 2023,, come documentato dalle librerie di sviluppatori di terze parti. La data esatta del 4, 2023, rappresenta il periodo di implementazione osservato all'interno della comunità degli sviluppatori.

Entra in vigore l'obbligo per la FA (2) di definire le formazioni in tempo reale durante le partite

L'annuncio ufficiale di Valve su Steamworks del 10, 2023, conferma che, a partire dal 24, 2023,, qualsiasi account che pubblichi una build sul ramo predefinito di un'applicazione già rilasciata dovrà autorizzare la modifica tramite SMS o tramite l'app mobile Steam. Questa modifica ha aggiornato direttamente la pagina web SetAppBuildLive API.

Avvisi relativi ai contenuti delle biografie personalizzate segnalati dalla comunità

Steam Le segnalazioni della community a partire da luglio 2023 documentano che le biografie dei profili personalizzati contenenti link esterni o parole chiave hanno iniziato a visualizzare avvisi automatici sui contenuti. La data di invio del 7 luglio 12, 2023, coincide con la prima ondata di segnalazioni degli utenti sui forum della community Steam.

Filtraggio dei link ai profili e tempi di attesa per la modifica attivi

La documentazione ufficiale di supporto di Steam conferma che i link presenti nelle biografie personalizzate vengono filtrati e che modifiche abusive al nome o all’avatar possono comportare il divieto di modifica. Sebbene l’introduzione effettiva del periodo di attesa di un’4-, avvenuta il 1° gennaio 25, 2023,, rappresenti l’inizio effettivo di questa misura, il meccanismo di filtraggio dei link è già pienamente attivo, come indicato nella pagina di aiuto pubblicata.

Steam Transizione dei clienti ai token di aggiornamento e di accesso OAuth

Principali aggiornamenti di Valve relativi ai client e alle app mobili nel mese di ottobre 2022 ha rinnovato il sistema di autenticazione Steam. La vecchia struttura basata sui cookie di sessione è stata sostituita da token di accesso e di aggiornamento basati su OAuth ed è stato introdotto un elenco dei dispositivi autorizzati attivi per consentire la revoca manuale delle sessioni attive.

Accesso tramite codice QR e gestione dei dispositivi autorizzati

L'annuncio di Valve del 1° ottobre, intitolato "12", descrive la procedura di accesso tramite codice QR, l'approvazione o il rifiuto degli accessi e un elenco di dispositivi in grado di revocare l'accesso all'account.

Gli endpoint relativi all'annullamento delle transazioni sono stati rimossi dall'elenco pubblico API

I registri degli sviluppatori confermano che a maggio 2022, Valve sono stati silenziosamente rimossi gli endpoint di gestione delle transazioni, quali IEconService/CancelTradeOffer e DeclineTradeOffer, dal Web API (come documentato in node-steam-tradeoffer-manager #325). Sebbene tali metodi rimangano funzionanti nei protocolli client privati, la data del 10, 2022, indica la loro effettiva rimozione dalle API Web pubbliche al fine di contrastare i pannelli truffaldini.

Gli oggetti di Dota2s sono soggetti a un periodo di attesa di sette giorni prima di poter essere scambiati

Il 25, 2020,, in concomitanza con il lancio del Battle Pass dell’International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve ha introdotto un blocco di 7-giorni sugli scambi degli oggetti di Dota 2, in linea con la politica di 2018 relativa a Counter-Strike. Questa restrizione si applica a tutti gli oggetti scambiati e agli acquisti effettuati sul Mercato.

Gli oggetti di CS:GO scambiati sono soggetti a un periodo di attesa di sette giorni

Le note di rilascio ufficiali confermano la data e la restrizione. L'URL fornito reindirizzava a un aggiornamento della mappa su 2013; l'URL corrispondente delle note di rilascio termina con 20309.