Cronologia de segurança — 2018 para 2026

Avisos sobre mensagens suspeitas nas conversas em grupo

Um aviso oficial sobre a versão beta confirma a disponibilização da funcionalidade em 31 de agosto. A data de lançamento da versão estável indicada em 1 de setembro ainda carece de notas de lançamento específicas.

Permissões granulares e lista de IPs autorizados para chaves de editor (anúncio do Valve)

No dia 16 de janeiro de 2026, Valve foi publicado um comunicado oficial sobre o Steamworks ("NOVIDADE: Melhores permissões e controlos para as chaves de «API» na Web") que confirmam a existência de novas ferramentas de permissão granular que permitem aos programadores segmentar as chaves do WebAPI em grupos distintos (Dados gerais, microtransações, economia e vendas), restringir as chaves a IDs de aplicação específicas e aplicar uma lista branca de IPs de servidor.

O flagrante duplo padrão: Este comunicado oficial confirma que o site Valve já desenvolveu na íntegra a infraestrutura técnica necessária para a gestão granular de permissões API e restrições de IP, mas retém-nas deliberadamente das contas de utilizador normais (steamcommunity.com/dev/apikey). As chaves de «API» dos utilizadores normais continuam a ser credenciais monolíticas do tipo «tudo ou nada», sem lista de endereços IP autorizados — o que constitui precisamente a lacuna técnica que permite a existência da indústria multimilionária de interceção de transações «API».

As transações CS2 passam a dispor de um período de reversão de sete dias

O comunicado da Valve, datado de [data], anuncia a reversão das transações de itens do Counter-Strike realizadas nos sete dias anteriores. Embora tenha sido concebido para mitigar o «hijacking», as auditorias económicas realizadas por terceiros (CSMarketCap ↗) registou um $104M (-25%) collapse em capitalização bolsista no espaço de 24 horas, devido a uma perturbação nas transações à vista. Conforme analisado por Skinvault ↗, o facto de se desencadear uma reversão implica um bloqueio automático 30-para operações de day trading na conta. No verão 2026, Valve, passou-se de reinícios globais à meia-noite UTC para temporizadores individuais por item, com duração de um minuto (Skin.land ↗).

Valve publica um aviso de segurança sobre contas devido a fugas de SMS

O comunicado oficial da Valve, publicado em 5 de maio 14, 2025,, aborda a segurança das contas e os sistemas de autenticação por SMS. Embora o comunicado se centre nas fugas de SMS e confirme que nenhum sistema da Steam foi violado, constitui uma atualização oficial de segurança na data em que foi publicado.

Sete dias antes da revenda ou da nova comercialização

As notas de lançamento abrangem os itens adquiridos através da loja do jogo, incluindo o Arsenal, as ofertas de troca e o Mercado da Comunidade. O âmbito documentado é mais vasto do que apenas os itens do Arsenal.

Restrições relativas a novos dispositivos verificadas nas Páginas de Ajuda

A documentação oficial de suporte do Steam confirma uma restrição de day trading 7-ao iniciar sessão a partir de um novo dispositivo que não tenha sido autorizado há, pelo menos, 7 dias. Embora a data exata de implementação de 18, 2024, em setembro não conste como um marco no registo de alterações, a funcionalidade está totalmente documentada.

Foi implementado um período de espera para a troca de nome em 2024

Os registos da comunidade e dos programadores confirmam que, no início de 2024,, o Valve introduziu, sem aviso prévio, 2-um período de espera de4 horas para transações, imediatamente após uma alteração do nome de perfil, com o objetivo de mitigar esquemas de fraude por suplantação de identidade. Uma vez que Valve não publicou qualquer comunicado de imprensa oficial, registo de alterações do cliente ou artigo de apoio relativo a esta restrição, a data apresentada de 14, em fevereiro, carece de verificação formal; o guia do Steam Workshop serve como corroboração indireta da comunidade, em vez de documentação oficial Valve.

A criação da chave requer confirmação através do telemóvel

Verificou-se que a introdução da confirmação obrigatória através da aplicação móvel «Steam Guard» para a criação de chaves Web API ocorreu no final de 2023,, conforme documentado por bibliotecas de programadores de terceiros. A data exata de 4, 2023, representa o período de implementação observado na comunidade de programadores.

Entra em vigor a FA obrigatória 2para a definição de versões do jogo em tempo real

O anúncio oficial da Valve no Steamworks, publicado em 10 de outubro 10, 2023,, confirma que, a partir de 10 de outubro 24, 2023,, qualquer conta que coloque uma compilação em produção no ramo padrão de uma aplicação lançada terá de autorizar a alteração através de SMS ou da aplicação móvel Steam. Esta alteração atualizou diretamente a página Web SetAppBuildLive API.

Avisos de conteúdo personalizados nas biografias, observados pela comunidade

Steam Relatos da comunidade, a partir de julho 2023, indicam que as biografias dos perfis personalizados que continham links externos ou palavras-chave passaram a apresentar avisos de conteúdo automáticos. A data de envio de julho 12, 2023, coincide com a primeira onda de relatos dos utilizadores nos fóruns da comunidade Steam.

Os períodos de espera para a filtragem e edição de links de perfil estão ativos

A documentação oficial de apoio da Steam confirma que as ligações nas biografias personalizadas são filtradas e que alterações abusivas de nome ou avatar podem desencadear proibições de edição. Embora a implementação exata do período de espera de uma hora 4-em 1 de janeiro 25, 2023, represente o início observado, o próprio mecanismo de filtragem de ligações está totalmente ativo, conforme indicado na página de ajuda disponibilizada.

Steam Transição do cliente para os tokens de atualização e de acesso do OAuth

Principais atualizações de clientes e aplicações móveis da Valve em outubro A 2022 reformulou o sistema de autenticação Steam. A antiga estrutura de cookies de sessão foi substituída por tokens de acesso e de atualização baseados em OAuth, tendo sido introduzida uma lista de dispositivos autorizados ativos para permitir a revogação manual de sessões ativas.

Início de sessão por QR e gestão de dispositivos autorizados

O anúncio de Valve sobre o «12», publicado em outubro, descreve o início de sessão através de código QR, a aprovação ou recusa de inícios de sessão e uma lista de dispositivos que permite revogar o acesso à conta.

Os pontos finais de cancelamento de transações foram removidos da lista pública API

Os registos dos programadores confirmam que, em maio de 2022, Valve, foram silenciosamente removidos pontos de extremidade de gestão de transações, tais como IEconService/CancelTradeOffer e DeclineTradeOffer, do Web API (documentado em node-steam-tradeoffer-manager #325). Embora os métodos continuem a funcionar nos protocolos privados do cliente, a data de 10, 2022, representa a sua remoção efetiva das APIs Web públicas, com o objetivo de combater os painéis fraudulentos.

Os itens do Dota2 passam a ter um período de espera de sete dias para a troca

Em maio de 25, 2020,, a par do lançamento do Passe de Batalha do The International 10 (blog.dota2.com/2020/05/the-international-10-battle-pass/), Valve implementou um bloqueio de trocas de um dia 7-para os itens do Dota 2, em consonância com a política do 2018 para o Counter-Strike. Esta restrição aplica-se a todos os itens trocados e às compras no Mercado.

Os itens do CS:GO trocados ficam sujeitos a um período de espera de sete dias

As notas oficiais de lançamento confirmam a data e a restrição. O URL fornecido redirecionava para uma atualização do mapa em 2013; o URL correspondente das notas de lançamento termina em 20309.