安全时间线——2018 至 2026

群聊中的可疑消息警告

一份官方测试版公告证实，该功能将于31年8月上线。所提供的1年9月稳定版发布日期仍需具体的发布说明。

发布者密钥的精细化权限控制与 IP 白名单功能（Valve 公告）

16年1月2026,日，Valve发布了一则关于Steamworks的官方公告（“新功能：针对 Web API 密钥的更完善的权限和控制”) 证实了新的精细化权限管理工具，允许开发者将 Web API 密钥划分为独立的组（概述、微交易、经济系统及销售数据)，将密钥限制在特定的 App ID 范围内，并强制执行服务器 IP 白名单机制。

赤裸裸的双重标准： 本官方公告确认，Valve 已全面开发了用于精细化 API 权限设置和 IP 限制的技术基础设施，但 故意不向普通用户账户提供这些功能（steamcommunity.com/dev/apikey). 普通用户API密钥仍然是单一的、非此即彼的凭证，且不支持IP白名单——而正是这一技术上的疏漏，催生了价值数百万美元的API交易拦截产业。

CS2交易获得七天反转窗口

Valve 发布的公告中提到，将撤销过去七天内的《反恐精英》道具交易。虽然此举旨在遏制账户劫持行为，但第三方经济审计（CSMarketCap ↗) 记录了 $104M (-25%) collapse 由于现金交易中断，24小时内市值出现波动。据分析显示， Skinvault ↗，触发反向操作将导致该账户自动被30-日间交易禁令锁定。今年夏天，2026, Valve 将重置机制从全球统一的UTC午夜重置，改为针对每项操作的独立分钟计时器（Skin.land ↗).

Valve 发布关于短信泄露的账户安全警告

Valve 于 5 月 14, 发布的官方公告 2025, 涉及账户安全及基于短信的身份验证器。尽管该公告主要关注短信泄露问题，并确认 Steam 系统未遭入侵，但它作为截至发布日期的官方安全更新具有重要意义。

再次交易或再次销售前的七天

此版本说明涵盖了通过游戏内商店获得的物品，包括军械库、交易要约和社区市场。其涵盖范围不仅限于军械库中的物品。

已在“帮助页面”上验证了新设备限制

Steam 的官方支持文档证实，当从一台至少 7 天未获授权的新设备登录时，7-会实施日内交易限制。虽然 9 月 18, 2024, 的确切上线日期并未作为变更日志中的里程碑记录，但该功能已在文档中进行了完整说明。

在2024中实现了改名交易冷却时间

社区和开发者记录证实，2024,年初，Valve在用户更改个人资料名称后，立即引入了一项未经预告的2-至4小时交易冷却期，以遏制快速冒充诈骗行为。由于Valve未就该限制发布任何官方新闻稿、客户端更新日志或支持文章，因此提交的2月14这一日期缺乏正式验证；Steam Workshop指南仅作为社区的间接佐证，而非官方Valve文档。

生成密钥需要手机验证

根据第三方开发者库的记录，已证实Web API 密钥生成过程中强制使用Steam Guard移动端确认功能是在2023,晚些时候推出的。开发者社区观察到的具体推出时间段为12月4, 2023,。

关于设置正式服游戏版本的强制性2FA现已生效

Valve 于 10 月 10, 发布的官方 Steamworks 公告 2023, 确认，自 10 月 24, 起 2023,，任何在已发布应用程序的默认分支上将构建版本设为上线状态的账户，都必须通过短信或 Steam 移动应用授权该更改。此变更已直接更新了 SetAppBuildLive Web API。

社区观察到的自定义个人简介内容警告

Steam 从7月开始，社区报告（2023）显示，包含外部链接或触发词的自定义个人简介开始显示自动生成的内容警告。提交日期为7月12,（2023,），这与Steam社区论坛上用户报告的最初一波时间相吻合。

个人资料链接过滤和编辑的冷却时间已生效

Steam的官方支持文档证实，自定义简介中的链接会受到过滤，而滥用名称或头像的行为可能会触发编辑禁令。虽然4-上1月25, 2023,实施的1小时冷却期标志着该功能的正式启用，但根据提交的帮助页面显示，链接过滤机制本身早已全面生效。

Steam 客户端向 OAuth 刷新令牌和访问令牌的过渡

Valve 10月份的主要客户端和移动应用更新 2022 对 Steam 的身份验证系统进行了全面改造。旧的会话 Cookie 结构已被基于 OAuth 的访问令牌和刷新令牌所取代，并引入了“活跃授权设备”列表，以便手动撤销活跃会话。

二维码签到和授权设备管理

Valve 在 10 月发布的《12》公告中介绍了二维码签到、签到审批或拒绝，以及可用于撤销账户访问权限的设备列表。

已从公开的 API 列表中移除交易取消端点

开发者记录证实，5月 2022, Valve 已悄然从 Web API 中移除了 IEconService/CancelTradeOffer 和 DeclineTradeOffer 等交易管理端点（详见 node-steam-tradeoffer-manager #325）。 尽管这些方法在私有客户端协议中仍可正常使用，但5月10, 2022,这一日期标志着它们已从公共Web API中正式移除，此举旨在打击诈骗面板。

《Dota》2中的道具将设有7天的交易冷却期

5月25,，2020, 配合《国际邀请赛》10 战斗通行证的发布（blog.dota2.com/2020/05/the-international-10-battle-pass/），Valve 对《Dota》2 物品实施了7-天的交易锁定，该政策与2018《反恐精英》的政策保持一致。此限制适用于所有交易物品及市场购买的物品。

交易过的《CS:GO》道具将进入为期七天的冷却期

官方发布说明确认了日期和限制条件。提供的网址重定向到了一个 2013 的地图更新页面；对应的发布说明网址以 20309. 结尾。