La plataforma Steam de Valve no és només la plataforma de distribució digital per a jocs de PC més destacada del món; també sustenta una economia virtual multimilionària impulsada per objectes cosmètics intercanviables a Counter-Strike 2 (CS2), Dota 2 i Team Fortress 2. Com que els inventaris virtuals representen actius líquids i bescanviables, els comptes d'usuari de Steam són atacats sistemàticament per xarxes de farciment de credencials automatitzat i pesca de credencials (phishing). L'autenticador mòbil Steam Guard és tant la vostra caixa forta biomètrica principal com la porta d'accés indispensable a l'intercanvi entre usuaris sense temps d'espera.
Assignació personalitzada de Base32 que exclou vocals i glifs ambigus, sincronitzat en el temps amb els servidors de Valve.
Ha d'estar actiu durant 7 dies consecutius (168 h) per desbloquejar l'intercanvi instantani i evitar les retencions d'escrow de 15 dies.
Es mostra una sola vegada durant el registre. Garanteix la desvinculació immediata de l'autenticador si es perd el maquinari.
Arquitectura de Steam Guard: Per què 5 caràcters alfanumèrics?
Els usuaris acostumats als testimonis decimals de 6 dígits de Google Authenticator o de clauers bancaris físics sovint es desconcerten davant del format dels codis de Steam. Steam Guard mostra codis com ara K8MN2 o R7WXY. Per què es va desviar Valve de la sortida decimal estàndard de l'RFC 6238?
1. Assignació propietària de 26 caràcters i desambiguació de glifs
L'estàndard RFC 6238 obté un testimoni de 6 dígits calculant un enter de 31 bits a partir del resum HMAC-SHA1 i calculant mod 10^6. Els enginyers de Valve van establir una estructura d'assignació alternativa que utilitza un alfabet de 26 caràcters:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Aquesta assignació reflecteix una notable enginyeria de seguretat enfocada al factor humà. En eliminar caràcters visualment ambigus (com el dígit 0 respecte de la lletra O, o el dígit 1 respecte de les lletres I i L), els errors de transcripció es redueixen dràsticament. De manera fonamental, en excloure totes les vocals angleses (A, E, I, O, U), la cadena de 5 caràcters no pot formar accidentalment paraules ofensives en anglès a la pantalla.
2. Sincronització horària en temps real mitjançant ITwoFactorService
Els autenticadors TOTP tradicionals depenen exclusivament del rellotge del sistema operatiu del telèfon mòbil del client. Una desviació de 30 segons provoca testimonis invàlids. Valve soluciona això fent que l'aplicació mòbil de Steam consulti el punt final de marca horària del clúster de Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
El client mòbil calcula la desviació exacta respecte del clúster atòmic de Valve. Fins i tot si l'usuari endarrereix manualment el rellotge del telèfon dues hores, Steam Guard continua generant testimonis matemàticament vàlids.
| Mecanisme d'autenticació | Format del codi | Finestra | Compatibilitat amb TOTP de tercers | Exempció de retenció d'intercanvis (Escrow) |
|---|---|---|---|---|
| Autenticador mòbil Steam Guard | 5 caràcters alfanumèrics (M78KQ) | 30 segons | Propietari (requereix extreure shared_secret) | ✅ Instantani (després de 7 dies) |
| Validació per correu de Steam Guard | 5 caràcters alfanumèrics (per correu) | Dinàmica / Única | Incompatible | ❌ Retenció obligatòria de 15 dies |
| RFC 6238 estàndard (ex. 2FA-Tool) | 6 dígits decimals (123456) | 30 segons | Estàndard universal de la indústria | No aplicable a intercanvis de Steam |
Com eludir les retencions d'intercanvis de 15 dies (Política d'Escrow)
Abans de finals del 2015, milers d'usuaris de Steam veien com els seus inventaris virtuals eren buidats diàriament mitjançant pesca de credencials i programari maliciós. Com que els intercanvis eren immediats i irreversibles, els objectes robats canviaven de mans a través de xarxes de blanqueig en qüestió d'hores. Per desmantellar l'incentiu comercial del robatori de comptes, Valve va instituir les retencions d'intercanvis (Trade Holds / Escrow) i les retencions del mercat (Market Holds).
Mecànica d'activació i llindars d'Escrow:
- Intercanviar sense autenticador mòbil: Si l'usuari que fa l'intercanvi no té un autenticador mòbil actiu al compte, els objectes lliurats es retenen en custòdia (escrow) per Steam fins a 15 dies.
- Excepció per amics de llarga durada: Si el destinatari de l'intercanvi fa més d'1 any ininterromput que és a la vostra llista d'amics de Steam, la retenció es redueix a 1 dia.
- Llistats al Mercat de la Comunitat: Els anuncis creats sense confirmació mòbil es mantenen retinguts fins a 15 dies abans de fer-se visibles al Mercat de la Comunitat de Steam.
1. Ambdues parts de l'intercanvi han de tenir activat l'autenticador mòbil Steam Guard durant com a mínim 7 dies consecutius complets (168 hores).
2. L'emissor ha d'aprovar l'intercanvi sortint a la secció «Confirmacions» de la seva aplicació mòbil de Steam.
3. Cap de les dues parts no ha d'haver restablert la contrasenya ni desvinculat l'autenticador durant els 7 dies anteriors.
Confirmacions mòbils i defensa contra estafes de claus d'API
Fins i tot amb Steam Guard activat, els jugadors cauen freqüentment en la coneguda estafa de la clau d'API de Steam (intercepció d'intercanvis per phishing). Comprendre aquest vector d'atac és fonamental per als comerciants de skins.
Cronologia d'execució de l'atac:
- Captura de credencials: La víctima visita una plataforma fraudulenta d'intercanvi de skins, torneigs o obertura de caixes i s'hi autentica mitjançant una finestra falsa d'«Inicia sessió a través de Steam».
- Aprovisionament silenciós de la clau Web API: Utilitzant les galetes de sessió obtingudes, el bot de l'atacant accedeix silenciosament a la consola de desenvolupadors de Steam (
steamcommunity.com/dev/apikey) i registra una clau d'API sota el domini de l'atacant. - Intercepció automatitzada de l'oferta d'intercanvi: Dies després, la víctima envia una oferta d'intercanvi amb un ganivet de CS2 valorat en 1.000 $ a un bot d'intercanvi legítim o a un amic.
- Cancel·lació instantània i suplantació amb perfil clonat: El servidor de l'atacant, consultant la Web API de Steam cada 500 ms, detecta l'oferta pendent. Immediatament cancel·la l'intercanvi autèntic, copia l'avatar i el nom de perfil del destinatari, crea un perfil idèntic a Steam i envia una oferta idèntica a la víctima.
- Confirmació mòbil per descuit: La víctima obre la seva aplicació mòbil de Steam. En veure el mateix avatar i el ganivet, toca «Confirma l'intercanvi» sense comprovar la data de creació del compte ni el nivell de Steam del destinatari. L'objecte es transfereix directament a l'inventari de l'atacant.
- Auditeu la pàgina de la clau d'API: Aneu a
https://steamcommunity.com/dev/apikey. Si no sou desenvolupador i hi ha una clau activa, revoqueu-la immediatament i canvieu la contrasenya de Steam. - Inspeccioneu l'antiguitat del compte al mòbil: En confirmar un intercanvi a l'aplicació de Steam, reviseu detingudament les dades del destinatari. Steam mostra l'any exacte de registre (per exemple, «Membre des del 2017»). Si un intercanvi destinat a un amic de tota la vida diu «Membre des d'avui», cancel·leu-lo immediatament.
- Restabliu l'URL d'intercanvi: A la configuració de privadesa del vostre inventari, genereu un nou URL d'ofertes d'intercanvi per invalidar els enllaços filtrats anteriorment.
Anatomia criptogràfica: Arquitectura dual de shared_secret vs identity_secret
Sota la interfície de l'aplicació mòbil de Valve, Steam Guard es basa en dues claus criptogràfiques discretes generades durant el registre i segellades a l'emmagatzematge local aïllat del telèfon:
- shared_secret: Una clau secreta codificada en Base64 utilitzada exclusivament per derivar els codis TOTP de 5 caràcters que es mostren a la pantalla per a l'inici de sessió al client d'escriptori i al navegador.
- identity_secret: Una clau criptogràfica independent que s'utilitza per signar digitalment testimonis HMAC-SHA1 enviats als punts finals de l'API de confirmacions mòbils de Valve (
/mobileconf/getlisti/mobileconf/ajaxop). Aquesta clau autoritza operacions irreversibles: aprovar intercanvis sortints i posar a la venda objectes de valor al Mercat de la Comunitat de Steam.
Molts comerciants d'objectes virtuals de gran volum recorren a eines d'escriptori de codi obert de tercers com Steam Desktop Authenticator (SDA) per automatitzar les confirmacions d'intercanvi. SDA extreu tant el shared_secret com l'identity_secret, desant-los en text net o en arxius de metadades JSON amb xifrat feble (.maFile) al sistema de fitxers local de Windows de l'usuari.
Aquest flux de treball destrueix l'axioma de seguretat bàsic de l'autenticació de dos factors: l'aïllament de maquinari fora de banda (Out-of-Band / OOB). Quan un troià de robatori d'informació (com ara RedLine, Lumma o Vidar) infecta un PC de jocs, rastreja específicament les unitats d'emmagatzematge de l'usuari a la recerca d'arxius .maFile. Un cop robats, l'atacant ni tan sols necessita accés físic al vostre telèfon; la seva xarxa automatitzada de bots carrega els vostres secrets, genera codis d'inici de sessió vàlids, cancel·la els vostres intercanvis reals i signa noves confirmacions mòbils per liquidar tot el vostre inventari en pocs minuts.
Revocació d'emergència: el poder suprem del codi R
Quan activeu l'autenticador mòbil Steam Guard, després de verificar el codi SMS del telèfon, l'aplicació mostra un codi que comença amb la lletra R seguida de 5 dígits (per exemple, R12345). Aquest és el vostre codi de revocació (Codi R / R-Code).
El poder i l'abast del codi R:
A diferència dels codis de recuperació de Google o Discord (que concedeixen sessions d'inici de sessió d'un sol ús), el codi R de Steam no serveix per iniciar sessió. La seva única funció arquitectònica és revocar i desvincular unilateralment l'autenticador mòbil del vostre compte.
Si us roben el telèfon, cau a l'aigua o el perdeu a l'estranger on la vostra targeta SIM no té itinerància (roaming), podeu obrir qualsevol navegador d'escriptori, fer clic a «No puc accedir als meus codis de l'autenticador mòbil Steam Guard», introduir el vostre codi R i l'autenticador es desvincularà immediatament sense sol·licituds d'SMS ni aprovacions mòbils.
Desar una captura de pantalla del codi R a la galeria de fotos del telèfon intel·ligent anul·la el seu propòsit: si perdeu o se us trenca el telèfon, el codi R es perdrà amb ell. Anoteu-lo en un paper físic o en un gestor de contrasenyes xifrat (1Password, Bitwarden, KeePassXC).
Canvi de telèfon: migració pas a pas sense retencions comercials
Sempre que els jugadors canvien d'iPhone o de dispositiu Android, molts cometen l'error de desactivar primer l'autenticador al telèfon antic, provocant una sanció de 15 dies de retenció d'intercanvis (escrow). Seguiu en lloc d'això el procés oficial de migració transparent de Valve:
NO elimineu l'autenticador del telèfon antic
Deixeu el dispositiu antic intacte. L'eliminació manual rebaixa la protecció del compte a Steam Guard per correu electrònic, aplicant immediatament un bloqueig comercial obligatori.
Instal·leu l'aplicació de Steam al telèfon nou
Baixeu l'aplicació oficial de Steam des de l'App Store d'Apple o de Google Play Store. Obriu l'aplicació i introduïu el vostre nom d'usuari i contrasenya.
Seleccioneu «Trasllada l'autenticador a aquest dispositiu»
Quan se us demani el codi actual de Steam Guard, toqueu «Ajuda, ja no tinc accés als meus codis de l'autenticador mòbil Steam Guard». Tot seguit, seleccioneu «Trasllada l'autenticador a aquest dispositiu».
Confirmeu mitjançant el codi de verificació per SMS
Steam enviarà un codi de verificació de 6 dígits per SMS al vostre número de telèfon registrat. Introduïu aquest codi al telèfon nou. Valve transferirà les claus criptogràfiques al vostre nou dispositiu i desautoritzarà el telèfon antic.
✅ Aquest flux de migració redueix al mínim el període de refredament comercial (normalment una breu retenció de 2 dies en lloc de la penalització completa de 15 dies d'escrow).
Pla de recuperació davant desastres en tres nivells
Nivell 1: Telèfon perdut, però es manté el número de telèfon
Sol·liciteu un duplicat de la targeta SIM al vostre operador de telefonia. En un navegador d'ordinador, inicieu la sessió a Steam, trieu «No tinc accés al meu autenticador» i seleccioneu la recuperació per SMS. Introduïu el codi per desvincular el dispositiu antic o configurar-ne un de nou.
Nivell 2: Telèfon i número de telèfon perduts, però es disposa del codi R
Aneu a help.steampowered.com -> «Ajuda, no puc iniciar sessió» -> «He esborrat o he perdut el meu autenticador mòbil Steam Guard» -> «Ja no tinc accés a aquest número de telèfon». Introduïu el vostre codi R##### desat. Steam cancel·larà la vinculació de l'autenticador immediatament.
Nivell 3: Pèrdua total (sense telèfon, sense número i sense codi R) — Prova de propietat
Envieu un tiquet manual al servei d'atenció al client de Valve. Haureu d'aportar una prova de propietat del compte legalment vàlida:
- Claus de CD de jocs físics: Fotografies clares de les caixes físiques dels jocs on es vegi l'adhesiu de la clau de CD juntament amb el número de referència del tiquet de suport escrit a mà.
- Verificació de la targeta de crèdit: Nom a la targeta, adreça de facturació, entitat emissora i els darrers 4 dígits de la targeta utilitzada per a les compres a Steam.
- Rebuts de pagaments de tercers: Identificadors de factura de PayPal o números de rebut de transaccions d'Alipay / WeChat vinculades a compres de Steam.
- Targetes físiques de la cartera de Steam (Steam Wallet): Fotografies de targetes físiques de la cartera de Steam sense rascar o ja bescanviades.
🛡️ Triatge posterior al compromís: Protocol de resposta a incidents en 6 passos
Si detecteu activitat sospitosa al compte, intercanvis anòmals o sospiteu que les vostres credencials han estat capturades, executeu immediatament aquesta llista de contenció d'incidents crítica:
- Forceu la renovació de la contrasenya: Canvieu la contrasenya mestra de Steam immediatament des d'un dispositiu secundari net i segur o des del telèfon intel·ligent. El canvi de la contrasenya mestra tanca immediatament els testimonis de sessió actius al navegador.
- Desautoritzeu tots els dispositius actius: Aneu a Detalls del compte de Steam -> Gestiona Steam Guard -> feu clic a «Desautoritza tots els altres dispositius». Això purga les galetes de sessió actives a totes les instal·lacions d'escriptori i aplicacions mòbils.
- Revoqueu la clau Web API compromesa: Aneu a
steamcommunity.com/dev/apikeyi feu clic a «Revoca la meva clau de la Steam Web API» per tallar les connexions dels bots atacants. - Regenereu l'URL d'ofertes d'intercanvi: A la configuració de privadesa d'ofertes d'intercanvi del vostre inventari, genereu un nou URL d'ofertes d'intercanvi per bloquejar qualsevol seguiment d'eines de rastreig automatitzades.
- Activeu la protecció del Mode Familiar (Family View): Configureu un PIN de 4 dígits per al Mode Familiar que cobreixi l'accés a l'inventari i als intercanvis. Encara que un atacant torni a aconseguir una galeta de sessió web, no podrà veure ni comerciar amb objectes sense resoldre el repte del PIN.
- Feu una neteja completa de l'equip amfitrió: Executeu una anàlisi de programari maliciós fora de línia amb Windows Defender o Malwarebytes per eliminar qualsevol càrrega d'infostealers abans de tornar a obrir Steam al vostre PC de jocs principal.
Preguntes freqüents (FAQ)
Puc utilitzar un programari d'escriptori (com SDA - Steam Desktop Authenticator) en comptes d'un telèfon? ▼
Tot i que les eines de codi obert de tercers com SDA poden extreure el vostre secret de Steam i automatitzar les confirmacions d'intercanvi, executar un autenticador al mateix PC utilitzat per jugar i navegar per Internet destrueix el límit de seguretat fonamental «fora de banda» (Out-of-Band). Si la vostra estació de treball s'infecta amb un troià que roba informació, els atacants capturaran el fitxer de base de dades d'SDA i buidaran el vostre inventari en pocs segons. L'ús d'un telèfon mòbil físic dedicat continua sent la referència indiscutible.
Per què els meus intercanvis estan restringits després de canviar la contrasenya de Steam? ▼
Per evitar que un atacant que desxifri o endevini la vostra contrasenya liquidi a l'instant el vostre inventari, Valve aplica un període de refredament comercial automàtic d'entre 2 i 7 dies després d'un restabliment de contrasenya. La restricció s'aixeca automàticament un cop venç el termini de seguretat.
El Mode Familiar (Family View) de Steam evita el segrest del compte? ▼
El Mode Familiar ofereix una excel·lent defensa en profunditat! En exigir un PIN secundari de 4 dígits per accedir a l'inventari, les ofertes d'intercanvi i la botiga, un atacant que aconsegueixi accés a la vostra sessió web activa no podrà iniciar intercanvis ni inspeccionar el vostre inventari sense superar primer el repte del PIN.
Genereu testimonis 2FA universals de forma segura
Voleu generar testimonis TOTP estàndard segons l'RFC 6238 per als vostres comptes de jocs, núvol i xarxes socials? Utilitzeu la calculadora de 2FA-Tool, 100% fora de línia i al costat del client.