Platforma Steam společnosti Valve není pouhým největším digitálním distribučním kanálem počítačových her na světě; je rovněž základem mnohamiliardové virtuální ekonomiky postavené na obchodovatelných kosmetických předmětech ve hrách Counter-Strike 2 (CS2), Dota 2 a Team Fortress 2. Vzhledem k tomu, že virtuální inventáře představují likvidní a snadno zpeněžitelná aktiva, jsou uživatelské účty Steamu systematicky napadány automatizovanými útoky i phishingovými skupinami. Steam Guard Mobile Authenticator je vaším primárním trezorem i nezbytnou podmínkou pro okamžité obchodování bez zpoždění.
Vlastní mapování Base32 s vyloučením samohlásek a snadno zaměnitelných znaků, synchronizované se servery Valve.
Musí být aktivní nepřetržitě 7 dní (168 hodin) pro odemknutí okamžitého obchodování a vyhnutí se 15dennímu zadržení.
Zobrazí se pouze jednou při registraci. Umožňuje okamžité odpojení autentizátoru při ztrátě zařízení.
Architektura Steam Guard: Proč 5 alfanumerických znaků?
Uživatelé zvyklí na 6místné číselné kódy z Google Authenticatoru nebo bankovních aplikací bývají formátem kódů Steamu překvapeni. Steam Guard zobrazuje kódy jako K8MN2 nebo R7WXY. Proč se Valve odchýlilo od standardního desítkového výstupu RFC 6238?
1. Vlastní 26znakové mapování a odstranění nejednoznačností
Standardní RFC 6238 odvozuje 6místný kód výpočtem 31bitového celého čísla z otisku HMAC-SHA1 a následnou operací mod 10^6. Inženýři z Valve naproti tomu zavedli alternativní mapování využívající 26znakovou abecedu:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Tato konstrukce představuje ukázkovou inženýrskou práci v oblasti ergonomie a bezpečnosti. Odstraněním vizuálně zaměnitelných znaků (jako číslice 0 a písmena O, nebo číslice 1 a písmen I a L) se dramaticky snížil počet chyb při opisování kódu. Klíčovým přínosem vynechání všech anglických samohlásek (A, E, I, O, U) je navíc jistota, že náhodně vygenerovaný 5znakový kód na displeji nikdy nevytvoří vulgární anglické slovo.
2. Synchronizace času v reálném čase přes ITwoFactorService
Tradiční TOTP aplikace spoléhají výhradně na systémové hodiny mobilního telefonu. Odchylka pouhých 30 sekund vede k neplatným kódům. Valve tento problém vyřešilo tím, že mobilní aplikace Steam se dotazuje na časový koncový bod klastru Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Klient v mobilu si spočítá přesný časový posun vůči atomovým hodinám Valve. I když si uživatel na telefonu ručně posune čas o dvě hodiny zpět, Steam Guard vygeneruje matematicky platný kód.
| Metoda autentizace | Formát kódu | Interval | Kompatibilita s TOTP třetích stran | Okamžité obchodování bez zpoždění |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 alfanumerických (M78KQ) | 30 sekund | Proprietární (vyžaduje extrakci shared_secret) | ✅ Okamžité (po 7 dnech) |
| Ověření Steam Guard e-mailem | 5 alfanumerických (přes e-mail) | Jednorázové / Dynamické | Nekompatibilní | ❌ Povinné 15denní zadržení |
| Běžný RFC 6238 (např. 2FA-Tool) | 6 desítkových číslic (123456) | 30 sekund | Univerzální průmyslový standard | Neaplikovatelné na obchody Steam |
Zamezení 15dennímu zadržení obchodů (Pravidla Trade Escrow)
Před koncem roku 2015 byly tisíce uživatelů denně připraveny o své herní inventáře prostřednictvím phishingu a malwaru. Protože obchody probíhaly okamžitě a byly nevratné, odcizené předměty končily v rukou překupníků během několika hodin. Aby Valve zničilo ekonomickou motivaci k těmto krádežím, zavedlo Zadržení obchodů (Trade Holds / Escrow) a Zadržení na komunitním trhu.
Podmínky a lhůty zadržení v úschově (Escrow):
- Obchodování bez mobilního autentizátoru: Pokud odesílající uživatel nemá na svém účtu aktivní mobilní autentizátor, předměty jsou zadrženy v úschově Steamu až na 15 dní.
- Výjimka pro dlouholeté přátele: Pokud máte příjemce v seznamu přátel nepřetržitě déle než 1 rok, doba zadržení se zkracuje na 1 den.
- Nabídky na Komunitním trhu: Položky vystavené k prodeji bez potvrzení v mobilu jsou pozastaveny v úschově až na 15 dní předtím, než se objeví na trhu.
1. Obě zúčastněné strany musí mít aktivní Steam Guard Mobile Authenticator nepřetržitě po dobu nejméně 7 celých dní (168 hodin).
2. Odesílatel musí transakci ručně potvrdit v sekci „Potvrzení“ ve své mobilní aplikaci Steam.
3. Ani jedna strana nesmí v uplynulých 7 dnech provést reset hesla nebo odebrání autentizátoru.
Mobilní potvrzení a obrana před podvody s API klíči
I s aktivním autentizátorem Steam Guard se hráči často stávají obětí známého podvodu s API klíčem (Steam API Key Scam). Pochopení tohoto vektoru útoku je pro každého obchodníka se skiny naprosto zásadní.
Průběh útoku krok za krokem:
- Získání přihlašovacích údajů: Oběť navštíví podvrženou burzu skinů, turnajový web nebo portál s otevíráním beden a přihlásí se přes falešné vyskakovací okno „Sign in through Steam“.
- Skrytá registrace webového API klíče: S využitím získaných přihlašovacích cookies robot útočníka navštíví vývojářskou konzoli Steamu (
steamcommunity.com/dev/apikey) a zaregistruje API klíč pod doménou útočníka. - Čekání na legitimní obchodní nabídku: O několik dní později posílá oběť legitimní nabídku s drahým nožem v hodnotě desítek tisíc korun svému kamarádovi nebo ověřenému obchodnímu robotovi.
- Okamžité zrušení a vytvoření klonu: Server útočníka, který každých 500 ms kontroluje Web API Steamu, zaznamená čekající nabídku. Originální nabídku okamžitě zruší, zkopíruje avatar a jméno příjemce, vytvoří identický falešný profil na Steamu a odešle oběti podvrženou nabídku.
- Neopatrné schválení na mobilu: Oběť otevře mobilní aplikaci Steam. Vidí známý obrázek profilu i svůj nůž a bez ověření detailů klepne na „Potvrdit obchod“. Předmět v tu chvíli putuje přímo do inventáře zloděje.
- Zkontrolujte svou stránku s API klíčem: Přejděte na
https://steamcommunity.com/dev/apikey. Pokud nejste vývojář a vidíte zde aktivní klíč, okamžitě jej odvolejte (Revoke) a změňte si heslo ke Steamu. - Kontrolujte stáří účtu příjemce na mobilu: Při potvrzování obchodu v aplikaci pozorně zkontrolujte detaily o partnerovi. Steam uvádí rok registrace (např. „Členem od roku 2017“). Pokud u kamaráda vidíte „Členem od dnešního dne“, obchod okamžitě zrušte.
- Resetujte svou Trade URL: V nastavení soukromí inventáře vygenerujte novou URL adresu pro obchodní nabídky, abyste zneplatnili dříve uniklé odkazy.
Kryptografická anatomie: Dvojí architektura shared_secret a identity_secret
Uvnitř mobilní architektury Valve spoléhá Steam Guard na dva oddělené kryptografické klíče vygenerované při registraci a uložené v sandboxovém úložišti telefonu:
- shared_secret: Klíč kódovaný v Base64 sloužící výhradně k výpočtu 5znakových kódů TOTP zobrazovaných na displeji pro běžná přihlášení v prohlížeči nebo v herním klientovi.
- identity_secret: Samostatný kryptografický klíč používaný k digitálnímu podepisování požadavků HMAC-SHA1 zasílaných na potvrzovací koncové body API Valve (
/mobileconf/getlista/mobileconf/ajaxop). Tento klíč autorizuje nevratné akce: schvalování odchozích obchodů a vystavování drahých skinů na Komunitní trh.
Mnoho velkých obchodníků se skiny používá desktopové utility jako Steam Desktop Authenticator (SDA) k automatizaci potvrzování. SDA extrahuje jak shared_secret, tak identity_secret a ukládá je jako nešifrovaný nebo slabě chráněný soubor JSON (.maFile) na disk počítače.
Tento postup zcela ničí základní princip dvoufázového ověření: mimopásmovou (Out-of-Band) hardwarovou izolaci. Pokud herní PC napadne zlodějský trojský kůň (RedLine, Lumma nebo Vidar), cíleně vyhledá soubory .maFile. Získané klíče umožní botům útočníka vygenerovat kódy, zrušit skutečné obchody a podepsat nová mobilní potvrzení, čímž vám vybílí celý inventář během několika minut, aniž by útočník potřeboval váš telefon.
Nouzové odvolání: Nejvyšší moc kódu R
Při prvotním nastavení mobilního autentizátoru Steam Guard se po ověření SMS kódu zobrazí kód začínající písmenem R následovaný 5 číslicemi (např. R12345). Jedná se o váš Kód pro odvolání (Revocation Code – kód R).
Význam a funkce kódu R:
Na rozdíl od záložních kódů Google nebo Discordu (které umožňují jednorázové přihlášení) kód R neslouží k přihlášení. Jeho jediným účelem je jednostranně a okamžitě odebrat mobilní autentizátor z vašeho účtu.
Pokud vám telefon ukradnou, utopí se nebo jste v zahraničí bez roamingu, otevřete libovolný prohlížeč na počítači, klikněte na „Nemám přístup k mobilnímu autentizátoru Steam Guard“, zadejte kód R a autentizátor je okamžitě odpojen bez nutnosti čekat na SMS či mobilní potvrzení.
Uložení snímku obrazovky s kódem R do galerie v telefonu zcela popírá jeho smysl: když telefon ztratíte nebo se rozbije, přijdete i o kód R. Zapište si jej na papír nebo bezpečně uložte do šifrovaného trezoru (1Password, Bitwarden, KeePassXC).
Přechod na nový telefon: Migrace krok za krokem bez pozastavení obchodů
Při nákupu nového telefonu dělá řada hráčů zásadní chybu: nejprve odeberou autentizátor ze starého zařízení, což automaticky uvalí 15denní obchodní embargo. Využijte raději oficiální postup plynulé migrace:
Neodebírejte autentizátor ze starého telefonu
Starý telefon nechte v původním stavu. Ruční odebrání přepne ochranu účtu na e-mailový Steam Guard a ihned uvalí povinné 15denní zadržení všech obchodů.
Nainstalujte aplikaci Steam na nový telefon
Stáhněte si oficiální aplikaci Steam z Apple App Store nebo Google Play Store. Spusťte ji a zadejte své uživatelské jméno a heslo.
Zvolte „Přesunout autentizátor do tohoto zařízení“
Při výzvě k zadání kódu Steam Guard klepněte na „Potřebuji pomoc, již nemám přístup ke kódům mobilního autentizátoru Steam Guard“. Následně vyberte možnost „Přesunout autentizátor do tohoto zařízení“.
Potvrďte přes SMS ověřovací kód
Steam zašle 6místný SMS kód na vaše registrované telefonní číslo. Zadejte jej do nového telefonu. Valve přenese kryptografické klíče do nového zařízení a staré zařízení automaticky odhlásí.
✅ Tento migrační postup zkracuje ochrannou lhůtu obchodování na minimum (obvykle na krátké 2 dny místo plného 15denního embarga).
Tříúrovňový manuál obnovy po havárii
Úroveň 1: Telefon ztracen, ale telefonní číslo zachováno
Nechte si u svého mobilního operátora vystavit novou SIM kartu se stejným číslem. V prohlížeči na počítači se přihlaste ke Steamu, vyberte „Nemám přístup ke svému autentizátoru“ a zvolte obnovu přes SMS. Zadejte kód a nastavte si nové zařízení.
Úroveň 2: Ztracen telefon i číslo, ale kód R je k dispozici
Přejděte na help.steampowered.com -> „Pomoc, nemohu se přihlásit“ -> „Smazal jsem nebo ztratil mobilní autentizátor Steam Guard“ -> „Už nemám přístup k tomuto telefonnímu číslu“. Zadejte svůj uložený kód ve tvaru R#####. Steam autentizátor ihned odpojí.
Úroveň 3: Úplná ztráta (Bez telefonu, čísla i kódu R) – Prokázání vlastnictví
Odešlete žádost o podporu společnosti Valve. Musíte předložit právně a administrativně nezpochybnitelný Důkaz o vlastnictví účtu (Proof of Ownership):
- Krabicové CD klíče her: Zřetelná fotografie originální krabice hry s nálepkou CD-Key a ručně připsaným číslem vašeho tiketu podpory na papírku.
- Ověření platební karty: Jméno na kartě, fakturační adresa, typ karty a poslední 4 číslice karty použité k nákupům na Steamu.
- Potvrzení plateb třetích stran: ID faktury z PayPal nebo čísla transakcí z bankovních výpisů spojené s nákupy na Steamu.
- Fyzické kupony Steam Wallet: Fotografie uplatněných fyzických dárkových karet s čitelným kódem.
🛡️ Postup po napadení účtu: 6bodový záchranný protokol
Pokud zaznamenáte podezřelou aktivitu, podivné nabídky nebo máte podezření na odcizení údajů, proveďte ihned tento postup:
- Okamžitá změna hlavního hesla: Změňte heslo ke Steamu z bezpečného zařízení nebo telefonu. Změna hesla okamžitě ukončí platnost aktivních webových relací.
- Odhlášení všech zařízení: V Podrobnostech o účtu přejděte na Správa služby Steam Guard a klikněte na „Zrušit autorizaci všech ostatních zařízení“.
- Odvolání napadeného API klíče: Otevřete
steamcommunity.com/dev/apikeya klikněte na „Revoke My Steam Web API Key“, čímž odpojíte podvodné boty. - Přegenerování URL pro nabídky obchodu: V nastavení inventáře vygenerujte novou Trade Offer URL, čímž zrušíte staré sledovací odkazy.
- Aktivace ochrany Rodinné zobrazení (Family View): Nastavte si 4místný PIN kód pro Rodinné zobrazení chránící inventář a obchodování. I kdyby útočník získal cookie relace, bez zadání PINu nemůže s předměty manipulovat.
- Kompletní antivirová kontrola počítače: Spusťte důkladnou offline kontrolu pomocí Windows Defenderu nebo Malwarebytes k odstranění infostealerů před dalším hraním.
Často kladené otázky (FAQ)
Mohu místo telefonu používat desktopový software (např. SDA - Steam Desktop Authenticator)? ▼
Ačkoli komunitní programy jako SDA dokážou extrahovat klíče a automatizovat potvrzování, provozování autentizátoru na stejném počítači, na kterém hrajete hry a brouzdáte po internetu, zcela boří princip mimopásmového zabezpečení. Pokud počítač napadne zlodějský trojan, získá soubory SDA a inventář vykrade. Fyzický chytrý telefon zůstává jediným bezpečným standardem.
Proč mám po změně hesla ke Steamu zablokované obchodování? ▼
Aby se zabránilo situaci, kdy útočník po prolomení hesla okamžitě rozprodá váš inventář, uplatňuje Valve automatické omezení obchodování na 2 až 7 dní po resetu hesla. Omezení vyprší automaticky po uplynutí této bezpečnostní lhůty.
Pomáhá funkce Rodinné zobrazení (Family View) předcházet krádežím předmětů? ▼
Rodinné zobrazení představuje vynikající doplňkovou ochranu! Tím, že vyžaduje sekundární 4místný PIN pro přístup k inventáři, nabídkám obchodu a komunitnímu trhu, zabrání útočníkovi s ukradeným tokenem relace v jakékoli manipulaci s vašimi skiny, dokud nezadá správný PIN.
Generujte univerzální 2FA tokeny bezpečně
Chcete generovat standardní tokeny TOTP dle RFC 6238 pro své herní, cloudové a sociální účty? Využijte 100% offline kalkulátor 2FA-Tool běžící přímo ve vašem prohlížeči.