Valves Steam-platform er ikke blot verdens førende digitale distributionsplatform til pc-spil; den danner også grundlag for en virtuel milliardøkonomi drevet af omsættelige kosmetiske genstande (skins) i Counter-Strike 2 (CS2), Dota 2 og Team Fortress 2. Da virtuelle beholdninger repræsenterer let omsættelige værdier, er Steam-konti konstant i søgelyset for automatiserede hackerangreb og phishing. Steam Guard Mobilgodkender fungerer både som dit primære biometriske pengeskab og den uundværlige nøgle til lynhurtig handel mellem brugere uden ventetid.
Tilpasset Base32-tegnsæt uden vokaler og tvetydige tegn, tidssynkroniseret direkte med Valves servere.
Skal have været aktiv i 7 sammenhængende døgn (168 timer) for at handle øjeblikkeligt uden 15 dages tilbageholdelse.
Vises kun én gang under opsætningen. Garanterer øjeblikkelig frakobling af godkenderen, hvis telefonen forsvinder.
Steam Guard-arkitektur: Hvorfor 5 alfanumeriske tegn?
Brugere, der er vant til 6-cifrede tal fra Google Authenticator eller netbank-apps, undrer sig ofte over Steams kodeformat. Steam Guard viser koder som K8MN2 eller R7WXY. Hvorfor valgte Valve at afvige fra RFC 6238-standarden med 6 decimalcifre?
1. Valves 26-tegns mapping og fjernelse af tvetydige tegn
Standard RFC 6238 danner en 6-cifret talkode ved at beregne et 31-bit heltal ud fra HMAC-SHA1-digestet og udføre mod 10^6. Valves udviklere valgte derimod en specialudviklet mapping baseret på et 26-tegns alfabet:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Dette valg bygger på gennemtænkt brugervenlighed og sikkerhed. Ved at fjerne tegn, der let forveksles (såsom tallet 0 over for bogstavet O samt tallet 1 over for bogstaverne I og L), minimeres tastefejl mærkbart. Endnu vigtigere: Ved at fjerne samtlige engelske vokaler (A, E, I, O, U) kan den tilfældige 5-tegns kode aldrig ved et uheld danne upassende eller stødende ord på skærmen.
2. Tidssynkronisering i realtid via ITwoFactorService
Traditionelle TOTP-apps afhænger fuldstændigt af mobiltelefonens indbyggede ur. En tidsforskel på blot 30 sekunder gør koderne ugyldige. Valve løser dette ved at lade Steam-mobilappen hente et server-tidsstempel direkte fra Valves servere via endepunktet: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Appen beregner den præcise tidsforskel i forhold til Valves atomur. Selv hvis brugeren stiller telefonens ur to timer forkert, genererer Steam Guard stadig matematisk korrekte koder.
| Godkendelsesmetode | Kodeformat | Tidsvindue | Tredjeparts TOTP-kompatibilitet | Undtagelse fra byttepause (Escrow) |
|---|---|---|---|---|
| Steam Guard Mobilgodkender | 5 alfanumeriske (f.eks. M78KQ) | 30 sekunder | Proprietær (Kræver udtræk af shared_secret) | ✅ Øjeblikkelig (Efter 7 dage) |
| Steam Guard via e-mail | 5 alfanumeriske (via e-mail) | Engangskode | Inkompatibel | ❌ Obligatorisk 15 dages ventetid |
| Standard RFC 6238 (f.eks. 2FA-Tool) | 6 decimalcifre (123456) | 30 sekunder | Universel branchestandard | Ikke relevant for Steam-byttehandler |
Undgå 15 dages byttepause (Trade Escrow-politikken)
Før slutningen af 2015 blev tusindvis af Steam-brugere dagligt tømt for værdifulde skins via phishing og malware. Da byttehandler skete øjeblikkeligt og var uigenkaldelige, blev de stjålne genstande videresolgt og hvidvasket på få timer. For at fjerne det økonomiske incitament for kontotyveri indførte Valve Byttepauser (Trade Holds / Escrow) og Markedspauser.
Regler og betingelser for byttepause:
- Byttehandler uden mobilgodkender: Hvis en bruger ikke har en aktiv mobilgodkender på sin konto, tilbageholdes handlede genstande i escrow af Steam i op til 15 dage.
- Langvarige venskaber: Hvis modparten har været på din Steam-venneliste i over 1 sammenhængende år, nedsættes tilbageholdelsen til 1 dag.
- Salg på Fællesskabsmarkedet: Opslag oprettet uden bekræftelse på mobilen tilbageholdes i op til 15 dage, før de gøres synlige på Steam Fællesskabsmarkedet.
1. Begge parter i handlen skal have haft Steam Guard Mobilgodkender slået til på deres konti i mindst 7 hele sammenhængende døgn (168 timer).
2. Afsenderen skal manuelt godkende den udgående handel i fanen "Bekræftelser" i Steam-mobilappen.
3. Ingen af parterne må have foretaget nulstilling af adgangskode eller fjernet godkenderen inden for de seneste 7 dage.
Mobilbekræftelser & beskyttelse mod API-nøglesvindel
Selv med Steam Guard aktiveret falder spillere desværre ofte for det berygtede Steam API-nøglesvindel (Trade Interception Phishing). For enhver, der handler med værdifulde skins, er det afgørende at kende denne angrebsmetode.
Angrebets forløb trin for trin:
- Opsnapning af login: Offeret besøger en falsk skin-handelsplatform, turnering eller kasseåbningsside og logger ind via et falsk "Log ind via Steam"-vindue.
- Skjult oprettelse af Web API-nøgle: Ved hjælp af de opsnappede sessionscookies åbner angriberens bot Steams udviklerkonsol (
steamcommunity.com/dev/apikey) og registrerer en API-nøgle tilknyttet angriberens eget domæne. - Overvågning af byttehandler: Dage eller uger senere sender offeret et byttetilbud med en dyr kniv til en legitim handelsbot eller en ven.
- Annullering og kopi-profil: Angriberens server, der overvåger Steams API hvert halve sekund, opdager det ventende tilbud. Den annullerer straks den ægte handel, kopierer modtagerens profilbillede og navn over på en ny bot-konto og sender en kopi af byttetilbuddet til offeret.
- Uopmærksom bekræftelse på mobilen: Offeret åbner sin Steam-app på telefonen. Da profilbilledet matcher, trykker offeret "Bekræft handel" uden at tjekke modtagerens oprettelsesår eller Steam-niveau. Varen havner direkte hos svindleren.
- Undersøg din API-nøgleside: Gå ind på
https://steamcommunity.com/dev/apikey. Hvis du ikke selv er softwareudvikler og ser en aktiv nøgle, skal du tilbagekalde den omgående og skifte din adgangskode. - Tjek modtagerens oprettelsesår på mobilen: Når du bekræfter en handel i appen, skal du læse modtageroplysningerne grundigt. Steam viser medlemskabets alder (f.eks. "Medlem siden 2017"). Hvis en handel til en mangeårig ven pludselig viser "Medlem siden i dag", skal du afvise handlen med det samme.
- Nulstil dit byttetilbuds-link (Trade URL): Opret et nyt handelslink i dine beholdningsindstillinger for at afbryde forbindelsen til eventuelle lækkede adresser.
Kryptografisk arkitektur: Forskellen på shared_secret og identity_secret
I Valves mobilapp bygger Steam Guard på to separate hemmelige nøgler, som oprettes ved opsætningen og gemmes i telefonens isolerede hukommelse:
- shared_secret: En Base64-kodet hemmelig nøgle, der udelukkende bruges til at udregne de 5-tegns koder på skærmen ved login på computere og i browsere.
- identity_secret: En separat kryptografisk nøgle, der anvendes til at signere HMAC-SHA1-anmodninger til Valves bekræftelsesservere (
/mobileconf/getlistog/mobileconf/ajaxop). Det er denne nøgle, der godkender udgående byttehandler og salg på Fællesskabsmarkedet.
Mange professionelle handlere bruger uofficielle desktop-programmer som Steam Desktop Authenticator (SDA) for automatisk at godkende byttehandler. SDA trækker både shared_secret og identity_secret ud og gemmer dem i ukrypterede eller svagt beskyttede JSON-filer (.maFile) på computerens harddisk.
Dette ødelægger hele princippet bag totrinsgodkendelse: den fysiske adskillelse af login og godkendelse (Out-of-Band isolation). Hvis en infostealer-trojaner rammer gamer-computeren, leder den specifikt efter .maFile-filer. Får angriberen fat i dem, behøver de overhovedet ikke din telefon: Deres automatiserede bots indlæser nøglerne, logger ind, annullerer dine ægte handler og godkender nye overførsler, så dit lager er tømt på få minutter.
Nødtilbagekaldelse: Den vigtige R-kode (Revocation Code)
Når du opsætter Steam Guard Mobilgodkender og bekræfter med SMS, viser appen en kode bestående af bogstavet R efterfulgt af 5 tal (f.eks. R12345). Dette er din Tilbagekaldelseskode (R-kode).
R-kodens funktion:
I modsætning til engangskoder fra Google eller Discord (som giver adgang til et enkelt login) kan Steams R-kode ikke bruges til login. Dens eneste formål er at frakoble og fjerne mobilgodkenderen fra din konto med øjeblikkelig virkning.
Hvis din telefon bliver stjålet, ødelagt eller tabt i udlandet, hvor du ikke kan modtage SMS, kan du åbne en computerbrowser, klikke på "Jeg har ikke adgang til min Steam Guard Mobilgodkender", indtaste din R-kode – og godkenderen fjernes omgående uden krav om SMS eller godkendelse på mobilen.
Hvis du blot tager et screenshot af R-koden og lader det ligge på telefonen, mister du også koden, hvis telefonen forsvinder. Nedskriv den på papir eller gem den i en krypteret password manager (1Password, Bitwarden, KeePassXC).
Skift telefon: Trin-for-trin overførsel uden byttepauser
Når gamere køber en ny smartphone, begår mange den fejl at fjerne godkenderen på den gamle telefon først. Dette udløser straks en straf i form af 15 dages byttepause. Følg i stedet Valves officielle flytteproces:
Fjern IKKE godkenderen på den gamle telefon
Lad den gamle telefon være i fred. Hvis du sletter appen eller fjerner godkenderen, nedgraderes kontoen til e-mailbekræftelse, hvilket straks aktiverer byttepausen.
Installer Steam-appen på den nye telefon
Hent den officielle Steam-app fra Apple App Store eller Google Play. Åbn appen og log ind med dit brugernavn og password.
Vælg "Flyt godkenderen til denne enhed"
Når appen efterspørger Steam Guard-koden, vælges "Hjælp mig, jeg har ikke længere adgang til mine Steam Guard-koder". Tryk derefter på "Flyt godkenderen til denne enhed".
Bekræft med den tilsendte SMS-kode
Steam sender en 6-cifret SMS-kode til dit registrerede mobilnummer. Indtast koden på den nye telefon. Valve overfører nu sikkerhedsnøglerne til den nye telefon og deaktiverer den gamle enhed.
✅ Denne fremgangsmåde minimerer byttepausen til blot 2 dage i stedet for de sædvanlige 15 dages karantæne.
Tredelt beredskabsplan ved uheld
Niveau 1: Telefonen er mistet, men du har beholdt dit telefonnummer
Få et erstatnings-SIM-kort fra dit teleselskab. Åbn en computerbrowser, log ind på Steam, vælg "Jeg har ikke adgang til min godkender", og vælg SMS-gendannelse. Indtast koden for at tilknytte en ny mobil eller fjerne den gamle.
Niveau 2: Både telefon og nummer er tabt, men du har din R-kode
Gå til help.steampowered.com -> "Hjælp, jeg kan ikke logge ind" -> "Jeg har slettet eller mistet min Steam Guard Mobilgodkender" -> "Jeg har ikke længere adgang til dette telefonnummer". Indtast din gemte R#####-kode. Steam frakobler godkenderen øjeblikkeligt.
Niveau 3: Totalt tab (Hverken telefon, nummer eller R-kode) – Bevis på ejerskab
Opret en sag hos Steam Support. Du skal kunne fremlægge gyldigt bevis på kontoens ejerskab:
- Fysiske spil-cd-nøgler: Tydelige fotografier af spilæsker, hvor cd-nøglen ses sammen med dit håndskrevne sagsnummer på papir.
- Bekræftelse af betalingskort: Navn på kortet, faktureringsadresse, bank og de sidste 4 cifre på det kort, der er brugt til køb.
- Kvitteringer for onlinebetalinger: PayPal-faktura-id eller officielle kvitteringsnumre for køb i Steam-butikken.
- Steam Wallet-gavekort: Billeder af fysiske Steam-gavekort med synlig kode.
🛡️ Handling ved mistanke om brud: 6-trins tjekliste
Hvis du bemærker mistænkelig kontoaktivitet, mærkelige byttehandler eller frygter, at dine oplysninger er blevet opsnappet, skal du straks gennemføre denne nødprocedure:
- Skift din adgangskode med det samme: Skift dit Steam-password fra en ren computer eller din telefon. Dette afbryder straks aktive browsersessioner.
- Deautoriser alle aktive enheder: Gå til Kontooplysninger -> Administrer Steam Guard -> klik på "Deautoriser alle andre enheder" for at lukke alle åbne sessioner på computere og telefoner.
- Tilbagekald kompromitteret Web API-nøgle: Åbn
steamcommunity.com/dev/apikeyog klik på "Revoke My Steam Web API Key" for at afbryde hacker-bots. - Opret et nyt byttetilbuds-link (Trade URL): Generer en ny handelsadresse under beholdningsindstillingerne for at blokere automatiske overvågningsprogrammer.
- Aktiver Steam Familievisning (Family View): Opret en 4-cifret pinkode, der beskytter adgangen til inventar og handel. Selv hvis en angriber får fat i din session, kan de ikke gennemføre handler uden denne PIN.
- Rens din computer fuldstændigt: Kør en dybdegående offline scanning med antivirus for at fjerne eventuel malware, før du åbner Steam igen.
Ofte stillede spørgsmål (FAQ)
Kan jeg bruge et pc-program (f.eks. SDA - Steam Desktop Authenticator) i stedet for en telefon? ▼
Selvom tredjepartsværktøjer som SDA kan automatisere bekræftelser, ødelægger det princippet om fysisk adskillelse at have godkenderen kørende på samme computer, som du surfer og spiller på. Hvis din pc rammes af spyware, stjæler malwaren dine SDA-filer og tømmer dit inventar på få sekunder. En fysisk smartphone forbliver den sikreste løsning.
Hvorfor er mine byttehandler blokeret, efter jeg har skiftet adgangskode? ▼
For at forhindre, at en hacker, der har gættet eller stjålet dit password, øjeblikkeligt sælger dine ting, håndhæver Valve en automatisk handelsspærre på 2 til 7 dage efter kodeordsskift. Spærringen ophæves automatisk, når perioden udløber.
Beskytter Steam Familievisning (Family View) mod kontokapring? ▼
Ja, Familievisning giver et fremragende ekstra sikkerhedslag! Ved at kræve en 4-cifret pinkode for at få adgang til inventar og handel kan en angriber, der har overtaget din browsersession, hverken se dine værdier eller igangsætte handler uden først at indtaste pinkoden.
Generer universelle 2FA-koder sikkert
Skal du generere standard RFC 6238 TOTP-koder til dine gaming-, cloud- og sociale mediekonti? Brug 2FA-Tools 100 % offline beregner direkte i din browser.