Het Steam-platform van Valve is niet alleen 's werelds toonaangevende digitale distributieplatform voor pc-games; het vormt ook het fundament onder een virtuele economie van vele miljarden dollars, aangedreven door verhandelbare cosmetische items in titels als Counter-Strike 2 (CS2), Dota 2 en Team Fortress 2. Omdat virtuele inventarissen liquide, direct verhandelbare activa vertegenwoordigen, worden Steam-gebruikersaccounts systematisch aangevallen via credential stuffing en phishing. De Steam Guard Mobile Authenticator is zowel uw primaire biometrische kluis als de onmisbare voorwaarde voor direct handelen zonder wachttijd.
Aangepaste Base32-koppeling zonder klinkers en dubbelzinnige tekens, gesynchroniseerd met de servers van Valve.
Moet 7 opeenvolgende dagen (168 uur) actief zijn om direct handelen te ontgrendelen en 15-daagse escrow-wachttijden te vermijden.
Slechts één keer getoond tijdens registratie. Garandeert directe ontkoppeling van de authenticator bij verlies van hardware.
Steam Guard-architectuur: waarom 5 alfanumerieke tekens?
Gebruikers die gewend zijn aan 6-cijferige decimale tokens van Google Authenticator of hardwaretokens van banken, vinden het codeformaat van Steam vaak raadselachtig. Steam Guard toont codes zoals K8MN2 of R7WXY. Waarom week Valve af van de standaard decimale RFC 6238-uitvoer?
1. Bedrijfseigen koppeling aan 26 tekens & uitsluiting van dubbelzinnige tekens
Standaard RFC 6238 leidt een 6-cijferig token af door een 31-bits geheel getal te berekenen uit de HMAC-SHA1-digest en mod 10^6 toe te passen. De technici van Valve kozen voor een alternatieve methode met een alfabet van 26 tekens:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Deze opzet getuigt van doordachte human-factor beveiligingstechniek. Door visueel dubbelzinnige tekens weg te laten (zoals cijfer 0 vs letter O, en cijfer 1 vs letters I en L), treden er aanzienlijk minder overtypefouten op. Van cruciaal belang is ook dat door het weglaten van alle Engelse klinkers (A, E, I, O, U), de code van 5 tekens nooit per ongeluk aanstootgevende woorden kan vormen.
2. Realtime tijdsynchronisatie via ITwoFactorService
Traditionele TOTP-authenticators vertrouwen uitsluitend op de systeemklok van de smartphone. Een afwijking van 30 seconden leidt al tot ongeldige tokens. Valve lost dit op doordat de mobiele Steam-app direct het tijdstempel van het servercluster opvraagt: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
De mobiele client berekent het exacte tijdsverschil ten opzichte van het atoomklokcluster van Valve. Zelfs als een gebruiker de klok op zijn telefoon handmatig twee uur terugzet, genereert Steam Guard wiskundig kloppende tokens.
| Authenticatiemechanisme | Codeformaat | Tijdvenster | Compatibiliteit met externe TOTP | Vrijstelling van ruilescrow |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 alfanumeriek (M78KQ) | 30 seconden | Bedrijfseigen (vereist extraheren van shared_secret) | ✅ Direct (na 7 dagen) |
| Steam Guard E-mailvalidatie | 5 alfanumeriek (via e-mail) | Dynamisch / eenmalig | Niet compatibel | ❌ Verplichte 15-daagse blokkade |
| Standaard RFC 6238 (bijv. 2FA-Tool) | 6 decimale cijfers (123456) | 30 seconden | Universele industriestandaard | Niet van toepassing op Steam-ruil |
Vermijden van 15-daagse ruilblokkades (Trade Escrow Policy)
Vóór eind 2015 werden dagelijks duizenden Steam-gebruikers slachtoffer van diefstal van hun virtuele inventaris via phishing en malware. Omdat transacties direct en onomkeerbaar waren, wisselden gestolen items binnen enkele uren van eigenaar via witwascircuits. Om de commerciële prikkel voor accountdiefstal weg te nemen, introduceerde Valve Ruilblokkades (Trade Holds / Escrow) en Marktblokkades.
Regels voor de activatie van escrow:
- Handelen zonder Mobile Authenticator: Als de gebruiker geen actieve mobiele authenticator op zijn account heeft, worden verhandelde items tot wel 15 dagen in escrow gehouden door Steam.
- Uitzondering voor langdurige vrienden: Als de handelspartner langer dan 1 aaneengesloten jaar op uw Steam-vriendenlijst staat, wordt de blokkade verkort tot 1 dag.
- Aanbiedingen op de Communitymarkt: Items die zonder mobiele bevestiging te koop worden aangeboden, worden maximaal 15 dagen vastgehouden voordat ze zichtbaar worden op de Steam Communitymarkt.
1. Beide handelspartners moeten Steam Guard Mobile Authenticator gedurende minstens 7 volledige aaneengesloten dagen (168 uur) op hun account hebben ingeschakeld.
2. De verzender moet de uitgaande transactie goedkeuren in het gedeelte "Bevestigingen" (Confirmations) van zijn mobiele Steam-app.
3. Geen van beide partijen mag in de voorgaande 7 dagen het wachtwoord opnieuw hebben ingesteld of de authenticator hebben verwijderd.
Mobiele bevestigingen & bescherming tegen API-key-scams
Zelfs met Steam Guard ingeschakeld trappen spelers regelmatig in de beruchte Steam API Key Scam (transactie-onderschepping door phishing). Inzicht in deze aanvalsvector is essentieel voor iedereen die virtuele items verhandelt.
Chronologie van de aanval:
- Inloggegevens onderscheppen: Het slachtoffer bezoekt een nagemaakte ruilsite, toernooipagina of case-opening site en logt in via een vervalst "Inloggen via Steam"-venster.
- Ongemerkt Web API-sleutel aanmaken: Met de gestolen sessiecookies navigeert de bot van de aanvaller stilletjes naar de ontwikkelaarsconsole van Steam (
steamcommunity.com/dev/apikey) en registreert een API-sleutel onder het domein van de aanvaller. - Geautomatiseerde transactie-onderschepping: Dagen later verstuurt het slachtoffer een ruilverzoek met een CS2-mes van € 1.000 naar een legitieme ruilbot of een vriend.
- Direct annuleren & kloonaccount inzetten: De server van de aanvaller, die de Steam Web API elke 500 ms pollt, detecteert het openstaande verzoek. De bot annuleert direct de echte transactie, kopieert de avatar en profielnaam van de ontvanger, maakt een identiek profiel aan op Steam en stuurt een identiek ruilverzoek naar het slachtoffer.
- Onoplettend mobiel bevestigen: Het slachtoffer opent de mobiele Steam-app. Ziet de vertrouwde avatar en het mes, en tikt op "Ruil bevestigen" zonder de registratiedatum of het Steam-level van de ontvanger te controleren. Het item wordt direct overgedragen naar het account van de aanvaller.
- Controleer uw API-sleutelpagina: Ga naar
https://steamcommunity.com/dev/apikey. Als u geen ontwikkelaar bent en er staat een actieve sleutel, trek deze dan direct in en wijzig uw Steam-wachtwoord. - Controleer accountleeftijd op mobiel: Controleer bij het bevestigen van een transactie in de app altijd de profielgegevens van de ontvanger. Steam toont het exacte registratiejaar (bijv. "Lid sinds 2017"). Ziet u "Lid sinds vandaag" bij een vertrouwde vriend, annuleer dan onmiddellijk.
- Ruil-URL opnieuw instellen: Maak in uw inventarisinstellingen een nieuwe Trade Offer URL aan om gelekte links ongeldig te maken.
Cryptografische architectuur: de scheiding tussen shared_secret en identity_secret
Onder de motorkap vertrouwt de mobiele applicatie van Valve op twee afzonderlijke cryptografische sleutels die tijdens de registratie worden aangemaakt en veilig worden opgeslagen in de lokale sandbox van de smartphone:
- shared_secret: Een Base64-gecodeerde geheime sleutel die uitsluitend wordt gebruikt om de 5-cijferige TOTP-codes te berekenen die op uw scherm verschijnen bij het inloggen op computers en browsers.
- identity_secret: Een onafhankelijke cryptografische sleutel die wordt gebruikt voor het digitaal ondertekenen van HMAC-SHA1-tokens die naar Valve's bevestigings-API-endpoints (
/mobileconf/getlisten/mobileconf/ajaxop) worden gestuurd. Deze sleutel autoriseert onomkeerbare handelingen: het goedkeuren van uitgaande transacties en het te koop aanbieden van waardevolle items op de Communitymarkt.
Veel handelaren gebruiken externe opensource-tools zoals Steam Desktop Authenticator (SDA) om transactiebevestigingen te automatiseren. SDA extraheert zowel de shared_secret als de identity_secret en slaat deze op als platte tekst of zwak versleutelde JSON-bestanden (.maFile) op het Windows-bestandssysteem.
Deze werkwijze vernietigt het fundamentele beveiligingsprincipe van tweestapsverificatie: Out-of-Band (OOB) hardwarematige isolatie. Wanneer een infostealer-trojan (zoals RedLine, Lumma of Vidar) een gaming-pc infecteert, zoekt deze doelgericht naar .maFile-bestanden. Zodra deze zijn buitgemaakt, heeft de aanvaller geen toegang tot uw telefoon meer nodig: hun bots laden uw sleutels, genereren inlogtokens, annuleren legitieme transacties en ondertekenen nieuwe mobiele bevestigingen om uw hele inventaris binnen enkele minuten leeg te roven.
Noodherroeping: de oppermachtige R-code
Wanneer u zich aanmeldt voor de Steam Guard Mobile Authenticator, toont de app na verificatie van uw SMS-code een speciale code die begint met de letter R, gevolgd door 5 cijfers (bijv. R12345). Dit is uw Herroepingscode (Revocation Code of R-code).
De functie en reikwijdte van de R-code:
In tegenstelling tot herstelcodes van Google of Discord (die toegang geven tot eenmalige inlogsessies), logt Steams R-code u niet in. De enige architectonische functie is het eenzijdig herroepen en ontkoppelen van de mobiele authenticator van uw account.
Als uw telefoon wordt gestolen, waterschade oploopt of in het buitenland verloren gaat waar uw SIM-kaart niet werkt, opent u een willekeurige browser, klikt u op "Ik heb geen toegang tot mijn Steam Guard Mobile Authenticator", voert u uw R-code in en wordt de authenticator direct verwijderd zonder SMS of mobiele goedkeuring.
Het opslaan van een screenshot van uw R-code in uw filmrol doet het hele doel teniet: als uw telefoon verloren gaat of defect raakt, bent u uw R-code ook kwijt. Noteer deze op fysiek papier of bewaar deze in een versleutelde kluis (1Password, Bitwarden, KeePassXC).
Nieuwe smartphone: stap-voor-stap migratie zonder ruilblokkades
Wanneer gamers overstappen naar een nieuwe iPhone of Android, maken velen de fout om de authenticator eerst op het oude toestel te verwijderen, waardoor een straffende 15-daagse ruilescrow wordt geactiveerd. Volg in plaats daarvan de officiële overstaproute van Valve:
Verwijder de authenticator NIET van de oude telefoon
Laat het oude toestel ongemoeid. Handmatig verwijderen verlaagt de accountbeveiliging naar e-mail Guard, waardoor direct een handelsblokkade intreedt.
Installeer de Steam-app op de nieuwe telefoon
Download de officiële Steam-applicatie uit de Apple App Store of Google Play Store. Start de app en log in met uw gebruikersnaam en wachtwoord.
Kies "Authenticator naar dit apparaat verplaatsen"
Wanneer om de Steam Guard-code wordt gevraagd, tikt u op "Help, ik heb geen toegang meer tot mijn Steam Guard Mobile Authenticator-codes". Kies vervolgens "Authenticator naar dit apparaat verplaatsen".
Bevestig via de SMS-verificatiecode
Steam stuurt een 6-cijferige SMS-code naar uw geregistreerde mobiele nummer. Voer deze code in op de nieuwe telefoon. Valve draagt het cryptografische sleutelmateriaal over naar uw nieuwe toestel en trekt de autorisatie van het oude toestel in.
✅ Deze migratiemethode beperkt handelsbeperkingen tot een minimum (doorgaans een korte afkoelperiode van 2 dagen in plaats van de volledige 15-daagse escrow-wachttijd).
Noodherstelplan in drie stappen
Niveau 1: Telefoon verloren, maar telefoonnummer behouden
Vraag een vervangende SIM-kaart aan bij uw mobiele provider. Log in op Steam via een desktopbrowser, kies "Ik heb geen toegang tot mijn authenticator" en selecteer SMS-herstel. Voer de ontvangen code in om het oude apparaat te ontkoppelen of een nieuw toestel in te stellen.
Niveau 2: Telefoon én telefoonnummer verloren, maar R-code beschikbaar
Ga naar help.steampowered.com -> "Help, ik kan niet inloggen" -> "Ik heb mijn Steam Guard Mobile Authenticator verwijderd of ben deze kwijt" -> "Ik heb geen toegang meer tot dit telefoonnummer". Voer uw opgeslagen R#####-code in. Steam ontkoppelt de authenticator direct.
Niveau 3: Alles verloren (geen telefoon, geen nummer, geen R-code) — Bewijs van eigenaarschap
Dien een handmatig supportticket in bij Valve. U moet onweerlegbaar Bewijs van eigenaarschap aanleveren:
- Winkelverpakkingen van cd-keys: Duidelijke foto's van fysieke gamedoosjes met de cd-key-sticker naast uw handgeschreven supportticketnummer.
- Creditcardverificatie: Naam op de kaart, factuuradres, kaartuitgever en de laatste 4 cijfers die voor Steam-aankopen zijn gebruikt.
- Betaalbewijzen van derden: PayPal factuur-ID's of transactienummers van gekoppelde rekeningen.
- Fysieke Steam Wallet-kaarten: Foto's van de fysieke cadeaubonnen met de code.
🛡️ Na een inbreuk: het 6-stappen noodprotocol
Als u verdachte accountactiviteit opmerkt, afwijkende ruilverzoeken ziet of vermoedt dat uw gegevens zijn buitgemaakt, voer dan direct dit noodprotocol uit:
- Wachtwoord direct wijzigen: Wijzig uw hoofdwachtwoord onmiddellijk vanaf een schoon secundair apparaat of smartphone. Dit beëindigt direct alle actieve browser-sessietokens.
- Alle actieve apparaten deautoriseren: Ga naar Accountdetails -> Steam Guard beheren -> klik op "Alle andere apparaten deautoriseren". Dit wist actieve sessiecookies op alle desktops en mobiele apps.
- Gecompromitteerde Web API-sleutel intrekken: Bezoek
steamcommunity.com/dev/apikeyen klik op "Mijn Steam Web API-sleutel intrekken" om bot-koppelingen te verbreken. - Ruil-aanbiedings-URL opnieuw genereren: Maak in de privacyinstellingen van uw inventaris een nieuwe Trade Offer URL aan om geautomatiseerde volgsystemen te stoppen.
- Steam Gezinsweergave inschakelen: Stel een 4-cijferige Gezinsweergave-pincode in voor toegang tot de inventaris en handelsfuncties. Zelfs als een aanvaller opnieuw toegang krijgt tot een sessie, kan deze niets verhandelen zonder deze pincode.
- Volledige malwarescan uitvoeren: Voer een offline malwarescan uit met Windows Defender of Malwarebytes om infostealers van uw gaming-pc te verwijderen voordat u Steam weer start.
Veelgestelde vragen (FAQ)
Kan ik desktopsoftware (zoals SDA - Steam Desktop Authenticator) gebruiken in plaats van een smartphone? ▼
Hoewel externe opensource-tools zoals SDA uw geheime sleutel kunnen uitlezen en bevestigingen kunnen automatiseren, vernietigt het draaien van een authenticator op dezelfde pc die wordt gebruikt voor gaming en internetten de essentiële "Out-of-Band" beveiligingsscheiding. Als uw pc besmet raakt met malware, stelen aanvallers uw databasebestand en is uw inventaris binnen seconden leeg. Een fysieke mobiele telefoon blijft de gouden standaard.
Waarom zijn mijn transacties geblokkeerd na het wijzigen van mijn Steam-wachtwoord? ▼
Om te voorkomen dat een aanvaller die uw wachtwoord kraakt direct uw inventaris leeghaalt, hanteert Valve een automatische afkoelperiode van 2 tot 7 dagen na wachtwoordwijzigingen. De blokkade verdwijnt automatisch na afloop van deze periode.
Voorkomt Steam Gezinsweergave (Family View) accountkaping? ▼
Gezinsweergave biedt een uitstekende extra verdedigingslaag! Door een secundaire 4-cijferige pincode te vereisen voor toegang tot inventaris, ruilaanbiedingen en winkelacties, kan een aanvaller die toegang krijgt tot uw websessie geen items verhandelen zonder eerst de pincode te kraken.
Genereer universele 2FA-tokens veilig
Wilt u standaard RFC 6238 TOTP-tokens genereren voor uw gaming-, cloud- en sociale accounts? Gebruik de 100% offline client-side calculator van 2FA-Tool.