Платформа Steam від корпорації Valve — це не просто провідний світовий сервіс цифрової дистрибуції комп'ютерних ігор, а й багатомільярдна віртуальна економіка, заснована на торгівлі косметичними предметами в Counter-Strike 2 (CS2), Dota 2 та Team Fortress 2. Оскільки ігрові інвентарі є ліквідними активами, облікові записи Steam регулярно стають мішенню автоматизованих атак підбору паролів та фішингових угруповань. Мобільний автентифікатор Steam Guard служить і вашим основним сховищем безпеки, і обов'язковим інструментом для миттєвого обміну предметами між гравцями.
Особливе відображення Base32 без голосних літер та схожих символів, синхронізоване із серверами Valve.
Повинен бути активним щонайменше 7 повних діб (168 годин) для зняття 15-денного торговельного утримання.
Демонструється лише один раз під час реєстрації. Гарантує негайне відв'язування автентифікатора в разі втрати смартфона.
Архітектура Steam Guard: чому саме 5 буквено-цифрових знаків?
Користувачі, які звикли до 6-значних десяткових кодів у Google Authenticator або банківських додатках, нерідко дивуються вигляду токенів Steam. Steam Guard показує коди з 5 символів, такі як K8MN2 або R7WXY. Чому Valve відійшла від стандартного формату RFC 6238?
1. Спеціальний 26-символьний алфавіт без двозначностей
Класичний стандарт RFC 6238 формує 6-значний код шляхом обчислення 31-бітного цілого числа з хешу HMAC-SHA1 з операцією mod 10^6. Інженери Valve застосували альтернативну таблицю підстановки з 26 символів:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Такий підхід демонструє турботу про людський фактор. Вилучення схожих символів (наприклад, цифри 0 та літери O, цифри 1 та літер I і L) практично виключає помилки при ручному введенні. А відсутність усіх голосних літер англійського алфавіту (A, E, I, O, U) гарантує, що 5-значний рядок випадково не складеться в образливе слово на екрані.
2. Синхронізація часу через службу ITwoFactorService
Звичайні додатки TOTP спираються виключно на годинник операційної системи смартфона: зсув на 30 секунд робить коди недійсними. Valve вирішила цю проблему тим, що офіційний мобільний додаток Steam регулярно опитує серверний час Valve за адресою: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Додаток обчислює точну різницю відносно атомних годинників серверів Valve. Навіть якщо користувач вручну переведе годинник свого телефона на дві години назад, Steam Guard згенерує математично правильний код.
| Спосіб автентифікації | Формат коду | Період дії | Сумісність зі сторонніми додатками | Звільнення від торговельного утримання |
|---|---|---|---|---|
| Мобільний автентифікатор Steam Guard | 5 знаків (M78KQ) | 30 секунд | Пропрієтарний (потрібен ключ shared_secret) | ✅ Миттєво (після 7 днів) |
| Підтвердження через E-mail | 5 знаків у листі | Одноразовий | Несумісний | ❌ Обов'язкове утримання 15 днів |
| Стандартний RFC 6238 (наприклад, 2FA-Tool) | 6 десяткових цифр (123456) | 30 секунд | Загальноприйнятий світовий стандарт | Не застосовується до торгівлі в Steam |
Зняття 15-денного утримання предметів (Trade Escrow Policy)
До кінця 2015 року тисячі гравців щодня втрачали дорогі скіни через фішинг та шкідливі програми. Оскільки обмін відбувався миттєво і був незворотним, викрадені предмети перепродавалися через ланцюжки підставних акаунтів за лічені години. Щоб зруйнувати економічну вигоду крадіжок, Valve ввела обов'язкові затримки обміну (Trade Holds) та утримання на Торговому майданчику.
Правила та тривалість торговельних затримок:
- Обмін без мобільного автентифікатора: Якщо в користувача не підключено мобільний автентифікатор, передані предмети заморожуються системою Steam на строк до 15 днів.
- Виняток для давніх друзів: Якщо отримувач перебуває у вашому списку друзів Steam понад 1 рік безперервно, строк утримання скорочується до 1 дня.
- Лоти на Спільнотному ринку: Предмети, виставлені на продаж без мобільного підтвердження, утримуються сервісом до 15 днів, перш ніж стати видимими іншим покупцям.
1. Обидва учасники угоди повинні мати активний Steam Guard Mobile Authenticator щонайменше протягом 7 повних днів поспіль (168 годин).
2. Відправник повинен підтвердити передачу предметів у розділі «Підтвердження» свого мобільного додатка Steam.
3. Жоден з учасників не повинен змінювати пароль чи скидати автентифікатор протягом останніх 7 днів.
Мобільні підтвердження та захист від шахрайства зі Steam API Key
Навіть з увімкненим Steam Guard гравці часто стають жертвами підступної схеми: Steam API Key Scam (перехоплення пропозицій обміну). Розуміння цієї атаки критично важливе для кожного, хто торгує скінами.
Хронологія розвитку атаки через API Key:
- Перехоплення даних: Жертва переходить на підроблений сайт відкриття кейсів чи рулетку та авторизується через фальшиве вікно входу Steam.
- Прихований випуск API-ключа: Використовуючи сесійні cookie, бот зловмисника відкриває сторінку розробників (
steamcommunity.com/dev/apikey) та генерує ключ API на свій домен. - Очікування реальної угоди: Через кілька днів користувач відправляє дорогий ніж із CS2 надійному сайту або другу.
- Миттєве скасування та підміна: Бот зловмисника щосекунди відстежує активні пропозиції через API, миттєво відхиляє справжній обмін, копіює аватарку та нікнейм отримувача, створює двійника в Steam та надсилає користувачеві клоновану пропозицію.
- Помилка в мобільному додатку: Гравець відкриває мобільний додаток Steam, бачить знайому аватарку і натискає «Підтвердити обмін», не перевіривши дату реєстрації профілю отримувача. Предмет назавжди йде злодієві.
- Перевірте сторінку ключів API: Перейдіть на
https://steamcommunity.com/dev/apikey. Якщо ви не розробник і бачите там зареєстрований ключ, негайно відкличте його та змініть пароль Steam. - Уважно перевіряйте стаж профілю в телефоні: Під час підтвердження обміну в додатку Steam завжди дивіться на дату створення акаунта отримувача (наприклад, «У спільноті з 2017 року»). Якщо обмін надсилався давньому другу, а в додатку написано «У спільноті від сьогодні» — негайно скасовуйте угоду.
- Оновіть посилання на обмін (Trade URL): У налаштуваннях інвентарю згенеруйте нове посилання, щоб анулювати раніше скомпрометовані адреси.
Подвійна архітектура ключів: shared_secret проти identity_secret
Всередині мобільного додатка Valve використовуються два окремі криптографічні ключі, що надійно ізольовані в пам'яті смартфона:
- shared_secret: Ключ у кодуванні Base64, що використовується виключно для розрахунку 5-значних кодів авторизації на екрані при вході в клієнт чи на сайт.
- identity_secret: Окремий ключ для формування криптографічних підписів HMAC-SHA1 під час відправки запитів до ендпоінтів мобільних підтверджень (
/mobileconf/getlistта/mobileconf/ajaxop). Цей ключ санкціонує незворотні дії: передачу предметів та публікацію лотів на Спільнотному ринку.
Деякі активні трейдери використовують сторонні утиліти для комп'ютера, такі як Steam Desktop Authenticator (SDA). Програма витягує shared_secret та identity_secret і зберігає їх у файлах .maFile на диску комп'ютера.
Це повністю руйнує головний принцип 2FA — ізоляцію другого фактора на окремому фізичному пристрої. Якщо ігровий ПК заражається шкідливим ПЗ (RedLine, Lumma, Vidar), вірус насамперед шукає саме файли .maFile. Отримавши їх, зловмисники автоматично підписують угоди та спустошують весь інвентар користувача за лічені хвилини.
Екстрене скасування: суперсила R-коду
Під час початкового налаштування Steam Guard після введення SMS-коду додаток показує спеціальний код із літерою R та п'ятьма цифрами (наприклад, R12345). Це ваш Код відкликання (Revocation Code).
Призначення та можливості R-коду:
На відміну від кодів Google чи Discord, які служать для разового входу, R-код Steam не авторизує в системі. Його єдине завдання — миттєво відв'язати втрачений мобільний автентифікатор від вашого акаунта.
Якщо телефон викрадено, втоплено або втрачено за кордоном без роумінгу для SMS, ви можете відкрити будь-який комп'ютер, натиснути «Я втратив доступ до свого автентифікатора Steam Guard», ввести свій R-код — і прив'язка до пристрою буде анульована без дзвінків і SMS.
Збереження скріншота з R-кодом у галереї телефона позбавлене сенсу: якщо смартфон втрачено чи зламано, код зникне разом із ним. Запишіть його на папір або збережіть у зашифрованому менеджері паролів (Bitwarden, KeePassXC).
Перенесення на новий телефон: покрокова інструкція без 15-денного блокування
Купуючи новий смартфон, гравці часто роблять фатальну помилку: спершу видаляють автентифікатор на старому телефоні, що миттєво вмикає торговельне ембарго на 15 днів. Дотримуйтесь офіційного безшовного регламенту перенесення від Valve:
НЕ видаляйте автентифікатор на старому телефоні
Залиште старий пристрій увімкненим. Ручне видалення перемикає захист на пошту, що автоматично заморожує всі обміни.
Встановіть додаток Steam на новий телефон
Завантажте офіційний клієнт Steam з App Store або Google Play, запустіть його та введіть логін і пароль від свого акаунта.
Виберіть «Перенести автентифікатор на цей пристрій»
Коли додаток запитає поточний код Steam Guard, натисніть посилання «Мені потрібна допомога, у мене немає доступу до кодів Steam Guard», а потім оберіть пункт «Перенести автентифікатор на цей пристрій».
Підтвердьте перенесення через код із SMS
Steam надішле 6-значний код на ваш прив'язаний номер мобільного телефону. Введіть цей код на новому пристрої. Ключі будуть перенесені на новий смартфон, а старий апарат автоматично відключиться.
✅ Цей офіційний маршрут зберігає торговельні обмеження мінімальними (зазвичай лише коротка 2-денна затримка замість повноцінного 15-денного бану).
Трирівневий регламент відновлення доступу
Рівень 1: Телефон втрачено, але SIM-карта збережена
Отримайте дублікат SIM-карти у свого оператора. Увійдіть у Steam через браузер на комп'ютері, виберіть пункт «Немає доступу до автентифікатора» та підтвердьте дію через SMS. Це дозволить скинути старий пристрій або підключити новий.
Рівень 2: Телефон і номер втрачені, але збережено R-код
Перейдіть на сторінку help.steampowered.com -> «Я не можу увійти» -> «Мій мобільний автентифікатор видалено або втрачено» -> «У мене більше немає доступу до цього номера». Введіть свій збережений код R#####, і система негайно скасує стару прив'язку.
Рівень 3: Повна втрата (немає телефона, номера та R-коду) — підтвердження власності
Створіть звернення до служби підтримки Steam. Необхідно надати документальні докази володіння обліковим записом:
- Ключі активації ігор (CD-Key): Фотографії фізичних дисків або наклейок з кодом гри та написаним від руки номером вашого звернення до підтримки.
- Дані банківської карти: Ім'я власника, розрахункова адреса, платіжна система та останні 4 цифри карти, якою оплачувалися покупки в Steam.
- Квитанції платіжних систем: Номери транзакцій PayPal, банківські виписки або електронні чеки.
- Подарункові карти Steam Wallet: Фотографії використаних пластикових карт поповнення балансу.
🛡️ Дії в разі підозри на злам: 6 невідкладних кроків
Якщо ви помітили дивну активність, незрозумілі повідомлення чи підозрюєте витік облікових даних, негайно виконайте цей протокол стримування:
- Негайно змініть пароль Steam: Зробіть це з безпечного пристрою. Зміна головного пароля автоматично анулює активні веб-сесії.
- Відкличте авторизацію всіх пристроїв: У налаштуваннях акаунта Steam відкрийте розділ «Керування Steam Guard» та натисніть «Вийти на всіх інших пристроях».
- Видаліть скомпрометований API-ключ: Перейдіть за адресою
steamcommunity.com/dev/apikeyта натисніть «Revoke My Steam Web API Key». - Створіть нове посилання для обміну: У налаштуваннях приватності інвентарю згенеруйте нове посилання Trade URL.
- Увімкніть «Сімейний перегляд» (Family View): Встановіть додатковий 4-значний PIN-код для доступу до інвентарю та торгівлі. Навіть якщо хакер отримає сесію, він не зможе переглядати або передавати речі без введення PIN-коду.
- Повністю перевірте комп'ютер антивірусом: Проскануйте систему за допомогою антивірусного ПЗ, щоб видалити можливі трояни-стилери перед наступним запуском ігор.
Поширені запитання (FAQ)
Чи можна використовувати емулятори для комп'ютера (наприклад, SDA) замість телефона? ▼
Хоча програми з відкритим кодом на зразок Steam Desktop Authenticator (SDA) дозволяють автоматизувати підтвердження, запуск автентифікатора на тому ж ПК, де ви граєте та відкриваєте сайти, знищує безпеку другого фактора. При зараженні вірусом-стилером нападник отримує файл бази SDA і краде всі речі за секунди. Окремий фізичний смартфон є значно надійнішим рішенням.
Чому після зміни пароля в Steam тимчасово блокується обмін? ▼
Щоб захистити користувача у випадку, якщо хакер підібрав пароль і намагається негайно вивести весь інвентар, Valve автоматично накладає затримку на обмін від 2 до 7 днів після зміни пароля. Обмеження знімається автоматично після завершення цього терміну.
Чи захищає функція «Сімейний перегляд» (Family View) від викрадення речей? ▼
Так, це надзвичайно дієвий рівень додаткового захисту! Завдяки обов'язковому 4-значному PIN-коду для доступу до інвентарю та магазину зловмисник, навіть отримавши доступ до активної веб-сесії, не зможе ініціювати обмін без знання цього секретного коду.
Безпечна генерація токенів 2FA
Потрібно швидко генерувати стандартні коди TOTP стандарту RFC 6238 для ігрових платформ, хмарних сервісів та соціальних мереж? Скористайтеся 100% автономним веб-інструментом 2FA-Tool без передачі ключів через інтернет.