Logowanie przez Steam

Co dokładnie daje logowanie przez Steam

Autoryzacja Steam działa w standardzie OpenID i przekazuje stronie trzeciej wyłącznie publiczne dane profilu: identyfikator SteamID, nazwę widoczną w społeczności i adres awatara. Hasło nigdy nie opuszcza infrastruktury Valve, ponieważ formularz logowania wyświetla się na jej domenie, a strona trzecia otrzymuje tylko podpisane potwierdzenie, że logowanie się powiodło. Praktyczna konsekwencja jest jednoznaczna i warto ją zapamiętać w tej formie: jeżeli okno logowania prosi o hasło Steam, a adres w pasku nie należy do Valve, zamknij kartę i zmień hasło. Druga konsekwencja dotyczy zakresu — samo zalogowanie nie daje platformie żadnego dostępu do twojego inwentarza ani możliwości wykonania wymiany. Do tego potrzebne są osobne elementy: publiczna widoczność inwentarza oraz link do wymiany, który generujesz samodzielnie w ustawieniach prywatności i możesz w każdej chwili unieważnić. Valve opisuje działanie samego mechanizmu zabezpieczeń konta w dokumentacji Steam Guard. Warto rozdzielić trzy uprawnienia, które w potocznym rozumieniu bywają zlewane w jedno, bo różnią się skutkami. Zalogowanie się przez Steam pozwala platformie rozpoznać, kim jesteś, i nic więcej — samo w sobie nie daje wglądu w zawartość inwentarza ani prawa do wykonania czegokolwiek w twoim imieniu. Ustawienie inwentarza jako publicznego pozwala odczytać listę przedmiotów, co jest potrzebne do wyceny i do wyświetlenia twoich skinów w interfejsie, ale nadal niczego nie przenosi. Dopiero przekazanie linku do wymiany umożliwia wysłanie ci oferty, którą i tak musisz zaakceptować, a przy aktywnym uwierzytelnianiu mobilnym również potwierdzić w aplikacji. Każde z tych trzech uprawnień odwołuje się osobno i w dowolnym momencie: link do wymiany unieważnia się jednym kliknięciem, a inwentarz wraca do trybu prywatnego równie szybko. Zasady blokad, które Valve nakłada na same wymiany, opisujemy na stronie wypłaty, blokady i limity.

Trzy uprawnienia i ich skutki

Ustawienia do sprawdzenia przed pierwszą wymianą

Najważniejszym pojedynczym ustawieniem jest Steam Guard w aplikacji mobilnej, bo od niego zależy, czy wymiany będą realizowane natychmiast, czy z wielodniową blokadą. Valve wymaga, aby uwierzytelnianie mobilne było aktywne przez co najmniej siedem dni; do tego czasu przedmioty są zatrzymywane, a skrótu nie ma — włączenie aplikacji w dniu, w którym chcesz wypłacić skina, nie skróci oczekiwania. Drugie ustawienie to widoczność inwentarza: funkcje operujące na skinach wymagają profilu i inwentarza ustawionych jako publiczne, przy czym po zakończeniu wymian można to bez konsekwencji cofnąć. Trzecie to link do wymiany, generowany w ustawieniach prywatności i możliwy do unieważnienia jednym kliknięciem, co warto zrobić po zakończeniu współpracy z dowolną platformą. Czwarte to przegląd aktywnych sesji i wylogowanie urządzeń, których nie rozpoznajesz. Osobno warto sprawdzić status konta — konta z ograniczeniami, opisane przez Valve jako Limited User Accounts, mają odcięte funkcje społecznościowe, w tym część możliwości wymiany.

Lista kontrolna

1. Steam Guard mobilny — włącz i odczekaj siedem dni, zanim zaplanujesz pierwszą wypłatę.
2. Widoczność inwentarza — ustaw jako publiczną na czas korzystania z funkcji skinowych.
3. Link do wymiany — wygeneruj, a po zakończeniu unieważnij.
4. Aktywne sesje — przejrzyj listę urządzeń i wyloguj nierozpoznane.
5. Status konta — sprawdź, czy konto nie jest ograniczone.

Kolejność z listy nie jest przypadkowa i wynika z jednego terminu, którego nie da się obejść. Ponieważ Valve wymaga, by uwierzytelnianie mobilne działało co najmniej od tygodnia, każdy dzień zwłoki na pierwszym punkcie przesuwa o dzień moment, w którym w ogóle będziesz mógł swobodnie wyprowadzić przedmiot. Włączenie aplikacji w dniu, w którym chcesz wypłacić skina, nie skraca oczekiwania ani o godzinę, a jest to najczęstsze rozczarowanie zgłaszane przez nowych użytkowników. Pozostałe punkty da się wykonać w dowolnej chwili, ale ich pominięcie kończy się podobnie: prywatny inwentarz blokuje dostarczenie przedmiotu, brak linku do wymiany uniemożliwia wysłanie oferty, a konto z ograniczeniami ma odciętą część funkcji społecznościowych, o czym Valve informuje w osobnej dokumentacji. Sprawdzenie wszystkich pięciu pozycji zajmuje kilka minut i jest jedyną częścią procesu, która w całości zależy od ciebie.

Osobno warto omówić, co dzieje się z tymi ustawieniami po zakończeniu korzystania z platformy, bo higiena konta jest tu równie ważna jak jego konfiguracja na starcie. Publiczny inwentarz, który był potrzebny do wyceny skinów, nie musi taki pozostać — jego przywrócenie do trybu prywatnego zajmuje kilka sekund i ogranicza liczbę automatycznych ofert wymiany od nieznanych kont, które w tej niszy są głównym wektorem prób wyłudzenia. Link do wymiany warto unieważnić z tego samego powodu: dopóki działa, każdy, kto go ma, może wysłać ci ofertę, a im więcej ofert przychodzi, tym większa szansa, że któraś zostanie zaakceptowana przez pomyłkę. Uwierzytelnianie mobilne natomiast zostaw włączone na stałe — nie ma żadnego powodu, by je wyłączać, a jego ponowne aktywowanie oznacza kolejne siedem dni oczekiwania przy następnej wymianie. Dobrą praktyką jest też okresowy przegląd listy aktywnych sesji i autoryzowanych urządzeń, zwłaszcza po korzystaniu z komputera, który nie jest twój. Wszystkie te czynności wykonuje się po stronie Steam, a nie po stronie platformy, więc pozostają w twojej gestii niezależnie od tego, czy konto na platformie nadal istnieje. Konsekwencje tych ustawień dla samych wypłat opisujemy na stronie wypłaty, blokady i limity.

Jak rozpoznać próbę przejęcia konta

Wszystkie skuteczne ataki na konta Steam w tej niszy sprowadzają się do skłonienia cię do wpisania danych poza domeną Valve albo do podania kodu z aplikacji. Najczęstszy wariant to fałszywe okno logowania narysowane wewnątrz strony — wygląda jak przeglądarkowe okno Steam, ale nie da się go przeciągnąć poza obszar karty, co jest najprostszym testem. Drugi to prośba o kod Steam Guard przesłana przez czat, e-mail albo „wsparcie techniczne”; kod jest jednorazowym potwierdzeniem operacji, a nie danymi do weryfikacji tożsamości, i nikt uprawniony nigdy o niego nie poprosi. Trzeci to oferty wymiany od nieznanych kont przychodzące zaraz po rejestracji, zwykle z przedmiotem wyglądającym na wartościowy. Czwarty to rozszerzenia przeglądarki obiecujące automatyzację otwierania skrzynek, które w praktyce czytają zawartość każdej odwiedzanej strony. W razie wątpliwości jedynym właściwym adresem do weryfikacji stanu konta jest oficjalne wsparcie Valve, a nie kanał, którym przyszła wiadomość. Kolejny krok po zabezpieczeniu konta opisujemy na stronie wypłaty i wymiana.

Praktyczna zasada, która wyklucza większość tych scenariuszy naraz, brzmi: nigdy nie inicjuj logowania z linku, który ktoś ci przysłał. Otwórz Steam samodzielnie, sprawdź stan konta u źródła i dopiero potem wróć do sprawy, z którą się do ciebie zwrócono — jeżeli była prawdziwa, nic na tym nie stracisz, a jeżeli nie była, właśnie ją unieszkodliwiłeś. Druga zasada dotyczy pośpiechu: komunikaty o rzekomym zablokowaniu konta, wygasającej ofercie albo trwającym postępowaniu są narzędziem skracania namysłu, a nie informacją, i sam fakt wywierania presji czasowej jest wystarczającym powodem do wstrzymania się. Trzecia dotyczy zakresu: żaden uprawniony podmiot, łącznie z redakcją tego serwisu, nigdy nie poprosi cię o hasło ani o kod z aplikacji. Sposób, w jaki kontaktujemy się z użytkownikami i czego nigdy nie robimy, opisujemy na stronie kontakt i zgłoszenia.

• Okno logowania w treści strony, którego nie da się przeciągnąć poza kartę przeglądarki.
• Prośba o kod Steam Guard przesłana czatem, e-mailem lub przez rzekome wsparcie.
• Oferty wymiany od nieznanych kont przychodzące tuż po rejestracji.
• Rozszerzenia przeglądarki obiecujące automatyzację otwierania skrzynek.
• Presja czasowa — komunikat o wygasającej ofercie albo blokadzie konta.