API-ключ Steam (Steam Web API key) — это ключ доступа к Steam Web API. По умолчанию у аккаунта его нет, и обычному игроку он не нужен. В этом материале разберём, что такое API-ключ Steam, где его найти и как проверить, как удалить или отозвать, а также что такое Steam API scam — схема, при которой мошенники через украденную сессию создают такой ключ и подменяют ваши обмены, чтобы увести скины. Ниже пошагово: как проверить аккаунт, обезопасить его и не потерять предметы при трейде.
Что такое API-ключ Steam
Steam Web API key создаётся вручную на официальной странице Steam Web API Key. Сам по себе он не пароль от аккаунта, но вместе с украденной сессией его используют, чтобы отслеживать торговые предложения и подменять обмены. Важно не путать три разные вещи:
API-ключ Steam (Steam Web API key) — создаётся вручную на странице разработчика; по умолчанию его нет.
Сессионные токены и cookies — данные авторизации, которые появляются после входа в аккаунт. Если их украли через фишинг, поддельный QR-код или вредоносное расширение, злоумышленник может действовать от имени аккаунта, пока сессия не сброшена.
Trade URL (ссылка на обмен) — отдельная вещь: сама по себе доступа к аккаунту не даёт, но если аккаунт уже скомпрометирован, её стоит сменить вместе с паролем и API-ключом.
Где найти API-ключ Steam
Найти и проверить API-ключ можно на официальной странице: steamcommunity.com/dev/apikey. Если ключа у вас нет, вы увидите форму регистрации нового ключа с полем «Домен» и галочкой условий использования. Для обычного игрока это нормальное состояние — ключа быть не должно.
Если же на странице показан готовый ключ и домен, значит ключ уже создан. Если вы не делали этого сами, относитесь к этому как к признаку компрометации аккаунта.
Как проверить, есть ли у вас API-ключ
Зайдите на страницу Steam Web API Key под своим аккаунтом. Блок «Your Steam Web API Key» с ключом и доменом означает, что ключ зарегистрирован.
Повторимся: по умолчанию ключа быть не должно — для отправки обменов и обычных действий он не нужен. Если ключ есть, а вы его не создавали, сразу отзовите его (следующий раздел) и смените пароль.
Как удалить, отозвать или сменить API-ключ Steam
Удалить или сменить ключ можно там же, на странице dev/apikey: нажмите «Revoke My Steam Web API Key» («Отозвать»). Генерировать новый ключ после этого не нужно — обычному аккаунту он не требуется.
Если вы вводили данные на подозрительном сайте или подтверждали QR-вход, одного отзыва ключа мало — считайте, что могла утечь вся сессия. В этом случае по порядку:
Отзовите (удалите) API-ключ на странице разработчика.
Смените пароль Steam и пароль от привязанной почты.
Выйдите со всех устройств и проверьте Steam Guard.
Смените ссылку на обмен (Trade URL).
Что такое Steam API scam и как он работает
Steam API scam — это схема, при которой злоумышленники получают доступ не к одному API-ключу, а к вашей Steam-сессии или аккаунту, после чего создают Steam Web API key для подмены обменов.
После компрометации на странице dev/apikey может появиться ключ, которого вы не создавали, — Steam не присылает об этом уведомлений. Дальше какое-то время ничего не происходит. Но когда вы решите обменять предметы (это может случиться и через несколько месяцев), мошенники отследят созданный обмен, отменят оригинальный трейд и создадут новый — уже на своего бота-имитатора. В истории обменов появятся два предложения с одинаковыми предметами: одно настоящему адресату, другое мошенническому боту, у которого могут подделать имя и аватар под настоящего получателя. Как только вы подтвердите обмен, скины уйдут мошенникам. Steam описывает это как подмену (перенаправление) обмена.
Как мошенники крадут сессию
Чаще всего сессию крадут фишинговые сайты — двойники маркетов и сервисов, фейковые окна Steam, поддельный QR-вход, вредоносные расширения браузера и угнанные аккаунты друзей, присылающие ссылки от имени знакомого. Повод выглядит безобидно: «проголосуй за предмет в Мастерской», «зарегистрируйся на турнир», «проверка скина», «верификация аккаунта», «безопасный трейд».
Ключевое отличие видно в момент входа через Steam. Настоящий сайт перенаправляет вас на официальный домен Steam (Steam OpenID): если вы уже вошли в Steam в этом браузере, обычно достаточно нажать «Войти», без повторного ввода логина и пароля и без сканирования QR.
Мошеннический сайт покажет поддельное окно входа, попросит ввести данные прямо на своей странице или предложит отсканировать QR-код, который подтверждает вход не вам, а злоумышленнику. QR-вход Steam безопасен только на официальном домене Steam.
Что изменилось после Trade Protection
Для CS2-предметов Steam добавил Trade Protection. После обмена такие предметы находятся под защитой 7 дней: их можно использовать в игре, но нельзя передавать дальше, модифицировать или расходовать. Если аккаунт скомпрометировали и предметы ушли через мошеннический обмен, сделку с защищёнными предметами можно отменить в течение этого срока через историю обменов.
Важно: Trade Protection — это последний шанс, а не замена внимательности. При отмене защищённой сделки Steam возвращает предметы участникам, но накладывает на аккаунт ограничение на торговлю и Steam Community Market на 30 дней. Лучше не доводить до реверса, а проверять трейд до подтверждения в мобильном аутентификаторе.
Как защититься от Steam API scam
Если при обмене на LIS-SKINS вы увидели предупреждение, что обмен отменён Steam, — не подтверждайте трейд и выполните шаги по защите аккаунта. Именно так выглядит попытка подмены.
Базовые правила, которые закрывают большинство сценариев Steam API scam:
Проверяйте домен в адресной строке перед входом через Steam: настоящая авторизация идёт только на официальном домене Steam, а не во встроенном окне стороннего сайта.
Не вводите данные и не сканируйте QR на подозрительных страницах; осторожно относитесь к ссылкам от незнакомых и даже от друзей — их аккаунт мог быть взломан.
Не ставьте сомнительные расширения для «автоподтверждений», проверки цен или улучшения маркета.
Регулярно проверяйте наличие API-ключа и историю обменов; перед подтверждением сверяйте имя, уровень, аватар и дату регистрации получателя.
Помните: Steam Support никогда не добавляется в друзья и не просит передать скины на «безопасный аккаунт» — любая такая просьба это скам.
Продавайте и обменивайте скины только на проверенных площадках.
Подробнее — в наших гайдах о том, как защитить инвентарь от мошенников и о крупнейшей мошеннической схеме в истории Steam. А покупать и продавать скины безопасно можно на маркете LIS-SKINS.
Частые вопросы
Нужен ли обычному игроку API-ключ Steam?
Нет. Для покупки, продажи и обмена скинов API-ключ не нужен — по умолчанию его у аккаунта нет. Если ключ появился, а вы его не создавали, это повод проверить безопасность аккаунта.
Опасен ли сам по себе API-ключ?
Сам ключ — нет. Опасна украденная сессия: именно с ней ключ превращается в инструмент подмены обменов. Поэтому важнее не «спрятать» ключ, а не отдавать мошенникам доступ к аккаунту.
Как понять, что трейд подменили?
В истории обменов появляются два предложения с одинаковыми предметами, одно из которых отменено. Перед подтверждением сверьте имя, уровень, аватар и дату регистрации получателя — у бота-имитатора они обычно отличаются.
Можно ли вернуть скины после подмены?
Для CS2-предметов — да, если успеть в 7-дневное окно Trade Protection и отменить сделку через историю обменов (с последующим ограничением аккаунта на 30 дней). Предметы без защиты вернуть, как правило, нельзя.
