Steam取引URL、本当に他人へ共有しても大丈夫？

初めて外部の取引サイトでSteam取引URLを入力するよう求められたとき、手が止まりました。

このリンク一つで、インベントリのアイテムを全部持っていかれるのではないか。サイトへアカウントの権限を丸ごと渡すことになるのではないか。URLの末尾には意味の分からない数字とトークンまで付いていました。普段見ているプロフィールURLとは形も違います。説明もないままコピーして貼り付けるには、かなり気味の悪いものでした。

サイト側の説明は、たいてい短いものです。トレードオファーを送るために必要なURLだというだけ。とはいえ、初めて見るサイトが自分で「安全です」と書いていることに、どれほどの意味があるのでしょう。その説明を信用できるか確かめに来たのに、結局また、そのサイトの言葉から信じなければなりません。

自分で試せる確認方法も、ほとんどありませんでした。

大切ではないアイテムや少額で先に試すか、そのまま信じて進めるか。実質、その二択でした。最初の取引が何事もなく終わって、ようやく「ここはひとまず動くようだ」と思えます。一度の少額取引でサイト全体の安全性までは証明できないと分かっていても、普通の利用者にできることはそれくらいでした。

そのうち、こんなことまで考えました。

本当に誰かが私のアイテムを全部奪おうとしているなら、取引URL一つに頼るより、Steamアカウントそのものを乗っ取るほうが早いのではないか。当時の私は、取引URLで何ができるのかさえ知りませんでした。知らないから比べられず、比べられないから、長いURL一つがアカウントの鍵のように見えたのです。

今では、このリンクを以前とは違うものとして見ています。だからといって、「危険は何もないので、気軽に共有して大丈夫です」と言うつもりはありません。取引URLがパスワードではないという事実と、どのサイトに渡してもよいという話は、まったく別だからです。

安全だという結論を先に決めて、そこへ誘導するつもりもありません。まずは、このURLがどこまでの扉を開くのかを見ていきます。その境界が分かれば、何を必要以上に怖がらなくてよいのか、逆にどの場面で手を止めるべきかも見えてきます。

最初はリンクではなく、権限のように見えました#

不安の正体は、URLよりも説明の空白でした

取引URLを初めて見る人にとって、partnerやtokenといった単語には何の意味もありません。開発者や長く取引してきた人には見慣れたものなのでしょう。私には、アカウントの内側へ入るための秘密の値に見えました。

しかも、その値を求めてくるのはSteamの外にあるサイトです。SteamでコピーしたURLを外部サービスへ入力する。その行為だけで、心理的な一線を越えるような感覚があります。ニックネームや公開プロフィールを教えるのとは違い、サイトに何かを許可する手続き、もっと率直にいえば、権限を譲り渡す手続きのように感じます。

こうした反応を、過剰だとは思いません。Steamを長く使っていても、ゲームを買って遊ぶだけなら取引URLを見る機会はなかったはずです。URLの仕組みを誰かに教わったわけでもないのに、よく分からない値を外部サービスへ渡して不安になる。それはむしろ自然なことです。

不安を解消しようと検索すると、「ただの取引リンクなので大丈夫」という短い回答がたくさん出てきます。間違いではないのでしょう。ただ、知りたいのはURLの呼び名ではありません。

このリンクを知った相手は、いったいどこまでできるのか。

私の許可なくオファーを承認できるのか。アカウントにログインできるのか。インベントリから勝手にアイテムを取り出せるのか。入力したサイトは、取引が終わった後も何かできるのか。

この疑問が残ったまま「安全です」と結論だけ聞かされても、不安はほとんど減りません。私が最初に必要としていたのは安心するよう促す言葉ではなく、このURLでできることの境界でした。

このURLが開くのは、トレードオファーまでです#

Steam取引URLは、通常このような形をしています。

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

初見では複雑ですが、分解すると見る場所は多くありません。Steam Communityの正式なドメインであるsteamcommunity.com、新しいトレードオファーを開く/tradeoffer/new/というパス、相手のアカウントを示すpartner、フレンドでない人からもオファーを受け取れるようにするtokenです。

Steamのトレードオファーに関する公式案内によると、固有の取引URLを受け取った人は、フレンドでなくてもそのアカウントへトレードオファーを送れます。毎回フレンド登録から始める必要がないため、アイテム取引では連絡先に近い役割をします。

取引URLが直接できるのは、ここまでです。

オファーを送ることと、承認することはまったく別です

取引URLだけでSteamアカウントにログインすることはできません。パスワードを知ることも、Steam Guardコードを代わりに受け取ることもできません。アカウント設定を変えたり、届いたトレードオファーをアカウント所有者の代わりに承認したりする機能も、このリンクにはありません。

URLを知っているだけで、インベントリのアイテムが自動的に移動することもありません。相手はオファーを作れますが、どのアイテムを誰へ渡すのかはSteam内で改めて確認します。モバイル認証が必要な取引なら、その確認も別に残っています。

この違いを知って、ようやく取引URLはアカウント権限を渡す書類ではないと理解できました。アカウントの鍵というより、トレードオファーを受け取るための宛先に近いものです。住所を知っていても家の中へは入れませんが、玄関先に何かを届けることはできる。そんな位置づけです。

もちろん、公開掲示板のあちこちへ貼ってよいという意味ではありません。リンクを知った人は、不要なオファーやスパムを送ることもできます。どのサイトがURLを保存し続けるのか分からなければ、取引後もその接点が残る可能性があります。

ログイン情報と同じ秘密鍵ではありません。それでも、必要な相手とそうでない相手を区別せず広める理由はありません。このあたりが、取引URLの実際の位置づけです。

「安全です」という表示だけでは、何も証明されませんでした#

外部の取引サイトを判断するとき、いちばん困ったのは根拠の出どころでした。信じる前に確認したいのに、画面上の根拠のほとんどはサイト自身が示しています。セキュリティの文言や取引件数、安全をうたうバッジは、第三者が確認できなくても説得力があるように見せられます。口コミだけで決めるのも難しいところです。

当時、現実的な選択肢として思い浮かんだのは、少額で試すか、運営者を信じるかの二つでした。ここでいう少額テストは、私が実際に完了した取引ではありません。知らないサイトを前にした利用者が考えそうな方法の話です。

少額テストでも、監査にはなりません

失っても負担の小さいアイテムで試すなら、届いたオファーが案内どおりかは確認できます。ボットアカウント、アイテム、条件を照合する程度です。問題なく終わっても、その時点の一件が動いたと分かるだけ。内部管理や情報の扱い、次のオファーまでは確かめられません。

利用者から見ると、順序が逆です。サービスが事前に示せなかった根拠を、自分のアイテムで補うことになります。

初めて見る運営者への不安を、最初の取引前にすべて消すことはできません。それでも、相手のアカウント、取引状況、在庫、価格の仕組み、制約は先に見せられます。SteamVaultsが実用的なツールを公開する理由の一つです。ただし、ツールは運営方法を確認する材料であって、今後の取引すべてを保証するものではありません。

URLにSteamと見えても、Steamのリンクとは限りません#

取引URLを受け取ったら、まず実際のドメインを確認します。

URLのどこかにsteamcommunity.comという文字列が見えても、すべてがSteamのリンクとは限りません。たとえば、次のURLを見てください。

https://steamcommunity.com.example.com/tradeoffer/new/

先頭部分だけを追えばSteamに見えますが、実際のドメインはexample.comです。URLの前のほうやパスにSteamという単語を入れ、ログイン画面まで似せられると、急いでいる人は違いを見落としやすくなります。

正しい取引URLなら、実際のホストはsteamcommunity.comです。つづりがわずかに変えられていないか、後ろにまったく別のドメインが付いていないかを、アドレスバーで確認する必要があります。短縮URLや何度も転送されるリンクを開いた場合は、最初のURLよりも最後に到着したURLを見るほうが確実です。

プロフィールURLを取引URLだと思って貼り付けることもあります

SteamのプロフィールURLは、だいたい次のような形です。

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

どちらも正しいSteamのURLです。ただし、取引URLではありません。プロフィールを表示するURLには、フレンドでない相手からトレードオファーを受け取るためのトークンがありません。外部サイトへプロフィールURLを貼って動かなかったなら、サイトの不具合を疑う前に、URLの種類を確認したほうがよいでしょう。

コピーする途中でURLの末尾が切れることもあります。メッセージアプリがURLを短く表示していたり、画面に見える部分だけを選んでコピーした結果、tokenが抜けたりするケースです。新しいURLを発行した後も、以前のリンクを使い続けているかもしれません。

形式を確認するときは、次の四点で十分です。

• 実際のドメインがsteamcommunity.comか
• パスに/tradeoffer/new/が含まれているか
• partnerの値があるか
• tokenが欠けたり途中で切れたりしていないか

四つすべてが正しくても、取引の成功までは保証されません。URLが正しいことと、アカウントやアイテムが今すぐ取引できることは別の問題です。アイテムのロック、Steam Guardの状態、取引保留といった条件は、URLの形だけでは判断できません。

トラブルは取引URLそのものより、その先で起こります#

リンクではなく、承認する瞬間をもう一度確認します

リンクを共有しただけで、アイテムが消えるわけではありません。では、実際のトラブルはどこで起きるのでしょうか。

多くの場合、URL一つで完結する話ではありません。偽のSteamログイン画面へアカウント情報を入力した、出所の分からないプログラムやブラウザー拡張機能をインストールした、すでにアカウントやパソコンが侵害されていた、といった状況が考えられます。相手から届いたオファーをよく読まずに承認した可能性もあります。

Steamの取引に関する案内では、取引を急がせる相手に流されず、相手のアカウントとアイテムを自分で確認するよう説明しています。取引リダイレクト詐欺に関する公式案内でも、モバイル認証画面に表示された相手と取引内容をもう一度確認することが強調されています。名前やプロフィール画像が見慣れているからといって、同じアカウントだと決めつけてはいけないということです。

これを見て、「どうしてきちんと確認しなかったのか」と言うのは簡単です。しかし、偽のログインページやなりすましアカウントは、そもそも人に急いで判断させるよう作られています。大きな利益を逃すと思わせて急かし、今すぐ動かなければアカウントが制限されると脅します。普段なら不審に思う行動を、数分のうちに終えさせるのが狙いです。

だからこそ、漠然と「気をつけてください」と言うより、手を止めるべき場面を具体的に知っておくほうが役に立ちます。

外部サイトの入力欄がSteamのパスワードやSteam Guardコードを求めていないか。相手が、出所の分からないプログラムや拡張機能を入れるよう指示していないか。モバイルアプリで承認しようとしているオファーの相手、アイテム、数量は、最初に確認した内容と同じか。直前まで話していた相手のプロフィール画像ではなく、実際のSteamプロフィールとSteamIDを確認したか。

一つでもおかしければ、急ぐ理由はありません。

取引URLは取引の始まりを楽にしてくれます。最後の判断まで代わってはくれません。アイテムが実際に動く前に、Steamの中でもう一度確認する必要があります。早く承認するよう求められるほど、ゆっくり見るべきです。

不安の残るURLを、そのまま使い続ける必要はありません#

URLの再発行は、接点を切るいちばん簡単な方法です

以前利用したサイトがもう信用できない、あるいは取引URLを公開の場所へ貼ってしまった。そのようなときは、Steamで新しいURLを発行できます。

Steamのトレードオファーに関するプライバシー設定ページで新しいURLを作ると、以前のURLは使えなくなります。過去に渡したリンクから、これ以上オファーを受け取りたくないときの最も直接的な整理方法です。今後も利用するサービスがある場合は、そちらに登録したURLも更新します。

ただし、不審なSteamログインページへパスワードを入力した、自分で作っていない取引が見つかった、知らない端末がアカウントにつながっている、といった場合は、URLを変えるだけで済む問題ではありません。そのときはパスワード、Steam Guard、ログイン中の端末、Steam Web APIキー、取引履歴まで、アカウント全体のセキュリティを確認する必要があります。

取引URLを知られたことと、アカウントが侵害されたことは同じ出来事ではありません。二つを分けて考えることで、URL一つに必要以上におびえず、実際の侵害の兆候も軽く扱わずに済みます。

信頼を言葉で説明しにくいから、まず道具を増やしました#

SteamVaultsを作った後も、同じ問題が残りました。

私たちが何度「安全です」と伝えても、初めて来た人がそれを信じる理由は自然には生まれません。「安全です」「信頼できます」と大きく書くのは簡単です。どのサイトでも書けるからです。

信頼が大切だと語ることと、実際に信頼の根拠を見せることは違いました。後者のほうが、はるかに難しい仕事でした。

そこで、取引をしなくても使える道具から作り始めました。Steamのリンクや取引URLの実際のホストを確認し、形式が正しいかを見る分析ツール。公開インベントリから取引可能な状態とロック解除日を確かめる道具。取引保留の条件やSteamコミュニティマーケットの手数料を個別に調べられるページ。いずれも、その試みの一つです。

URL分析ツール一つで、SteamVaultsのすべてを証明できるわけではありません。道具が正しく動いたからといって、取引運営の全工程まで検証できるわけでもありません。それでも、何も分からないまま「私たちを信じてください」という言葉だけを聞く状態からは、一歩離れられます。

取引せずに、そのまま離れてもかまいません

Steamリンク・取引URL分析ツールへURLを一つ入力し、そのままサイトを閉じてもかまいません。取引保留の期間を確認して、今回はアイテムを動かさないと決めてもよいでしょう。手数料を計算したうえで、別の方法を選んでも問題ありません。

それだけでも十分です。

すべての道具が最後には取引ボタンへ人を押し込むのであれば、その道具も営業手順の一部にとどまります。取引しない人にとっても役に立つものでなければ、自分のアイテムを先に差し出さずに、サイトが出した結果を確かめることはできません。

信頼は、すぐには生まれないでしょう。それでも、少額テストしか確認方法がない状態からは抜け出せます。私たちの説明を信じる前に、道具の結果を疑ってもかまいません。ほかの結果と自分で比べ、正しいと判断してから離れてもよいのです。

私は、その順番のほうがよいと考えています。

分析ツールが境界を越えると、かえって危険になります#

確認できる範囲を、最初から限定しました

SteamVaultsの取引URL分析ツールは、入力したURLの実際のホストとパスを確認します。取引URLならpartnerとtokenがあるか、値が欠けたり形式が間違ったりしていないか、対応するSteamID64を計算できるかも示します。プロフィールURLを誤って貼った場合や、Steamを装った別のドメインだった場合も、その違いを区別します。

確認のために入力したURLは、ブラウザーの中で処理します。URLを調べるという理由でサーバーへ送り、保存したり分析ログに残したりする仕組みにはしていません。敏感だと感じる情報を確認する工程が、新たな漏えい箇所になってはならないと考えたためです。

一方で、できないこともはっきりしています。

この道具は、サイト運営者の意図を見抜けません。形式の正しい取引URLを使う詐欺師もいます。リンクが正しいからといって、相手のアカウントまで信頼できるわけではありません。アカウントにあるすべての取引制限やSteam Guardの状態、これから届くオファーの内容も、URL一つからは分かりません。

分析ツールが確認するのはリンクです。アカウント全体ではありません。まして、取引相手の考えまでは読めません。

ここで境界を越えた説明をすると、分析ツール自体が危険になります。できないことまでできると、利用者に思わせてしまうからです。URLから読み取れる範囲だけを正確に示し、その先の判断をどこで続けるべきかを残すほうがよいと考えています。

共有するかより、理解して自分で決められることが大切です#

最後の決定権は、アカウントの持ち主に残ります

Steam取引URLを共有してもよいかと聞かれたら、私の答えは条件付きで「はい」に近いものです。

トレードオファーを受け取る必要があるサービスや相手には渡せます。このURLはSteamのパスワードではなく、リンクを渡したことでアカウントの権限を譲るわけでもありません。相手にできるのはオファーを送ることです。URL一つで、アカウントの持ち主に代わって承認したり、アイテムを取り出したりはできません。

ただし、どこにでも載せてよいURLではありません。どのサイトへ入力するのか、実際のドメインはどこか、取引が終わった後もURLを保存するのかを確認する理由は十分にあります。もう共有したくなければ、新しいURLも発行できます。

最初の私は、こうした境界を知りませんでした。だからリンクそのものが権限のように見え、少額で試すか、そのまま信じるかしか選択肢がないと感じていました。今でも、初めて来た人に無条件で信じてほしいとは思いません。信頼は、運営者が自分で宣言しただけでは生まれないからです。

そのため、取引前に自分で確認できることを一つずつ増やしています。道具の届かない範囲も、同時に示すようにしています。取引をせず、分析ツールだけを使って帰ったとしても、失敗だとは考えません。

リンク一つが何を意味するのかが分かり、次の取引でどこを確認すべきかを区別できたなら、それで十分です。

少なくとも、正体の分からない権限を渡すような気持ちでURLを貼り付ける必要は、もうありません。

SteamVaultsはValveが運営するサービスでも、Valveから公式承認を受けたSteamサービスでもありません。独立した第三者によるサービスです。リンクの分析結果も、URLから読み取れる技術的な手掛かりだけを説明するもので、特定の取引相手や外部サイトの信頼性を保証するものではありません。