URL de intercambio de Steam: ¿de verdad es seguro compartirla?

La primera vez que un sitio externo de intercambio me pidió la URL de intercambio de Steam, me quedé con la mano quieta sobre el teclado.

¿Y si con ese enlace podían llevarse todos mis objetos? ¿Estaba cediendo el control de mi cuenta al sitio? Al final de la dirección aparecían números y un token que no significaban nada para mí. Tampoco se parecía a la URL del perfil que veía normalmente. Copiarla y pegarla sin más, sin una explicación clara, daba bastante mala espina.

La explicación de estos sitios suele ser breve: la dirección hace falta para enviar una oferta de intercambio. Pero ¿qué valor tiene que un sitio desconocido diga de sí mismo que es seguro? Entré precisamente para averiguar si podía confiar en él y, como primer paso, tenía que creer lo que ese mismo sitio contaba.

Tampoco había muchas comprobaciones que pudiera hacer por mi cuenta.

Podía probar primero con un objeto sin importancia o de poco valor, o confiar y seguir adelante. En la práctica, esas parecían ser las dos opciones. Si el primer intercambio terminaba bien, solo entonces pensaba: «Por lo menos aquí funciona». Sabía que una sola prueba pequeña no demostraba nada sobre todo el servicio, pero era casi lo único que alguien sin experiencia podía comprobar.

Con el tiempo llegué a pensar algo más.

Si alguien de verdad quisiera vaciarme el inventario, ¿no le resultaría más rápido robar la cuenta de Steam que depender de una sola URL de intercambio? El problema era que yo ni siquiera sabía qué permitía hacer esa URL. Al no conocer sus límites, no podía comparar riesgos. Y una dirección larga y extraña terminaba pareciéndose a la llave de la cuenta.

Hoy veo ese enlace de otra manera. Aun así, no quiero resumirlo con un «no tiene ningún riesgo, compártelo sin preocuparte». Que una URL de intercambio no sea una contraseña no significa que convenga entregarla a cualquier sitio.

Tampoco quiero partir de la conclusión de que todo es seguro y luego buscar argumentos para tranquilizarte. Primero hay que ver hasta dónde llega realmente esa dirección. Cuando el límite queda claro, también resulta más fácil saber qué no debería asustarte y en qué momento sí conviene detenerse.

Al principio no parecía un enlace, sino un permiso#

La falta de explicación inquietaba más que la propia dirección

Para quien ve una URL de intercambio por primera vez, términos como partner o token no dicen gran cosa. A un desarrollador o a alguien con años intercambiando objetos quizá le resulten familiares. A mí me parecían valores secretos que permitían entrar en alguna parte de la cuenta.

Además, quien solicita esos datos es un sitio ajeno a Steam. El simple hecho de copiar una dirección desde Steam y pegarla en un servicio externo se siente como cruzar una línea. No parece lo mismo que compartir un apodo o un perfil público. Da la impresión de estar autorizando algo y, dicho sin rodeos, de estar cediendo permisos.

No creo que esa reacción sea exagerada. Puedes llevar años usando Steam y no haber visto nunca una URL de intercambio si solo compras juegos y juegas. Nadie te ha explicado cómo se compone la dirección. Es normal desconfiar cuando un servicio externo te pide un dato que no entiendes.

Si buscas una explicación, encontrarás muchas respuestas cortas del tipo «solo es un enlace de intercambio, no pasa nada». Puede que no sean falsas, pero el nombre de la dirección no es lo que quieres saber.

¿Qué puede hacer exactamente alguien que tenga este enlace?

¿Puede aceptar una oferta sin mi permiso? ¿Puede iniciar sesión en mi cuenta? ¿Puede sacar objetos del inventario por su cuenta? ¿Puede el sitio seguir haciendo algo una vez terminado el intercambio?

Si esas preguntas siguen abiertas, escuchar únicamente «es seguro» apenas reduce la inquietud. Lo primero que yo necesitaba no era que me pidieran calma, sino entender el límite de lo que esa dirección permite hacer.

Esta dirección solo abre la puerta a una oferta#

Una URL de intercambio de Steam suele tener este aspecto:

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

A primera vista parece compleja, pero no hay tantos elementos que revisar. Está el dominio real de Steam Community, steamcommunity.com; la ruta /tradeoffer/new/, que abre una nueva oferta; el valor partner, que señala la cuenta de destino; y el token, que permite que alguien que no está en tu lista de amigos te envíe una oferta.

Según la guía oficial de Steam sobre las ofertas de intercambio, quien recibe tu URL única puede enviarte una oferta aunque no sea tu amigo. Por eso, dentro del intercambio de objetos, funciona de forma parecida a un dato de contacto: evita que las dos cuentas tengan que agregarse antes.

Eso es lo que la URL hace de manera directa. Nada más.

Enviar una oferta y aprobarla son dos cosas distintas

Una URL de intercambio no permite iniciar sesión en tu cuenta de Steam. Tampoco revela la contraseña, recibe por ti un código de Steam Guard, cambia la configuración de la cuenta ni aprueba en tu nombre una oferta que haya llegado.

Los objetos del inventario tampoco se mueven automáticamente porque otra persona conozca la dirección. El otro lado puede preparar una oferta, pero tú vuelves a revisar dentro de Steam qué objetos se envían y a quién. Si el intercambio requiere confirmación en la aplicación, esa etapa continúa existiendo por separado.

Entender esa diferencia fue lo que me permitió ver que la URL no era un documento con el que cedía el control de la cuenta. Se parece más a una dirección donde puedes recibir ofertas. Conocerla no da acceso al interior, aunque sí permite hacer llegar algo hasta la puerta.

Eso no quiere decir que debas publicarla por todas partes. Quien tenga el enlace también puede enviarte ofertas no deseadas o spam. Y si no sabes durante cuánto tiempo guarda la dirección un sitio, ese punto de contacto puede seguir abierto después de terminar el intercambio.

No es una clave secreta como los datos de inicio de sesión. Pero tampoco hay motivo para repartirla sin distinguir entre quien la necesita y quien no.

La frase «es seguro» no demostraba nada#

Lo más incómodo al evaluar un sitio externo era el círculo que se formaba: necesitaba pruebas antes de confiar, pero casi todas las pruebas de la página las aportaba el propio sitio. Un mensaje de seguridad, un contador de operaciones o una insignia pueden resultar convincentes sin que el visitante pueda verificarlos. Las reseñas tampoco resuelven por sí solas esa duda.

En ese momento solo veía dos opciones prácticas: probar con algo de poco valor o confiar en el operador. Era una posibilidad que me planteaba, no una operación que yo hubiera completado y pudiera presentar como prueba.

Una prueba pequeña seguiría siendo una apuesta, no una auditoría

Quien decida probar con un objeto que pueda permitirse perder puede comparar la oferta recibida con lo anunciado: la cuenta del bot, el objeto y las condiciones. Si todo coincide, solo queda confirmado que esa operación funcionó en ese momento. No demuestra cómo se gestionan los datos ni qué ocurrirá con la siguiente oferta.

El orden es malo para el usuario. El servicio no ofrece suficientes pruebas de antemano y el visitante termina cubriendo ese vacío con un objeto propio.

Un operador desconocido no puede eliminar todas las dudas antes de la primera operación. Sí puede mostrar con claridad la cuenta implicada, el estado de la operación, el inventario, las reglas de precio y sus límites. Ese problema de confianza es una de las razones por las que SteamVaults publica herramientas prácticas. Sirven para examinar cómo trabajamos; no garantizan la seguridad de todas las operaciones futuras.

Que una dirección diga Steam no la convierte en un enlace de Steam#

Cuando recibes una URL de intercambio, lo primero que debes mirar es el dominio real.

Que aparezca steamcommunity.com en alguna parte de la dirección no significa que el enlace pertenezca a Steam. Observa, por ejemplo, esta URL:

https://steamcommunity.com.example.com/tradeoffer/new/

Si solo lees el principio, parece de Steam. Sin embargo, el dominio real es example.com. Alguien puede colocar la palabra Steam al inicio de la dirección o dentro de la ruta y copiar incluso la pantalla de inicio de sesión. Con prisa, es fácil pasar por alto la diferencia.

En una URL de intercambio legítima, el host real debe ser steamcommunity.com. Conviene revisar en la barra de direcciones que la escritura no haya cambiado de forma casi imperceptible y que no aparezca otro dominio al final. Si abriste una URL acortada o una cadena de redirecciones, importa más la dirección final a la que llegaste que la primera que viste.

A veces pegamos una URL de perfil pensando que es la de intercambio

Las direcciones de perfil de Steam suelen parecerse a estas:

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

Ambas son direcciones legítimas de Steam, pero no son URL de intercambio. Una URL de perfil no incluye el token que necesita alguien que no está en tu lista de amigos para enviarte una oferta. Si pegas tu perfil en un sitio externo y no funciona, antes de concluir que el sitio está roto conviene revisar qué clase de dirección copiaste.

El enlace también puede quedar incompleto al copiarlo. Algunas aplicaciones de mensajería acortan lo que muestran, o quizá seleccionaste solo la parte visible y dejaste fuera el token. Otra posibilidad es que hayas generado una URL nueva y sigas intentando usar la anterior.

Para revisar el formato basta con mirar cuatro puntos:

• ¿El dominio real es steamcommunity.com?
• ¿La ruta contiene /tradeoffer/new/?
• ¿Está presente el valor partner?
• ¿El token está completo y sin cortes?

Aunque los cuatro puntos sean correctos, eso no garantiza que el intercambio vaya a completarse. Que la URL sea válida y que la cuenta o el objeto estén disponibles para intercambiar son cuestiones distintas. Los bloqueos de objetos, el estado de Steam Guard o una retención de intercambio no se pueden deducir solo por el aspecto del enlace.

Los problemas suelen aparecer después de la URL de intercambio#

Hay que volver a mirar en el momento de aprobar

Compartir el enlace, por sí solo, no hace desaparecer los objetos. Entonces, ¿dónde se producen los incidentes reales?

Normalmente la historia no termina en una URL. Es posible que alguien haya introducido sus credenciales en una página falsa de inicio de sesión de Steam, instalado un programa o una extensión de navegador de origen desconocido, o usado una cuenta o un equipo que ya estaban comprometidos. También puede haber aprobado una oferta sin leerla con atención.

La guía de Steam sobre intercambios recomienda no dejarse presionar por quien mete prisa y revisar por cuenta propia el perfil y los objetos. La explicación oficial sobre estafas que redirigen intercambios también insiste en comprobar otra vez la cuenta y el contenido que aparecen en la confirmación de la aplicación. Un nombre y una foto de perfil conocidos no bastan para demostrar que se trata de la misma cuenta.

Es fácil responder con un «¿por qué no lo revisaste mejor?». Pero las páginas falsas de inicio de sesión y las cuentas impostoras están diseñadas precisamente para que decidas con prisa. Te hacen sentir que vas a perder una gran oportunidad o te asustan con una supuesta sanción si no actúas en ese instante. Su objetivo es lograr que, en pocos minutos, hagas algo que con calma te habría parecido extraño.

Por eso es más útil conocer momentos concretos en los que debes detenerte que escuchar un vago «ten cuidado».

¿El formulario de un sitio externo pide tu contraseña de Steam o un código de Steam Guard? ¿La otra persona te obliga a instalar un programa o una extensión cuyo origen no conoces? Cuando vas a aprobar en la aplicación de Steam, ¿la cuenta, los objetos y las cantidades coinciden con lo que revisaste al principio? ¿Has comprobado el perfil real de Steam y el SteamID, en lugar de fiarte solo de la foto de la persona con la que estabas hablando?

Si algo falla en cualquiera de esos puntos, no hay motivo para apresurarse.

La URL de intercambio simplifica el inicio de una operación. No toma la decisión final por ti. Antes de que un objeto se mueva de verdad, debes comprobarlo una vez más dentro de Steam. Cuanto más te presione alguien para que apruebes rápido, más despacio conviene mirar.

No tienes por qué conservar una dirección que te incomoda#

Regenerar la URL es la forma más sencilla de cortar ese punto de contacto

Si ya no confías en un sitio que utilizaste tiempo atrás o publicaste la URL de intercambio en un lugar abierto, puedes generar una dirección nueva desde Steam.

Al crear una nueva URL en la página de privacidad de ofertas de intercambio de Steam, la dirección anterior deja de funcionar. Es la manera más directa de dejar de recibir ofertas a través de un enlace que compartiste en el pasado. Si quieres seguir utilizando algún servicio, tendrás que actualizar allí la dirección registrada.

Sin embargo, si introdujiste la contraseña en una página sospechosa que imitaba a Steam, ves intercambios que no creaste o hay dispositivos desconocidos conectados a tu cuenta, cambiar solo la URL no basta. En ese caso debes revisar toda la seguridad: la contraseña, Steam Guard, las sesiones y dispositivos conectados, la Steam Web API Key y el historial de intercambios.

Que alguien conozca tu URL de intercambio y que tu cuenta haya sido comprometida no son el mismo incidente. Distinguirlos ayuda a no entrar en pánico por un enlace y, al mismo tiempo, a no restar importancia a señales reales de acceso no autorizado.

Como la confianza era difícil de explicar, empezamos por las herramientas#

Después de crear SteamVaults, el problema seguía allí.

Podíamos repetir muchas veces que éramos seguros, pero eso no daba a quien llegaba por primera vez un motivo para creernos. Es sencillo colocar en grande frases como «es seguro» o «puedes confiar». Cualquier sitio puede escribirlas.

Decir que la confianza importa no es lo mismo que demostrarla. Lo segundo era mucho más difícil.

Por eso empezamos a crear herramientas que también sirven antes de realizar un intercambio. Un analizador que revisa el host real y el formato de los enlaces de Steam y de las URL de intercambio; una herramienta que consulta en un inventario público si un objeto se puede intercambiar y hasta qué fecha está bloqueado; y páginas para revisar por separado las condiciones de retención y las comisiones del Mercado de la Comunidad de Steam.

Un analizador de URL no demuestra por sí solo que SteamVaults, en su conjunto, sea fiable. Que una herramienta funcione correctamente tampoco verifica cada parte de nuestras operaciones. Pero sí permite salir un paso de la situación en la que no sabes nada y solo escuchas «confía en nosotros».

También está bien usar una herramienta e irse sin intercambiar

Alguien puede pegar una dirección en el analizador de enlaces y URL de intercambio de Steam y marcharse del sitio. Puede consultar cuánto dura una retención y decidir que esta vez no moverá el objeto. Puede calcular una comisión y elegir otro método.

Eso ya es suficiente.

Si cada herramienta tiene que empujar a la persona hacia el botón de intercambio, entonces sigue siendo solo una parte del proceso de venta. Para que sea realmente útil, también debe servir a quien decide no intercambiar. Así puedes comprobar el resultado del sitio sin poner primero tus objetos en juego.

La confianza no aparece de inmediato. Pero una prueba con algo de poco valor deja de ser la única forma de comprobar. Puedes desconfiar primero de lo que muestre la herramienta, compararlo con otra fuente, decidir si coincide y marcharte.

A mí me parece un orden mejor.

Si el analizador promete demasiado, se vuelve más peligroso#

Primero limitamos con claridad lo que puede comprobar

El analizador de URL de intercambio de SteamVaults revisa el host real y la ruta de la dirección que introduces. Si se trata de una URL de intercambio, muestra si contiene partner y token, si algún valor está cortado o tiene un formato incorrecto, y si es posible calcular el SteamID64 relacionado. También distingue una URL de perfil pegada por error de un dominio ajeno que imita a Steam.

El enlace que introduces se procesa dentro del navegador. No diseñamos la comprobación para enviar la URL a un servidor, almacenarla o dejarla en registros de análisis. Revisar un dato que te parece sensible no debería crear otro punto de exposición.

También hay cosas que la herramienta no puede hacer.

No puede conocer la intención de quien opera un sitio. Un estafador también puede utilizar una URL de intercambio con formato correcto. Que el enlace sea legítimo no convierte en fiable a la cuenta del otro lado. Tampoco es posible conocer, a partir de una URL, todas las restricciones de la cuenta, el estado de Steam Guard o el contenido de una oferta que todavía no ha llegado.

El analizador comprueba el enlace, no la cuenta completa. Mucho menos puede leer la mente de la otra persona.

Si afirmáramos que cubre más de lo que realmente cubre, la herramienta sería más peligrosa, porque haría creer que puede comprobar lo que no puede. Es mejor mostrar con precisión hasta dónde llega lo que se puede leer en el enlace y dejar claro qué queda por revisar después.

Lo importante no es compartir o no, sino poder decidir con información#

El último control sigue en manos del dueño de la cuenta

Si me preguntas si se puede compartir una URL de intercambio de Steam, mi respuesta se acerca a un «sí, con condiciones».

Puedes entregarla a una persona o a un servicio que necesite enviarte una oferta. La dirección no es tu contraseña de Steam, y compartirla tampoco cede el control de la cuenta. El otro lado puede proponer un intercambio, pero no puede aprobarlo por ti ni sacar objetos únicamente con esa URL.

Eso no la convierte en una dirección para publicar en cualquier lugar. Sigue teniendo sentido revisar en qué sitio la introduces, cuál es el dominio real y si el servicio conserva el enlace después del intercambio. Si ya no quieres compartirla, puedes generar una nueva.

Al principio yo no conocía esos límites. Por eso el enlace me parecía un permiso y sentía que solo podía elegir entre probar con algo pequeño o confiar sin más. Hoy tampoco pretendo pedir a quien llega por primera vez que nos crea a ciegas. La confianza no aparece porque el operador la declare.

Por eso seguimos ampliando lo que se puede comprobar antes de intercambiar. También intentamos mostrar el punto donde las herramientas dejan de llegar. Si alguien usa solo el analizador y se marcha sin hacer una operación, no lo considero un fracaso.

Si ahora entiende qué significa ese enlace y sabe qué revisar en el siguiente intercambio, ya ha obtenido algo útil.

Al menos no tendrá que pegar la dirección con la sensación de estar entregando un permiso cuyo alcance desconoce.

SteamVaults no está operado ni respaldado oficialmente por Valve. Es un servicio independiente de un tercero, y el análisis del enlace solo explica señales técnicas que se pueden leer en la URL. No garantiza la fiabilidad de una persona, un sitio externo ni una oferta concreta.