URL de troca da Steam: é seguro compartilhar?

Na primeira vez que um site externo de negociação pediu minha URL de troca da Steam, eu travei.

Será que alguém poderia usar aquele link para levar todos os meus itens? Eu estaria entregando o controle da minha conta ao site? A URL ainda vinha com uma sequência de números e um token que eu não entendia. Não se parecia com o endereço de perfil que eu conhecia. Copiar e colar aquilo sem explicação nenhuma dava uma sensação bem ruim.

As explicações desses sites costumam ser curtas: o endereço é necessário para enviar uma oferta de troca. Só que uma dúvida continuava ali. Quanto vale um site desconhecido dizer, por conta própria, que é seguro? Eu tinha entrado justamente para descobrir se podia confiar nele e, para chegar à resposta, precisava começar acreditando no que o próprio site dizia.

Também não havia muita coisa que eu pudesse testar sozinho.

Ou eu fazia uma primeira tentativa com um item sem importância, ou com um valor pequeno, ou simplesmente confiava e seguia em frente. Na prática, eram essas as opções. Quando a primeira troca terminava sem problema, eu enfim pensava: “Pelo menos aqui funciona”. Eu sabia que uma única operação pequena não provava a segurança de um site inteiro. Mesmo assim, era quase tudo que uma pessoa comum conseguia verificar.

Cheguei a pensar em outra coisa.

Se alguém realmente quisesse esvaziar meu inventário, não seria mais rápido invadir minha conta Steam do que ficar dependendo de uma URL de troca? O problema é que, naquela época, eu nem sabia o que esse link era capaz de fazer. Sem entender o alcance dele, não havia como comparar os riscos. E, sem comparação, aquela URL enorme parecia a chave da conta.

Hoje eu enxergo o link de outra forma. Isso não significa que eu vá dizer “não existe risco nenhum, pode compartilhar à vontade”. Saber que a URL de troca não é uma senha não é a mesma coisa que afirmar que você deve entregá-la a qualquer site.

Também não quero começar pela conclusão de que tudo é seguro e tentar convencer você depois. Primeiro, vale entender até onde esse endereço abre a porta. Quando o limite fica claro, dá para separar o que não merece pânico daquilo que realmente pede uma pausa.

No começo, o link parecia uma permissão#

A falta de explicação assustava mais que o endereço

Para quem nunca viu uma URL de troca, palavras como partner e token não dizem nada. Talvez sejam familiares para um desenvolvedor ou para quem negocia itens há anos. Para mim, pareciam valores secretos usados para entrar em alguma área interna da conta.

E quem pede esses valores é um site fora da Steam. Só o ato de copiar um endereço da Steam e colá-lo em um serviço externo já parece atravessar uma linha. Não dá a mesma sensação de informar um apelido ou mostrar um perfil público. Parece uma etapa de autorização — ou, sendo mais direto, uma transferência de permissão.

Não considero essa reação exagerada. Uma pessoa pode usar a Steam há muito tempo e nunca ter encontrado uma URL de troca se só compra e joga. Ninguém ensinou a ela como aquele endereço funciona. É natural desconfiar antes de entregar a um serviço externo algo que você não entende.

Ao pesquisar, aparecem muitas respostas curtas: “É só um link de troca, não tem problema”. Talvez a frase esteja tecnicamente correta. Mas a dúvida não é como o endereço se chama.

A pergunta é: até onde alguém consegue ir com esse link?

Essa pessoa pode aceitar uma oferta sem minha autorização? Consegue entrar na conta? Pode tirar itens do inventário por conta própria? O site continua podendo fazer alguma coisa depois que a troca termina?

Quando essas perguntas ficam sem resposta, ouvir apenas “é seguro” quase não reduz a insegurança. O que eu precisava primeiro não era de um pedido para ficar tranquilo. Era do limite exato do que aquela URL permitia fazer.

A URL abre a porta apenas para uma oferta#

Uma URL de troca da Steam costuma ter este formato:

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

À primeira vista parece complicado, mas há poucos pontos importantes. O domínio oficial da Steam Community, steamcommunity.com; o caminho /tradeoffer/new/, que abre uma nova oferta; o parâmetro partner, que identifica a conta; e o token, que permite que alguém fora da lista de amigos envie a proposta.

Segundo a página oficial da Steam sobre Trade Offers, quem recebe a URL exclusiva consegue mandar uma oferta para aquela conta mesmo sem ser amigo. Como não é preciso adicionar cada pessoa antes, o link acaba funcionando quase como um endereço de contato no comércio de itens.

É até aí que a URL de troca atua diretamente.

Enviar uma oferta e aprová-la são coisas bem diferentes

A URL, sozinha, não permite entrar na conta Steam. Ela não revela a senha, não recebe um código do Steam Guard no seu lugar e não altera as configurações da conta. Também não dá a outra pessoa o poder de aprovar uma proposta que chegou para você.

Os itens não saem automaticamente do inventário só porque alguém conhece o endereço. A outra parte pode montar uma oferta, mas você ainda confere dentro da Steam quais itens vão para quem. Quando a operação exige confirmação pelo celular, essa etapa também continua separada.

Foi só depois de entender essa diferença que deixei de enxergar a URL como um documento que entregava o controle da conta. Ela se parece mais com um endereço para receber ofertas. Saber o endereço não deixa ninguém entrar na casa, embora permita chegar até a porta.

Isso não quer dizer que seja uma boa ideia espalhar o link por qualquer fórum. Quem o possui também pode enviar propostas indesejadas ou spam. E, se você não sabe por quanto tempo um site guarda essa informação, o ponto de contato pode continuar existindo mesmo depois da negociação.

Não é uma chave secreta como uma credencial de login. Ainda assim, não há motivo para distribuí-la a quem não precisa. Esse é, para mim, o lugar real da URL de troca.

Dizer “é seguro” não prova nada#

O ponto mais incômodo ao avaliar um site externo era o círculo vicioso: eu queria evidências antes de confiar, mas quase todas as evidências na página vinham do próprio site. Frases sobre segurança, contadores de transações e selos podem parecer convincentes sem que o visitante consiga verificá-los. Avaliações também não encerram a dúvida sozinhas.

Naquele momento, eu enxergava duas opções práticas: testar com um valor pequeno ou confiar no operador. Isso era uma possibilidade que eu considerava, não uma troca que concluí e pudesse usar como prova.

Um teste pequeno ainda seria uma aposta, não uma auditoria

Quem decide testar com um item que pode perder consegue pelo menos comparar a oferta recebida com o que foi anunciado: conta do bot, item e condições. Se tudo correr bem, fica comprovado apenas que aquela operação funcionou naquele momento. O teste não revela os controles internos, o tratamento dos dados nem a próxima oferta.

A ordem é ruim para o usuário. O serviço não apresenta evidências suficientes antes da negociação, e o visitante precisa preencher essa lacuna com um item próprio.

Nenhum operador desconhecido elimina toda a incerteza antes da primeira transação. Ainda assim, pode mostrar de antemão a conta envolvida, o status da negociação, o estoque, as regras de preço e os limites do serviço. Esse problema de confiança é uma das razões pelas quais a SteamVaults publica ferramentas práticas. Elas ajudam a examinar nosso funcionamento; não garantem todas as transações futuras.

Ter Steam no endereço não faz dele um link da Steam#

Ao receber uma URL de troca, a primeira coisa a conferir é o domínio real.

O fato de steamcommunity.com aparecer em algum ponto do endereço não transforma o link em uma página da Steam. Veja este exemplo:

https://steamcommunity.com.example.com/tradeoffer/new/

Se você passa o olho apenas pelo começo, ele parece pertencer à Steam. O domínio verdadeiro, porém, é example.com. Quando alguém coloca a palavra Steam no início do endereço ou no caminho e ainda copia a aparência da tela de login, é fácil deixar a diferença passar na pressa.

Em uma URL de troca legítima, o host real precisa ser steamcommunity.com. Confira na barra de endereços se a grafia mudou sutilmente ou se existe outro domínio acrescentado depois. Se você abriu um link encurtado ou passou por vários redirecionamentos, olhe o endereço final, não apenas aquele em que clicou.

Um perfil pode ser confundido com uma URL de troca

Os endereços de perfil da Steam costumam se parecer com estes:

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

Os dois pertencem à Steam, mas não são URLs de troca. Um endereço que apenas mostra o perfil não inclui o token necessário para uma pessoa que não é sua amiga enviar uma oferta. Se você colou um perfil em um site externo e nada funcionou, vale conferir primeiro o tipo do endereço antes de concluir que o serviço está com defeito.

O link também pode ser cortado durante a cópia. Às vezes o aplicativo de mensagens exibe só uma parte, ou a seleção manual deixa o token de fora. Outra possibilidade é você ter criado uma URL nova e continuar tentando usar a antiga.

Quatro verificações resolvem a parte básica do formato:

• O domínio real é steamcommunity.com?
• O caminho contém /tradeoffer/new/?
• Existe um valor partner?
• O token está completo?

Mesmo quando as quatro respostas são positivas, isso não garante que a troca será concluída. Um link válido e uma conta ou um item disponível para negociar são questões diferentes. Bloqueios temporários de itens, estado do Steam Guard e retenções de troca não podem ser determinados apenas pela aparência da URL.

O risco costuma aparecer depois do link#

É na hora de aprovar que você precisa olhar de novo

Compartilhar o link, por si só, não faz os itens desaparecerem. Então onde os golpes acontecem?

Normalmente, a história não termina na URL. A pessoa pode ter digitado as credenciais em uma página falsa de login da Steam, instalado um programa ou uma extensão de navegador de origem duvidosa, ou já estar com a conta ou o computador comprometido. Também pode ter aprovado uma oferta sem ler os detalhes.

As orientações da Steam sobre trocas recomendam não ceder à pressão de quem tenta apressar a negociação e conferir pessoalmente a conta e os itens. A página oficial sobre golpes de redirecionamento de troca também reforça a necessidade de revisar, na confirmação pelo celular, a outra conta e o conteúdo da oferta. Um nome e uma foto de perfil familiares não bastam para provar que se trata da mesma conta.

É fácil olhar de fora e perguntar por que a vítima não conferiu direito. Só que páginas falsas de login e contas impostoras são desenhadas para forçar uma decisão rápida. Elas criam a sensação de que você vai perder uma grande oportunidade ou afirmam que sua conta será punida se você não agir naquele instante. O objetivo é fazer, em poucos minutos, algo que normalmente pareceria estranho.

Por isso, uma lista de momentos concretos para parar ajuda mais do que um simples “tome cuidado”.

O campo do site externo está pedindo sua senha da Steam ou um código do Steam Guard? A outra pessoa quer que você instale um programa ou uma extensão cuja origem não conhece? Na confirmação pelo aplicativo, a conta, os itens e as quantidades são exatamente os mesmos que você havia conferido? Você checou o perfil real na Steam e o SteamID, em vez de confiar apenas na foto usada na conversa?

Se qualquer uma dessas coisas parecer estranha, não existe motivo para correr.

A URL de troca facilita o começo da negociação. Ela não toma a decisão final por você. Antes de um item realmente mudar de inventário, é preciso conferir tudo mais uma vez dentro da Steam. Quanto maior a pressa imposta pela outra parte, mais devagar você deve olhar.

Você não precisa continuar usando uma URL suspeita#

Gerar outra URL é a forma mais simples de cortar o contato

Se um site que você usou no passado deixou de parecer confiável, ou se sua URL de troca foi publicada em um lugar aberto, é possível criar um novo endereço na Steam.

Ao gerar uma URL nova na página de privacidade das ofertas de troca da Steam, o endereço antigo deixa de funcionar. É a maneira mais direta de parar de receber propostas por links que você já compartilhou. Se houver serviços que ainda devam usar o novo endereço, será preciso atualizar o cadastro neles.

Por outro lado, se você digitou a senha em uma página suspeita da Steam, encontrou uma troca que não criou ou viu um dispositivo desconhecido conectado à conta, trocar apenas a URL não resolve. Nesse caso, é necessário revisar a senha, o Steam Guard, os dispositivos conectados, a Steam Web API Key e o histórico de trocas.

Uma URL conhecida por terceiros e uma conta comprometida não são o mesmo incidente. Separar as duas situações evita pânico desnecessário por causa de um link, sem fazer você ignorar sinais reais de invasão.

Como era difícil explicar confiança, comecei pelas ferramentas#

O mesmo problema continuou depois que criei o SteamVaults.

Não importava quantas vezes disséssemos que o serviço era seguro: quem chegava pela primeira vez não ganhava automaticamente uma razão para acreditar. É fácil colocar “seguro” e “confiável” em letras grandes. Qualquer site pode fazer isso.

Dizer que confiança é importante e demonstrar confiança são coisas diferentes. A segunda parte é bem mais difícil.

Por isso, começamos a criar ferramentas que você pode usar antes de negociar. Um analisador para conferir o host real de links da Steam e a estrutura da URL de troca; uma ferramenta para consultar, em inventários públicos, a disponibilidade do item e a data de desbloqueio; páginas separadas para verificar condições de retenção e taxas do Mercado da Comunidade Steam. Tudo isso faz parte da tentativa.

Um analisador de URL não prova o SteamVaults inteiro. O funcionamento correto de uma ferramenta também não valida todas as etapas da operação. Ainda assim, já permite sair da situação em que você não sabe nada e só ouve um pedido para acreditar na gente.

Usar a ferramenta e ir embora já é suficiente

Não há problema se alguém colar um endereço no analisador de links e URLs de troca da Steam e sair do site logo depois. Também está tudo bem conferir o período de retenção e decidir não movimentar o item desta vez. Você pode calcular as taxas e escolher outro caminho.

Isso já basta.

Se todas as ferramentas precisassem empurrar a pessoa até o botão de negociar, elas continuariam sendo apenas uma parte do processo comercial. Para terem valor de verdade, precisam ajudar inclusive quem decide não fazer uma troca. Assim, dá para conferir um resultado produzido pelo site sem colocar primeiro um item em risco.

A confiança não aparece de uma hora para outra. Mas pelo menos o teste com um pequeno valor deixa de ser a única forma de verificar alguma coisa. Você pode desconfiar do resultado da ferramenta antes de confiar no que dizemos, comparar com outras fontes e ir embora depois de formar sua própria conclusão.

Para mim, essa ordem é melhor.

Um verificador que promete demais se torna mais perigoso#

Primeiro limitamos o que a ferramenta pode afirmar

O analisador de URL de troca do SteamVaults confere o host e o caminho reais do endereço inserido. Em uma URL de troca, ele mostra se existem partner e token, se algum valor foi cortado ou está em formato incorreto e se é possível calcular o SteamID64 correspondente. Também distingue um endereço de perfil colado por engano de um domínio externo que tenta imitar a Steam.

O link informado é processado dentro do navegador. Não criamos uma estrutura que envie a URL ao servidor, armazene o endereço ou o deixe em registros de análise apenas para fazer essa verificação. Uma ferramenta voltada a uma informação que parece sensível não deveria criar outro ponto de exposição.

O que ela não faz também precisa ficar claro.

O analisador não descobre a intenção de quem administra um site. Um golpista também pode usar uma URL de troca com formato correto. Um link válido não torna confiável a conta da outra parte. E não é possível determinar, com uma única URL, todas as restrições da conta, o estado do Steam Guard ou o conteúdo de uma oferta que ainda nem chegou.

A ferramenta analisa o link. Não a conta inteira. Muito menos a cabeça de quem está do outro lado.

Se dissermos que ela vai além desse limite, o próprio analisador se torna perigoso. A pessoa pode acreditar que ele confirmou algo que não tem condições de verificar. É melhor mostrar com precisão o que dá para ler no link e deixar claro onde a avaliação precisa continuar.

O importante é decidir sabendo o que o link faz#

O controle final continua com o dono da conta

Se você me perguntar se é seguro compartilhar uma URL de troca da Steam, minha resposta fica perto de um “sim, dependendo da situação”.

Você pode fornecê-la a uma pessoa ou serviço que precise enviar uma oferta. O endereço não é a senha da Steam, e compartilhá-lo não transfere o controle da conta. A outra parte só consegue propor uma troca; não pode usar a URL para aprovar no seu lugar nem retirar itens do inventário.

Isso também não transforma o link em algo que deva ser publicado em qualquer lugar. Faz sentido conferir em qual site você o está inserindo, qual é o domínio real e se o serviço continua guardando o endereço depois da operação. Se não quiser mais compartilhá-lo, você pode gerar uma nova URL.

No começo, eu não conhecia esses limites. O link parecia uma permissão, e eu achava que as únicas escolhas eram arriscar um valor pequeno ou confiar sem teste. Ainda hoje não quero pedir a quem acabou de chegar que simplesmente acredite. Confiança não nasce porque o operador declarou que merece confiança.

É por isso que continuamos aumentando o que pode ser verificado antes da troca. Também tentamos mostrar até onde cada ferramenta não chega. Se uma pessoa usar apenas o analisador e sair sem negociar, não considero isso um fracasso.

Se ela entendeu o que o link significa e passou a saber o que conferir na próxima oferta, já valeu.

Pelo menos não precisa mais colar o endereço com a sensação de estar entregando uma permissão misteriosa.

O SteamVaults não é operado nem oficialmente aprovado pela Valve. É um serviço independente de terceiros, e os resultados do analisador descrevem apenas os sinais técnicos que podem ser lidos na URL. Eles não garantem a confiabilidade de uma contraparte ou de um site externo.