Ссылка на обмен Steam: можно ли ею делиться?

Когда сторонний торговый сайт впервые попросил меня вставить ссылку на обмен Steam, я замер.

Неужели по одной этой ссылке можно забрать все мои предметы? Не передаю ли я сайту полный доступ к аккаунту? В конце адреса ещё и стояли непонятные цифры и токен. На обычную ссылку профиля он тоже не был похож. Копировать такое без объяснений и куда-то вставлять было, мягко говоря, не по себе.

Объяснение на сайтах обычно короткое: адрес нужен, чтобы отправить предложение обмена. Но много ли значит заявление «у нас безопасно», если его делает сам незнакомый сайт? Я пришёл проверить, можно ли ему верить, а в итоге снова должен был начать с веры — теперь уже в его собственное описание.

Способов проверить всё самому было немного.

Либо сначала рискнуть неважным предметом или небольшой суммой, либо просто поверить и продолжить. По сути, выбор сводился к этому. Если первая сделка проходила без проблем, появлялась мысль: «Ладно, здесь хотя бы работает». Я понимал, что один мелкий обмен не доказывает надёжность всего сервиса. Но обычному человеку почти нечем было проверить больше.

Позже я поймал себя и на другой мысли.

Если кому-то и правда нужны все мои предметы, разве не проще взломать сам аккаунт Steam, чем возиться с одной торговой ссылкой? Только тогда я вообще не знал, что этот URL умеет, а чего не умеет. Без этого знания не с чем было сравнивать. Поэтому длинный адрес выглядел почти как ключ от аккаунта.

Сейчас я воспринимаю эту ссылку иначе. Но говорить «риска нет, делитесь спокойно» всё равно не хочу. То, что торговый URL — не пароль, ещё не означает, что его стоит раздавать любому сайту.

Я не собираюсь заранее назначать вывод безопасным, а потом подгонять под него аргументы. Сначала разберёмся, какую именно дверь открывает этот адрес и где она заканчивается. Когда граница видна, становится понятнее и то, чего можно не бояться, и момент, в который лучше остановиться.

Поначалу ссылка казалась мне не адресом, а разрешением#

Источник тревоги был не в адресе, а в нехватке объяснений

Для человека, который видит торговый URL впервые, слова вроде partner и token ничего не объясняют. Разработчику или опытному трейдеру они, возможно, привычны. Мне же казалось, что это секретные значения для входа куда-то внутрь аккаунта.

К тому же просит их сервис за пределами Steam. Само действие — скопировать адрес в Steam и вставить его на внешнем сайте — ощущается как переход некой психологической черты. Это уже не похоже на передачу никнейма или открытого профиля. Скорее на выдачу сайту разрешения. Если совсем честно — почти на передачу части полномочий над аккаунтом.

Я не считаю такую реакцию излишней. Можно годами пользоваться Steam, покупать игры и играть, но ни разу не столкнуться со ссылкой на обмен. Никто не объяснял, как она устроена. Беспокойство перед передачей непонятного значения внешнему сервису здесь вполне естественно.

Поиск обычно выдаёт короткий ответ: «Это всего лишь ссылка для обмена, всё нормально». Возможно, формально он верен. Только человека тревожит не название адреса.

Что именно сможет сделать тот, у кого окажется эта ссылка?

Сможет ли он принять предложение без моего разрешения? Войти в аккаунт? Самостоятельно вынести предметы из инвентаря? Сохранит ли сайт какой-то доступ и после завершения сделки?

Если эти вопросы остаются без ответа, одно слово «безопасно» почти не успокаивает. Мне нужна была не просьба не волноваться, а чёткая граница возможностей этого URL.

Эта ссылка открывает только путь к предложению обмена#

Обычная ссылка на обмен Steam выглядит примерно так:

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

С первого взгляда адрес кажется сложным, но важных частей в нём немного: настоящий домен сообщества Steam steamcommunity.com, путь открытия нового предложения /tradeoffer/new/, параметр partner, который указывает на аккаунт получателя, и значение token, позволяющее отправить предложение даже без добавления в друзья.

Согласно официальной справке Steam о предложениях обмена, человек с уникальной торговой ссылкой может отправить владельцу аккаунта предложение, даже если не состоит у него в друзьях. Поэтому в торговле предметами такая ссылка работает примерно как контактный адрес: не нужно каждый раз сначала добавлять нового человека.

На этом прямые возможности ссылки заканчиваются.

Отправить предложение и подтвердить его — совершенно разные действия

Одна ссылка не позволяет войти в аккаунт Steam. Из неё нельзя узнать пароль или получить код Steam Guard. Она не даёт возможности менять настройки аккаунта и не позволяет принять пришедшее предложение вместо владельца.

Предметы из инвентаря тоже не перемещаются автоматически лишь потому, что кому-то известен адрес. Другой человек может подготовить предложение, но состав обмена и получателя владелец снова видит уже внутри Steam. Если требуется подтверждение в мобильном приложении, этот отдельный этап никуда не исчезает.

Только разобравшись в этой разнице, я понял: ссылка на обмен не является документом о передаче прав на аккаунт. Она больше похожа на адрес, по которому можно прислать предложение. Знание адреса не открывает дверь в дом, хотя позволяет оставить что-то у порога.

Это, конечно, не значит, что ссылку стоит публиковать на каждом форуме. Обладатель URL может отправлять нежелательные или спам-предложения. А если неизвестно, как долго сайт хранит введённый адрес, точка связи может остаться у него и после сделки.

Это не секретный ключ уровня логина и пароля. Но и распространять его без разбора там, где он не нужен, смысла нет. Именно в этих пределах торговая ссылка и работает.

Надпись «Безопасно» ничего мне не доказала#

Главная проблема внешнего торгового сервиса была замкнутой: мне нужны доказательства до того, как я начну доверять, но почти все доказательства на странице предоставляет сам сервис. Заявления о защите, счётчики сделок и значки могут выглядеть убедительно, хотя посетитель не способен проверить их независимо. Одних отзывов тоже недостаточно.

Тогда я видел два практических варианта: попробовать на небольшой сумме или поверить оператору. Это была возможная тактика, а не завершённая мной сделка, которую можно предъявить как доказательство.

Небольшой тест всё равно был бы ставкой, а не аудитом

Если человек решит отправить предмет, который не страшно потерять, он сможет хотя бы сверить предложение с обещаниями сайта: аккаунт бота, предмет и условия. Успешный результат подтверждает только работу одной сделки в конкретный момент. Он ничего не доказывает о внутренних процессах, обработке данных и следующем предложении.

Для пользователя такой порядок неудобен. Сервис заранее не показал достаточно оснований, поэтому посетителю предлагают закрыть пробел собственным предметом.

Незнакомый оператор не устранит все сомнения до первой сделки. Но он может заранее показать аккаунт, статус операции, запасы, правила цены и ограничения. Эта проблема доверия — одна из причин, по которым SteamVaults выпускает практические инструменты. Они помогают проверить наш подход, но не гарантируют безопасность каждой будущей сделки.

Слово Steam в адресе ещё не делает ссылку настоящей#

Первое, что стоит проверить в полученной торговой ссылке, — настоящий домен.

Если где-то внутри адреса встречается steamcommunity.com, это ещё не гарантирует, что ссылка ведёт в Steam. Посмотрим на пример:

https://steamcommunity.com.example.com/tradeoffer/new/

Начало легко принять за Steam, но реальный домен здесь — example.com. Слово Steam можно поместить в начало адреса или путь, а затем скопировать внешний вид страницы входа. Тот, кто торопится, вполне может не заметить подмену.

У настоящей ссылки хостом должен быть именно steamcommunity.com. Нужно проверить, не изменена ли одна буква и не дописан ли справа совсем другой домен. Если открывался сокращённый адрес или ссылка прошла через несколько перенаправлений, важнее смотреть не на исходную строку, а на конечный адрес в браузере.

Профильную ссылку тоже принимают за ссылку на обмен

Адрес профиля Steam обычно выглядит так:

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

Оба адреса могут быть настоящими ссылками Steam. Но это не ссылки на обмен. В профильном URL нет токена, который позволяет человеку не из списка друзей прислать предложение. Если внешний сервис не принимает ссылку на профиль, сначала стоит проверить тип адреса, а не считать сайт сломанным.

Иногда ссылка обрезается при копировании. Мессенджер мог показывать сокращённую версию, или человек выделил только видимую часть, потеряв параметр token. Бывает и так, что новый URL уже создан, а в сервисе по-прежнему сохранён старый.

Для первичной проверки достаточно четырёх пунктов:

• настоящий домен — steamcommunity.com;
• в пути есть /tradeoffer/new/;
• присутствует значение partner;
• параметр token не потерян и не обрезан.

Даже совпадение всех четырёх пунктов не гарантирует успешную сделку. Корректность ссылки и текущая возможность обмена для аккаунта или предмета — разные вещи. Блокировка предметов, состояние Steam Guard и задержка обмена не читаются по одному внешнему виду URL.

Проблемы начинаются не в ссылке, а после неё#

Перепроверять нужно не ссылку, а момент подтверждения

От одной публикации торговой ссылки предметы не исчезают. Где же тогда происходят реальные инциденты?

Обычно история не ограничивается одним URL. Человек мог ввести данные аккаунта на поддельной странице входа Steam, установить программу или расширение неизвестного происхождения, либо его компьютер и аккаунт уже были скомпрометированы. Возможно, он подтвердил предложение, не прочитав его как следует.

Рекомендации Steam по обменам советуют не поддаваться на спешку и самостоятельно проверять аккаунт второй стороны и предметы. В официальном объяснении мошенничества с перенаправлением обмена Steam также подчёркивает: на экране мобильного подтверждения нужно ещё раз сверить получателя и содержимое обмена. Знакомое имя и фотография профиля сами по себе не доказывают, что перед нами тот же аккаунт.

Легко сказать: «Надо было внимательнее смотреть». Но поддельные страницы входа и аккаунты-двойники специально создают так, чтобы человек принимал решение в спешке. Его подгоняют угрозой упустить большую выгоду или пугают блокировкой аккаунта, если он не отреагирует немедленно. Цель — заставить за несколько минут сделать то, что в спокойной обстановке показалось бы подозрительным.

Поэтому полезнее знать конкретные моменты, когда нужно остановиться, чем просто помнить расплывчатое «будьте осторожны».

Просит ли поле на внешнем сайте пароль Steam или код Steam Guard? Требует ли собеседник установить неизвестную программу или расширение? Совпадают ли в мобильном подтверждении аккаунт получателя, предметы и их количество с тем, что было согласовано? Проверен ли настоящий профиль Steam и SteamID, а не только знакомая аватарка из переписки?

Если хотя бы один ответ вызывает сомнение, торопиться незачем.

Ссылка на обмен упрощает начало сделки, но не принимает последнее решение за владельца. Перед фактическим перемещением предметов всё нужно ещё раз проверить внутри Steam. И чем сильнее кто-то требует немедленного подтверждения, тем медленнее стоит читать предложение.

Сомнительную ссылку незачем сохранять навсегда#

Новый URL — самый простой способ закрыть старую точку доступа

Если прежний сайт больше не вызывает доверия или ссылка на обмен оказалась в открытом доступе, в Steam можно выпустить новый адрес.

После создания нового URL на странице настроек конфиденциальности предложений обмена Steam старый перестаёт работать. Это самый прямой способ прекратить получение предложений по ранее переданной ссылке. Если новый адрес нужен сервису, которым человек продолжает пользоваться, сохранённую там ссылку тоже придётся обновить.

Но если пароль уже вводился на подозрительной странице Steam, в истории появился чужой обмен или к аккаунту подключено неизвестное устройство, одной заменой URL вопрос не решается. Тогда нужно проверить всю защиту аккаунта: пароль, Steam Guard, активные устройства, ключ Steam Web API и историю обменов.

Известная посторонним торговая ссылка и взломанный аккаунт — не одно и то же событие. Это различие помогает не паниковать из-за одного URL и одновременно не пропустить настоящие признаки компрометации.

Объяснить доверие было трудно, поэтому мы начали с инструментов#

После запуска SteamVaults та же проблема никуда не исчезла.

Сколько бы мы ни повторяли, что у нас безопасно, у нового посетителя не возникало автоматической причины нам верить. Крупно написать «Безопасно» или «Нам можно доверять» несложно. То же самое способен написать любой сайт.

Говорить о доверии и показывать основания для него — разные задачи. Вторая оказалась намного труднее.

Поэтому мы начали делать инструменты, которыми можно воспользоваться ещё до сделки. Анализатор проверяет реальный хост ссылки Steam и формат торгового URL. Другой инструмент по открытому инвентарю показывает, доступен ли предмет для обмена и когда закончится блокировка. Отдельные страницы помогают разобраться с задержкой обмена и комиссией Торговой площадки Steam.

Один анализатор URL не доказывает надёжность SteamVaults целиком. Исправная работа инструмента не проверяет все этапы торговой операции. Но она хотя бы позволяет уйти от ситуации, где человек ничего не знает и слышит лишь просьбу: «Просто поверьте нам».

Даже если человек уйдёт без сделки, это нормально

Можно вставить адрес в анализатор ссылок Steam и торговых URL и сразу закрыть сайт. Можно проверить срок задержки, а затем решить в этот раз не перемещать предметы. Можно посчитать комиссию и выбрать другой способ.

Этого достаточно.

Если каждый инструмент должен в итоге толкать посетителя к кнопке сделки, он остаётся частью воронки продаж. Польза должна сохраняться и для того, кто не стал торговать: тогда результат сервиса можно проверить, не ставя на кон собственный предмет.

Доверие не появится мгновенно. Но небольшой пробный обмен хотя бы перестаёт быть единственным способом что-то узнать. Не обязательно верить нам раньше, чем результатам инструмента. Их можно сравнить с другими данными, сделать свой вывод и уйти.

Мне такой порядок кажется лучше.

Анализатор, который обещает лишнее, сам становится опасным#

Сначала мы ограничили то, что анализатор вправе утверждать

Анализатор SteamVaults проверяет реальный хост и путь введённого адреса. Для торговой ссылки он смотрит наличие partner и token, замечает обрезанные или неверно оформленные значения и при возможности вычисляет связанный SteamID64. Он также отличает по ошибке вставленный профильный URL от другого домена, который лишь имитирует Steam.

Проверка происходит прямо в браузере. Мы не отправляем введённый URL на сервер, не сохраняем его и не оставляем в журналах анализа. Инструмент для проверки чувствительной информации не должен сам создавать ещё одно место её утечки.

Но есть и то, чего анализатор не умеет.

Он не способен определить намерения владельца сайта. Мошенник тоже может использовать корректную ссылку на обмен. Правильный формат URL не делает надёжным аккаунт второй стороны. По одной ссылке нельзя узнать обо всех ограничениях аккаунта, состоянии Steam Guard или содержимом предложения, которое придёт позже.

Анализатор проверяет ссылку, а не весь аккаунт. И тем более не мысли человека на другой стороне.

Если заявить больше, чем инструмент действительно видит, он сам станет опасным: пользователь поверит в невозможную гарантию. Лучше точно показать то, что читается из URL, и обозначить, где потребуется следующая самостоятельная проверка.

Важно не просто решить, делиться или нет, а понимать свой выбор#

Последнее слово остаётся за владельцем аккаунта

Если спросить меня, можно ли делиться ссылкой на обмен Steam, мой ответ будет ближе к условному «да».

Её можно передать человеку или сервису, от которого нужно получать предложения. Этот адрес не является паролем Steam, а его публикация не передаёт права на аккаунт. Другая сторона получает возможность предложить обмен, но не может по одной ссылке принять его за владельца или самостоятельно забрать предметы.

И всё же это не тот адрес, который стоит размещать где угодно. Есть смысл проверить, на каком сайте он вводится, какой у адреса настоящий домен и хранит ли сервис ссылку после сделки. Если продолжать делиться ею больше не хочется, всегда можно создать новый URL.

Поначалу я не видел этих границ. Ссылка казалась полномочием, а единственными вариантами — тест на небольшой сумме или слепая вера. И сейчас я не собираюсь просить нового посетителя просто довериться. Доверие не возникает потому, что оператор сервиса сам назвал себя надёжным.

Поэтому мы постепенно добавляем вещи, которые можно проверить до сделки, и стараемся прямо показывать пределы инструментов. Если человек воспользуется только анализатором и уйдёт, я не считаю это неудачей.

Достаточно уже того, что неизвестная ссылка получила понятный смысл, а в следующей сделке стало яснее, куда смотреть.

По крайней мере, теперь её не приходится вставлять с ощущением, будто вместе с адресом передаёшь кому-то непонятные права на аккаунт.

SteamVaults — независимый сторонний сервис, который не управляется и официально не одобрен Valve. Результат анализа описывает только технические признаки, доступные в самом URL. Он не гарантирует надёжность конкретного участника обмена или внешнего сайта.