Comment synchroniser votre inventaire CS2 sans clé API Steam
Vous n'avez pas besoin d'une clé Steam Web API pour afficher ou synchroniser votre inventaire CS2. En partager une est risqué : cela peut permettre à un attaquant de surveiller et de rediriger vos trades. À la place, connectez-vous avec Steam OpenID, qui confirme uniquement votre SteamID, et laissez une extension de navigateur open-source lire votre inventaire depuis votre propre session Steam connectée.
Pourquoi partager une clé Steam Web API est-il risqué ?
Une clé Steam Web API est un identifiant lié à votre compte. Elle permet à un logiciel de lire les données de votre compte et, surtout, de surveiller et d'annuler vos offres de trade en votre nom. Les plateformes légitimes ont de bonnes raisons d'utiliser l'API, mais la clé elle-même n'a jamais été conçue pour être confiée à un inconnu ou collée sur un site quelconque.
Le support Steam documente l'arnaque qui en résulte sous le nom de trade redirection. Après avoir hameçonné votre identifiant, un attaquant génère une clé API sur votre compte, puis surveille vos offres de trade sortantes. Quand vous envoyez des skins à un ami ou à un marketplace, l'automatisation malveillante annule l'offre réelle et glisse à la place une offre sosie pointant vers le bot de l'arnaqueur. Vous confirmez ce qui ressemble au bon trade dans Steam Guard, et les items quittent votre inventaire.
Le plus dangereux, c'est que l'attaquant n'a souvent pas besoin d'un contrôle durable de votre compte. Un accès bref pour créer une clé peut suffire à mettre en place la substitution et à attendre. C'est pourquoi la posture la plus sûre est simple : n'entrez et ne partagez jamais votre clé API sur un site tiers, et révoquez toute clé que vous n'avez pas créée vous-même.
Peut-on afficher un inventaire CS2 sans clé API ?
Oui, et il est utile de séparer deux choses que les gens confondent : la connexion, et la lecture des données d'inventaire. La connexion via Steam utilise OpenID, un flux hébergé par Steam lui-même qui prouve uniquement que vous possédez un SteamID donné. Elle ne demande jamais votre mot de passe sur le site tiers, ne demande jamais de clé API, et n'accorde jamais la moindre autorisation de trade.
La lecture de l'inventaire est l'autre moitié. VSkin associe cette connexion à une extension de navigateur qui lit votre inventaire depuis votre propre session Steam connectée, les mêmes données que votre navigateur voit déjà quand vous ouvrez votre page d'inventaire sur Steam. Comme elles viennent de votre session plutôt que d'une clé partagée, il n'y a aucune clé API à fuiter, intercepter ou détourner. C'est aussi ce qui rend les skins en trade-lock visibles des autres personnes, puisque votre propre session est le seul endroit où ils apparaissent.
Que lit l'extension, et que ne fait-elle pas ?
Synchroniser votre inventaire CS2 est la seule chose qu'elle fait. Elle lit l'inventaire depuis votre session Steam active et envoie ces données d'items à VSkin pour que votre vitrine reflète ce que vous possédez réellement. Elle est open-source : n'importe qui peut donc auditer exactement ce qu'elle lit avant de l'installer.
Elle ne demande ni n'utilise de clé Steam Web API, ne réclame aucune autorisation de trade, et n'initie, ne signe, n'annule ni ne redirige jamais de trades. Elle ne tourne pas sur d'autres sites. Les trades eux-mêmes restent en peer-to-peer entre joueurs : VSkin ne détient jamais vos items, votre portefeuille ni vos trades.
Afficher et synchroniser votre inventaire CS2 sans clé API Steam
- 1
Connectez-vous avec Steam
Ouvrez vskin.gg et connectez-vous avec Steam. Le flux Steam OpenID confirme uniquement votre SteamID. Vous ne tapez jamais votre mot de passe sur VSkin et on ne vous demande jamais de clé Steam Web API ni la moindre autorisation de trade.
- 2
Installez l'extension open-source
Ajoutez l'extension de navigateur VSkin depuis le Chrome Web Store ; elle fonctionne dans Chrome et les autres navigateurs compatibles. Comme elle est open-source, vous pouvez examiner exactement ce qu'elle lit avant de l'installer.
- 3
Restez connecté à Steam dans votre navigateur
Assurez-vous d'être connecté à Steam dans le même navigateur. L'extension lit les mêmes données d'inventaire que votre navigateur voit déjà sur votre page d'inventaire Steam, y compris les items actuellement en trade-lock.
- 4
Gardez vos clés API privées
Par principe, n'entrez jamais de clé Steam Web API sur un site tiers. Ouvrez régulièrement la page des clés API de Steam et révoquez toute clé que vous ne reconnaissez pas. VSkin n'en a jamais besoin.
Questions fréquentes
VSkin demande-t-il un jour ma clé API Steam ?
Non. VSkin vous connecte via Steam OpenID, qui confirme uniquement votre SteamID, et lit votre inventaire depuis votre propre session Steam connectée grâce à une extension open-source. Il n'y a aucune clé Steam Web API à générer, coller ou partager, et aucune autorisation de trade n'est jamais demandée à aucun moment.
Pourquoi donner une clé Steam Web API est-il dangereux ?
Une clé API qui fuite permet à un attaquant de surveiller vos offres de trade sortantes et de les remplacer par des offres sosies pointant vers son propre bot : vous confirmez alors un trade qui envoie vos skins à un arnaqueur. La clé est liée à votre compte : ne l'entrez donc jamais sur des sites tiers et révoquez toute clé que vous n'avez pas créée vous-même.
Puis-je consulter la vitrine CS2 de quelqu'un sans rien installer ?
Oui. Consulter une vitrine publique sur vskin.gg ne nécessite rien d'installé, aucune clé API, et aucune connexion Steam juste pour regarder. Seul le propriétaire utilise l'extension open-source pour publier et synchroniser son propre inventaire.
Comment une vitrine peut-elle afficher des skins en trade-lock que Steam masque ?
Steam ne montre les items en trade protection qu'au compte qui les détient. C'est la lecture depuis la propre session Steam connectée de ce compte qui permet à une vitrine de les publier pour que les autres les voient, sans aucun accès au trade ni clé API. Cela ne fonctionne que pour les propriétaires qui synchronisent leur propre vitrine avec l'extension.
L'extension tourne-t-elle en arrière-plan ou touche-t-elle à mes trades ?
Non. Synchroniser votre inventaire est la seule chose qu'elle fait, et elle ne tourne pas sur d'autres sites. Elle n'initie, ne signe, n'annule ni ne redirige jamais de trades, et VSkin ne détient jamais vos items ni votre portefeuille.
Affichez votre propre inventaire CS2 sur VSkin
Synchronisez votre inventaire avec l'extension VSkin pour publier une vitrine publique, skins en trade-lock compris, et partagez un seul lien avec les traders avec qui vous traitez.
Publier votre vitrine→