Steam APIキーなしでCS2インベントリを同期する方法
CS2インベントリを表示・同期するのにSteam Web APIキーは必要ありません。キーを共有するのは危険で、攻撃者があなたのトレードを監視して横取りできるようになります。代わりに、SteamIDを確認するだけのSteam OpenIDでサインインし、オープンソースのブラウザ拡張機能に、あなた自身のログイン済みSteamセッションからインベントリを読み取らせましょう。
なぜSteam Web APIキーの共有は危険なのか？
Steam Web APIキーはあなたのアカウントに紐づく認証情報です。ソフトウェアがアカウントデータを読み取り、そして重要なことに、あなたに代わってトレードオファーを監視してキャンセルできるようにします。正規のプラットフォームにはAPIを使う正当な理由がありますが、キー自体は、見知らぬ人に渡したり、いい加減なサイトに貼り付けたりするためのものでは決してありませんでした。
Steamサポートは、この結果起きる詐欺をトレードの横取り（trade redirection）として記載しています。ログインをフィッシングした後、攻撃者はあなたのアカウントでAPIキーを生成し、送信中のトレードオファーを監視します。あなたがフレンドやマーケットプレイスにスキンを送ると、悪意のある自動処理が本物のオファーをキャンセルし、詐欺師のbotを指す瓜二つのものを忍び込ませます。あなたは正しいトレードに見えるものをSteam Guardで確認し、アイテムはインベントリから出ていってしまいます。
厄介なのは、攻撃者がアカウントを長期間支配する必要すらないことが多い点です。キーを作成する短時間のアクセスだけで、すり替えを仕込んで待ち構えるには十分なことがあります。だからこそ最も安全な姿勢はシンプルです。サードパーティのサイトでAPIキーを入力・共有しないこと、そして自分で作成していないキーはすべて取り消すことです。
APIキーなしでCS2インベントリを表示できる？
はい。よく混同される2つのことを切り分けると理解しやすくなります。サインインすることと、インベントリのデータを読み取ることです。Steamを通じたサインインはOpenIDを使います。これはSteam自身がホストするフローで、特定のSteamIDを所有していることを証明するだけです。サードパーティのサイトでパスワードを尋ねることも、APIキーを尋ねることも、トレード権限を付与することも決してありません。
もう半分がインベントリの読み取りです。VSkinはこのサインインを、あなた自身のログイン済みSteamセッションからインベントリを読み取るブラウザ拡張機能と組み合わせます。これは、Steamのインベントリページを開いたときにあなたのブラウザがすでに見ているのと同じデータです。共有キーではなくあなた自身のセッションから来るため、漏洩・傍受・悪用されるAPIキーが存在しません。これはまた、トレードロック中のスキンを他人に見えるようにする手段でもあります。それらが現れるのは、あなた自身のセッションだけだからです。
拡張機能は何を読み取り、何をしないのか？
CS2インベントリの同期が、その唯一の役割です。アクティブなSteamセッションからインベントリを読み取り、そのアイテムデータをVSkinに送信して、ショーケースが実際の所持品を反映するようにします。オープンソースなので、誰でもインストール前に何を読み取るかを正確に監査できます。
Steam Web APIキーを求めることも使うこともなく、トレード権限を要求することもなく、トレードを開始・署名・キャンセル・横取りすることも決してありません。他のウェブサイト上で動作することもありません。トレード自体はプレイヤー間でピアツーピアに留まります。VSkinがあなたのアイテム、ウォレット、トレードを保持することは決してありません。
Steam APIキーなしでCS2インベントリを表示・同期する
- 1
Steamでサインインする
vskin.ggを開き、Steamでサインインします。Steam OpenIDのフローは、あなたのSteamIDを確認するだけです。VSkinでパスワードを入力することはなく、Steam Web APIキーやトレード権限を求められることもありません。
- 2
オープンソースの拡張機能をインストールする
Chrome Web StoreからVSkinブラウザ拡張機能を追加します。Chromeおよび互換性のある他のブラウザで動作します。オープンソースなので、インストール前に何を読み取るかを正確に確認できます。
- 3
ブラウザでSteamにログインしたままにする
同じブラウザでSteamにサインインしていることを確認します。拡張機能は、Steamのインベントリページであなたのブラウザがすでに見ているのと同じインベントリデータを読み取ります。これには現在トレードロック中のアイテムも含まれます。
- 4
APIキーは非公開に保つ
習慣として、Steam Web APIキーをサードパーティのサイトに決して入力しないでください。SteamのAPIキーページを定期的に開き、見覚えのないキーはすべて取り消しましょう。VSkinがキーを必要とすることは決してありません。
よくある質問
VSkinが私のSteam APIキーを求めることはありますか？
いいえ。VSkinはSteam OpenIDでサインインし、これはあなたのSteamIDを確認するだけです。インベントリはオープンソースの拡張機能を通じて、あなた自身のログイン済みSteamセッションから読み取ります。生成・貼り付け・共有するSteam Web APIキーは存在せず、どの段階でもトレード権限を求められることはありません。
Steam Web APIキーを渡すのがなぜ危険なのですか？
APIキーが漏れると、攻撃者はあなたの送信中のトレードオファーを監視し、自分のbotを指す瓜二つのものにすり替えられます。そのため、あなたはスキンを詐欺師に送るトレードを確認してしまいます。キーはアカウントに紐づいているので、サードパーティのサイトには決して入力せず、自分で作成していないキーはすべて取り消してください。
何もインストールせずに他人のCS2ショーケースを見られますか？
はい。vskin.ggで公開ショーケースを見るのに、インストールもAPIキーも不要で、見るだけならSteamサインインも必要ありません。オープンソースの拡張機能を使って自分のインベントリを公開・同期するのは所有者だけです。
ショーケースは、Steamが隠しているトレードロック中のスキンをどうやって表示できるのですか？
Steamはトレード保護中のアイテムを、それを所有するアカウントにだけ表示します。そのアカウント自身のログイン済みSteamセッションから読み取ることで、トレードアクセスやAPIキーを一切使わずに、ショーケースがそれらを他の人に見えるように掲載できます。これが機能するのは、拡張機能で自分のショーケースを同期している所有者に限られます。
拡張機能はバックグラウンドで動いたり、私のトレードに触れたりしますか？
いいえ。インベントリの同期がその唯一の役割で、他のウェブサイト上で動作することはありません。トレードを開始・署名・キャンセル・横取りすることは決してなく、VSkinがあなたのアイテムやウォレットを保持することも決してありません。
あなたのCS2インベントリをVSkinで公開しよう
VSkin拡張機能でインベントリを同期すれば、トレードロック中のスキンも含めた公開ショーケースを掲載でき、1本のリンクを取引相手のトレーダーに共有できます。
ショーケースを公開する→