Como sincronizar seu inventário de CS2 sem uma chave da API Steam Web
Você não precisa de uma chave da API Steam Web para exibir ou sincronizar seu inventário de CS2. Compartilhar uma é arriscado: pode permitir que um invasor monitore e redirecione suas trocas. Em vez disso, faça login com Steam OpenID, que só confirma o seu SteamID, e deixe uma extensão de navegador de código aberto ler o seu inventário a partir da sua própria sessão logada da Steam.
Por que compartilhar uma chave da API Steam Web é arriscado?
Uma chave da API Steam Web é uma credencial atrelada à sua conta. Ela permite que um software leia os dados da sua conta e, o mais importante, monitore e cancele suas ofertas de troca em seu nome. Plataformas legítimas têm motivos válidos para usar a API, mas a chave em si nunca foi feita para ser entregue a um estranho ou colada em um site qualquer.
O Suporte da Steam documenta o golpe resultante como redirecionamento de troca. Depois de fazer phishing do seu login, um invasor gera uma chave de API na sua conta e então monitora suas ofertas de troca de saída. Quando você envia skins para um amigo ou um marketplace, a automação maliciosa cancela a oferta real e insere uma parecida apontando para o bot do golpista. Você confirma o que parece ser a troca correta no Steam Guard, e os itens saem do seu inventário.
A parte perigosa é que o invasor muitas vezes não precisa de controle duradouro sobre a sua conta. Um acesso curto para criar uma chave pode bastar para montar a substituição e esperar. É por isso que a postura mais segura é simples: nunca insira nem compartilhe sua chave de API em um site de terceiros, e revogue qualquer chave que você não tenha criado.
Você consegue mostrar um inventário de CS2 sem uma chave de API?
Sim, e ajuda separar duas coisas que as pessoas confundem: fazer login e ler os dados do inventário. Fazer login pela Steam usa OpenID, um fluxo hospedado pela própria Steam que só prova que você é dono de um determinado SteamID. Ele nunca pede sua senha no site de terceiros, nunca pede uma chave de API e nunca concede qualquer permissão de troca.
Ler o inventário é a outra metade. A VSkin combina esse login com uma extensão de navegador que lê o seu inventário a partir da sua própria sessão logada da Steam, os mesmos dados que o seu navegador já vê quando você abre sua página de inventário na Steam. Como eles vêm da sua sessão e não de uma chave compartilhada, não há chave de API para vazar, interceptar ou abusar. É também o que torna as skins com trade lock visíveis para outras pessoas, já que a sua própria sessão é o único lugar em que elas aparecem.
O que a extensão lê e o que ela não faz?
Sincronizar o seu inventário de CS2 é a única coisa que ela faz. Ela lê o inventário a partir da sua sessão ativa da Steam e envia esses dados de item para a VSkin, para que sua vitrine reflita o que você realmente possui. Ela é de código aberto, então qualquer pessoa pode auditar exatamente o que ela lê antes de instalar.
Ela não pede nem usa uma chave da API Steam Web, não solicita qualquer permissão de troca e nunca inicia, assina, cancela ou redireciona trocas. Ela não roda em outros sites. As trocas em si continuam peer-to-peer entre os jogadores: a VSkin nunca guarda seus itens, sua carteira ou suas trocas.
Exiba e sincronize seu inventário de CS2 sem uma chave da API Steam Web
- 1
Faça login com a Steam
Abra vskin.gg e faça login com a Steam. O fluxo Steam OpenID só confirma o seu SteamID. Você nunca digita sua senha na VSkin e nunca é solicitada uma chave da API Steam Web nem qualquer permissão de troca.
- 2
Instale a extensão de código aberto
Adicione a extensão de navegador da VSkin pela Chrome Web Store; ela roda no Chrome e em outros navegadores compatíveis. Como é de código aberto, você pode revisar exatamente o que ela lê antes de instalar.
- 3
Permaneça logado na Steam no seu navegador
Certifique-se de estar logado na Steam no mesmo navegador. A extensão lê os mesmos dados de inventário que o seu navegador já vê na sua página de inventário da Steam, incluindo os itens que estão com trade lock no momento.
- 4
Mantenha suas chaves de API privadas
Por hábito, nunca insira uma chave da API Steam Web em nenhum site de terceiros. Periodicamente, abra a página de chaves de API da Steam e revogue qualquer chave que você não reconheça. A VSkin nunca precisa de uma.
Perguntas frequentes
A VSkin alguma vez pede minha chave de API da Steam?
Não. A VSkin faz seu login com Steam OpenID, que só confirma o seu SteamID, e lê o seu inventário por uma extensão de código aberto a partir da sua própria sessão logada da Steam. Não há chave da API Steam Web para gerar, colar ou compartilhar, e nenhuma permissão de troca é solicitada em nenhum momento.
Por que dar sua chave da API Steam Web é perigoso?
Uma chave de API vazada permite que um invasor monitore suas ofertas de troca de saída e as substitua por outras parecidas apontando para o próprio bot dele, fazendo você confirmar uma troca que envia skins para um golpista. A chave está atrelada à sua conta, então nunca a insira em sites de terceiros e revogue qualquer chave que você não tenha criado.
Posso ver a vitrine de CS2 de alguém sem instalar nada?
Sim. Ver uma vitrine pública em vskin.gg não exige nada instalado, nenhuma chave de API e nenhum login na Steam só para olhar. Apenas o dono usa a extensão de código aberto para publicar e sincronizar o próprio inventário.
Como uma vitrine consegue exibir skins com trade lock que a Steam oculta?
A Steam mostra os itens protegidos contra troca apenas para a conta que os possui. Ler a partir da própria sessão logada da Steam dessa conta é o que permite que uma vitrine os publique para outras pessoas verem, sem qualquer acesso de troca ou chave de API. Isso só funciona para donos que sincronizam a própria vitrine com a extensão.
A extensão roda em segundo plano ou mexe nas minhas trocas?
Não. Sincronizar o seu inventário é a única coisa que ela faz, e ela não roda em outros sites. Ela nunca inicia, assina, cancela ou redireciona trocas, e a VSkin nunca guarda seus itens nem sua carteira.
Mostre seu próprio inventário de CS2 na VSkin
Sincronize seu inventário com a extensão da VSkin para publicar uma vitrine pública, incluindo as skins com trade lock, e compartilhe um único link com os traders com quem você negocia.
Publique sua vitrine→