Как синхронизировать инвентарь CS2 без ключа Steam API

Почему передавать ключ Steam Web API рискованно?

Ключ Steam Web API — это учётные данные, привязанные к вашему аккаунту. Он позволяет программам читать данные вашего аккаунта и, что критично, следить за вашими предложениями обмена и отменять их от вашего имени. У легальных платформ есть законные причины использовать API, но сам ключ никогда не предназначался для передачи незнакомцу или вставки на случайный сайт.

Служба поддержки Steam описывает этот скам как перенаправление обмена. Выудив ваш логин фишингом, злоумышленник создаёт ключ API на вашем аккаунте, а затем следит за вашими исходящими предложениями обмена. Когда вы отправляете скины другу или на площадку, вредоносная автоматика отменяет настоящее предложение и подсовывает похожее, указывающее на бота скамера. Вы подтверждаете в Steam Guard то, что выглядит как правильный обмен, и предметы уходят из вашего инвентаря.

Опасно то, что злоумышленнику часто не нужен длительный контроль над вашим аккаунтом. Короткого доступа, которого хватает, чтобы создать ключ, достаточно, чтобы настроить подмену и ждать. Поэтому самая безопасная позиция проста: никогда не вводите и не передавайте свой ключ API на стороннем сайте и отзывайте любой ключ, который вы создавали не сами.

Можно ли показать инвентарь CS2 без ключа API?

Да, и здесь полезно разделить две вещи, которые часто путают: вход и чтение данных инвентаря. Вход через Steam использует OpenID — процедуру, размещённую самим Steam, которая лишь доказывает, что вы владеете определённым SteamID. Она никогда не запрашивает ваш пароль на стороннем сайте, никогда не запрашивает ключ API и никогда не даёт никаких прав на обмен.

Чтение инвентаря — вторая половина. VSkin дополняет этот вход расширением для браузера, которое читает ваш инвентарь из вашей же авторизованной сессии Steam — те же данные, которые ваш браузер и так видит, когда вы открываете страницу своего инвентаря в Steam. Поскольку они приходят из вашей сессии, а не из общего ключа, никакого ключа API, который можно слить, перехватить или использовать во вред, просто нет. Это же и делает скины с трейд-локом видимыми для других людей, поскольку ваша собственная сессия — единственное место, где они появляются.

Что расширение читает и чего оно не делает?

Синхронизация вашего инвентаря CS2 — единственное, что оно делает. Оно читает инвентарь из вашей активной сессии Steam и отправляет данные предметов в VSkin, чтобы ваша витрина отражала то, чем вы действительно владеете. Исходный код открыт, так что любой может проверить, что именно оно читает, перед установкой.

Оно не запрашивает и не использует ключ Steam Web API, не требует никаких прав на обмен и никогда не инициирует, не подписывает, не отменяет и не перенаправляет обмены. Оно не работает на других сайтах. Сами обмены остаются напрямую между игроками: VSkin никогда не хранит ваши предметы, кошелёк или обмены.

Как показать и синхронизировать инвентарь CS2 без ключа Steam API

1. 1

   Войдите через Steam

   Откройте vskin.gg и войдите через Steam. Процедура Steam OpenID лишь подтверждает ваш SteamID. Вы никогда не вводите пароль на VSkin, и у вас никогда не запрашивают ключ Steam Web API или какие-либо права на обмен.

2. 2

   Установите расширение с открытым исходным кодом

   Добавьте расширение VSkin для браузера из Chrome Web Store; оно работает в Chrome и других совместимых браузерах. Поскольку исходный код открыт, вы можете изучить, что именно оно читает, перед установкой.

3. 3

   Оставайтесь авторизованным в Steam в своём браузере

   Убедитесь, что вы вошли в Steam в том же браузере. Расширение читает те же данные инвентаря, которые ваш браузер и так видит на странице вашего инвентаря Steam, включая предметы, которые сейчас под трейд-локом.

4. 4

   Держите свои ключи API при себе

   Возьмите за правило никогда не вводить ключ Steam Web API ни на одном стороннем сайте. Периодически открывайте страницу ключей API в Steam и отзывайте любой ключ, который вы не узнаёте. VSkin он никогда не нужен.

Часто задаваемые вопросы