Como saber se um link da Steam é falso antes de clicar
Uma página de phishing copia a Steam pixel por pixel — pela aparência é impossível diferenciar, e nem vale a pena tentar. O jeito certo é olhar uma coisa só: o endereço. E ele tem uma pegadinha que engana até gente experiente.
O domínio se lê da direita pra esquerda, o cadeado do navegador não prova nada e a janela de login falsa trava na borda da página. Os testes que separam link real de phishing em segundos.
O domínio se lê da direita pra esquerda
Esse é o truque que salva conta. O domínio de verdade é sempre o trecho final do endereço, logo antes da primeira barra, e se lê de trás pra frente.
Exemplo: steamcommunity.com.login-verify.ru/market. Parece confiável porque começa com «steamcommunity.com». Mas lendo da direita pra esquerda: o domínio real é login-verify.ru, e «steamcommunity.com» é só um subdomínio, que qualquer pessoa registra com o nome que quiser.
Outro truque é trocar letras parecidas: um «i» no lugar de um «l», um traço a mais, uma letra de outro alfabeto quase idêntica. No olhar rápido não dá pra notar.
Domínios de verdade da Steam: steamcommunity.com, store.steampowered.com, help.steampowered.com, steampowered.com. Qualquer coisa fora dessa lista não é Steam, por mais parecido que pareça.
A janela de login falsa
A versão mais perigosa: a tela de login da Steam é desenhada dentro da própria página. Tem título, botões e até uma barra de endereço com cadeado verde — tudo imagem.
O teste leva um segundo: tenta arrastar essa «janela» pra fora da aba do navegador. A de verdade sai da tela; a desenhada trava na borda da página, porque na verdade é só um pedaço da própria página.
Segundo teste: coloca em tela cheia. A de verdade vira uma janela do sistema operacional; a falsa continua sendo um trecho de site.
- Entre nas plataformas pelos seus favoritos salvos, nunca por link mandado no chat.
- Não clique em link encurtado — ele existe justamente pra esconder o endereço real.
- Se você já está logado na Steam e o site pede login e senha de novo, aquilo não é Steam.
Por que o cadeado não garante nada
O ícone de cadeado no navegador diz uma coisa só: a conexão está criptografada. Não diz que o site é o site verdadeiro.
Hoje qualquer domínio, inclusive um golpe recém-criado, tira certificado de graça em poucos minutos. O cadeado aparece nos dois — no site real e no falso.
O mesmo vale pro visual: o design é copiado inteiro, com animação e tudo. A única checagem que sobra de pé é o endereço.
Cuidado com QR code de login
A Steam deixa entrar por QR code: você escaneia com o app do celular e loga no computador. Golpista inverte essa lógica.
Te mostram um QR de outra pessoa sob qualquer desculpa: confirmar participação num sorteio no Discord, provar que é humano, resgatar prêmio. Ao escanear, você loga a conta do golpista no seu celular — quem assume controle é ele, não o contrário.
Regra simples: só escaneia QR quando foi você mesmo que abriu a tela de login no seu computador e o código está ali, na sua frente. QR de outra pessoa nunca se escaneia.
Se você já digitou os dados
Aja na hora, e de um aparelho limpo. Troca a senha do e-mail ligado à Steam primeiro, depois a senha da própria Steam, e encerra todas as sessões ativas nas configurações de segurança.
Confira a Steam Web API key em steamcommunity.com/dev/apikey e revoga se tiver alguma cadastrada. Olha o histórico de trocas e as ofertas pendentes.
Roda um antivírus no computador — página de phishing costuma vir junto com algum download escondido.
Perguntas frequentes
Como saber se um link da Steam é falso?
Leia o domínio da direita pra esquerda: os reais são steamcommunity.com, store.steampowered.com, help.steampowered.com. Qualquer coisa antes disso, como subdomínio, não conta.
O cadeado no navegador significa que o site é seguro?
Não. O cadeado só confirma que a conexão está criptografada. Site de golpe também consegue certificado de graça.
Como identificar uma janela de login falsa da Steam?
Tenta arrastar a janela pra fora da aba do navegador. A verdadeira sai da tela; a desenhada dentro da página trava na borda.
É seguro escanear QR code pra logar na Steam?
Só se foi você quem abriu a tela de login no seu próprio computador e o código está ali. QR de outra pessoa loga a conta dele, não a sua.
O que fazer se eu digitei minha senha num site falso?
De um aparelho limpo, troca a senha do e-mail e depois da Steam, encerra todas as sessões, revoga a API key e roda um antivírus.
Como identificar um bot falso de plataforma na Steam
O bot de verdade só manda proposta depois que você mesmo inicia a operação no site da plataforma, nunca puxa conversa e a única checagem confiável é o SteamID permanente. Nível, idade da conta e elogios no perfil não provam nada.
Ler guia
Como não cair em golpe de skins na Steam: seis esquemas reais
API scam, troca substituída, bot falso de plataforma, login falso da Steam. Como cada golpe funciona por dentro, o que conferir antes de confirmar e o que fazer se já enviou.
Ler guia