一次差点被盗的教训
几年前我朋友Steam库存被清空的截图在群里传开，当时我还觉得这种事离我很远。直到一次深夜，手机突然弹出一条异地登录验证请求，我才意识到自己的账号也被人盯上了。那之后我开始认真研究怎么保护账号，慢慢形成了一套固定的检查习惯。
登录历史里的异常痕迹
我每隔一两周就会点开账户明细，查看登录历史。只要进入Steam客户端，点击左上角Steam菜单，选择设置，在账户页面点击查看账户明细，再转到账户详情里找到管理Steam Guard，就能看到最近十次的登录记录。每次看到不认识的IP地址我都会紧张，立即改密码并撤销其他设备授权。有一次发现一个来自印尼的登录试图，提交时间就在半小时前，我吓得连觉都没睡好。
授权设备必须定期清理
我在朋友家、网吧甚至旧电脑上都登录过Steam，很多设备虽然已经不用了，但授权信息仍然保留着。这意味着如果有人拿到那些设备的权限，可能不用密码就能直接登我的账号。所以每次重装系统或者换新电脑后，我都会在管理Steam Guard页面点击撤销对其他所有设备的授权。这个操作很简单，但能让我安心许多。
API密钥——一个容易忽视的漏洞
之前我为了便利把Steam账号绑定了一些第三方网站，结果发现这些网站会悄悄创建API密钥。如果密钥泄露，攻击者可以利用它绕过手机令牌进行交易确认。我每个月都会去Steam的API管理页面检查一遍，看看有没有不认识的密钥。只要发现不是我自己创建的，一律马上撤销。这件事如果不常做，根本不知道自己已经暴露了多少风险。
手机令牌是最后的防线
我最信赖的还是Steam手机令牌。它生成动态验证码，每次登录都需要输入，这层保护比单纯密码强太多。我只要发现登录时需要邮箱验证码而不是手机验证码，就知道令牌掉了，得赶紧重新绑定。换手机或者重装应用时特别容易忘记这步，所以我每次都会第一时间确认令牌状态是否正常。
钓鱼邮件的陷阱
我也收过不少伪装成Steam官方的邮件，内容大多是账户异常需要验证或交易报价被冻结，看着还挺像那么回事。但这些邮件要么发件人地址乱七八糟，要么链接指向的不是steampowered.com。我处理可疑邮件的原则很简单：不点任何链接，直接打开Steam客户端查看消息。钓鱼网站也常模仿Steam社区，用steamcommunuty这种多打几个字母的域名来混淆。我习惯把真正的Steam社区网址存在浏览器收藏夹，每次都是从这里点进去，绝不从邮件或聊天里输入密码。
现在这些检查已经成了我隔段时间就会做的事。虽然没法保证百分百安全，但至少能让我心里踏实，不用整天担心账号哪天突然被洗劫。保护数字财产这件事，我一直觉得是很重要的。
