库存和余额都放在同一个账号里，账号安全比任何一件饰品都值钱。Valve 官方帮助把该做的几步写得很具体，下面是照着能做完的清单：绑手机令牌、换密码、清授权设备、保住邮箱、核对域名，最后是被接管后怎么找回。

一、绑上 Steam 手机令牌

官方设置流程是四步：装好 Steam 手机应用并用账号登录，会直接落到 Steam Guard 页，点 Add authenticator；填一个能收短信的手机号（官方提示这个号码日后能帮你快速找回账号，没有号码也有"I don't have access to a phone number"入口）；输入短信收到的确认码，没收到可以重发，运营商延迟几个小时就去联系客服；成功后系统会给你一串 Recovery code，官方原话是写下来存好、不要跳过这一步，手机丢了或令牌没了全靠它自助恢复。

绑好之后登录有三种走法：用手机应用扫 Steam 的二维码；或者输账号密码后在应用里点确认；或者输密码再填应用里的 Steam Guard 码。一个应用可以同时管多个 Steam 账号，在 Steam Guard 页的蓝色下拉里切换或添加，之后不管当前登录的是哪个，都能替所有账号确认登录。

二、改密码的入口和规则

改密码页的路径是：打开 Steam 客户端，左上角 Steam 菜单进 Settings（Mac 上叫 Preferences），在 Security 标签里选 Change Password，选择向账号绑定的邮箱发验证邮件，邮件到了就填里面的 5 位码再设新密码，改完还会再收到一封确认邮件。收不到信先去垃圾邮件里翻。官方对新密码有两条硬要求：不能是以前的密码，且必须满足强度要求。

账号安全建议页给的强度底线是至少 6 个字符、大小写字母混合、至少一个数字，并且不要用人名、词典里的单词或键盘上连排的字符。同一页还要求 Steam 密码和绑定邮箱的密码必须不同，邮箱本身也要保持安全。忘了密码就走帮助站的自助恢复，走完仍不行的话，最后一步会给你一张提交给客服的表单。

三、清一遍授权设备

官方建议的处置顺序很明确：先看账号的授权设备列表，发现眼熟不来的设备就用 Sign out everywhere 全部登出，然后改密码，再检查邮箱和其他关联账号的安全，最后扫一遍系统恶意软件，包括恶意应用和浏览器扩展。在网吧或别人电脑上登录完记得退出，忘了退就去立刻取消那台设备的授权。

四、认清哪些东西是恶意软件的重灾区

同一页提醒，针对 Steam 的恶意软件常伪装成盗版软件、外挂、假的游戏演示或测试版，以及通讯工具、mod 管理器、库存管理器这类周边工具。官方的描述值得警惕：现代恶意软件可能定制到躲过常见杀毒软件，会一直等到目标状态才动手（比如你钱包里有余额），有些在完成目的后还会把自己从系统里删掉。所以别人发来的下载链接，即使托管在你平时信任的平台上，也要先查清楚，只从官方来源安装。

五、核对域名和"客服"身份

官方列出的正规登录域名只有四个：www.steampowered.com、store.steampowered.com、steamcommunity.com、help.steampowered.com。要你的登录信息却不在这几个域名里的站子，什么都别填直接忽略。同一页还写明：客服不会通过好友网络主动联系你，也不会向你要 CD Key 或信用卡购买信息，除非是你自己在帮助站发起的求助；任何声称代表 Steam Support、要你按他指示操作的人，包括从好友账号发来的，都不要照做；正经的游戏组织和服务器管理员都不需要你的账号信息。

六、万一已经被接管

账号找回页的要点有三条。第一，先走帮助站的自助恢复，不行再联系客服，官方明确即使对方已经改掉了邮箱、密码和手机号，你任何时候都能通过客服找回账号。第二，卡在流程里时按提示填对信息：搜索账号那一步要填你自己的邮箱地址，不是账号当前绑定的那个邮箱。第三，联系客服时尽量备齐所有权证明，官方说明所有权靠此前用过的支付信息或激活过的零售产品码确立，可选类别包括 Visa、American Express、MasterCard、Discover、JCB 等信用卡，PayPal、Alipay、iDEAL、WebMoney 等转账方式，以及 CD Key、数字激活码和 Steam 钱包码。

加固解决的是"账号会不会被人登进去"，识别话术解决的是"会不会自己把东西送出去"，两层都要有。