Alternativas ao Imperva Client-Side Protection para proteger a página de pagamento (2026)

O Proteside registra o que é legítimo em cada página de pagamento (os dados de cada cobrança, os campos do formulário, os scripts autorizados) e verifica continuamente, no navegador de quem paga, o que é exibido, o que é copiado e para onde os dados vão. Ao detectar uma divergência, impede a ação antes de o pagamento ser confirmado e registra a tentativa.

O inventário de scripts e o histórico de alterações formam a evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS. A instalação é uma linha de código em qualquer plataforma de e-commerce, ou uma integração única para plataformas e provedores de pagamento, com painel, API e alertas.

O recurso, chamado Page Shield até março de 2026 e agora Client-Side Security, está disponível para domínios que passam pelo proxy da Cloudflare. A documentação descreve o monitoramento de scripts, conexões e cookies, a detecção de scripts maliciosos e de mudanças de código, e regras de segurança de conteúdo que podem bloquear o que não estiver na lista de permissão.

A própria documentação explica o mecanismo: o cabeçalho em modo relatório vai em uma amostra das respostas, por isso um script novo pode levar um tempo para aparecer. Os requisitos 6.4.3 e 11.6.1 são atendidos com o pacote avançado. Pix, boleto e pagamentos instantâneos não aparecem no material.

O Client-Side Protection & Compliance (antes Page Integrity Manager) inventaria scripts, aplica justificativas e regras, monitora cabeçalhos para o requisito 11.6.1 e alerta sobre scripts não autorizados, exfiltração de dados de pagamento e adulteração. A documentação pública diz que as detecções valem para qualquer site, onde quer que esteja hospedado, com a configuração no console da Akamai.

A injeção do script pode ser feita por percentual das visualizações de página, e a mitigação é descrita como uma restrição aplicada com um clique. Para a cobertura ser total, a injeção precisa estar em todas as visualizações. O material cobre scripts e dados de cartão; não trata de QR, chave ou linha digitável.

O Feroot concentra a oferta em conformidade: o PaymentGuard cobre os requisitos 6.4.3 e 11.6.1 com inventário de scripts, justificativas, verificação de integridade e um relatório de evidências para o QSA. A documentação pública cita integrações com ferramentas de alerta e de operação e cobertura de aplicativos iOS e Android, além de sites.

O ponto de atenção para quem vende fora do cartão é o escopo: o material público fala de scripts e de dados de cartão, não de QR, chave Pix, boleto ou carteira cripto. Para essas formas de pagamento, a troca do beneficiário fica fora do que a ferramenta descreve conferir.

A c/side se define como plataforma de segurança client-side. O material público descreve inventário com histórico do conteúdo de cada script, grafo de fornecedores, alertas, painéis para os requisitos 6.4.3 e 11.6.1 e um ponto de recebimento de relatórios CSP.

A página pública dedicada a cripto cita a troca do endereço de carteira copiado para a área de transferência, o que a aproxima do problema que o Proteside resolve. Pix, boleto e os QR de pagamentos instantâneos de outros países não aparecem na documentação pública consultada.

A Reflectiz descreve a própria abordagem como sem agente: um navegador em sandbox simula a jornada do usuário, inventaria scripts (inclusive em iframes), monitora cabeçalhos para o requisito 11.6.1 e exporta evidências para o QSA. A plataforma cobre também privacidade e testes ofensivos.

O próprio material explica o bloqueio como um script que fica inativo na página até ser acionado na interface, quando passa a excluir um domínio por CSP. É uma escolha de desenho: detecção primeiro, intervenção humana depois. Golpes que só aparecem para um comprador específico não são observados por visitas simuladas.