بدائل c/side لحماية صفحة الدفع (2026)
بقلم Laís Peixoto
Growth Marketer, Proteside
نُشر في
تجد الفرق التي تبحث عن بدائل c/side ثلاث عائلات: وكلاء في الصفحة مثل Feroot وJscrambler؛ ومراقبون خارجيون مثل Reflectiz وSecurityMetrics؛ ووحدات CDN أو WAF مثل Cloudflare Client-Side Security (المعروف سابقًا باسم Page Shield). ويسلك Proteside طريقًا رابعًا ويتحقق من الدفع نفسه إضافةً إلى الشيفرات. ويبدأ الاختيار بما تقبله صفحة الدفع لديك.
لماذا تقيّم الفرق خيارات أخرى
تقبل صفحة الدفع أكثر من البطاقات
ليس لـ UPI وPromptPay وPayNow والقسائم المصرفية والعملات المستقرة نموذج بطاقة تحميه. السرقة الإلكترونية هنا تعني استبدال المستفيد على الشاشة أو في الحافظة، وهذا يستدعي مقارنة البيانات المعروضة بما أُصدر.
يجب أن يكون المنع تلقائيًا
عندما يحدث الاستبدال داخل جلسة واحدة، يصل التنبيه الذي يُراجع لاحقًا متأخرًا جدًا. تريد الفرق المنع قبل التأكيد، دون انتظار أن يفتح أحد لوحة التحكم.
الحماية والأدلة من الأداة نفسها
تريد العمليات الصغيرة والمتوسطة أدلة المتطلبين 6.4.3 و11.6.1 صادرةً من الأداة التي توقف الاحتيال، جاهزةً للمقيّم المعتمد (QSA).
القائمة المختصرة
| الخيار | كيف يعمل | منطقي لـ | المقارنة |
|---|---|---|---|
| Proteside | شيفرة في صفحة الدفع تتحقق من كل رمز QR ومفتاح دفع ورقم سداد قسيمة وعنوان محفظة وحقل بطاقة مقابل ما أصدره خادمك، وتمنع الاستبدال قبل التأكيد. | التجار الذين يتلقون مدفوعاتهم عبر أنظمة فورية مثل UPI أو PromptPay أو PayNow أو Pix، أو بالبطاقة، أو بالقسيمة المصرفية، أو بالعملات المستقرة، ويحتاجون إلى الحماية وأدلة PCI DSS من تركيب واحد. | c/side مقابل Proteside |
| Feroot PaymentGuard e DXSecure | يجرد الشيفرات في صفحات الدفع، ويسجّل المبررات والسلامة، وينبّه عند تغيّر المحتوى والترويسات؛ ويوصف فرض السياسات أثناء التشغيل بأنه اختياري. | العمليات التي تعتمد على البطاقات وتحتاج إلى حوكمة الشيفرات عبر المواقع وتطبيقات الهاتف، مع تقرير للمقيّم. | Feroot مقابل Proteside |
| Jscrambler Webpage Integrity | وكيل JavaScript، أو مراقبة بمستخدم اصطناعي، يجرد الشيفرات ويرصد الانحراف السلوكي ويفرض سياسات المنع وحماية النماذج؛ وتغطي وحدة منفصلة المتطلبين 6.4.3 و11.6.1. | الشركات التي تحتاج أيضًا إلى حماية شيفرة JavaScript الخاصة بها (التعتيم)، ومزوّدو الدفع الذين يقدّمون صفحات الدفع داخل iframe. | Jscrambler مقابل Proteside |
| Reflectiz PCI Module | متصفح آلي يزور صفحات الدفع من الخارج، وفق جدول زمني، دون شيفرة في الموقع؛ والمنع، عند تفعيله من الواجهة، يحقن سياسة CSP تستبعد نطاقًا معيّنًا. | الفرق التي لا تستطيع أو تفضّل عدم وضع شيفرة في الصفحة وتقبل الرصد مع مراجعة بشرية. | Reflectiz مقابل Proteside |
| SecurityMetrics Shopping Cart Monitor | يفحص صفحة الدفع من الخارج، على فترات، محاكيًا عملية الدفع، وينبّه عند ظهور شيفرات جديدة وتغييرات؛ وتصف الشركة نفسها المنتج بأنه أداة رصد وتقول إنه لم يُبنَ للوقاية. | التجار الذين يستخدمون أصلًا بوابة PCI من SecurityMetrics (الاستبيانات، وفحوص ASV) ويريدون أدلة المتطلبين 6.4.3 و11.6.1 في المكان نفسه. | SecurityMetrics مقابل Proteside |
| Cloudflare Client-Side Security (antes Page Shield) | من الخادم الوسيط، تضيف Cloudflare ترويسة CSP للإبلاغ فقط إلى عيّنة من الصفحات وتبني الجرد من تقارير المتصفحات؛ ويحدث المنع عبر قواعد السماح في الفئة المتقدمة. | المواقع التي تعمل أصلًا خلف Cloudflare وتريد مراقبة الشيفرات دون تثبيت أي شيء. | Cloudflare Page Shield مقابل Proteside |
اختر الفئة قبل المورّد
قبل استبدال مورّد بآخر مشابه، انظر إلى الفئة. يرى الوكلاء في الصفحة مثل c/side وFeroot وJscrambler كل جلسة حقيقية ويتحكمون فيما يعمل؛ ويقدّم المراقبون الخارجيون مثل Reflectiz وSecurityMetrics الجرد دون شيفرة في الموقع، على حساب عدم رؤية كل مشترٍ؛ وتعمل وحدات CDN أو WAF مثل وحدة Cloudflare على الحافة وتعتمد على مرور حركة المرور عبرها. ونشأت العائلات الثلاث من مشكلة البطاقات وتستوفي المتطلب 6.4.3 بطرق مختلفة.
ولا تتحقق أي منها، بقدر ما تصف وثائقها العامة، مما إذا كان رمز QR أو معرّف المستفيد أو رقم سداد القسيمة أو عنوان المحفظة على الشاشة هو الذي أصدره التاجر. ويقترب c/side أكثر من غيره بذكر العنوان المُستبدَل في الحافظة على صفحته عن العملات المشفرة، لكن دون مقارنة بما أُنشئ. تلك المقارنة هي فئة Proteside: تشمل جرد الشيفرات وأدلة PCI DSS وتضيف التحقق من الدفع.
الخيارات بالتفصيل
Proteside
يسجّل Proteside ما هو مشروع في كل صفحة دفع (بيانات كل مطالبة دفع، وحقول النموذج، والشيفرات المصرّح بها) ويتحقق باستمرار، في متصفح الدافع، مما يُعرض وما يُنسخ وإلى أين تذهب البيانات. وعندما يرصد عدم تطابق، يوقف الإجراء قبل تأكيد الدفع ويسجّل المحاولة.
يشكّل جرد الشيفرات وسجل التعديلات أدلة متطلبي PCI DSS 6.4.3 و11.6.1. والتركيب سطر شيفرة واحد على أي منصة تجارة إلكترونية، أو تكامل واحد للمنصات ومزوّدي الدفع، مع لوحة تحكم وواجهة برمجية وتنبيهات.
يكون Proteside الخيار الصحيح عندما: اختر Proteside عندما تُدفع مشترياتك عبر أنظمة فورية أو قسائم مصرفية أو عملات مستقرة إلى جانب البطاقات، أو عندما تحتاج إلى منع استبدال المستفيد في جلسات حقيقية، أو عندما تريد الحماية وأدلة PCI DSS دون تغيير شبكة CDN الخاصة بك.
Feroot PaymentGuard e DXSecure
يركّز Feroot عرضه على الامتثال: يغطي PaymentGuard المتطلبين 6.4.3 و11.6.1 بجرد الشيفرات والمبررات وفحوص السلامة وتقرير أدلة للمقيّم المعتمد (QSA). وتذكر الوثائق العامة تكاملات مع أدوات التنبيه والتشغيل، وتغطية تطبيقات iOS وAndroid إلى جانب المواقع.
النقطة التي ينبغي الانتباه إليها لمن يتلقى مدفوعات خارج البطاقات هي النطاق: تتحدث المواد العامة عن الشيفرات وبيانات البطاقات، دون ذكر رموز QR أو مفاتيح الدفع أو Boleto (القسيمة المصرفية البرازيلية) أو محافظ العملات المشفرة. وبالنسبة لوسائل الدفع هذه، يقع استبدال المستفيد خارج ما تصف الأداة التحقق منه.
يكون Feroot الخيار الصحيح عندما: تكون أولويتك حوكمة الشيفرات وأدلة PCI DSS عبر المواقع وتطبيقات الهاتف، وتُدفع مشترياتك في الغالب بالبطاقة.
Jscrambler Webpage Integrity
يجمع Jscrambler بين منتجين مختلفين: Code Integrity لحماية شيفرة JavaScript وتعتيمها، وWebpage Integrity لجرد الشيفرات في الصفحة والتحكم فيها، مع وحدة امتثال لمعيار PCI DSS. وتصف الوثائق العامة وضع الوكيل، الذي يمنع في الجلسات الحقيقية، والوضع دون وكيل، الذي يحاكي مستخدمًا.
إنه عرض ناضج للفرق التي تعتمد على البطاقات كوسيلة دفع رئيسية وتريد شركة واحدة للشيفرة والصفحة. ولا تتناول المواد العامة Pix أو Boleto (القسيمة المصرفية البرازيلية) أو رموز QR للدفع الفوري أو محافظ العملات المشفرة.
يكون Jscrambler الخيار الصحيح عندما: تحتاج إلى حماية شيفرة JavaScript الخاصة بك خارج صفحة الدفع، أو تكون مزوّدًا يقدّم صفحة الدفع داخل iframe.
Reflectiz PCI Module
يصف Reflectiz منهجه بأنه دون وكيل: متصفح معزول يحاكي رحلة المستخدم، ويجرد الشيفرات (بما فيها داخل iframe)، ويراقب الترويسات للمتطلب 11.6.1، ويصدّر الأدلة للمقيّم المعتمد (QSA). كما تغطي المنصة الخصوصية والاختبارات الهجومية.
تشرح مواد المورّد نفسه المنع بأنه شيفرة تبقى خاملة في الصفحة حتى تُفعَّل من الواجهة، فتبدأ باستبعاد نطاق عبر CSP. وهو خيار تصميمي: الرصد أولًا، ثم التدخل البشري. والاحتيالات التي تظهر لمشترٍ واحد بعينه لا تلاحظها الزيارات المحاكاة.
يكون Reflectiz الخيار الصحيح عندما: تمنع سياستك الداخلية إضافة شيفرات إلى صفحة الدفع ويراجع فريق الأمن لديك التنبيهات قبل التصرف.
SecurityMetrics Shopping Cart Monitor
SecurityMetrics شركة تقييم PCI (QSA وASV)، ويندرج Shopping Cart Monitor ضمن بوابتها: جرد الشيفرات مع المبررات، ورصد تغيّر المحتوى والترويسات، وتنبيهات، وسجل قابل للتصدير للمقيّم، دون تثبيت أي شيء في الموقع.
المواد العامة صريحة بشأن الحد: الأداة بُنيت للرصد، كما يقول المورّد، وتعمل من لقطات تُلتقط على فترات. وللفرق التي تحتاج إلى منع الاحتيال بينما العميل لا يزال في الصفحة، يعمل هذا المنهج مكمّلًا للمنع في الجلسات الحقيقية.
يكون SecurityMetrics الخيار الصحيح عندما: يمر تقييم PCI DSS لديك أصلًا عبر SecurityMetrics وتريد أدلة صفحة الدفع متكاملةً في البوابة نفسها.
Cloudflare Client-Side Security (antes Page Shield)
الميزة، التي كانت تُسمى Page Shield حتى مارس 2026 وتُسمى الآن Client-Side Security، متاحة للنطاقات التي تمر عبر خادم Cloudflare الوسيط. وتصف الوثائق مراقبة الشيفرات والاتصالات وملفات تعريف الارتباط، ورصد الشيفرات الخبيثة وتغييرات الشيفرة، وقواعد أمن محتوى يمكنها منع أي شيء خارج قائمة السماح.
تشرح الوثائق نفسها الآلية: تُرسل ترويسة الإبلاغ فقط مع عيّنة من الاستجابات، لذا قد تستغرق الشيفرة الجديدة وقتًا حتى تظهر. ويُغطى المتطلبان 6.4.3 و11.6.1 في الفئة المتقدمة. ولا تظهر Pix ولا Boleto (القسيمة المصرفية البرازيلية) ولا أنظمة الدفع الفوري في المواد.
يكون Cloudflare Page Shield الخيار الصحيح عندما: يعمل موقعك أصلًا خلف Cloudflare، وتكون البطاقات وسيلة الدفع الرئيسية، وتكفي مراقبة الشيفرات بالعيّنات لإرضاء المقيّم لديك.
كيف تقيّم بديلًا
- 1ما وسائل الدفع التي تعرضها صفحتك؟ إذا كان هناك UPI أو PromptPay أو PayNow أو قسيمة مصرفية أو عنوان محفظة، فيجب أن تقارن الأداة تلك البيانات بما أصدره خادمك.
- 2ماذا يحدث داخل جلسة مخترقة واحدة؟ منع تلقائي قبل التأكيد، أم تنبيه ليراجعه أحد؟
- 3هل يمكنك وضع وسم شيفرة في صفحة الدفع؟ إن لم يكن ذلك ممكنًا، فلا يناسبك سوى المراقبين الخارجيين، بالحدود التي يصرّحون بها هم أنفسهم.
- 4من يتلقى التنبيه وأين؟ يكفي Slack وTeams والبريد الإلكتروني وwebhook عادةً للفرق الصغيرة؛ وتهم تغذية SIEM العمليات الأكبر.
- 5هل يخرج التقرير جاهزًا للمقيّم المعتمد (QSA)، مع الجرد والتصاريح وسجل التغييرات للمتطلبين 6.4.3 و11.6.1؟
- 6هل تعتمد عمليتك على شبكة CDN معيّنة؟ تعمل وحدات الحافة فقط للمواقع الموجودة أصلًا على تلك المنصة.
الأسئلة الشائعة
ما أفضل بديل لـ c/side؟
يعتمد على ما تقبله صفحة الدفع لديك. للبطاقات مع التحكم في الشيفرات، يغطي Feroot وJscrambler مجالًا مشابهًا؛ ويخدم Reflectiz وSecurityMetrics الفرق التي لا تستطيع إضافة شيفرة إلى الصفحة؛ ويخدم Cloudflare Client-Side Security المواقع الموجودة أصلًا خلف Cloudflare. أما لـ UPI وPromptPay والقسائم المصرفية والعملات المستقرة ووسائل الدفع الأخرى غير البطاقات، فلا يظهر التحقق من الدفع إلا في وثائق Proteside العامة.
ما الذي يجب أن يغطيه بديل c/side؟
كحد أدنى، مراقبة الجلسات الحقيقية، وجرد الشيفرات والتصريح بها، ورصد التغييرات على الصفحة وترويساتها، وإنتاج تقرير للمدقق. وإذا تجاوزت صفحة الدفع البطاقات، فأضف مقارنة المستفيد المعروض بالمستفيد المُصدَر.
من هم منافسو c/side؟
في عائلة الوكلاء في الصفحة نفسها، Feroot وJscrambler وSource Defense وHUMAN Security. وفي المراقبة الخارجية، Reflectiz وSecurityMetrics. وفي وحدات CDN وWAF، Cloudflare وAkamai وImperva وF5. ويقارن Proteside نفسه بها جميعًا في هذه الصفحات.
هل يحل Proteside محل c/side؟
يعتمد على ما تستخدمه له. في صفحة الدفع، يغطي Proteside الجرد ومنع الشيفرات والمتطلبين 6.4.3 و11.6.1، ويضيف التحقق من الدفع. أما تحديد الأجهزة ورصد الروبوتات في Fingerprint فيقعان خارج نطاق Proteside؛ وفي تلك الحالة تعمل الأداتان جنبًا إلى جنب.
شاهد Proteside يتحقق من صفحة الدفع لديك
أربعة عشر يومًا مجانًا، سطر شيفرة واحد، وكل وسيلة دفع في صفحتك.