بدائل F5 Client-Side Defense لصفحة الدفع (2026)
بقلم Laís Peixoto
Growth Marketer, Proteside
نُشر في
تجد الفرق التي تنظر إلى ما بعد F5 Client-Side Defense وحدات CDN وWAF أخرى (Cloudflare Client-Side Security، المعروف سابقًا باسم Page Shield، وAkamai Client-Side Protection & Compliance)، ووكلاء في الصفحة (Feroot وc/side)، ومراقبًا خارجيًا (Reflectiz)، ومنهج Proteside الذي يتحقق من الدفع نفسه. ويبدأ الاختيار بمكان عمل تطبيقك وما تقبله صفحة الدفع لديك.
لماذا تقيّم الفرق خيارات أخرى
تقبل صفحة الدفع أكثر من البطاقات
لا يمر رمز QR لـ UPI أو PayNow، أو مفتاح Pix، أو رقم سداد قسيمة مصرفية برازيلية، أو عنوان USDT عبر نموذج أبدًا. يستبدل الهجوم المستلم على الشاشة، فيجب أن تتحقق الأداة من تلك البيانات.
المنع دون قائمة تحتاج إلى صيانة
عندما يعتمد التخفيف على قوائم نطاقات يحددها فريقك ويكون رفض شيفرة إعلاميًا، يريد المشغّلون منعًا يحدث في كل جلسة، قبل التأكيد.
التطبيق ليس على F5
يمكن للمتاجر على شبكة CDN أخرى أو دون موزّع أحمال F5 إدراج الشيفرة يدويًا، لكن الإدارة تبقى في وحدة تحكم Distributed Cloud. وتفضّل فرق كثيرة أداة تدخل أي منصة بسطر شيفرة واحد.
القائمة المختصرة
| الخيار | كيف يعمل | منطقي لـ | المقارنة |
|---|---|---|---|
| Proteside | شيفرة في صفحة الدفع تتحقق من كل رمز QR ومفتاح دفع ورقم سداد قسيمة وعنوان محفظة وحقل بطاقة مقابل ما أصدره خادمك، وتمنع الاستبدال قبل التأكيد. | التجار الذين يتلقون مدفوعاتهم عبر أنظمة فورية مثل UPI أو PromptPay أو PayNow أو Pix، أو بالبطاقة، أو بالقسيمة المصرفية، أو بالعملات المستقرة، ويحتاجون إلى الحماية وأدلة PCI DSS من تركيب واحد. | F5 Client-Side Defense مقابل Proteside |
| Cloudflare Client-Side Security (antes Page Shield) | من الخادم الوسيط، تضيف Cloudflare ترويسة CSP للإبلاغ فقط إلى عيّنة من الصفحات وتبني الجرد من تقارير المتصفحات؛ ويحدث المنع عبر قواعد السماح في الفئة المتقدمة. | المواقع التي تعمل أصلًا خلف Cloudflare وتريد مراقبة الشيفرات دون تثبيت أي شيء. | Cloudflare Page Shield مقابل Proteside |
| Akamai Client-Side Protection & Compliance (antes Page Integrity Manager) | تحقن حافة Akamai شيفرة رصد في أعلى الصفحة (أو تُوضع في الخادم الأصلي)، وتحلل سلوك الشيفرات وتتيح لك تقييد شيفرة خبيثة بنقرة واحدة في وحدة التحكم. | العمليات الكبيرة على Akamai التي تريد معلومات تهديدات الشبكة وجرد الشيفرات مُدارَين في وحدة التحكم نفسها. | Akamai Client-Side Protection مقابل Proteside |
| Feroot PaymentGuard e DXSecure | يجرد الشيفرات في صفحات الدفع، ويسجّل المبررات والسلامة، وينبّه عند تغيّر المحتوى والترويسات؛ ويوصف فرض السياسات أثناء التشغيل بأنه اختياري. | العمليات التي تعتمد على البطاقات وتحتاج إلى حوكمة الشيفرات عبر المواقع وتطبيقات الهاتف، مع تقرير للمقيّم. | Feroot مقابل Proteside |
| c/side Script Security | مقتطف شيفرة في الصفحة يراقب شيفرات الأطراف الثالثة في جلسات حقيقية، ويحتفظ بسجل لما حمّلته كل شيفرة، ويمنع بدمج CSP مع قواعده الخاصة، دون خادم وسيط عكسي ودون تغيير DNS. | الفرق التي تريد رؤية تفصيلية لسلوك كل شيفرة طرف ثالث، مع لوحات امتثال وتنبيهات في أدوات الدردشة. | c/side مقابل Proteside |
| Reflectiz PCI Module | متصفح آلي يزور صفحات الدفع من الخارج، وفق جدول زمني، دون شيفرة في الموقع؛ والمنع، عند تفعيله من الواجهة، يحقن سياسة CSP تستبعد نطاقًا معيّنًا. | الفرق التي لا تستطيع أو تفضّل عدم وضع شيفرة في الصفحة وتقبل الرصد مع مراجعة بشرية. | Reflectiz مقابل Proteside |
اختر الفئة قبل المورّد
تناسب وحدات CDN وWAF، مثل وحدات F5 وCloudflare وAkamai، الفرق التي تمرر التطبيق أصلًا عبر تلك المنصة: يظهر جرد الشيفرات في وحدة التحكم التي تستخدمها يوميًا. ويدخل الوكلاء في الصفحة، مثل Feroot وc/side، بشيفرة ويراقبون كل متسوق على أي بنية. ويزور المراقبون الخارجيون، مثل Reflectiz، الصفحة من الخارج دون شيفرة في الموقع، ولهذا لا يتابعون كل جلسة.
تنظر العائلات الثلاث جميعها إلى الشيفرات وحقول النماذج، وهي ميدان السرقة الإلكترونية، حيث تنسخ شيفرة بيانات البطاقة من النموذج. وبحسب ما تصفه الوثائق العامة، لا تتحقق أي منها مما إذا كان رمز QR أو بيانات الحساب أو عنوان المحفظة على الشاشة هي التي أصدرها التاجر. ذلك التحقق هو فئة Proteside، ويشمل جرد الشيفرات وأدلة المتطلبين 6.4.3 و11.6.1 في التركيب نفسه.
الخيارات بالتفصيل
Proteside
يسجّل Proteside ما هو مشروع في كل صفحة دفع (بيانات كل مطالبة دفع، وحقول النموذج، والشيفرات المصرّح بها) ويتحقق باستمرار، في متصفح الدافع، مما يُعرض وما يُنسخ وإلى أين تذهب البيانات. وعندما يرصد عدم تطابق، يوقف الإجراء قبل تأكيد الدفع ويسجّل المحاولة.
يشكّل جرد الشيفرات وسجل التعديلات أدلة متطلبي PCI DSS 6.4.3 و11.6.1. والتركيب سطر شيفرة واحد على أي منصة تجارة إلكترونية، أو تكامل واحد للمنصات ومزوّدي الدفع، مع لوحة تحكم وواجهة برمجية وتنبيهات.
يكون Proteside الخيار الصحيح عندما: اختر Proteside عندما تُدفع مشترياتك عبر أنظمة فورية أو قسائم مصرفية أو عملات مستقرة إلى جانب البطاقات، أو عندما تحتاج إلى منع استبدال المستفيد في جلسات حقيقية، أو عندما تريد الحماية وأدلة PCI DSS دون تغيير شبكة CDN الخاصة بك.
Cloudflare Client-Side Security (antes Page Shield)
الميزة، التي كانت تُسمى Page Shield حتى مارس 2026 وتُسمى الآن Client-Side Security، متاحة للنطاقات التي تمر عبر خادم Cloudflare الوسيط. وتصف الوثائق مراقبة الشيفرات والاتصالات وملفات تعريف الارتباط، ورصد الشيفرات الخبيثة وتغييرات الشيفرة، وقواعد أمن محتوى يمكنها منع أي شيء خارج قائمة السماح.
تشرح الوثائق نفسها الآلية: تُرسل ترويسة الإبلاغ فقط مع عيّنة من الاستجابات، لذا قد تستغرق الشيفرة الجديدة وقتًا حتى تظهر. ويُغطى المتطلبان 6.4.3 و11.6.1 في الفئة المتقدمة. ولا تظهر Pix ولا Boleto (القسيمة المصرفية البرازيلية) ولا أنظمة الدفع الفوري في المواد.
يكون Cloudflare Page Shield الخيار الصحيح عندما: يعمل موقعك أصلًا خلف Cloudflare، وتكون البطاقات وسيلة الدفع الرئيسية، وتكفي مراقبة الشيفرات بالعيّنات لإرضاء المقيّم لديك.
Akamai Client-Side Protection & Compliance (antes Page Integrity Manager)
يجرد Client-Side Protection & Compliance (المعروف سابقًا باسم Page Integrity Manager) الشيفرات، ويطبّق المبررات والقواعد، ويراقب الترويسات للمتطلب 11.6.1، وينبّه عند ظهور شيفرات غير مصرّح بها أو تسريب بيانات الدفع أو التلاعب. وتقول الوثائق العامة إن الرصد يعمل لأي موقع أينما كان مستضافًا، مع الإعداد في وحدة تحكم Akamai.
يمكن ضبط حقن الشيفرة على نسبة مئوية من مشاهدات الصفحة، ويوصف التخفيف بأنه تقييد يُطبَّق بنقرة واحدة. وللتغطية الكاملة، يجب أن يعمل الحقن في كل مشاهدة صفحة. وتغطي المواد الشيفرات وبيانات البطاقات؛ ولا تتناول رموز QR أو مفاتيح الدفع أو أرقام سداد القسائم.
يكون Akamai Client-Side Protection الخيار الصحيح عندما: تعمل عمليتك أصلًا على Akamai، ويدير فريق الأمن لديك وحدة التحكم، ويناسب التخفيف بموافقة بشرية إجراءاتك.
المقارنة الكاملة: Akamai Client-Side Protection مقابل Proteside
Feroot PaymentGuard e DXSecure
يركّز Feroot عرضه على الامتثال: يغطي PaymentGuard المتطلبين 6.4.3 و11.6.1 بجرد الشيفرات والمبررات وفحوص السلامة وتقرير أدلة للمقيّم المعتمد (QSA). وتذكر الوثائق العامة تكاملات مع أدوات التنبيه والتشغيل، وتغطية تطبيقات iOS وAndroid إلى جانب المواقع.
النقطة التي ينبغي الانتباه إليها لمن يتلقى مدفوعات خارج البطاقات هي النطاق: تتحدث المواد العامة عن الشيفرات وبيانات البطاقات، دون ذكر رموز QR أو مفاتيح الدفع أو Boleto (القسيمة المصرفية البرازيلية) أو محافظ العملات المشفرة. وبالنسبة لوسائل الدفع هذه، يقع استبدال المستفيد خارج ما تصف الأداة التحقق منه.
يكون Feroot الخيار الصحيح عندما: تكون أولويتك حوكمة الشيفرات وأدلة PCI DSS عبر المواقع وتطبيقات الهاتف، وتُدفع مشترياتك في الغالب بالبطاقة.
c/side Script Security
يعرّف c/side نفسه بأنه منصة أمن من جهة العميل. وتصف المواد العامة جردًا مع سجل محتوى كل شيفرة، ورسمًا بيانيًا للمورّدين، وتنبيهات، ولوحات تحكم للمتطلبين 6.4.3 و11.6.1، ونقطة نهاية لتلقي تقارير CSP.
تذكر صفحته العامة عن العملات المشفرة استبدال عنوان المحفظة المنسوخ إلى الحافظة، ما يقرّبه من المشكلة التي يحلها Proteside. أما Pix وBoleto (القسيمة المصرفية البرازيلية) ورموز QR لأنظمة الدفع الفوري مثل UPI أو PromptPay فلا تظهر في الوثائق العامة التي رجعنا إليها.
يكون c/side الخيار الصحيح عندما: تريد تفاصيل سلوك كل شيفرة طرف ثالث، ويكون استبدال عنوان العملات المشفرة همّك الرئيسي خارج البطاقات.
Reflectiz PCI Module
يصف Reflectiz منهجه بأنه دون وكيل: متصفح معزول يحاكي رحلة المستخدم، ويجرد الشيفرات (بما فيها داخل iframe)، ويراقب الترويسات للمتطلب 11.6.1، ويصدّر الأدلة للمقيّم المعتمد (QSA). كما تغطي المنصة الخصوصية والاختبارات الهجومية.
تشرح مواد المورّد نفسه المنع بأنه شيفرة تبقى خاملة في الصفحة حتى تُفعَّل من الواجهة، فتبدأ باستبعاد نطاق عبر CSP. وهو خيار تصميمي: الرصد أولًا، ثم التدخل البشري. والاحتيالات التي تظهر لمشترٍ واحد بعينه لا تلاحظها الزيارات المحاكاة.
يكون Reflectiz الخيار الصحيح عندما: تمنع سياستك الداخلية إضافة شيفرات إلى صفحة الدفع ويراجع فريق الأمن لديك التنبيهات قبل التصرف.
كيف تقيّم بديلًا
- 1أين يعمل التطبيق؟ تغطي وحدة CDN أو WAF ما يمر عبر منصة المورّد؛ وخارجها، تحقق مما إذا كان الإدراج اليدوي يحتفظ بالوظائف نفسها وأين تقع الإدارة.
- 2من يمنع؟ قائمة نطاقات يصونها فريقك، أم موافقة بنقرة واحدة، أم منع تلقائي في كل جلسة؟
- 3ما بيانات الدفع التي تعرضها الصفحة؟ إذا كان هناك رمز QR للدفع الفوري، أو مفتاح Pix، أو رقم سداد قسيمة، أو عنوان محفظة، فيجب أن تقارن الأداة تلك البيانات بما أُصدر.
- 4كم نطاقًا وشيفرة تحمّل صفحتك؟ تحقق من الحدود المعلنة، مثل عدد النطاقات لكل مساحة أسماء، وكيف تتعامل الأداة مع الشيفرات التي تغيّر اسمها.
- 5كيف تخرج الأدلة من الأداة؟ يجب أن يصل تقرير المتطلبين 6.4.3 و11.6.1 إلى المقيّم المعتمد (QSA) مع الجرد والموافقات وسجل التغييرات.
الأسئلة الشائعة
ما أفضل بديل لـ F5 Client-Side Defense؟
يعتمد على مكان عمل التطبيق وما تقبله صفحة الدفع. تجد الفرق على Cloudflare أو Akamai وحدات مكافئة على منصتها. وتنظر الفرق التي تريد مراقبة كل متسوق على أي بنية إلى Feroot وc/side. أما لـ UPI وPromptPay وPayNow وPix والقسائم المصرفية والعملات المستقرة، فيظهر التحقق من الدفع في وثائق Proteside العامة.
ما الذي يجب أن يغطيه بديل F5 Client-Side Defense؟
جرد لشيفرات الطرف الأول والثالث والرابع، وموافقات مسجّلة، وتنبيهات عند قراءة الحقول وتغيّر الترويسات، وأدلة للمتطلبين 6.4.3 و11.6.1. وإذا كانت صفحة الدفع تقبل أكثر من البطاقات، فأضف التحقق من المستلم والمنع في كل جلسة.
من هم منافسو F5 Client-Side Defense؟
في عائلة وحدات CDN وWAF نفسها، Cloudflare Client-Side Security وAkamai Client-Side Protection & Compliance وImperva. وبين الوكلاء في الصفحة، Feroot وc/side وJscrambler وSource Defense وHUMAN Security. وفي المراقبة الخارجية، Reflectiz وSecurityMetrics. ويقارن Proteside نفسه بها جميعًا في هذه الصفحات.
هل يحل Proteside محل F5 Client-Side Defense؟
يعتمد على ما تستخدم F5 له. في صفحة الدفع، يغطي Proteside جرد الشيفرات والمتطلبين 6.4.3 و11.6.1، ويضيف التحقق من الدفع مع المنع التلقائي. وإذا أراد الفريق إبقاء التنبيهات في وحدة تحكم Distributed Cloud إلى جانب بقية التطبيق، فيمكن للأداتين أن تتعايشا.
شاهد Proteside يتحقق من صفحة الدفع لديك
أربعة عشر يومًا مجانًا، سطر شيفرة واحد، وكل وسيلة دفع في صفحتك.