بدائل Source Defense لحماية صفحة الدفع (2026)
بقلم Laís Peixoto
Growth Marketer, Proteside
نُشر في
تنقسم بدائل Source Defense إلى ثلاث عائلات: وكلاء شيفرات في الصفحة (Feroot وc/side)، ومراقبون خارجيون يزورون الموقع من الخارج (Reflectiz وSecurityMetrics)، ووحدات في شبكة CDN أو جدار WAF، وهو جدار حماية تطبيقات الويب في شبكة التوصيل (Cloudflare Client-Side Security، المعروف سابقًا باسم Page Shield). ويسلك Proteside منهجًا رابعًا: يتحقق من الدفع المعروض مقابل ما أصدره البائع. ويعتمد الاختيار الصحيح على ما تقبله صفحة الدفع لديك وعلى من يتصرف عندما يتغير شيء.
لماذا تقيّم الفرق خيارات أخرى
تقبل صفحة الدفع أكثر من البطاقات
لا تمر UPI وPromptPay وPayNow والقسائم المصرفية البرازيلية والعملات المشفرة أبدًا عبر نموذج. يستبدل الاحتيال المستفيد على الشاشة، وهذا يستدعي التحقق مما يراه المتسوق وينسخه.
أدلة المتطلب 11.6.1 في الأداة نفسها
تبحث الفرق المقبلة على تقييم PCI DSS عن جرد الشيفرات ومراقبة الترويسات في تقرير واحد، دون تجميع المصادر.
تركيب متجرًا بمتجر، مستقل عن البنك المستحوذ
يريد التجار الذين لا يتلقون الحماية عبر حزمة SDK لدى بنكهم المستحوذ سطر شيفرة واحدًا يمكن لفريقهم وضعه في صفحة الدفع.
القائمة المختصرة
| الخيار | كيف يعمل | منطقي لـ | المقارنة |
|---|---|---|---|
| Proteside | شيفرة في صفحة الدفع تتحقق من كل رمز QR ومفتاح دفع ورقم سداد قسيمة وعنوان محفظة وحقل بطاقة مقابل ما أصدره خادمك، وتمنع الاستبدال قبل التأكيد. | التجار الذين يتلقون مدفوعاتهم عبر أنظمة فورية مثل UPI أو PromptPay أو PayNow أو Pix، أو بالبطاقة، أو بالقسيمة المصرفية، أو بالعملات المستقرة، ويحتاجون إلى الحماية وأدلة PCI DSS من تركيب واحد. | Source Defense مقابل Proteside |
| Feroot PaymentGuard e DXSecure | يجرد الشيفرات في صفحات الدفع، ويسجّل المبررات والسلامة، وينبّه عند تغيّر المحتوى والترويسات؛ ويوصف فرض السياسات أثناء التشغيل بأنه اختياري. | العمليات التي تعتمد على البطاقات وتحتاج إلى حوكمة الشيفرات عبر المواقع وتطبيقات الهاتف، مع تقرير للمقيّم. | Feroot مقابل Proteside |
| c/side Script Security | مقتطف شيفرة في الصفحة يراقب شيفرات الأطراف الثالثة في جلسات حقيقية، ويحتفظ بسجل لما حمّلته كل شيفرة، ويمنع بدمج CSP مع قواعده الخاصة، دون خادم وسيط عكسي ودون تغيير DNS. | الفرق التي تريد رؤية تفصيلية لسلوك كل شيفرة طرف ثالث، مع لوحات امتثال وتنبيهات في أدوات الدردشة. | c/side مقابل Proteside |
| Reflectiz PCI Module | متصفح آلي يزور صفحات الدفع من الخارج، وفق جدول زمني، دون شيفرة في الموقع؛ والمنع، عند تفعيله من الواجهة، يحقن سياسة CSP تستبعد نطاقًا معيّنًا. | الفرق التي لا تستطيع أو تفضّل عدم وضع شيفرة في الصفحة وتقبل الرصد مع مراجعة بشرية. | Reflectiz مقابل Proteside |
| SecurityMetrics Shopping Cart Monitor | يفحص صفحة الدفع من الخارج، على فترات، محاكيًا عملية الدفع، وينبّه عند ظهور شيفرات جديدة وتغييرات؛ وتصف الشركة نفسها المنتج بأنه أداة رصد وتقول إنه لم يُبنَ للوقاية. | التجار الذين يستخدمون أصلًا بوابة PCI من SecurityMetrics (الاستبيانات، وفحوص ASV) ويريدون أدلة المتطلبين 6.4.3 و11.6.1 في المكان نفسه. | SecurityMetrics مقابل Proteside |
| Cloudflare Client-Side Security (antes Page Shield) | من الخادم الوسيط، تضيف Cloudflare ترويسة CSP للإبلاغ فقط إلى عيّنة من الصفحات وتبني الجرد من تقارير المتصفحات؛ ويحدث المنع عبر قواعد السماح في الفئة المتقدمة. | المواقع التي تعمل أصلًا خلف Cloudflare وتريد مراقبة الشيفرات دون تثبيت أي شيء. | Cloudflare Page Shield مقابل Proteside |
اختر الفئة قبل المورّد
اختر الفئة قبل المورّد. يتحكم وكلاء الشيفرات مثل Source Defense وFeroot وc/side فيما يعمل في الصفحة ويستوفون المتطلب 6.4.3 بالمنع في متصفح المتسوق. ويقدّم المراقبون الخارجيون الجرد دون شيفرة في الصفحة، على حساب مراقبة زيارات محاكاة بدلًا من متسوقين حقيقيين. وتفرض وحدات CDN السياسة على الحافة، فقط للمواقع الموجودة أصلًا على تلك الشبكة.
ولا تتحقق أي من هذه العائلات الثلاث، بقدر ما تصف الوثائق العامة، مما إذا كان رمز QR أو معرّف الحساب أو رقم سداد القسيمة أو عنوان المحفظة على الشاشة هو الذي أصدره البائع. ذلك التحقق هو فئة Proteside، ويأتي مع جرد الشيفرات وأدلة المتطلبين 6.4.3 و11.6.1 في التركيب نفسه.
الخيارات بالتفصيل
Proteside
يسجّل Proteside ما هو مشروع في كل صفحة دفع (بيانات كل مطالبة دفع، وحقول النموذج، والشيفرات المصرّح بها) ويتحقق باستمرار، في متصفح الدافع، مما يُعرض وما يُنسخ وإلى أين تذهب البيانات. وعندما يرصد عدم تطابق، يوقف الإجراء قبل تأكيد الدفع ويسجّل المحاولة.
يشكّل جرد الشيفرات وسجل التعديلات أدلة متطلبي PCI DSS 6.4.3 و11.6.1. والتركيب سطر شيفرة واحد على أي منصة تجارة إلكترونية، أو تكامل واحد للمنصات ومزوّدي الدفع، مع لوحة تحكم وواجهة برمجية وتنبيهات.
يكون Proteside الخيار الصحيح عندما: اختر Proteside عندما تُدفع مشترياتك عبر أنظمة فورية أو قسائم مصرفية أو عملات مستقرة إلى جانب البطاقات، أو عندما تحتاج إلى منع استبدال المستفيد في جلسات حقيقية، أو عندما تريد الحماية وأدلة PCI DSS دون تغيير شبكة CDN الخاصة بك.
Feroot PaymentGuard e DXSecure
يركّز Feroot عرضه على الامتثال: يغطي PaymentGuard المتطلبين 6.4.3 و11.6.1 بجرد الشيفرات والمبررات وفحوص السلامة وتقرير أدلة للمقيّم المعتمد (QSA). وتذكر الوثائق العامة تكاملات مع أدوات التنبيه والتشغيل، وتغطية تطبيقات iOS وAndroid إلى جانب المواقع.
النقطة التي ينبغي الانتباه إليها لمن يتلقى مدفوعات خارج البطاقات هي النطاق: تتحدث المواد العامة عن الشيفرات وبيانات البطاقات، دون ذكر رموز QR أو مفاتيح الدفع أو Boleto (القسيمة المصرفية البرازيلية) أو محافظ العملات المشفرة. وبالنسبة لوسائل الدفع هذه، يقع استبدال المستفيد خارج ما تصف الأداة التحقق منه.
يكون Feroot الخيار الصحيح عندما: تكون أولويتك حوكمة الشيفرات وأدلة PCI DSS عبر المواقع وتطبيقات الهاتف، وتُدفع مشترياتك في الغالب بالبطاقة.
c/side Script Security
يعرّف c/side نفسه بأنه منصة أمن من جهة العميل. وتصف المواد العامة جردًا مع سجل محتوى كل شيفرة، ورسمًا بيانيًا للمورّدين، وتنبيهات، ولوحات تحكم للمتطلبين 6.4.3 و11.6.1، ونقطة نهاية لتلقي تقارير CSP.
تذكر صفحته العامة عن العملات المشفرة استبدال عنوان المحفظة المنسوخ إلى الحافظة، ما يقرّبه من المشكلة التي يحلها Proteside. أما Pix وBoleto (القسيمة المصرفية البرازيلية) ورموز QR لأنظمة الدفع الفوري مثل UPI أو PromptPay فلا تظهر في الوثائق العامة التي رجعنا إليها.
يكون c/side الخيار الصحيح عندما: تريد تفاصيل سلوك كل شيفرة طرف ثالث، ويكون استبدال عنوان العملات المشفرة همّك الرئيسي خارج البطاقات.
Reflectiz PCI Module
يصف Reflectiz منهجه بأنه دون وكيل: متصفح معزول يحاكي رحلة المستخدم، ويجرد الشيفرات (بما فيها داخل iframe)، ويراقب الترويسات للمتطلب 11.6.1، ويصدّر الأدلة للمقيّم المعتمد (QSA). كما تغطي المنصة الخصوصية والاختبارات الهجومية.
تشرح مواد المورّد نفسه المنع بأنه شيفرة تبقى خاملة في الصفحة حتى تُفعَّل من الواجهة، فتبدأ باستبعاد نطاق عبر CSP. وهو خيار تصميمي: الرصد أولًا، ثم التدخل البشري. والاحتيالات التي تظهر لمشترٍ واحد بعينه لا تلاحظها الزيارات المحاكاة.
يكون Reflectiz الخيار الصحيح عندما: تمنع سياستك الداخلية إضافة شيفرات إلى صفحة الدفع ويراجع فريق الأمن لديك التنبيهات قبل التصرف.
SecurityMetrics Shopping Cart Monitor
SecurityMetrics شركة تقييم PCI (QSA وASV)، ويندرج Shopping Cart Monitor ضمن بوابتها: جرد الشيفرات مع المبررات، ورصد تغيّر المحتوى والترويسات، وتنبيهات، وسجل قابل للتصدير للمقيّم، دون تثبيت أي شيء في الموقع.
المواد العامة صريحة بشأن الحد: الأداة بُنيت للرصد، كما يقول المورّد، وتعمل من لقطات تُلتقط على فترات. وللفرق التي تحتاج إلى منع الاحتيال بينما العميل لا يزال في الصفحة، يعمل هذا المنهج مكمّلًا للمنع في الجلسات الحقيقية.
يكون SecurityMetrics الخيار الصحيح عندما: يمر تقييم PCI DSS لديك أصلًا عبر SecurityMetrics وتريد أدلة صفحة الدفع متكاملةً في البوابة نفسها.
Cloudflare Client-Side Security (antes Page Shield)
الميزة، التي كانت تُسمى Page Shield حتى مارس 2026 وتُسمى الآن Client-Side Security، متاحة للنطاقات التي تمر عبر خادم Cloudflare الوسيط. وتصف الوثائق مراقبة الشيفرات والاتصالات وملفات تعريف الارتباط، ورصد الشيفرات الخبيثة وتغييرات الشيفرة، وقواعد أمن محتوى يمكنها منع أي شيء خارج قائمة السماح.
تشرح الوثائق نفسها الآلية: تُرسل ترويسة الإبلاغ فقط مع عيّنة من الاستجابات، لذا قد تستغرق الشيفرة الجديدة وقتًا حتى تظهر. ويُغطى المتطلبان 6.4.3 و11.6.1 في الفئة المتقدمة. ولا تظهر Pix ولا Boleto (القسيمة المصرفية البرازيلية) ولا أنظمة الدفع الفوري في المواد.
يكون Cloudflare Page Shield الخيار الصحيح عندما: يعمل موقعك أصلًا خلف Cloudflare، وتكون البطاقات وسيلة الدفع الرئيسية، وتكفي مراقبة الشيفرات بالعيّنات لإرضاء المقيّم لديك.
كيف تقيّم بديلًا
- 1ما وسائل الدفع التي تعرضها صفحتك؟ مع UPI أو PromptPay أو PayNow أو القسائم المصرفية أو عنوان محفظة على الشاشة، يجب أن تتحقق الأداة من تلك البيانات، لا من الشيفرات فقط.
- 2من يتصرف عندما يتغير شيء؟ منع تلقائي في جلسة المتسوق، أم تنبيه ليراجعه أحد ويعدّل السياسة؟
- 3من يركّبه؟ فريقك في صفحة الدفع، أم البنك المستحوذ عبر حزمة SDK، أم شبكة CDN على الحافة؟ يحدد كل مسار من يتحكم في الحماية.
- 4متى موعد تقييم PCI DSS القادم لديك؟ يجب أن يذكر التقرير المتطلبين 6.4.3 و11.6.1، مع الجرد والتصاريح وسجل التغييرات.
- 5كم من الوقت سيحتاج التشغيل لصيانة السياسة؟ تحتاج قوائم السماح للشيفرات إلى مراجعة كلما تغير الموقع؛ أما التحقق من الدفع فيقارن بما أصدره الخادم، دون قائمة تحتاج إلى صيانة.
الأسئلة الشائعة
ما أفضل بديل لـ Source Defense؟
يعتمد على ما تقبله صفحة الدفع لديك. للبطاقات مع منع الشيفرات، يقع Feroot وc/side في العائلة نفسها؛ ويناسب Reflectiz وSecurityMetrics الفرق التي لا تستطيع وضع شيفرة في الصفحة؛ ويناسب Cloudflare المواقع الموجودة أصلًا على شبكته. أما لـ UPI وPromptPay وPayNow والقسائم المصرفية والعملات المشفرة، فيظهر التحقق من الدفع في وثائق Proteside العامة.
ما الذي يجب أن يغطيه بديل Source Defense؟
كحد أدنى، جرد شيفرات الأطراف الثالثة والتصريح بها، والمنع في متصفح المتسوق، وتقرير للمقيّم. وإذا طلب تقييم PCI DSS لديك المتطلب 11.6.1، فأضف مراقبة الترويسات؛ وإذا تجاوزت صفحة الدفع البطاقات، فأضف التحقق من المستفيد.
من هم منافسو Source Defense؟
في عائلة الوكلاء في الصفحة، Feroot وc/side وJscrambler وHUMAN Security. وبين المراقبين الخارجيين، Reflectiz وSecurityMetrics. وبين وحدات CDN أو WAF، Cloudflare وAkamai وImperva وF5. ويقارن Proteside نفسه بها جميعًا في هذه الصفحات.
هل يحل Proteside محل Source Defense؟
يعتمد. في صفحة الدفع على الويب، يغطي Proteside جرد الشيفرات ونموذج البطاقة والمتطلبين 6.4.3 و11.6.1، ويضيف التحقق من الدفع. وعندما يصل Source Defense عبر حزمة SDK لدى البنك المستحوذ، يمكن للاثنين العمل جنبًا إلى جنب.
شاهد Proteside يتحقق من صفحة الدفع لديك
أربعة عشر يومًا مجانًا، سطر شيفرة واحد، وكل وسيلة دفع في صفحتك.