Reflectiz مقابل Proteside: زيارة مجدولة من الخارج، أم تحقق داخل كل عملية شراء؟
بقلم Laís Peixoto
Growth Marketer, Proteside
نُشر في
يراقب Reflectiz صفحات الدفع من الخارج: يزور متصفح آلي العناوين وفق جدول زمني، دون شيفرة، وينتج الجرد والأدلة التي يطلبها PCI DSS. ويعمل Proteside داخل الصفحة في كل جلسة، ويتحقق من أن رمز QR أو معرّف الحساب أو رقم سداد القسيمة المصرفية أو عنوان المحفظة يطابق ما أصدره الخادم، ويمنع الاستبدال قبل التأكيد.
جنبًا إلى جنب
- كيف يصف نفسه
- منصة لإدارة التعرض على الويب (Security Hub وPrivacy Hub وOffensive Hub)؛ وتتولى PCI Module صفحات الدفع.
- المقر الرئيسي
- تل أبيب، إسرائيل، مع مراكز في بوسطن وسيدني. ولا يُذكر عام التأسيس في الموقع الرسمي.
- كيف يدخل إلى الموقع
- متصفح آلي معزول يزور العناوين التي يقدّمها العميل وفق جدول قابل للضبط، دون شيفرة في الموقع. ويستخدم المنع شيفرة خاملة تُفعَّل من وحدة التحكم.
- ما يتحقق منه في صفحة الدفع
- شيفرات الطرف الثالث والرابع (بما فيها داخل iframe)، والموافقة والمبرر لكل شيفرة، وترويسات استجابة HTTP، ومحتوى صفحة الدفع.
- PCI DSS
- المتطلبان 6.4.3 و11.6.1 مع تصدير الأدلة عند الطلب للمقيّم المعتمد (QSA). منظمة مشاركة رئيسية في مجلس PCI SSC، بحسب موقعها.
Reflectiz PCI Module
- كيف يصف نفسه
- طبقة أمن سيبراني للحظة الدفع: سلامة ما يراه المشتري وينسخه ويؤكده.
- المقر الرئيسي
- ساو باولو، البرازيل. يعمل منذ 2026.
- كيف يدخل إلى الموقع
- سطر شيفرة واحد في صفحة الدفع، أو تكامل في قالب المنصة أو مزوّد الدفع. لا خادم وسيط، ولا تغيير في DNS أو CDN.
- ما يتحقق منه في صفحة الدفع
- شيفرات الأطراف الثالثة، ونموذج البطاقة، ورمز QR ومفتاح Pix، ورقم سداد Boleto (القسيمة المصرفية البرازيلية)، وعنوان محفظة العملات المشفرة، ورموز QR لثمانية أنظمة دفع فوري، مطابقةً مع ما أصدره التاجر.
- PCI DSS
- أدلة لمتطلبي PCI DSS 6.4.3 و11.6.1، مع تقرير قابل للتصدير للمقيّم المعتمد (QSA).
Proteside
معيارًا بمعيار
تستند العلامات إلى الوثائق العامة لكل مورّد. مرّر المؤشر فوق العلامة أو انقر عليها لقراءة المفتاح.
| Reflectiz | Proteside | |
|---|---|---|
| ما يُتحقق منه على شاشة الدافع | ||
| جرد الشيفرات في صفحة الدفع والتصريح بهاأساس المتطلب 6.4.3: معرفة ما يعمل في الصفحة والتصريح بكل شيفرة. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| بيانات البطاقة المُدخلة في النموذجمنع أي شيفرة من نسخ الرقم وتاريخ الانتهاء ورمز الأمان. | موصوف مع قيد (اختياري، أو بعيّنات، أو يتطلب تدخلًا بشريًا، أو في فئة منتج واحدة فقط)3 | موصوف في الوثائق العامة |
| رمز QR الخاص بـ Pix ورمز النسخ واللصق (البرازيل)أكثر احتيالات الدفع شيوعًا في البرازيل: رمز QR المعروض يقود إلى حساب آخر. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| رقم سداد Boleto (القسيمة المصرفية البرازيلية)الرقم المُستبدَل يدفع لمستفيد مختلف بالمبلغ نفسه. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| رموز QR لأنظمة الدفع الفوري حول العالم (UPI وPayNow وDuitNow وPromptPay وQR Ph وFPS وCoDi وTransferencias 3.0)الاستبدال نفسه كما في Pix، عبر ثمانية أنظمة دفع فوري. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| عنوان محفظة العملات المستقرة والعملات المشفرة، بما في ذلك عند نسخهعنوان المحفظة المُستبدَل على الشاشة أو في الحافظة لا رجعة فيه. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| يطابق ما على الشاشة مع ما أصدره التاجر ويمنع الاستبدال قبل التأكيدالتحقق الذي يعرّف سلامة الدفع: المستفيد والمبلغ مطابقان لما أُصدر. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| كيف يحمي | ||
| يمنع الشيفرات غير المصرّح بها في متصفح المشتريالرصد بعد وقوع الأمر لا يعيد البيانات المنسوخة. | موصوف مع قيد (اختياري، أو بعيّنات، أو يتطلب تدخلًا بشريًا، أو في فئة منتج واحدة فقط)2 | موصوف في الوثائق العامة |
| يراقب جلسات المشترين الحقيقيةالاحتيالات الموجّهة لا تظهر في الزيارات المحاكاة. | يصرّح المورّد بأنه لا يقوم بذلك1 | موصوف في الوثائق العامة |
| يعمل دون تغيير CDN أو DNS أو الخادم الوسيطيُركَّب على أي منصة بسطر شيفرة واحد. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| الامتثال لمعيار PCI DSS | ||
| أدلة لمتطلب PCI DSS 6.4.3جرد الشيفرات والتصريح بها وسلامتها. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| أدلة لمتطلب PCI DSS 11.6.1التعديلات غير المصرّح بها على الصفحة وترويساتها. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| تقرير قابل للتصدير للمقيّم المعتمد (QSA)يجب أن تخرج الأدلة من لوحة التحكم وتصل إلى التقييم. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
- موصوف في الوثائق العامة
- موصوف مع قيد (اختياري، أو بعيّنات، أو يتطلب تدخلًا بشريًا، أو في فئة منتج واحدة فقط)
- لم يرد في المعلومات العامة
- يصرّح المورّد بأنه لا يقوم بذلك
ملاحظات على العلامات
- 1يراقب جلسات المشترين الحقيقية: يصف Reflectiz منهجه بأنه عن بُعد ودون وكيل: يزور متصفح آلي الصفحات وفق جدول، دون شيفرة مثبّتة. ويتحدث الموقع عن محاكاة نشاط المستخدم لا عن مراقبة جلسات المتسوقين الحقيقية.
- 2يمنع الشيفرات غير المصرّح بها في متصفح المشتري: تصف المواد العامة Idle Blocking Script: وسم يبقى خاملًا حتى يطلب فريق الأمن منعًا من وحدة التحكم، فيستبعد عندها نطاقًا واحدًا عبر سياسة CSP. وتلخّص الصفحة نفسها الأمر بأنه مراقبة عن بُعد ترصد ومنع عند الطلب يستجيب.
- 3بيانات البطاقة المُدخلة في النموذج: يغطي الجرد والتنبيهات الشيفرات التي تلمس صفحة الدفع، بما فيها داخل iframe. ويعتمد الرد على شيفرة تنسخ بيانات البطاقة على أن تجدها زيارة مجدولة وعلى أن يطلق شخص منع النطاق؛ ولا يصف الموقع منعًا تلقائيًا في متصفح المشتري.
ما يتميز به Reflectiz
لا شيء يُثبَّت في الصفحة
يصف Reflectiz وحدة PCI Module بأنها تعمل عن بُعد بالكامل. يقدّم العميل عناوين صفحات الدفع، ويقول الموقع إن معظم المؤسسات تصبح جاهزة للعمل خلال 24 ساعة.
الموافقة على الشيفرات على نطاق واسع
تجيز Smart Approval الشيفرات التي يطابق سلوكها أنماطًا مقبولة سابقًا، وتطبّق Bulk Approval قرارًا واحدًا على مواقع كثيرة، ويصوغ ذكاء اصطناعي مدمج مبررًا لكل شيفرة ليقبله المراجعون أو يعدّلوه.
الخصوصية والاختبار الهجومي على منصة واحدة
إضافةً إلى PCI Module، يغطي Privacy Hub اللائحة العامة لحماية البيانات GDPR وCCPA وHIPAA، ويشمل Offensive Hub اختبار اختراق بوكلاء.
مقعد في مجلس PCI SSC
يذكر الموقع أن Reflectiz يساهم في مجموعات التوجيه التقني لمجلس PCI SSC وفي تطوير المعيار نفسه.
ما يتحقق منه Proteside ولا تذكره مواد Reflectiz
يعرض تاجر في بانكوك رمز QR لـ PromptPay بقيمة 2,400 بات. تفتح المتسوقة تطبيقها المصرفي، وتمسح الرمز، وتدفع. فإذا استبدلت إضافة متصفح على حاسوبها المحمول رمز QR ذاك بآخر يشير إلى حساب آخر، فإن المتصفح الآلي الذي زار صفحة الدفع في الثالثة فجرًا لم يره أبدًا. وُجد الاستبدال في جلستها وحدها، ولها وحدها.
Reflectiz صريح بشأن تصميمه: متصفح معزول يحاكي نشاط المستخدم، وتتكرر الزيارة وفق جدول، ويذكر الموقع أن Reflectiz لا يملك وصولًا إلى بيانات الدفع أو الجلسة. ويعمل Proteside من الجهة الأخرى. يسجّل ما أصدره خادمك (رمز QR، ومعرّف UPI، ورقم سداد القسيمة، وعنوان المحفظة، والمبلغ)، ويقارنه بما يراه المشتري وينسخه في كل جلسة حقيقية، ويمنع التأكيد عندما يختلف الاثنان.
ويحتفظ سطر الشيفرة نفسه بجرد الشيفرات، ويراقب نموذج البطاقة، ويخزّن سجل التغييرات الذي يتطلبه المتطلبان 6.4.3 و11.6.1. وتُمنع الشيفرة غير المصرّح بها في متصفح المشتري، دون أن يفتح أحد وحدة تحكم أولًا.
كيف يدخل كل منهما إلى عمليتك
Reflectiz
- تقدّم عناوين صفحات الدفع؛ ولا تُضاف أي شيفرة إلى الموقع.
- يزور متصفح آلي معزول الصفحات وفق جدول قابل للضبط ويكرر الفحص.
- للمنع، يُفعَّل Idle Blocking Script من وحدة التحكم ويستبعد النطاق المختار عبر CSP؛ ويتراجع عن ذلك بنقرة واحدة.
Proteside
- سطر شيفرة واحد في صفحة الدفع، على أي منصة، أو تكامل واحد في قالب المنصة أو المزوّد.
- تحقق في كل جلسة لكل مشترٍ، دون جدول ودون زيارة محاكاة.
- منع تلقائي قبل التأكيد؛ ولوحة تحكم، وواجهة برمجية، وتنبيهات عبر البريد الإلكتروني وSlack وTeams وwebhook.
متى تختار كلًّا منهما
يكون Reflectiz منطقيًا عندما
- تستبعد السياسة الداخلية أي شيفرة جديدة في صفحة الدفع ويقبل الفريق الرصد المتبوع بمراجعة بشرية.
- تشغّل عشرات صفحات الدفع بالبطاقات وتريد موافقة جماعية على الشيفرات مع مبررات يصوغها الذكاء الاصطناعي جاهزة للمدقق.
- تنتمي الخصوصية (GDPR وCCPA وHIPAA) والاختبار الهجومي إلى برنامج أمن الويب نفسه.
يكون Proteside منطقيًا عندما
- تقبل UPI أو PromptPay أو PayNow أو DuitNow أو FPS أو Pix البرازيلي أو القسائم المصرفية أو محافظ العملات المشفرة.
- تحتاج إلى منع استبدال المستفيد في الجلسة التي يحدث فيها، دون انتظار الزيارة المجدولة التالية.
- تريد الحماية وأدلة المتطلبين 6.4.3 و11.6.1 من تركيب واحد، بسطر شيفرة واحد.
الاثنان معًا
يمكن لمجموعة تستخدم Reflectiz لجرد مواقع كثيرة من الخارج أن تحتفظ بتلك الخريطة وتضيف Proteside في صفحة الدفع للتحقق من كل عملية شراء. وسيدرج متصفح Reflectiz شيفرة Proteside عنصرًا إضافيًا في الجرد، جاهزًا للموافقة.
الأسئلة الشائعة
هل يغطي Reflectiz رموز Pix أو القسائم المصرفية أو QR؟
ليس في المعلومات العامة التي راجعناها في أكتوبر 2026. تصف مواد Reflectiz الشيفرات وiframe وترويسات HTTP ومحتوى صفحة الدفع.
هل يمكن استخدام Reflectiz وProteside معًا؟
نعم. يراقب Reflectiz من الخارج دون شيفرة؛ ويعمل Proteside داخل الصفحة. وتظهر شيفرة Proteside في جرد Reflectiz كأي شيفرة أخرى، ولا يغيّر Proteside أبدًا دفعًا مشروعًا.
ما Idle Blocking Script من Reflectiz؟
بحسب موقع Reflectiz، هو وسم يبقى خاملًا في الصفحة حتى يطلب الفريق منعًا من وحدة التحكم. وبمجرد تفعيله، يحقن سياسة CSP تستبعد النطاق المختار. أما في Proteside، فمنع الشيفرات غير المصرّح بها تلقائي ويحدث في متصفح المشتري.
هل تستوفي المراقبة دون شيفرة المتطلبين 6.4.3 و11.6.1؟
يصف Reflectiz الجرد والتصريح وتنبيهات الترويسات وتصدير الأدلة، ويذكر أن مقيّمي QSA لدى عملائه قبلوا المنهج. وينتج Proteside الأدلة نفسها من جلسات حقيقية، بما فيها سجل لما مُنع.
هل يكتشف Reflectiz احتيالًا يظهر لمتسوق واحد فقط؟
يصف موقع Reflectiz زيارات محاكاة وفق جدول ويذكر أنه لا يملك وصولًا إلى بيانات الجلسة. ورمز QR أو معرّف حساب استبدلته إضافة في متصفح عميل واحد يحدث خارج تلك الزيارات. ويتحقق Proteside منه في كل جلسة.
شاهد Proteside يتحقق من صفحة الدفع لديك
أربعة عشر يومًا مجانًا، سطر شيفرة واحد، وكل وسيلة دفع في صفحتك.