SecurityMetrics مقابل Proteside: فحص الصفحة من الخارج، أم التحقق من كل دفعة؟
بقلم Laís Peixoto
Growth Marketer, Proteside
نُشر في
يفحص SecurityMetrics Shopping Cart Monitor صفحة الدفع لديك من الخارج على فترات ويودع أدلة المتطلبين 6.4.3 و11.6.1 في بوابة PCI التي تكمل فيها استبيان SAQ. ويعمل Proteside في الصفحة، في كل جلسة متسوق، ويتحقق من أن رمز QR أو بيانات الحساب أو عنوان المحفظة المعروض يطابق ما أصدرته، ويمنع الاستبدال قبل التأكيد.
جنبًا إلى جنب
- كيف يصف نفسه
- مراقبة صفحة الدفع للمتطلبين 6.4.3 و11.6.1 (Shopping Cart Monitor)، من شركة تعمل بوصفها QSA وASV وPFI؛ وShopping Cart Inspect هو فحصها الجنائي بقيادة بشرية.
- المقر الرئيسي
- أوريم، يوتا، الولايات المتحدة. تأسست في 2000.
- كيف يدخل إلى الموقع
- لا شيفرة في موقعك: يحاكي نظام خارجي عملية الدفع على فترات، مع فحوص تُشغَّل يدويًا أو وفق جدول تلقائي بحسب الإعداد. صدر الإصدار 2.0 في مارس 2025.
- ما يتحقق منه في صفحة الدفع
- جرد الشيفرات الثابتة والديناميكية مع المبرر، وتغيّر المحتوى والترويسات، وتنبيهات على مدار الساعة، وسجل قابل للتصدير للمقيّم.
- PCI DSS
- المتطلبان 6.4.3 و11.6.1، متكاملان مع بوابة PCI من SecurityMetrics (استبيان SAQ وفحوص ASV).
SecurityMetrics Shopping Cart Monitor
- كيف يصف نفسه
- طبقة أمن سيبراني للحظة الدفع: سلامة ما يراه المشتري وينسخه ويؤكده.
- المقر الرئيسي
- ساو باولو، البرازيل. يعمل منذ 2026.
- كيف يدخل إلى الموقع
- سطر شيفرة واحد في صفحة الدفع، أو تكامل في قالب المنصة أو مزوّد الدفع. لا خادم وسيط، ولا تغيير في DNS أو CDN.
- ما يتحقق منه في صفحة الدفع
- شيفرات الأطراف الثالثة، ونموذج البطاقة، ورمز QR ومفتاح Pix، ورقم سداد Boleto (القسيمة المصرفية البرازيلية)، وعنوان محفظة العملات المشفرة، ورموز QR لثمانية أنظمة دفع فوري، مطابقةً مع ما أصدره التاجر.
- PCI DSS
- أدلة لمتطلبي PCI DSS 6.4.3 و11.6.1، مع تقرير قابل للتصدير للمقيّم المعتمد (QSA).
Proteside
معيارًا بمعيار
تستند العلامات إلى الوثائق العامة لكل مورّد. مرّر المؤشر فوق العلامة أو انقر عليها لقراءة المفتاح.
| SecurityMetrics | Proteside | |
|---|---|---|
| ما يُتحقق منه على شاشة الدافع | ||
| جرد الشيفرات في صفحة الدفع والتصريح بهاأساس المتطلب 6.4.3: معرفة ما يعمل في الصفحة والتصريح بكل شيفرة. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| بيانات البطاقة المُدخلة في النموذجمنع أي شيفرة من نسخ الرقم وتاريخ الانتهاء ورمز الأمان. | موصوف مع قيد (اختياري، أو بعيّنات، أو يتطلب تدخلًا بشريًا، أو في فئة منتج واحدة فقط)1 | موصوف في الوثائق العامة |
| رمز QR الخاص بـ Pix ورمز النسخ واللصق (البرازيل)أكثر احتيالات الدفع شيوعًا في البرازيل: رمز QR المعروض يقود إلى حساب آخر. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| رقم سداد Boleto (القسيمة المصرفية البرازيلية)الرقم المُستبدَل يدفع لمستفيد مختلف بالمبلغ نفسه. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| رموز QR لأنظمة الدفع الفوري حول العالم (UPI وPayNow وDuitNow وPromptPay وQR Ph وFPS وCoDi وTransferencias 3.0)الاستبدال نفسه كما في Pix، عبر ثمانية أنظمة دفع فوري. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| عنوان محفظة العملات المستقرة والعملات المشفرة، بما في ذلك عند نسخهعنوان المحفظة المُستبدَل على الشاشة أو في الحافظة لا رجعة فيه. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| يطابق ما على الشاشة مع ما أصدره التاجر ويمنع الاستبدال قبل التأكيدالتحقق الذي يعرّف سلامة الدفع: المستفيد والمبلغ مطابقان لما أُصدر. | لم يرد في المعلومات العامة | موصوف في الوثائق العامة |
| كيف يحمي | ||
| يمنع الشيفرات غير المصرّح بها في متصفح المشتريالرصد بعد وقوع الأمر لا يعيد البيانات المنسوخة. | يصرّح المورّد بأنه لا يقوم بذلك2 | موصوف في الوثائق العامة |
| يراقب جلسات المشترين الحقيقيةالاحتيالات الموجّهة لا تظهر في الزيارات المحاكاة. | يصرّح المورّد بأنه لا يقوم بذلك3 | موصوف في الوثائق العامة |
| يعمل دون تغيير CDN أو DNS أو الخادم الوسيطيُركَّب على أي منصة بسطر شيفرة واحد. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| الامتثال لمعيار PCI DSS | ||
| أدلة لمتطلب PCI DSS 6.4.3جرد الشيفرات والتصريح بها وسلامتها. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| أدلة لمتطلب PCI DSS 11.6.1التعديلات غير المصرّح بها على الصفحة وترويساتها. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
| تقرير قابل للتصدير للمقيّم المعتمد (QSA)يجب أن تخرج الأدلة من لوحة التحكم وتصل إلى التقييم. | موصوف في الوثائق العامة | موصوف في الوثائق العامة |
- موصوف في الوثائق العامة
- موصوف مع قيد (اختياري، أو بعيّنات، أو يتطلب تدخلًا بشريًا، أو في فئة منتج واحدة فقط)
- لم يرد في المعلومات العامة
- يصرّح المورّد بأنه لا يقوم بذلك
ملاحظات على العلامات
- 1بيانات البطاقة المُدخلة في النموذج: تصف المواد العامة رصد الشيفرات والتغييرات بناءً على زيارات محاكاة لصفحة الدفع؛ ولا تصف أي إجراء داخل متصفح المتسوق أثناء إدخال بيانات البطاقة.
- 2يمنع الشيفرات غير المصرّح بها في متصفح المشتري: تكتب SecurityMetrics أن Shopping Cart Monitor بُني للرصد لا للوقاية، وتدرج CSP ومنع الشيفرات خارج المنتج.
- 3يراقب جلسات المشترين الحقيقية: توصف الأداة بأنها دون وكيل: يحاكي نظام خارجي عملية الدفع على فترات. وبحسب وصفها هي، لا تتابع جلسة كل متسوق حقيقي.
ما يتميز به SecurityMetrics
المورّد نفسه جهة تقييم
تعمل SecurityMetrics بوصفها QSA وASV وPFI. ويأتي المراقب من شركة تدقق على التجار وتجري فحوص الثغرات وتحقق في اختراقات البطاقات بوصفه عملها الأساسي.
الأدلة بجوار الاستبيان
تقع سجلات Shopping Cart Monitor إلى جانب استبيان SAQ وفحوص ASV في بوابة واحدة، ما يبقي الأوراق في مكان واحد للتجار الذين يُقيَّمون هناك أصلًا.
فحص جنائي عند الطلب
يضيف Shopping Cart Inspect مراجعة متخصصة لسلة التسوق عند الاشتباه في اختراق، وهو أمر قليل من أدوات المراقبة يقرنه بمنتجه.
لا شيء يُثبَّت
يناسب المنهج دون وكيل التجار الذين لا يستطيعون إضافة شيفرة إلى صفحة الدفع، بمن فيهم المتاجر على المنصات المقيّدة.
ما يتحقق منه Proteside ولا تذكره مواد SecurityMetrics
يعرض متجر أثاث في بنغالور رمز QR لـ UPI لطلب بقيمة 48,000 روبية. تمسحه المتسوقة بتطبيقها المصرفي وتدفع في ثوانٍ. كانت أداة تقييمات مخترقة قد استبدلت رمز QR بآخر يحمل المبلغ نفسه ومستفيدًا مختلفًا، لكن فقط للمتسوقين القادمين من حملة إعلانية معيّنة. ذهب المال، ولا يُسوّى الطلب أبدًا، ويسمع المتجر بالأمر بعد يومين. ورأى فحص خارجي زار الصفحة في الثالثة فجرًا رمز QR طبيعيًا تمامًا، لأن الاستبدال لم يعمل أبدًا في تلك الزيارة.
SecurityMetrics واضحة فيما تقدّمه: جرد للشيفرات مع المبرر، ورصد لتغيّر المحتوى والترويسات، وتنبيهات، وسجل قابل للتصدير للمقيّم، كلها تُجمع من الخارج على فترات. أما بالنسبة لـ UPI وPromptPay وPayNow وDuitNow وFPS وPix والقسيمة المصرفية (Boleto) في البرازيل ومحافظ العملات المستقرة، فلا تصف الوثائق العامة التحقق مما يراه المتسوق فعلًا. يسجّل Proteside ما أصدره خادمك (محتوى رمز QR، ومعرّف الحساب، وعنوان المحفظة، والمبلغ) ويقارنه بما يُعرض ويُنسخ في كل جلسة. وإذا اختلفا، يُمنع التأكيد وتتحول المحاولة إلى تنبيه ودليل.
ويغطي التركيب نفسه حقول نموذج البطاقة وشيفرات الأطراف الثالثة، مع الجرد وسجل التغييرات اللذين يتطلبهما المتطلبان 6.4.3 و11.6.1. سطر شيفرة واحد ينتج أدلة المقيّم ويحمي الدفع نفسه، بما في ذلك للمتسوق الذي يصل بين فحصين.
كيف يدخل كل منهما إلى عمليتك
SecurityMetrics
- سجّل صفحات الدفع لديك في بوابة PCI من SecurityMetrics؛ دون شيفرة في الموقع.
- يحاكي فحص خارجي عملية الدفع، يُشغَّل يدويًا أو وفق جدول تلقائي بحسب الإعداد الذي لديك.
- تنبيهات على مدار الساعة، ومبرر لكل شيفرة، وسجل قابل للتصدير، في البوابة نفسها التي تضم استبيان SAQ وفحوص ASV.
Proteside
- سطر شيفرة واحد في صفحة الدفع، على أي منصة، أو تكامل واحد في قالب المنصة أو مزوّد الدفع.
- تحقق في كل جلسة حقيقية، من أول متسوق في اليوم إلى آخرهم، دون فجوة بين الزيارات.
- منع تلقائي قبل التأكيد؛ ولوحة تحكم، وواجهة برمجية، وتنبيهات عبر البريد الإلكتروني وSlack وTeams وwebhook.
متى تختار كلًّا منهما
يكون SecurityMetrics منطقيًا عندما
- يمر تقييم PCI DSS لديك أصلًا عبر SecurityMetrics وتريد أدلة المتطلبين 6.4.3 و11.6.1 داخل البوابة نفسها.
- لا يمكنك إضافة أي شيفرة إلى صفحة الدفع والرصد مع المراجعة البشرية مقبول.
- تريد فريقًا جنائيًا جاهزًا للتحقيق في اختراق مشتبه به لسلة التسوق، إضافةً إلى المراقب نفسه.
يكون Proteside منطقيًا عندما
- تقبل UPI أو PromptPay أو PayNow أو DuitNow أو FPS أو Pix أو Boleto أو العملات المستقرة وتحتاج إلى التحقق مما يراه المتسوق.
- يجب منع استبدال المستفيد أو نسخ البطاقة في الجلسة التي يحدث فيها، لا الإبلاغ عنه بعد الفحص التالي.
- تريد الحماية وأدلة المتطلبين 6.4.3 و11.6.1 في تركيب واحد، مستقل عن بوابة أي جهة تقييم.
الاثنان معًا
يمكن لتاجر يكمل استبيان SAQ ويجري فحوص ASV مع SecurityMetrics أن يبقي Shopping Cart Monitor دليلًا خارجيًا ويضيف Proteside في الصفحة للتحقق من كل دفعة ومنع الاستبدال في جلسات حقيقية. ويستمر المراقب الخارجي في رؤية الصفحة من الخارج، ولا يمس Proteside المدفوعات المشروعة.
الأسئلة الشائعة
هل يغطي SecurityMetrics رموز Pix أو Boleto أو QR؟
ليس في المعلومات العامة التي راجعناها في أكتوبر 2026. تصف مواد Shopping Cart Monitor الشيفرات وتغيّر المحتوى والترويسات في صفحة الدفع، مع التركيز على بيانات البطاقات.
هل يمكن استخدام SecurityMetrics وProteside معًا؟
نعم. يراقب Shopping Cart Monitor الصفحة من الخارج ولا يحتاج إلى شيفرة؛ وProteside شيفرة في الصفحة نفسها. ولا يتداخل أي منهما مع الآخر، فيمكن للتاجر إبقاء الأدلة في بوابة SecurityMetrics بينما يمنع Proteside الاستبدال في كل جلسة.
ماذا تقصد SecurityMetrics بأن المنتج بُني للرصد لا للوقاية؟
تلك كلمات الشركة نفسها عن Shopping Cart Monitor: يحدد الشيفرات الجديدة والتغييرات وينبّه التاجر؛ أما إيقاف شيفرة بينما المتسوق في الصفحة فخارج ما يسعى المنتج إليه. والمنع في الجلسات الحقيقية هو ما يضيفه Proteside.
هل تستوفي الفحوص على فترات المتطلبين 6.4.3 و11.6.1؟
بحسب وثائقها العامة، تقدّم SecurityMetrics جردًا مع المبرر ورصدًا للتغييرات وسجلًا للمقيّم، وهو ما يطلبه المتطلبان. ويكمن الفرق بين الفحوص: يتابع Proteside كل متسوق، فيظهر أيضًا الهجوم الموجّه إلى جلسة واحدة.
هل ينتج Proteside نوع الأدلة الذي يتوقعه المقيّم المعتمد (QSA)؟
يصدّر Proteside جرد الشيفرات والتصاريح وسجل تغييرات الصفحة وترويساتها تقريرًا للمقيّم المعتمد (QSA). ولا يحل محل التقييم نفسه، الذي يبقى مع جهة التقييم التي تختارها، بما فيها SecurityMetrics.
شاهد Proteside يتحقق من صفحة الدفع لديك
أربعة عشر يومًا مجانًا، سطر شيفرة واحد، وكل وسيلة دفع في صفحتك.