Akamai Client-Side Protection vs Proteside: borda da CDN ou conferência do pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
O Client-Side Protection & Compliance da Akamai inventaria scripts e analisa o comportamento deles em sessões reais, com restrição aplicada pelo time no console. O Proteside faz o inventário e também confere, na tela de quem paga, se o QR, a chave, a linha do boleto ou o endereço são os emitidos pela loja, bloqueando a troca antes da confirmação.
Lado a lado
- Como se define
- Produto de segurança da Akamai para ameaças que agem no navegador do cliente: inventário de scripts, análise de comportamento e conformidade PCI DSS em páginas de pagamento.
- Sede
- Cambridge, Massachusetts, Estados Unidos. Produto renomeado de Page Integrity Manager para Client-Side Protection & Compliance em outubro de 2023.
- Como entra no site
- Script de detecção injetado pela borda da Akamai como primeiro recurso da página, ou colocado na origem. O percentual de visualizações que recebem o script é definido no Akamai Control Center.
- O que confere na página de pagamento
- Scripts observados na página de pagamento (origem, comportamento, destino dos dados), com justificativas predefinidas, pontuação de risco e inteligência de ameaças; alterações em cabeçalhos HTTP e nas proteções da página.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1 citados no site do produto, com alertas dedicados de PCI e painel de auditoria. Relatório nominal para o QSA não consta nas informações públicas.
Akamai Client-Side Protection & Compliance (antes Page Integrity Manager)
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Akamai Client-Side Protection | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)2 | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | A documentação pública descreve | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)3 | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | Não consta nas informações públicas4 | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Dados de cartão digitados no formulário: O site da Akamai descreve a detecção de scripts que acessam e enviam dados sensíveis em sessões reais e a restrição desses scripts "com um clique". O bloqueio, portanto, depende de uma pessoa agir no console depois do alerta.
- 2Bloqueia scripts não autorizados no navegador do comprador: A mitigação é descrita como "restringir scripts maliciosos com um clique" no Akamai Control Center. Políticas podem ser criadas para ameaças recorrentes; o bloqueio automático de um script novo em sessão real não consta nas informações públicas.
- 3Funciona sem trocar CDN, DNS ou proxy: A documentação diz que as detecções valem para qualquer site, onde quer que esteja hospedado, e que o script pode ir na origem. A política de segurança, o percentual de injeção e o tratamento de incidentes ficam no Akamai Control Center.
- 4Relatório exportável para o auditor (QSA): O material público cita painel de auditoria e alertas dedicados de PCI para produzir evidência. Um relatório exportável para o QSA, com esse nome, não consta nas informações consultadas.
Onde Akamai Client-Side Protection se destaca
Análise de comportamento em sessões reais
O site descreve análise contínua do que cada script executa no navegador de usuários reais, com aprendizado de máquina para pontuar o risco e verificação de vulnerabilidades conhecidas nas URLs dos scripts.
Injeção pela borda, antes de qualquer outro script
Quando a página passa pela Akamai, o script de detecção entra como primeiro recurso e de forma síncrona. A documentação afirma que a página não tem como evitá-lo, o que dificulta que um script malicioso rode antes da detecção.
Controle fino de onde o script entra
A documentação permite definir o percentual de visualizações, forçar ou excluir caminhos específicos e testar a injeção por parâmetro na URL antes de ampliar a cobertura.
Não coleta o que o comprador digita
O material público afirma que o produto não recolhe dados de formulário, texto da página nem dados de pagamento; observa só o comportamento dos scripts.
O que o Proteside confere e o material da Akamai não menciona
Uma loja de materiais de construção fecha um pedido de R$ 4.300 por boleto. O cliente clica em gerar boleto, copia a linha digitável e paga no aplicativo do banco. Um plugin de frete atualizado na véspera trocou a linha por outra, do mesmo valor, apontando para uma conta que não é a da loja. Nenhum dado de cartão saiu da página; o dinheiro apenas chegou a outro beneficiário. A loja descobre no vencimento, quando o pedido não é baixado.
O Client-Side Protection & Compliance observa o que os scripts fazem e para onde enviam dados, e isso cobre bem o roubo de dados de cartão. A linha digitável, o QR do Pix, a chave e o endereço de carteira não aparecem na documentação pública da Akamai como dados conferidos. O Proteside guarda o que o seu servidor emitiu para cada cobrança (linha, QR, chave, endereço, valor) e compara com o que o comprador vê e copia, em cada sessão. Quando os dois não batem, a confirmação é bloqueada e a tentativa fica registrada como alerta e evidência.
A mesma instalação inventaria os scripts da página, protege o formulário de cartão de crédito e o de cartão de débito e guarda o histórico de alterações que os requisitos 6.4.3 e 11.6.1 pedem. O bloqueio acontece no navegador do comprador, sem esperar que uma pessoa aprove a restrição.
Como cada um entra na operação
Akamai Client-Side Protection
- Injeção do script de detecção pela borda da Akamai, como primeiro recurso da página, ou instalação na origem.
- Percentual de visualizações que recebem o script definido na política de segurança; a documentação recomenda começar pequeno e subir até 100%.
- Dados de comportamento enviados aos servidores da Akamai antes de o usuário mudar de página; incidentes tratados no Akamai Control Center.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma ou CDN, ou integração no template do provedor de pagamento.
- Todas as sessões conferidas, sem percentual de amostragem para configurar.
- Troca de QR, chave, linha ou endereço bloqueada antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
Akamai Client-Side Protection faz sentido quando
- O site já é entregue pela Akamai e o time de segurança opera as políticas no Akamai Control Center.
- Você quer inteligência de ameaças da rede Akamai, pontuação de risco e verificação de vulnerabilidades conhecidas nos scripts da página.
- O seu processo exige que uma pessoa aprove a restrição de um script antes de ela valer, com registro de quem decidiu.
O Proteside faz sentido quando
- O checkout recebe Pix, boleto, stablecoins ou pagamentos instantâneos de outros países, e o risco é a troca do beneficiário.
- Você precisa que a troca seja bloqueada em cada sessão, sem amostragem e sem esperar um clique.
- A operação não roda na Akamai e quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 com uma linha de código.
Os dois juntos
Quem já tem o Client-Side Protection & Compliance na borda pode mantê-lo para a inteligência de ameaças e o inventário gerido no console, e acrescentar o Proteside na página de pagamento para conferir o QR, a chave, a linha e o endereço. O script do Proteside não interfere na injeção da Akamai nem nos dados que ela envia aos próprios servidores.
Perguntas frequentes
O Akamai Client-Side Protection cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O site e a documentação da Akamai descrevem scripts, dados sensíveis acessados por scripts, cabeçalhos HTTP e proteções da página de pagamento.
Dá para usar Akamai Client-Side Protection e Proteside juntos?
Sim. O script da Akamai entra pela borda ou pela origem e o do Proteside, por uma linha na página de pagamento. Cada um faz o seu inventário; o Proteside não altera pagamentos legítimos nem bloqueia o script da Akamai.
Preciso hospedar o site na Akamai para usar o Client-Side Protection & Compliance?
Segundo a documentação pública, não: as detecções valem para qualquer site e o script pode ser colocado na origem. A política de segurança, o percentual de injeção e o tratamento de incidentes ficam no Akamai Control Center.
O que o percentual de visualizações muda na proteção?
A documentação permite injetar o script em uma fração das visualizações, escolhidas ao acaso, e recomenda começar pequeno e chegar a 100%. Enquanto o percentual for menor que 100%, parte dos compradores carrega a página sem o script de detecção. O Proteside confere todas as sessões, sem essa configuração.
Page Integrity Manager e Client-Side Protection & Compliance são o mesmo produto?
Sim. A Akamai renomeou o Page Integrity Manager para Client-Side Protection & Compliance em outubro de 2023; a documentação técnica ainda usa o endereço antigo.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.