Cloudflare Page Shield vs Proteside: monitorar scripts da borda ou conferir o pagamento na tela?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
O Client-Side Security da Cloudflare, Page Shield até março de 2026, monitora scripts, conexões e cookies de sites que passam pelo seu proxy, sem instalar nada. O Proteside entra com uma linha de código em qualquer site e confere, em cada sessão, se QR, chave, linha do boleto e campos de cartão são os que a loja emitiu.
Lado a lado
- Como se define
- Recurso de segurança do lado do cliente dentro da plataforma Cloudflare. Page Shield até 25 de março de 2026, Client-Side Security desde então; o pacote avançado chama-se Client-Side Security Advanced.
- Sede
- San Francisco, Estados Unidos. O ano de fundação não consta na página institucional consultada.
- Como entra no site
- Sem script próprio. O proxy da Cloudflare adiciona um cabeçalho CSP em modo relatório a uma amostra das respostas HTML; o inventário é montado com os relatórios que os navegadores enviam. Exige que o tráfego do site passe pela Cloudflare.
- O que confere na página de pagamento
- Scripts, conexões que eles abrem e cookies, com a página em que cada recurso apareceu. Detecção de scripts maliciosos e de mudança de código no pacote avançado.
- PCI DSS
- A documentação diz que o recurso pode ser usado para os requisitos 6.4.3 e 11.6.1 e que, para isso, é preciso ter o Client-Side Security Advanced. Vínculo com o PCI SSC não consta na ficha consultada.
Cloudflare Client-Side Security (antes Page Shield)
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Cloudflare Page Shield | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)2 | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)3 | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)4 | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | O próprio fornecedor declara que não faz5 | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)6 | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)7 | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | Não consta nas informações públicas | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Inventário e autorização de scripts na página de pagamento: A documentação descreve o inventário a partir de um cabeçalho CSP em modo relatório adicionado a uma amostra das respostas HTML, e avisa que um script novo pode levar um tempo para aparecer no painel.
- 2Dados de cartão digitados no formulário: O material público trata de scripts, conexões e cookies observados por relatórios do navegador. Uma verificação do formulário de cartão em si, no navegador do comprador, não consta.
- 3Bloqueia scripts não autorizados no navegador do comprador: O cabeçalho de monitoramento é só de relatório e, segundo a própria documentação, não bloqueia nada. O bloqueio vem das regras de segurança de conteúdo em modo de permissão, disponíveis no pacote avançado, com um limite de cinco regras.
- 4Observa sessões reais de compradores: Os relatórios vêm de navegadores reais, mas só da amostra de respostas que recebeu o cabeçalho; a documentação não descreve cobertura de todas as sessões.
- 5Funciona sem trocar CDN, DNS ou proxy: O blog oficial afirma que o único pré-requisito é que o tráfego passe pelo proxy da Cloudflare. Sites em outra CDN ou sem proxy ficam fora.
- 6Evidência do requisito 6.4.3 do PCI DSS: A página de referência sobre PCI DSS diz que o recurso pode ser usado para o requisito 6.4.3 e que isso exige o Client-Side Security Advanced.
- 7Evidência do requisito 11.6.1 do PCI DSS: A mesma página cita o requisito 11.6.1 com a mesma condição: só com o pacote avançado. Como a evidência sai para o auditor não consta na página consultada.
Onde Cloudflare Page Shield se destaca
Nada para instalar em quem já usa a Cloudflare
O monitoramento é ativado no painel da Cloudflare e começa a coletar relatórios sem alterar o código do site, segundo o blog oficial.
Scripts, conexões e cookies no mesmo inventário
Além dos scripts, a documentação descreve o registro das conexões que eles abrem e dos cookies que entram e saem, com a página em que cada recurso surgiu pela primeira vez.
Detecção com inteligência de ameaças e modelos de linguagem
Desde 3 de março de 2026, a análise de scripts suspeitos usa um modelo de linguagem no Workers AI para reduzir falsos positivos; a Cloudflare declara que não treina esses modelos com dados de clientes.
Bloqueio imposto na borda, sem código
No pacote avançado, as regras de segurança de conteúdo viram um cabeçalho CSP que bloqueia o que não está na lista de permissão, aplicado a todas as respostas que a regra alcança.
O que o Proteside confere e a documentação da Cloudflare não menciona
Uma loja de material de construção vende por boleto para quem compra em quantidade. O cliente gera a cobrança, copia a linha digitável e paga no aplicativo do banco. Se uma extensão do navegador ou um plugin do tema trocou a linha por outra, de mesmo valor e outro beneficiário, o dinheiro sai, o pedido fica em aberto e nenhum script novo apareceu na página. Para o inventário de scripts, a página continuou igual.
O Client-Side Security olha para os scripts, as conexões e os cookies que passam pelo proxy, e a documentação descreve isso com clareza. Linha digitável, QR do Pix, endereço de carteira e QR de pagamentos instantâneos de outros países não constam no material público. O Proteside registra o que o servidor da loja emitiu para cada cobrança e compara com o que o comprador vê, copia e confirma, em todas as sessões, sem amostragem. Se divergiu, a confirmação é bloqueada e a tentativa fica registrada como alerta e evidência.
O mesmo script também inventaria os scripts de terceiros, acompanha o formulário de cartão e guarda o histórico de alterações que os requisitos 6.4.3 e 11.6.1 pedem. Quem já está atrás da Cloudflare mantém a borda como está e acrescenta a conferência do pagamento na página.
Como cada um entra na operação
Cloudflare Page Shield
- Ativação no painel da Cloudflare, para domínios cujo tráfego já passa pelo proxy da empresa.
- Cabeçalho CSP em modo relatório numa amostra das respostas; o cabeçalho não pode ser desligado enquanto o monitoramento estiver ativo.
- Regras de segurança de conteúdo no pacote avançado para impor uma lista de permissão; alertas e exportação de logs pela própria plataforma.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma e com qualquer CDN, inclusive a Cloudflare.
- Verificação em todas as sessões, sem amostragem e sem espera para um script novo aparecer.
- Bloqueio automático antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
Cloudflare Page Shield faz sentido quando
- O site já passa pela Cloudflare, o cartão é o meio de pagamento e o auditor aceita um inventário montado por amostragem.
- Você quer ver scripts, conexões e cookies de todo o domínio, não só da página de pagamento, sem acrescentar código.
- A equipe já administra as regras de segurança na Cloudflare e prefere impor a lista de permissão a partir da borda.
O Proteside faz sentido quando
- O checkout recebe por Pix, boleto, stablecoins ou pagamentos instantâneos de outros países.
- Você precisa que a troca do beneficiário seja bloqueada na sessão em que acontece, em todos os compradores.
- O site não passa pelo proxy da Cloudflare, ou você quer a mesma proteção em lojas espalhadas por várias CDNs.
Os dois juntos
Boa parte dos clientes do Proteside já usa a Cloudflare como borda, para DNS, cache e mitigação de ataques. Nesse arranjo, o Client-Side Security segue cuidando do inventário do domínio a partir do proxy, e o Proteside confere o pagamento na página de checkout, em cada sessão. Os dois não disputam a mesma função e não interferem um no outro.
Perguntas frequentes
O Cloudflare Page Shield cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. A documentação do Client-Side Security descreve scripts, conexões, cookies e mudanças de código; dados de pagamento exibidos na tela não aparecem.
Dá para usar Cloudflare Page Shield e Proteside juntos?
Sim, e é o arranjo mais comum entre clientes do Proteside que usam a Cloudflare. O Proteside entra como um script na página de pagamento e aparece no inventário da Cloudflare como qualquer outro recurso autorizado.
Page Shield e Client-Side Security são o mesmo produto?
Sim. Em 25 de março de 2026 a Cloudflare renomeou o Page Shield para Client-Side Security, e o pacote adicional passou a se chamar Client-Side Security Advanced. As notas de versão dizem que os recursos não mudaram com o nome.
Preciso estar na Cloudflare para usar o Client-Side Security?
Sim. O blog oficial diz que o único pré-requisito é que o tráfego do site passe pelo proxy da Cloudflare, porque o cabeçalho de monitoramento é adicionado às respostas na borda.
Por que um script novo demora para aparecer no painel da Cloudflare?
A própria documentação explica: o cabeçalho em modo relatório vai numa amostra das respostas, e o inventário depende dos relatórios que os navegadores devolvem. Por isso pode haver um intervalo entre publicar um script e vê-lo listado.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.