c/side vs Proteside: vigiar os scripts ou conferir o pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
A c/side observa cada script de terceiro em todas as sessões reais, guarda o histórico do que ele carregou e bloqueia o que foge do autorizado. O Proteside também inventaria e bloqueia scripts e acrescenta a conferência do pagamento: QR e chave Pix, linha do boleto, endereço de carteira e campos de cartão comparados com o que a loja emitiu.
Lado a lado
- Como se define
- Plataforma de segurança client-side, nas palavras do próprio site; o Script Security cuida dos scripts da página e o Fingerprint, da identificação de dispositivos, bots e agentes de IA.
- Sede
- Estados Unidos, equipe totalmente remota. Fundada em 2024.
- Como entra no site
- Uma tag de script no cabeçalho da página. O site declara que não há proxy reverso nem mudança de DNS e que o tráfego do site não passa pela c/side.
- O que confere na página de pagamento
- Scripts de terceiros em 100% das sessões reais, sem amostragem: inventário, histórico do conteúdo carregado por página, grafo de fornecedores e permissões por fornecedor.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1 com relatórios descritos como prontos para auditoria e aprovados pela VikingCloud, um QSA. Vínculo com o PCI SSC não consta nas informações públicas.
c/side Script Security
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| c/side | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | A documentação pública descreve | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | A documentação pública descreve | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | A documentação pública descreve | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | A documentação pública descreve | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Endereço de carteira de stablecoin e cripto, inclusive ao copiar: A página pública de cripto da c/side descreve, entre as ameaças tratadas, a troca de endereço de carteira em tempo real e a substituição do endereço copiado para a área de transferência, por meio do monitoramento dos scripts. O material não descreve a comparação do endereço exibido com o que o vendedor emitiu, por isso a marcação é em parte.
Onde c/side se destaca
Cada sessão real, sem amostragem
O site afirma cobrir 100% das sessões de visitantes reais e contrasta isso com varreduras periódicas e visitas simuladas.
Histórico do que cada script carregou
O inventário guarda, por carregamento de página, o conteúdo que cada script de terceiro entregou, o que ajuda a investigar uma mudança depois do fato.
Origem no Page Shield da Cloudflare
O fundador foi gerente de produto do Page Shield e copreside o grupo comunitário antifraude do W3C, segundo a página institucional.
Cripto no radar
A página dedicada a cripto trata de scripts que drenam carteiras, alteram destinatário e valor em tempo real e trocam o endereço copiado para a área de transferência.
O que o Proteside confere e o material da c/side não menciona
Uma distribuidora emite um boleto de R$ 4.300 para um cliente de atacado. O cliente abre a página, copia a linha digitável e paga no aplicativo do banco. Um script comprometido trocou os 47 dígitos por uma linha de outro beneficiário, com o mesmo valor e o mesmo vencimento. O boleto compensa, o dinheiro vai para outra conta e a distribuidora só percebe quando cobra o cliente de novo.
A c/side vê o script que fez a troca, se ele estava fora do autorizado, e isso tem valor. O que a documentação pública dela não descreve é a conferência do dado em si: se a linha exibida e copiada é a linha que o seu servidor emitiu. Para boleto, Pix e QR de pagamentos instantâneos de outros países, o material da c/side não cita verificação. Para carteira cripto, cita a troca do endereço copiado, mas não a comparação com o endereço que o vendedor gerou. O Proteside registra o que foi emitido (linha, QR, chave, endereço, valor) e compara com o que o comprador vê e copia, em cada sessão. Divergiu, a confirmação é bloqueada e a tentativa vira alerta e evidência.
A mesma linha de código cobre o formulário de cartão e os scripts de terceiros, com inventário, autorização e histórico de alterações para os requisitos 6.4.3 e 11.6.1. Quem já tem a c/side mantém a visibilidade dos scripts e ganha a verificação do pagamento sem outro projeto de implantação.
Como cada um entra na operação
c/side
- Uma tag de script no cabeçalho da página, em qualquer plataforma.
- Sem proxy reverso e sem mudança de DNS, segundo o site; o tráfego do site continua indo direto para o seu servidor.
- Alertas por Slack, Teams, e-mail e webhook, com envio para ferramentas de fraude e de SIEM.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, ou integração única no template da plataforma ou do provedor.
- Sem proxy, sem mudança de DNS ou CDN; a conferência acontece no navegador de quem paga, em cada sessão.
- Bloqueio automático antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
c/side faz sentido quando
- O cartão é o único meio de pagamento e a sua prioridade é investigar o comportamento de cada script de terceiro, com histórico por carregamento.
- Você quer, no mesmo fornecedor, identificação de dispositivos e detecção de bots e agentes de IA além da segurança de scripts.
- O seu time de segurança já trabalha com políticas CSP e quer um ponto de recebimento dos relatórios do navegador junto do inventário.
O Proteside faz sentido quando
- Você recebe por boleto, Pix, cripto ou pagamentos instantâneos de outros países e precisa conferir o beneficiário, não só o script.
- Precisa que a troca de QR, chave, linha ou endereço seja bloqueada antes da confirmação, em cada sessão.
- Quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 numa única instalação, com relatório exportável para o QSA.
Os dois juntos
Uma operação que já usa a c/side para o detalhe dos scripts de terceiros pode manter esse painel e acrescentar o Proteside na página de pagamento para conferir o pagamento em si. São duas tags independentes; o Proteside não altera pagamentos legítimos nem interfere no inventário da outra ferramenta.
Perguntas frequentes
A c/side cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O material da c/side descreve scripts de terceiros, dados de cartão, conformidade PCI DSS e privacidade, e a página de cripto trata de carteiras e endereços copiados.
Dá para usar c/side e Proteside juntos?
Sim. São duas tags de script independentes na página de pagamento. A c/side continua observando os scripts e o Proteside confere o pagamento exibido com o que o seu servidor emitiu, bloqueando a troca antes da confirmação.
A c/side protege contra a troca de endereço de carteira cripto?
A página pública de cripto cita a troca de endereço em tempo real e a substituição do endereço copiado como ameaças tratadas pelo monitoramento de scripts. A comparação do endereço exibido com o que o vendedor emitiu não aparece no material; o Proteside faz essa comparação e bloqueia a divergência.
Uma política CSP já atende aos requisitos 6.4.3 e 11.6.1?
A própria FAQ da c/side diz que a CSP controla de onde os scripts vêm, mas não enxerga o conteúdo deles, e por isso sozinha não atende ao PCI DSS. Tanto a c/side quanto o Proteside acrescentam inventário, autorização e histórico de alterações sobre essa base.
Os dois observam todas as sessões reais. O que muda, então?
O que cada um olha dentro da sessão. A c/side descreve o comportamento dos scripts de terceiros. O Proteside olha também o dado de pagamento na tela e na área de transferência: QR, chave, linha digitável, endereço e valor, comparados com o que foi emitido.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.