F5 Client-Side Defense vs Proteside: listas de mitigação ou bloqueio automático no pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
O F5 Client-Side Defense lista os scripts da página e alerta sobre domínios suspeitos e leitura de campos sensíveis; a mitigação é definida pelo seu time em listas no console da F5 Distributed Cloud. O Proteside confere, na tela de quem paga, se QR, chave, linha do boleto e endereço são os emitidos, e bloqueia a troca sem esperar aprovação.
Lado a lado
- Como se define
- Serviço dos F5 Distributed Cloud Services que lista os scripts da aplicação web e alerta sobre leitura de dados sensíveis, com mitigação definida pelo usuário.
- Sede
- Seattle, Estados Unidos (F5, Inc.).
- Como entra no site
- Script inserido pelo balanceador HTTP da F5 Distributed Cloud, ou colocado à mão no CMS, na CDN, no balanceador ou no BIG-IP; a gestão fica no console da Distributed Cloud.
- O que confere na página de pagamento
- Scripts de primeira, terceira e quarta parte, leitura de campos de formulário, domínios de destino, novos scripts, mudança de comportamento e de cabeçalhos.
- PCI DSS
- O material público cita o PCI DSS e telemetria para trilhas de auditoria. Relatório nominal para o QSA e vínculo com o PCI SSC não constam.
F5 Distributed Cloud Client-Side Defense
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)2 | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | A documentação pública descreve | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)3 | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | Não consta nas informações públicas | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Dados de cartão digitados no formulário: A documentação descreve alertas de leitura de campos sensíveis e um bloqueio de leitura de campo de formulário acionado pelo usuário; a proteção depende da lista que o seu time definir.
- 2Bloqueia scripts não autorizados no navegador do comprador: A mitigação é por lista de domínios: a lista de mitigação bloqueia um domínio inteiro para todos os scripts, e a documentação da F5 afirma que rejeitar um script é apenas informativo, sem bloqueio.
- 3Funciona sem trocar CDN, DNS ou proxy: A inserção manual do script via CMS, CDN ou BIG-IP é descrita para aplicações fora da F5, mas a gestão exige o console e uma assinatura da F5 Distributed Cloud.
Onde F5 Client-Side Defense se destaca
Scripts de quarta parte no inventário
A lista de scripts inclui o que os scripts de terceiros carregam por sua vez, e cada aprovação fica registrada com justificativa.
Cobertura de aplicações fora da F5
A documentação descreve a inserção manual do script via CMS, CDN, balanceador ou BIG-IP, para aplicações que não passam pela Distributed Cloud.
Alertas de comportamento e de cabeçalhos
Além de domínios suspeitos e leitura de campos, o serviço avisa quando um script muda de comportamento ou quando os cabeçalhos da página mudam.
Um console só para quem já está na F5
Quem usa o balanceador da Distributed Cloud habilita o serviço no mesmo lugar onde já administra a aplicação, sem adicionar código.
O que o Proteside confere e o material da F5 não menciona
Uma loja emite um boleto de R$ 1.890 e mostra a linha digitável no checkout. O cliente copia a linha, cola no aplicativo do banco e paga. Se uma extensão no navegador ou um plugin comprometido trocou a linha por outra do mesmo valor, o dinheiro vai para outro beneficiário e a loja só descobre quando o pedido continua em aberto. Nenhum dado de cartão foi lido; o que mudou foi o destinatário.
O Client-Side Defense olha para os scripts e para a leitura de campos de formulário, e a documentação da F5 descreve isso com detalhe. Para linha de boleto, QR e chave Pix, QR de pagamentos instantâneos de outros países e endereço de carteira, o material público não descreve uma conferência do que aparece na tela. O Proteside registra o que o seu servidor emitiu (linha, QR, chave, endereço, valor) e compara com o que o comprador vê e copia, em cada sessão. Se divergir, a confirmação é bloqueada e a tentativa fica registrada como evidência.
A mitigação na F5 depende de listas definidas pelo seu time: a lista de mitigação bloqueia um domínio para todos os scripts, a lista de permissão libera, e a própria documentação diz que rejeitar um script na interface é apenas informativo. No Proteside, o bloqueio de scripts não autorizados e da troca do beneficiário acontece em cada sessão, sem passo manual, e o inventário com histórico de alterações gera a evidência dos requisitos 6.4.3 e 11.6.1.
Como cada um entra na operação
F5 Client-Side Defense
- Habilitado num balanceador HTTP da F5 Distributed Cloud com inserção de JavaScript, ou script inserido à mão no CMS, na CDN, no balanceador ou no BIG-IP.
- A documentação pede que o script seja síncrono e o primeiro da página, e limita o serviço a 100 domínios por namespace.
- Mitigação definida pelo usuário em listas no console; segundo a documentação, desabilitar o serviço no console não remove o script inserido manualmente.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, sem console de borda nem assinatura de CDN.
- Verificação em cada sessão de compra: scripts, campos de cartão e dados de pagamento comparados com o que o servidor emitiu.
- Bloqueio automático antes da confirmação, com painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
F5 Client-Side Defense faz sentido quando
- A aplicação já passa pelo balanceador da F5 Distributed Cloud e o time quer habilitar o inventário de scripts sem adicionar código.
- Você usa BIG-IP ou outra infraestrutura F5 e prefere operar a segurança da aplicação num único console.
- O time de segurança quer decidir cada mitigação por lista de domínios, com aprovação registrada e justificativa.
O Proteside faz sentido quando
- O checkout recebe por Pix, boleto, cripto ou pagamentos instantâneos de outros países, e o risco é a troca do beneficiário.
- Você precisa que o bloqueio aconteça em cada sessão, antes da confirmação, sem alguém aprovar uma lista.
- A operação não está na F5 e você quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 com uma linha de código.
Os dois juntos
Quem já tem o Client-Side Defense habilitado no balanceador da F5 pode manter o inventário e os alertas lá e acrescentar o Proteside na página de pagamento para conferir o pagamento em si e bloquear a troca. Os dois scripts convivem, e o Proteside não altera pagamentos legítimos.
Perguntas frequentes
O F5 Client-Side Defense cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. A documentação da F5 descreve scripts, domínios de destino, leitura de campos de formulário e cabeçalhos.
Dá para usar F5 Client-Side Defense e Proteside juntos?
Sim. O script da F5 pode continuar inserido pelo balanceador ou à mão, e o Proteside entra como uma linha na página de pagamento. Cada um faz o seu inventário; o Proteside acrescenta a conferência do beneficiário e o bloqueio automático.
O que acontece quando eu rejeito um script no console da F5?
Segundo a documentação da F5, rejeitar um script é apenas informativo e não bloqueia a execução. Para bloquear, o usuário adiciona o domínio à lista de mitigação, que vale para todos os scripts daquele domínio. No Proteside, um script fora do inventário autorizado é bloqueado em cada sessão, sem passo manual.
Preciso estar na F5 Distributed Cloud para usar o Client-Side Defense?
A documentação descreve dois caminhos: habilitar no balanceador HTTP da Distributed Cloud, ou inserir o script à mão via CMS, CDN, balanceador ou BIG-IP. Nos dois casos, a gestão fica no console da Distributed Cloud, com assinatura do serviço.
O F5 Client-Side Defense gera relatório para o QSA?
O material público cita o PCI DSS e telemetria para trilhas de auditoria; um relatório nominal para o QSA não consta nas informações consultadas. O Proteside exporta o inventário e o histórico de alterações para a avaliação dos requisitos 6.4.3 e 11.6.1.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.