Feroot vs Proteside: governança de scripts ou conferência do pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
O Feroot inventaria e governa os scripts da página de pagamento para cumprir o PCI DSS, em sites e aplicativos. O Proteside faz esse inventário e vai além: confere, na tela do comprador, se o QR, a chave, a linha do boleto ou o endereço exibidos são os que a loja emitiu, e bloqueia a troca antes da confirmação.
Lado a lado
- Como se define
- Plataforma de conformidade automatizada para PCI DSS, HIPAA e privacidade; o PaymentGuard cuida das páginas de pagamento.
- Sede
- Toronto, Canadá. Fundada em 2017.
- Como entra no site
- Script nas páginas de pagamento, com frequência de avaliação configurável; o DXSecure é descrito como sem agente e com monitoramento no navegador.
- O que confere na página de pagamento
- Scripts (inclusive dinâmicos e aninhados), integridade por hash, conteúdo da página e cabeçalhos HTTP; aplicativos iOS e Android.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1 com relatório de evidências para o QSA. Organização participante associada do PCI SSC, segundo o próprio site.
Feroot PaymentGuard e DXSecure
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Feroot | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | A documentação pública descreve | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | A documentação pública descreve | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | A documentação pública descreve | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Observa sessões reais de compradores: O site descreve o DXSecure como implantação sem agente e, ao mesmo tempo, como monitoramento no navegador do usuário; o material público não detalha como as duas coisas se combinam.
Onde Feroot se destaca
Aplicativos móveis no escopo
O material público inclui apps iOS e Android ao lado dos sites, algo raro na categoria.
Privacidade e saúde no mesmo painel
A plataforma cobre também HIPAA e leis de privacidade, útil para quem tem mais de uma obrigação regulatória.
Diagnóstico antes de contratar
Uma extensão para o Chrome e um scanner web ajudam a enxergar os scripts da página antes de qualquer decisão.
Integrações de operação
Alertas em ferramentas de chat, de incidentes e de observabilidade, além de API.
O que o Proteside confere e o material do Feroot não menciona
Pense numa loja que recebe por Pix. O cliente chega ao checkout, vê o QR, abre o aplicativo do banco e paga. Se um plugin comprometido ou uma extensão no navegador trocou o QR por outro, com o mesmo valor, a loja só descobre quando o cliente reclama que pagou e o pedido não caiu. Não houve roubo de dados de cartão; houve troca do destinatário.
O inventário de scripts é a resposta certa para o problema do cartão, e o Feroot a dá com cuidado. Para Pix, boleto, pagamentos instantâneos de outros países e carteiras cripto, a documentação pública do Feroot não descreve uma verificação do que aparece na tela. O Proteside registra o que o seu servidor emitiu (QR, chave, linha digitável, endereço, valor) e compara com o que o comprador vê e copia, em cada sessão. Divergiu, a confirmação é bloqueada e a tentativa vira alerta e evidência.
A mesma instalação cobre o formulário de cartão e os scripts de terceiros, com o inventário e o histórico que os requisitos 6.4.3 e 11.6.1 pedem. Não é uma ferramenta a mais; é a mesma linha de código fazendo as duas coisas.
Como cada um entra na operação
Feroot
- Script nas páginas de pagamento ou distribuição pelo processador para muitas páginas de uma vez.
- Frequência de avaliação configurável, de horária a semanal.
- Aplicação de políticas em tempo de execução descrita como opcional no PaymentGuard.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, ou integração única no template da plataforma ou do provedor.
- Verificação contínua em cada sessão, sem amostragem e sem janela entre avaliações.
- Bloqueio automático antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
Feroot faz sentido quando
- O cartão é o único meio de pagamento e a prioridade é governança de scripts com relatório para o auditor.
- Você precisa cobrir aplicativos móveis além do site.
- HIPAA ou leis de privacidade fazem parte da mesma obrigação de conformidade.
O Proteside faz sentido quando
- Você recebe por Pix, boleto, cripto ou pagamentos instantâneos de outros países.
- Precisa que a troca do beneficiário seja bloqueada em sessões reais, sem esperar uma avaliação periódica.
- Quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 numa única instalação, sem projeto de implantação.
Os dois juntos
Uma operação com apps móveis no escopo do Feroot pode manter essa cobertura e acrescentar o Proteside na página de pagamento web para conferir o pagamento em si. Os dois scripts convivem.
Perguntas frequentes
O Feroot cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O material do Feroot descreve scripts, dados de cartão, conteúdo da página e cabeçalhos.
Dá para usar Feroot e Proteside juntos?
Sim. São dois scripts independentes na página de pagamento. O Proteside não altera pagamentos legítimos nem interfere no inventário de outra ferramenta.
Qual dos dois atende aos requisitos 6.4.3 e 11.6.1 do PCI DSS?
Os dois descrevem inventário, autorização, detecção de alterações e relatório para o QSA. A diferença está no que mais cada um confere: o Proteside inclui o pagamento em si.
O Proteside substitui o antifraude?
Não. O antifraude avalia se o comprador é confiável. O Proteside garante que a página e os dados de pagamento não foram trocados. São camadas diferentes.
Como testar o Proteside?
Cadastro com quatorze dias grátis, uma linha de código na página de pagamento e o painel mostra em minutos os scripts, os meios de pagamento e as tentativas bloqueadas.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.