Imperva Client-Side Protection vs Proteside: política de scripts no WAF ou conferência do pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
O Imperva Client-Side Protection serve a empresas que já estão no Imperva Cloud Application Security e querem controlar os scripts da página de pagamento no mesmo console, sem código. O Proteside serve a quem recebe por Pix, boleto, cartão, cripto ou pagamentos instantâneos e precisa conferir, em cada compra, se QR, linha e endereço exibidos são os emitidos.
Lado a lado
- Como se define
- Componente do Imperva Web Application & API Protection para evitar roubo de dados por scripts na página, segundo o datasheet.
- Sede
- Imperva: Estados Unidos, com mais de um endereço nas fontes públicas. Parte do grupo Thales (França) desde dezembro de 2023.
- Como entra no site
- Ativação em um clique dentro do Imperva Cloud Application Security, sem alteração de código; o navegador aplica uma política de segurança de conteúdo definida no servidor.
- O que confere na página de pagamento
- Serviços JavaScript da página (inventário contínuo, origem por país, certificado, posição no código), dados de formulário e cabeçalhos de segurança.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1 com painel de conformidade que explica cada requisito e lista ações; resumos semanais de mudanças na página de pagamento.
Imperva Client-Side Protection
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Imperva Client-Side Protection | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | A documentação pública descreve | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | A documentação pública descreve | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | A documentação pública descreve | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | O próprio fornecedor declara que não faz1 | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Funciona sem trocar CDN, DNS ou proxy: O datasheet apresenta o Client-Side Protection como parte da pilha do Imperva Cloud Application Security, com ativação em um clique e sem código. A documentação pública não descreve um caminho de instalação fora dessa plataforma; o site precisa estar atendido por ela.
Onde Imperva Client-Side Protection se destaca
Bloqueio por padrão até autorizar
O datasheet descreve um modelo em que qualquer serviço novo, ou qualquer mudança, fica bloqueado até ser revisado e autorizado. Para quem quer controle de mudança rígido, essa é uma postura clara.
Instant Block no navegador
A página do produto descreve o Instant Block, que usa um componente do navegador (service worker) posicionado entre a página e o servidor para cortar um serviço na hora, sem esperar a próxima publicação da política.
Infraestrutura como código
Suporte completo a Terraform, segundo o datasheet. Times que versionam a configuração do WAF da Imperva tratam a política de scripts da mesma forma.
Contexto para decidir sobre cada script
Pontuação de risco por domínio, explicação do que cada script faz com ajuda de IA (AI Explain) e inventário de origem, certificado e posição no código.
O que o Proteside confere e o material da Imperva não menciona
Uma distribuidora emite um boleto de R$ 4.300 para um cliente de atacado. O cliente abre a página, copia a linha digitável e paga no aplicativo do banco. Um plugin do painel de pedidos, atualizado na semana anterior, trocou a linha por outra com o mesmo valor e outro beneficiário. Nenhum script novo apareceu; nenhum dado de cartão saiu. O inventário de serviços continua verde e o dinheiro já foi.
A Imperva resolve bem o problema para o qual foi desenhada: saber que serviços rodam na página, bloquear os desconhecidos e manter a evidência para o PCI DSS. Para boleto, Pix, QR de pagamento instantâneo e endereço de carteira cripto, a documentação pública da Imperva não descreve uma conferência do conteúdo exibido ao comprador. O Proteside registra o que o seu servidor emitiu em cada cobrança e compara com o que aparece na tela e com o que é copiado. Se houver diferença, a confirmação para antes de acontecer e a tentativa fica registrada como alerta e evidência.
O mesmo script faz o inventário de scripts, protege o formulário de cartão e guarda o histórico que os requisitos 6.4.3 e 11.6.1 pedem. A instalação é uma linha de código na página de pagamento, em qualquer plataforma, com ou sem WAF na frente.
Como cada um entra na operação
Imperva Client-Side Protection
- Ativação em um clique dentro do Imperva Cloud Application Security; nenhuma mudança de código na página.
- Começa em modo Discovery, que inventaria os serviços e alerta sobre novidades e transferências de dados; depois a política passa a bloquear o que não foi autorizado.
- Alertas por e-mail, API e SIEM; configuração também por Terraform.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, ou integração única no template da plataforma ou do provedor de pagamento.
- Conferência em cada sessão de compra, do QR, da chave, da linha digitável, do endereço de carteira e dos campos de cartão, contra o que o servidor emitiu.
- Bloqueio antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook. Convive com qualquer CDN ou WAF.
Quando escolher cada um
Imperva Client-Side Protection faz sentido quando
- O site já roda no Imperva Cloud Application Security e o time de segurança quer gerir a política de scripts no console que já usa.
- A regra interna é bloquear tudo que é novo até alguém autorizar, e o cartão é o meio de pagamento da página.
- A configuração de segurança é versionada em Terraform e a política de scripts precisa entrar no mesmo fluxo.
O Proteside faz sentido quando
- A página recebe por Pix, boleto, cripto ou pagamentos instantâneos de outros países e você precisa conferir o beneficiário exibido.
- O site está em outra CDN, em CDN própria ou sem CDN, e você não quer mudar a entrega do tráfego para proteger o checkout.
- Você quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 numa só instalação, em minutos, sem projeto.
Os dois juntos
Uma operação que já está no Imperva Cloud Application Security pode manter a política de scripts da Imperva e colocar o Proteside na página de pagamento para conferir o pagamento em si. O script do Proteside é um serviço a mais no inventário da Imperva: basta autorizá-lo uma vez e os dois trabalham na mesma página.
Perguntas frequentes
O Imperva Client-Side Protection cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O material da Imperva descreve serviços JavaScript, dados digitados em formulários e cabeçalhos de segurança; Pix, boleto e QR de pagamento não aparecem.
Dá para usar Imperva Client-Side Protection e Proteside juntos?
Sim. O Proteside é um script na página de pagamento e aparece no inventário da Imperva como um serviço a autorizar. Depois disso, a Imperva segue cuidando da política de scripts e o Proteside confere o pagamento. Nenhum dos dois altera um pagamento legítimo.
Preciso estar no WAF da Imperva para usar o Client-Side Protection?
A documentação pública descreve a ativação dentro do Imperva Cloud Application Security e não descreve outro caminho de instalação. O Proteside entra com uma linha de código em qualquer site, com qualquer CDN ou WAF na frente, inclusive o da Imperva.
O modelo de bloquear até autorizar da Imperva atrapalha o checkout?
O material da Imperva descreve um modo Discovery inicial, em que só inventaria e alerta, antes de a política bloquear o que não foi autorizado. O Proteside segue outro caminho: autoriza os scripts conhecidos e confere o conteúdo do pagamento em cada sessão, sem reter serviços novos por padrão.
Como testar o Proteside sem mexer na Imperva?
Cadastro com quatorze dias grátis, uma linha de código na página de pagamento e autorização do script no inventário da Imperva. Em minutos o painel do Proteside mostra os scripts, os meios de pagamento da página e as tentativas bloqueadas.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.