Jscrambler vs Proteside: controle de scripts ou conferência do pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
A Jscrambler protege o próprio código JavaScript da empresa e, no Webpage Integrity, inventaria e controla os scripts da página de pagamento com evidência PCI DSS. O Proteside faz esse inventário e confere o pagamento em si: compara QR, chave, linha do boleto e endereço com o que a loja emitiu e bloqueia a troca antes da confirmação.
Lado a lado
- Como se define
- Plataforma de segurança client-side com dois produtos: Code Integrity, que protege o código JavaScript da empresa, e Webpage Integrity, que controla os scripts da página. O Iframe Integrity atende provedores de pagamento.
- Sede
- Porto, Portugal. Fundada em 2014.
- Como entra no site
- Agente JavaScript por snippet ou gerenciador de tags, recomendado como um dos primeiros scripts a carregar; ou Agentless Monitoring, em que um usuário sintético visita as páginas indicadas.
- O que confere na página de pagamento
- Scripts de primeira, terceira e quarta parte, desvio de comportamento em relação ao histórico, acesso a formulários, cookies e armazenamento do navegador, e requisições de rede de saída.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1, com módulo de conformidade e relatórios prontos para avaliação. O site mantém um programa chamado QSA Alliance.
Jscrambler Webpage Integrity
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Jscrambler | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | A documentação pública descreve | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | A documentação pública descreve | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | A documentação pública descreve | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Observa sessões reais de compradores: O guia público de implantação descreve dois modos. No modo com agente, o script observa e bloqueia em sessões reais. No Agentless Monitoring, um usuário sintético visita as páginas de pagamento informadas pelo cliente; pelo próprio material, esse modo não acompanha o navegador de cada comprador.
Onde Jscrambler se destaca
Código e página no mesmo fornecedor
O Code Integrity protege o JavaScript que a empresa escreve contra engenharia reversa; o Webpage Integrity cuida dos scripts que rodam na página. Quem precisa dos dois resolve com uma única empresa.
Bloqueio da ação, sem desligar o script
O Form Fencing impede que um script não autorizado leia campos de formulário, e o Network Transfer Control governa as requisições de saída. O material descreve interceptar a ação de risco em vez de remover o script inteiro.
Iframe Integrity para provedores de pagamento
Um produto separado protege o iframe de pagamento dentro do checkout do lojista, com defesa contra sobreposição de iframe e de formulário, sem pedir que o lojista instale nada.
Linha de base de comportamento
O Behavioral Drift Detection compara o comportamento de cada script com o histórico e avalia o risco dos fornecedores a partir da telemetria dos navegadores.
O que o Proteside confere e o material da Jscrambler não menciona
Uma distribuidora emite um boleto de R$ 4.870 e o cliente abre a página para copiar a linha digitável. Um plugin comprometido no checkout troca a linha por outra, do mesmo valor, com outro beneficiário. O cliente paga no aplicativo do banco, o dinheiro sai, e a distribuidora só percebe quando o pedido não é baixado. Nenhum formulário de cartão foi tocado.
O Webpage Integrity responde ao problema do cartão com controle de scripts, cerca nos formulários e regras sobre requisições de saída. A documentação pública não descreve conferir se a linha digitável, o QR do Pix, a chave ou o endereço de carteira exibidos são os que a loja emitiu. O Proteside registra esses dados no momento da emissão e compara, no navegador do comprador, com o que aparece na tela e com o que é copiado. Se há divergência, a confirmação é bloqueada e a tentativa fica registrada como evidência.
A mesma linha de código inventaria os scripts, protege o formulário de cartão e guarda o histórico de alterações que os requisitos 6.4.3 e 11.6.1 pedem. O lojista instala uma vez e cobre o cartão de crédito, o cartão de débito, o Pix, o boleto e as stablecoins com o mesmo painel.
Como cada um entra na operação
Jscrambler
- Agente por snippet, com a injeção feita pelo time de DevOps do cliente, ou por gerenciador de tags; o guia recomenda carregá-lo entre os primeiros scripts da página.
- Opção sem código: a Jscrambler configura um usuário sintético que visita as URLs de pagamento indicadas pelo cliente.
- Onboarding com grupo responsável, mapeamento dos formulários sensíveis, reuniões semanais de configuração e revisão trimestral das listas de permissão.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma de e-commerce, ou integração única no template da plataforma ou do provedor.
- Cada sessão de compra é conferida, em todas as páginas de pagamento, sem usuário sintético e sem lista de URLs para manter.
- A troca é bloqueada antes da confirmação; o painel, a API e os alertas por e-mail, Slack, Teams e webhook registram cada tentativa.
Quando escolher cada um
Jscrambler faz sentido quando
- O código JavaScript da sua aplicação precisa de proteção contra engenharia reversa e você quer um único fornecedor para o código e para a página.
- Você é um provedor de pagamento que entrega o checkout em iframe e quer proteger os lojistas sem pedir que instalem nada.
- O cartão é o meio principal e o time de segurança quer políticas por comportamento de script, com linha de base histórica e revisão periódica das listas de permissão.
O Proteside faz sentido quando
- A sua loja recebe por Pix, boleto, stablecoins ou pagamentos instantâneos de outros países, e o risco é a troca do beneficiário.
- Você precisa que a troca seja bloqueada no navegador de cada comprador, em todas as sessões, sem depender de visitas simuladas.
- Quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 com uma instalação só, sem reuniões de configuração.
Os dois juntos
Uma empresa que usa o Code Integrity para proteger o próprio JavaScript pode manter essa camada e adicionar o Proteside na página de pagamento para conferir o QR, a linha e o endereço. Se o agente do Webpage Integrity bloqueia scripts desconhecidos, basta autorizar o do Proteside na lista de permissão; os dois rodam na mesma página.
Perguntas frequentes
O Jscrambler cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O material do Webpage Integrity descreve scripts, campos de formulário, cookies, armazenamento do navegador e requisições de rede de saída.
Dá para usar Jscrambler e Proteside juntos?
Sim. São dois scripts independentes na página de pagamento. Se o agente da Jscrambler estiver configurado para bloquear scripts fora da lista, o script do Proteside é autorizado como qualquer outro fornecedor. O Proteside não interfere em pagamentos legítimos nem no inventário de outra ferramenta.
Qual é a diferença entre Code Integrity e Webpage Integrity?
O Code Integrity protege o JavaScript que a própria empresa escreve, com ofuscação e defesa contra engenharia reversa. O Webpage Integrity observa e controla os scripts que rodam na página, inclusive de terceiros, com o módulo para os requisitos 6.4.3 e 11.6.1. O Proteside compara com o segundo.
O modo sem agente da Jscrambler acompanha cada comprador?
Pelo guia público, o Agentless Monitoring usa um usuário sintético que visita as páginas indicadas pelo cliente. Um golpe que aparece só para um comprador específico, como a troca de um QR em uma sessão, não passa por esse visitante. O bloqueio em tempo real fica no modo com agente.
Sou provedor de pagamento com checkout em iframe. Qual dos dois faz sentido?
O Iframe Integrity da Jscrambler foi feito para esse caso e protege o iframe sem ação do lojista. O Proteside oferece integração única para provedores e plataformas, que confere o pagamento exibido em cada sessão. Os dois podem conviver no mesmo checkout.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.