Reflectiz vs Proteside: visita simulada de fora ou conferência dentro de cada compra?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
A Reflectiz monitora páginas de pagamento de fora: um navegador automatizado visita o site em cronograma, sem código instalado, e entrega inventário e evidências para o PCI DSS. O Proteside roda dentro da página, em cada sessão real, confere se QR, chave, linha do boleto ou endereço exibidos são os emitidos pela loja e bloqueia a troca antes da confirmação.
Lado a lado
- Como se define
- Plataforma de gestão de exposição web (Security Hub, Privacy Hub, Offensive Hub); o PCI Module cuida das páginas de pagamento.
- Sede
- Tel Aviv, Israel, com hubs em Boston e Sydney. Ano de fundação não consta no site oficial.
- Como entra no site
- Navegador automatizado em sandbox que visita as URLs informadas pelo cliente, em cronograma configurável, sem código no site. Para bloquear, um script inativo é ativado na interface.
- O que confere na página de pagamento
- Scripts de terceiros e de quartos (inclusive dentro de iframes), aprovação e justificativa por script, cabeçalhos HTTP e conteúdo da página de pagamento.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1 com exportação de evidências para o QSA. Principal Participating Organization do PCI SSC, segundo o próprio site.
Reflectiz PCI Module
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Reflectiz | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)3 | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)2 | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | O próprio fornecedor declara que não faz1 | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | A documentação pública descreve | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Observa sessões reais de compradores: A Reflectiz descreve a própria abordagem como remota e sem agente: um navegador automatizado visita as páginas em cronograma, sem código instalado. O site fala em simular a atividade do usuário, não em observar as sessões reais de compradores.
- 2Bloqueia scripts não autorizados no navegador do comprador: O material público descreve o Idle Blocking Script: uma tag que fica inativa até que o time de segurança peça o bloqueio na interface; aí ela passa a excluir um domínio por meio de uma política CSP. A própria página resume: o monitoramento remoto detecta, o bloqueio sob demanda responde.
- 3Dados de cartão digitados no formulário: O inventário e os alertas cobrem os scripts que tocam a página de pagamento, inclusive em iframes. A reação a um script que copia dados de cartão depende da visita agendada encontrá-lo e de uma pessoa acionar o bloqueio por domínio; o site não descreve bloqueio automático no navegador do comprador.
Onde Reflectiz se destaca
Nenhum código na página
A Reflectiz descreve o PCI Module como totalmente remoto: o cliente informa as URLs de pagamento e o site diz que a maioria das operações fica ativa em até 24 horas.
Aprovação de scripts em escala
Smart Approval aprova automaticamente scripts com comportamento já aceito, Bulk Approval aplica a decisão a vários sites e uma IA redige a justificativa de cada script para o revisor aceitar ou editar.
Privacidade e testes ofensivos na mesma plataforma
Além do PCI Module, o Privacy Hub cobre GDPR, CCPA e HIPAA e o Offensive Hub inclui testes de penetração com agentes de IA.
Participação no PCI SSC
O site declara contribuição nos grupos de orientação tecnológica do PCI SSC e no desenvolvimento do padrão.
O que o Proteside confere e o material da Reflectiz não menciona
Uma loja emite um boleto de R$ 1.890 para um cliente que prefere pagar no banco. A página mostra a linha digitável, o cliente copia, cola no aplicativo e paga. Se uma extensão no navegador dele trocou a linha por outra, com o mesmo valor e outro beneficiário, o navegador automatizado que visita o site de madrugada nunca vê essa troca. Ela aconteceu só naquela sessão, só para aquele comprador.
A Reflectiz é clara sobre o desenho: um navegador em sandbox simula a atividade do usuário e repete a visita em cronograma, e o próprio site diz que não há acesso a dados de pagamento ou de sessão. O Proteside faz o caminho inverso. Ele registra o que o seu servidor emitiu (QR, chave Pix, linha digitável, endereço de carteira, valor), compara com o que aparece na tela e no que o comprador copia, em cada sessão real, e bloqueia a confirmação quando os dois divergem.
A mesma linha de código mantém o inventário de scripts, vigia o formulário de cartão e guarda o histórico de alterações que os requisitos 6.4.3 e 11.6.1 pedem. O bloqueio de um script não autorizado acontece no navegador do comprador, sem esperar que alguém abra um painel.
Como cada um entra na operação
Reflectiz
- O cliente informa as URLs das páginas de pagamento; nenhum código é adicionado ao site.
- Um navegador automatizado em sandbox visita as páginas em cronograma configurável e repete a verificação.
- Para bloquear, o Idle Blocking Script é ativado na interface e exclui o domínio escolhido por CSP; a reversão também é feita na interface.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, ou integração única no template da plataforma ou do provedor.
- Verificação em cada sessão de cada comprador, sem cronograma e sem visita simulada.
- Bloqueio automático antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
Reflectiz faz sentido quando
- A política interna impede qualquer script novo na página de pagamento e o time aceita detecção com revisão humana.
- Você administra dezenas de sites de cartão e quer aprovar scripts em lote, com justificativas redigidas por IA para o auditor.
- Privacidade (GDPR, CCPA, HIPAA) e testes ofensivos fazem parte do mesmo programa de segurança web.
O Proteside faz sentido quando
- Você recebe por Pix, boleto, cripto ou pagamentos instantâneos de outros países.
- Precisa que a troca do beneficiário seja bloqueada na sessão em que acontece, sem depender da próxima visita agendada.
- Quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 saindo da mesma instalação, com uma linha de código.
Os dois juntos
Um grupo que usa a Reflectiz para inventariar vários sites de fora pode manter esse mapa e colocar o Proteside na página de pagamento para conferir cada compra. O navegador automatizado da Reflectiz vai listar o script do Proteside como mais um item do inventário, pronto para aprovação.
Perguntas frequentes
A Reflectiz cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O material da Reflectiz descreve scripts, iframes, cabeçalhos HTTP e conteúdo da página de pagamento.
Dá para usar Reflectiz e Proteside juntos?
Sim. A Reflectiz observa de fora, sem código; o Proteside roda dentro da página. O script do Proteside aparece no inventário da Reflectiz como qualquer outro, e o Proteside não altera pagamentos legítimos.
O que é o Idle Blocking Script da Reflectiz?
Segundo o site da Reflectiz, é uma tag que fica inativa na página até que o time peça um bloqueio na interface. Quando ativada, injeta uma política CSP que exclui o domínio escolhido. No Proteside, o bloqueio de scripts não autorizados é automático e acontece no navegador do comprador.
Monitoramento sem código atende aos requisitos 6.4.3 e 11.6.1?
A Reflectiz descreve inventário, autorização, alertas de cabeçalho e exportação de evidências, e relata que QSAs de clientes aceitaram a abordagem. O Proteside gera a mesma evidência a partir de sessões reais, com registro do que foi bloqueado.
Um golpe que aparece só para um comprador é detectado pela Reflectiz?
O site da Reflectiz descreve visitas simuladas em cronograma e diz que não há acesso a dados de sessão. Uma troca de QR ou de linha digitável feita por extensão no navegador de um cliente específico acontece fora dessas visitas. O Proteside confere isso em cada sessão.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.