SecurityMetrics vs Proteside: monitorar de fora ou conferir cada pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
A SecurityMetrics monitora a página de pagamento de fora, em intervalos, e entrega a evidência dos requisitos 6.4.3 e 11.6.1 no portal PCI em que o lojista responde ao questionário. O Proteside roda na página, em cada sessão, confere se o QR, a linha do boleto ou o endereço exibidos são os emitidos e bloqueia a troca antes da confirmação.
Lado a lado
- Como se define
- Monitoramento da página de pagamento para os requisitos 6.4.3 e 11.6.1 (Shopping Cart Monitor), de uma empresa que atua como QSA, ASV e PFI; o Shopping Cart Inspect é a inspeção forense feita por pessoas.
- Sede
- Orem, Utah, Estados Unidos. Fundada em 2000.
- Como entra no site
- Sem código no site: um sistema externo simula o checkout em intervalos, com varredura manual ou automática conforme a configuração. Versão 2.0 lançada em março de 2025.
- O que confere na página de pagamento
- Inventário de scripts estáticos e dinâmicos com justificativa, alterações de conteúdo e de cabeçalhos, alertas 24/7 e registro exportável para o auditor.
- PCI DSS
- Requisitos 6.4.3 e 11.6.1, integrados ao portal PCI da própria SecurityMetrics (questionário SAQ e varreduras ASV).
SecurityMetrics Shopping Cart Monitor
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| SecurityMetrics | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)1 | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | O próprio fornecedor declara que não faz2 | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | O próprio fornecedor declara que não faz3 | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | A documentação pública descreve | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | A documentação pública descreve | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Dados de cartão digitados no formulário: O material público descreve detecção de scripts e de alterações a partir de visitas simuladas ao checkout; não descreve ação no navegador do comprador enquanto ele digita os dados do cartão.
- 2Bloqueia scripts não autorizados no navegador do comprador: A própria SecurityMetrics escreve que o Shopping Cart Monitor foi construído para detecção, e não para prevenção, e lista CSP e bloqueio de scripts como itens fora do produto.
- 3Observa sessões reais de compradores: A ferramenta é descrita como sem agente: um sistema externo simula o checkout em intervalos. Pela descrição pública, ela não acompanha a sessão de cada comprador real.
Onde SecurityMetrics se destaca
O fornecedor é o próprio avaliador
A SecurityMetrics atua como QSA, ASV e PFI. O monitoramento nasce dentro de uma empresa que audita, faz varreduras e investiga incidentes de cartão.
Evidência no mesmo portal do questionário
O registro do Shopping Cart Monitor fica ao lado do SAQ e das varreduras ASV, o que simplifica a entrega para o lojista que já cumpre o PCI DSS por lá.
Inspeção forense sob demanda
O Shopping Cart Inspect complementa o monitor com uma análise feita por especialistas quando há suspeita de comprometimento.
Nada para instalar no site
A abordagem sem agente serve a quem não pode adicionar código à página de pagamento, inclusive lojas em plataformas fechadas.
O que o Proteside confere e o material da SecurityMetrics não menciona
Uma distribuidora emite um boleto de R$ 4.300 para um cliente de atacado. O cliente abre a página, copia a linha digitável e paga pelo aplicativo do banco. Um plugin do carrinho, atualizado na véspera, trocou a linha por outra do mesmo valor, com vencimento igual. O dinheiro cai na conta de um terceiro e a distribuidora só percebe quando a cobrança vence em aberto. Um monitor externo que visitou a página de madrugada viu um boleto normal, porque a troca aconteceu só na sessão daquele cliente.
A SecurityMetrics descreve com clareza o que entrega: inventário de scripts, alteração de conteúdo e de cabeçalhos, alerta e registro para o QSA, tudo observado de fora e em intervalos. Para Pix, boleto, pagamentos instantâneos de outros países e carteiras cripto, a documentação pública não descreve uma conferência do que o comprador vê. O Proteside guarda o que o seu servidor emitiu (linha digitável, QR, chave, endereço, valor) e compara com o que aparece e é copiado em cada sessão. Se diverge, a confirmação é bloqueada e a tentativa vira alerta e evidência.
O formulário de cartão e os scripts de terceiros entram na mesma instalação, com o inventário e o histórico que os requisitos 6.4.3 e 11.6.1 pedem. Uma linha de código cobre a evidência para o auditor e a proteção do pagamento em si, inclusive para o comprador que chega entre duas varreduras.
Como cada um entra na operação
SecurityMetrics
- Cadastro das páginas de pagamento no portal PCI da SecurityMetrics, sem código no site.
- Varredura externa que simula o checkout, disparada manualmente ou em cronograma automático, conforme a configuração contratada.
- Alertas 24/7, justificativa de cada script e registro exportável, no mesmo lugar do questionário SAQ e das varreduras ASV.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, ou integração única no template da plataforma ou do provedor.
- Verificação em cada sessão real, do primeiro ao último comprador do dia, sem intervalo entre visitas.
- Bloqueio automático antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
SecurityMetrics faz sentido quando
- A sua avaliação PCI DSS já passa pela SecurityMetrics e você quer a evidência dos requisitos 6.4.3 e 11.6.1 dentro do mesmo portal.
- Você não pode adicionar nenhum código à página de pagamento e aceita detecção com revisão humana.
- Você quer, além do monitor, uma equipe forense para investigar uma suspeita de comprometimento no carrinho.
O Proteside faz sentido quando
- Você recebe por Pix, boleto, cripto ou pagamentos instantâneos de outros países e precisa conferir o que o comprador vê.
- Precisa que a troca do beneficiário ou a cópia do cartão seja bloqueada na sessão em que acontece, sem esperar a próxima varredura.
- Quer proteção e evidência dos requisitos 6.4.3 e 11.6.1 numa única instalação, sem depender de um portal de avaliação específico.
Os dois juntos
Um lojista que responde ao SAQ e faz varreduras ASV pela SecurityMetrics pode manter o Shopping Cart Monitor como evidência externa e acrescentar o Proteside na página para conferir cada pagamento e bloquear a troca em sessões reais. O monitor externo continua vendo a página de fora, e o Proteside não altera pagamentos legítimos.
Perguntas frequentes
O SecurityMetrics cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. O material do Shopping Cart Monitor descreve scripts, alteração de conteúdo e de cabeçalhos na página de pagamento, com foco nos dados de cartão.
Dá para usar SecurityMetrics e Proteside juntos?
Sim. O Shopping Cart Monitor observa a página de fora e não exige código; o Proteside é um script na própria página. Um não interfere no outro, e o lojista pode manter a evidência no portal da SecurityMetrics enquanto o Proteside bloqueia a troca em cada sessão.
O que significa a SecurityMetrics dizer que o produto foi feito para detecção, e não para prevenção?
São as palavras da própria empresa sobre o Shopping Cart Monitor: ele identifica scripts novos e alterações e avisa o lojista; impedir a execução enquanto o comprador está na página fica fora do que o produto se propõe a fazer. O bloqueio em sessões reais é o que o Proteside acrescenta.
A varredura em intervalos atende aos requisitos 6.4.3 e 11.6.1?
Pela documentação pública, a SecurityMetrics entrega inventário com justificativa, detecção de alterações e registro para o auditor, que é o que os dois requisitos pedem. A diferença está entre as varreduras: o Proteside acompanha cada comprador, então um golpe direcionado a uma sessão também aparece.
O Proteside gera o mesmo tipo de evidência que um QSA espera?
O Proteside exporta o inventário de scripts, as autorizações e o histórico de alterações da página e dos cabeçalhos em relatório para o QSA. Ele não substitui a avaliação em si, que continua com o avaliador que você escolher, inclusive a SecurityMetrics.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.