Source Defense vs Proteside: bloquear scripts ou conferir o pagamento?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado em
A Source Defense impede que scripts de terceiros leiam dados de cartão, com bloqueio em tempo real e uma versão que adquirentes distribuem pelo próprio SDK. O Proteside inventaria os scripts e ainda confere se o QR, a chave, a linha do boleto ou o endereço exibidos são os que a loja emitiu, bloqueando a troca antes da confirmação.
Lado a lado
- Como se define
- Segurança client-side para sites, apresentada pela própria empresa como criadora da categoria; Protect previne, Detect monitora, Acquirer Protect distribui a proteção por adquirentes e provedores.
- Sede
- Rosh Ha'ayin, Israel, e Stamford, Connecticut, EUA. Fundada em 2014.
- Como entra no site
- Duas linhas de código no site, com scripts de terceiros tratados como não confiáveis por padrão; o site fala em operação no ar em 24 horas e em cerca de duas horas de gestão por mês.
- O que confere na página de pagamento
- Scripts de terceiros e de quarta parte, comportamento desses scripts na página e acesso a dados digitados no formulário de cartão.
- PCI DSS
- Requisito 6.4.3 citado no Acquirer Protect e nos recursos para QSAs, com relatórios de conformidade. Principal Participating Organization do PCI SSC, segundo a lista pública do conselho.
Source Defense Protect e Detect
- Como se define
- Camada de cibersegurança para o momento do pagamento: integridade do que o comprador vê, copia e confirma.
- Sede
- São Paulo, Brasil. Em operação desde 2026.
- Como entra no site
- Uma linha de código na página de pagamento, ou integração no template da plataforma e do provedor de pagamento. Sem proxy, sem mudança de DNS ou CDN.
- O que confere na página de pagamento
- Scripts de terceiros, formulário de cartão, QR e chave Pix, linha do boleto, endereço de carteira cripto e QR de oito sistemas de pagamento instantâneo, comparados com o que o vendedor emitiu.
- PCI DSS
- Evidência dos requisitos 6.4.3 e 11.6.1 do PCI DSS, com relatório exportável para o QSA.
Proteside
Critério a critério
Marcações com base na documentação pública de cada fornecedor. Passe o mouse ou toque em uma marcação para ler a legenda.
| Source Defense | Proteside | |
|---|---|---|
| O que é conferido na tela de quem paga | ||
| Inventário e autorização de scripts na página de pagamentoBase do requisito 6.4.3: saber o que roda na página e autorizar cada script. | A documentação pública descreve | A documentação pública descreve |
| Dados de cartão digitados no formulárioImpedir que um script copie número, validade e código de segurança. | A documentação pública descreve | A documentação pública descreve |
| QR code e código copia e cola do PixO golpe mais comum no Brasil: o QR exibido leva a outra conta. | Não consta nas informações públicas | A documentação pública descreve |
| Linha digitável do boletoUma linha trocada paga outro beneficiário com o mesmo valor. | Não consta nas informações públicas | A documentação pública descreve |
| QR de pagamentos instantâneos de outros países (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Mesmo golpe do Pix, em oito sistemas de pagamento instantâneo. | Não consta nas informações públicas | A documentação pública descreve |
| Endereço de carteira de stablecoin e cripto, inclusive ao copiarA troca do endereço na tela ou na área de transferência é irreversível. | Não consta nas informações públicas | A documentação pública descreve |
| Confere o que aparece na tela com o que o vendedor emitiu e bloqueia a troca antes da confirmaçãoÉ a verificação que define a integridade do pagamento: beneficiário e valor iguais aos emitidos. | Não consta nas informações públicas | A documentação pública descreve |
| Como protege | ||
| Bloqueia scripts não autorizados no navegador do compradorDetectar depois do fato não devolve o dado copiado. | A documentação pública descreve | A documentação pública descreve |
| Observa sessões reais de compradoresGolpes direcionados não aparecem em visitas simuladas. | A documentação pública descreve | A documentação pública descreve |
| Funciona sem trocar CDN, DNS ou proxyEntra em qualquer plataforma com uma linha de código. | A documentação pública descreve | A documentação pública descreve |
| Conformidade PCI DSS | ||
| Evidência do requisito 6.4.3 do PCI DSSInventário, autorização e integridade dos scripts. | A documentação pública descreve | A documentação pública descreve |
| Evidência do requisito 11.6.1 do PCI DSSAlterações não autorizadas na página e nos cabeçalhos. | Não consta nas informações públicas1 | A documentação pública descreve |
| Relatório exportável para o auditor (QSA)A evidência precisa sair do painel e chegar à avaliação. | A documentação pública descreve | A documentação pública descreve |
- A documentação pública descreve
- Descreve com limitação (opcional, por amostragem, por ação humana ou só em um pacote)
- Não consta nas informações públicas
- O próprio fornecedor declara que não faz
Notas sobre as marcações
- 1Evidência do requisito 11.6.1 do PCI DSS: As páginas públicas de produto citam o requisito 6.4.3 (no Acquirer Protect e nos recursos para QSAs) e descrevem relatórios de conformidade com o PCI DSS. O requisito 11.6.1, que trata de alterações na página e nos cabeçalhos, não aparece nominalmente no material consultado em outubro de 2026. Por isso a marcação é 'não consta', e não 'não faz'.
Onde Source Defense se destaca
Distribuição por adquirentes e provedores
O Acquirer Protect leva a proteção a toda uma carteira de lojistas pelo SDK que o adquirente, o provedor ou a plataforma já entrega, sem instalação loja a loja.
Vínculo de primeiro nível com o PCI SSC
A Source Defense aparece na lista pública do conselho como Principal Participating Organization, o nível mais alto de participação.
Pouca operação depois de instalado
O site descreve o Protect como algo que exige cerca de duas horas de gestão por mês, com políticas que começam em modo não confiável por padrão e vão sendo ajustadas.
Escala declarada
Mais de mil marcas e 1,2 bilhão de visualizações de página por mês protegidas, segundo o próprio site, com dez anos de engenharia dedicada ao lado do cliente.
O que o Proteside confere e o material da Source Defense não menciona
Uma loja de material de construção emite um boleto de R$ 4.300 para um pedido de piso. O cliente copia a linha digitável, cola no aplicativo do banco e paga. Um script injetado na página trocou a linha por outra, com o mesmo valor e outro beneficiário. Nenhum dado de cartão saiu da página; o dinheiro saiu para a conta errada, e a loja só descobre quando o pedido fica sem baixa.
A Source Defense responde ao problema do cartão: scripts de terceiros não confiáveis por padrão, impedidos de ler o formulário, com bloqueio em tempo real no Protect. Para boleto, Pix, pagamentos instantâneos de outros países e carteiras cripto, as páginas públicas de produto não descrevem uma conferência do que o comprador vê. O Proteside guarda o que o seu servidor emitiu (linha digitável, QR, chave, endereço, valor) e compara com o que aparece na tela e com o que é copiado, em cada sessão. Se divergir, a confirmação é bloqueada e a tentativa fica registrada como alerta e evidência.
O inventário de scripts e a proteção do formulário de cartão entram na mesma instalação, com o histórico que os requisitos 6.4.3 e 11.6.1 pedem e o relatório pronto para o QSA. A mesma linha de código observa os scripts e confere o pagamento.
Como cada um entra na operação
Source Defense
- Duas linhas de código no site; o material fala em operação no ar em 24 horas.
- Scripts de terceiros tratados como não confiáveis por padrão, com políticas ajustadas ao longo do tempo pela equipe.
- Protect bloqueia em tempo real; Detect só monitora e alerta, com dados por API, alertas e interface. Adquirentes e provedores distribuem pelo SDK existente.
Proteside
- Uma linha de código na página de pagamento, em qualquer plataforma, ou integração única no template da plataforma ou do provedor de pagamento.
- Dados de cada cobrança registrados no servidor e conferidos em cada sessão, sem amostragem.
- Bloqueio automático antes da confirmação; painel, API e alertas por e-mail, Slack, Teams e webhook.
Quando escolher cada um
Source Defense faz sentido quando
- Você é adquirente, provedor de pagamento ou plataforma e quer levar a proteção de scripts a toda a carteira de lojistas pelo SDK que já entrega.
- O cartão é o único meio de pagamento e a prioridade é impedir que scripts de terceiros leiam o formulário, com pouca operação mensal.
- A equipe de segurança quer começar só com monitoramento e alertas (Detect), consumindo os dados por API, antes de ligar o bloqueio.
O Proteside faz sentido quando
- O checkout recebe por Pix, boleto, cripto ou pagamentos instantâneos de outros países.
- Você precisa que a troca do beneficiário seja bloqueada na sessão do comprador, antes da confirmação.
- Quer evidência dos requisitos 6.4.3 e 11.6.1, inclusive cabeçalhos, numa única instalação e sem trocar a CDN.
Os dois juntos
Um lojista cujo adquirente distribui a Source Defense pelo SDK pode manter essa proteção do formulário de cartão e acrescentar o Proteside na página de pagamento para conferir Pix, boleto e os demais meios. São dois scripts independentes; o Proteside não interfere nas políticas de outra ferramenta.
Perguntas frequentes
A Source Defense cobre Pix, boleto ou QR code?
Não consta nas informações públicas consultadas em outubro de 2026. As páginas de produto descrevem scripts de terceiros, dados digitados no formulário de cartão e relatórios de conformidade.
Dá para usar Source Defense e Proteside juntos?
Sim. São dois scripts independentes na página de pagamento. O Proteside confere os dados do pagamento e os scripts sem alterar pagamentos legítimos nem as políticas de outra ferramenta.
Qual é a diferença entre Protect e Detect?
Segundo o site da Source Defense, o Protect bloqueia em tempo real o acesso indevido de scripts a dados, e o Detect monitora e alerta, sem bloquear. O Proteside bloqueia por padrão em cada sessão e registra a tentativa.
Sou adquirente ou provedor de pagamento. Qual dos dois distribuo para os lojistas?
Os dois descrevem distribuição por provedor. O Acquirer Protect usa o SDK que o adquirente já entrega, com foco no cartão. O Proteside entra com uma integração única no template da plataforma ou do provedor e confere também Pix, boleto, cripto e pagamentos instantâneos.
A Source Defense e o Proteside atendem ao requisito 11.6.1 do PCI DSS?
O Proteside gera evidência dos requisitos 6.4.3 e 11.6.1, com monitoramento de cabeçalhos e relatório para o QSA. As páginas públicas da Source Defense citam o 6.4.3; o 11.6.1 não aparece no material consultado.
Veja o Proteside conferindo o seu checkout
Quatorze dias grátis, uma linha de código, todos os meios de pagamento da sua página.