Alternativen zu Cloudflare Page Shield für den Schutz der Zahlungsseite (2026)

Proteside erfasst, was auf jeder Zahlungsseite legitim ist (die Daten jeder Zahlungsaufforderung, die Formularfelder, die freigegebenen Skripte), und prüft fortlaufend im Browser des Zahlers, was angezeigt wird, was kopiert wird und wohin die Daten gehen. Erkennt es eine Abweichung, stoppt es die Aktion, bevor die Zahlung bestätigt wird, und protokolliert den Versuch.

Das Skript-Inventar und die Änderungshistorie bilden den Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1. Die Installation ist eine Codezeile auf jeder E-Commerce-Plattform oder eine einzige Integration für Plattformen und Zahlungsanbieter, mit Dashboard, API und Benachrichtigungen.

Client-Side Protection & Compliance (früher Page Integrity Manager) inventarisiert Skripte, wendet Begründungen und Regeln an, überwacht Header für Anforderung 11.6.1 und warnt bei nicht freigegebenen Skripten, Abfluss von Zahlungsdaten und Manipulation. Die öffentliche Dokumentation gibt an, dass die Erkennungen für jede Website funktionieren, wo immer sie gehostet ist, mit Konfiguration in der Akamai-Konsole.

Die Skripteinfügung kann auf einen Prozentsatz der Seitenaufrufe eingestellt werden, und die Gegenmaßnahme wird als Einschränkung beschrieben, die mit einem Klick angewendet wird. Für vollständige Abdeckung muss die Einfügung bei jedem Seitenaufruf laufen. Das Material behandelt Skripte und Kartendaten; QR-Codes, Zahlungsschlüssel oder Boleto-Zahlungszeilen werden nicht behandelt.

Imperva (Thales) beschreibt Client-Side Protection als Bestandteil seines Anwendungsschutzes: fortlaufende Diensteerkennung, KI-gestützte Skriptanalyse, Blockierung mit einem Klick, Überwachung von Header-Änderungen, wöchentliche Zusammenfassungen der Änderungen an der Zahlungsseite und exportierbare Berichte für den Prüfer, mit Terraform-Unterstützung.

Der Mechanismus ist eine serverseitig definierte Content-Security-Richtlinie nach einem Zero-Trust-Modell: Was nicht freigegeben ist, wird nicht geladen. Die öffentliche Dokumentation beschreibt die Bereitstellung über Imperva Cloud Application Security; der Umfang sind Skripte und Kartendaten.

Feroot stellt die Konformität in den Mittelpunkt seines Angebots: PaymentGuard deckt die Anforderungen 6.4.3 und 11.6.1 mit Skript-Inventar, Begründungen, Integritätsprüfungen und einem Nachweisbericht für den QSA ab. Die öffentliche Dokumentation nennt Integrationen mit Alarmierungs- und Betriebstools sowie die Abdeckung von iOS- und Android-Apps neben Websites.

Der Punkt, auf den jeder achten sollte, der außerhalb von Karten bezahlt wird, ist der Umfang: Das öffentliche Material spricht von Skripten und Kartendaten, ohne QR-Codes, Zahlungsschlüssel, Boleto (brasilianischer Zahlschein) oder Krypto-Wallets zu erwähnen. Für diese Zahlungsarten liegt der Austausch des Empfängers außerhalb dessen, was das Tool laut Beschreibung prüft.

c/side bezeichnet sich selbst als Client-Side-Security-Plattform. Das öffentliche Material beschreibt ein Inventar mit der Inhaltshistorie jedes Skripts, einen Anbieter-Graphen, Benachrichtigungen, Dashboards für die Anforderungen 6.4.3 und 11.6.1 und einen Endpunkt zum Empfang von CSP-Berichten.

Die öffentliche Seite zu Krypto nennt den Austausch einer in die Zwischenablage kopierten Wallet-Adresse, was dem Problem, das Proteside löst, nahekommt. Pix, Boleto (brasilianischer Zahlschein) und die QR-Codes von Echtzeitzahlungssystemen wie UPI oder PromptPay kommen in der von uns herangezogenen öffentlichen Dokumentation nicht vor.

Reflectiz beschreibt seinen eigenen Ansatz als agentenlos: Ein Browser in einer Sandbox simuliert die Nutzerreise, inventarisiert Skripte (auch innerhalb von iframes), überwacht Header für Anforderung 11.6.1 und exportiert Nachweise für den QSA. Die Plattform deckt außerdem Datenschutz und offensive Tests ab.

Das Material des Anbieters selbst erklärt die Blockierung als Skript, das auf der Seite inaktiv bleibt, bis es in der Oberfläche ausgelöst wird, und dann eine Domain per CSP ausschließt. Das ist eine Designentscheidung: erst Erkennung, dann menschliches Eingreifen. Betrugsversuche, die nur einem bestimmten Käufer angezeigt werden, werden von simulierten Besuchen nicht beobachtet.