Alternativen zu Feroot für den Schutz der Zahlungsseite (2026)

Proteside erfasst, was auf jeder Zahlungsseite legitim ist (die Daten jeder Zahlungsaufforderung, die Formularfelder, die freigegebenen Skripte), und prüft fortlaufend im Browser des Zahlers, was angezeigt wird, was kopiert wird und wohin die Daten gehen. Erkennt es eine Abweichung, stoppt es die Aktion, bevor die Zahlung bestätigt wird, und protokolliert den Versuch.

Das Skript-Inventar und die Änderungshistorie bilden den Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1. Die Installation ist eine Codezeile auf jeder E-Commerce-Plattform oder eine einzige Integration für Plattformen und Zahlungsanbieter, mit Dashboard, API und Benachrichtigungen.

c/side bezeichnet sich selbst als Client-Side-Security-Plattform. Das öffentliche Material beschreibt ein Inventar mit der Inhaltshistorie jedes Skripts, einen Anbieter-Graphen, Benachrichtigungen, Dashboards für die Anforderungen 6.4.3 und 11.6.1 und einen Endpunkt zum Empfang von CSP-Berichten.

Die öffentliche Seite zu Krypto nennt den Austausch einer in die Zwischenablage kopierten Wallet-Adresse, was dem Problem, das Proteside löst, nahekommt. Pix, Boleto (brasilianischer Zahlschein) und die QR-Codes von Echtzeitzahlungssystemen wie UPI oder PromptPay kommen in der von uns herangezogenen öffentlichen Dokumentation nicht vor.

Jscrambler vereint zwei unterschiedliche Produkte: Code Integrity zum Schutz und zur Obfuskierung von JavaScript-Code und Webpage Integrity zur Inventarisierung und Kontrolle der Skripte auf der Seite, mit einem Modul für PCI-DSS-Konformität. Die öffentliche Dokumentation beschreibt einen Agentenmodus, der in echten Sitzungen blockiert, und einen agentenlosen Modus, der einen Nutzer simuliert.

Es ist ein ausgereiftes Angebot für Teams mit Karten als Hauptzahlungsart, die einen einzigen Anbieter für Code und Seite wollen. Das öffentliche Material behandelt weder Pix, Boleto (brasilianischer Zahlschein), QR-Codes von Echtzeitzahlungen noch Krypto-Wallets.

Reflectiz beschreibt seinen eigenen Ansatz als agentenlos: Ein Browser in einer Sandbox simuliert die Nutzerreise, inventarisiert Skripte (auch innerhalb von iframes), überwacht Header für Anforderung 11.6.1 und exportiert Nachweise für den QSA. Die Plattform deckt außerdem Datenschutz und offensive Tests ab.

Das Material des Anbieters selbst erklärt die Blockierung als Skript, das auf der Seite inaktiv bleibt, bis es in der Oberfläche ausgelöst wird, und dann eine Domain per CSP ausschließt. Das ist eine Designentscheidung: erst Erkennung, dann menschliches Eingreifen. Betrugsversuche, die nur einem bestimmten Käufer angezeigt werden, werden von simulierten Besuchen nicht beobachtet.

SecurityMetrics ist ein PCI-Prüfunternehmen (QSA, ASV), und Shopping Cart Monitor fügt sich in sein Portal ein: Skript-Inventar mit Begründung, Erkennung von Inhalts- und Header-Änderungen, Benachrichtigungen und ein exportierbares Protokoll für den Prüfer, ohne Installation auf der Website.

Das öffentliche Material ist offen in Bezug auf die Grenze: Das Tool wurde zur Erkennung gebaut, sagt der Anbieter, und es arbeitet mit Momentaufnahmen in Intervallen. Für Teams, die den Betrug blockieren müssen, während der Kunde noch auf der Seite ist, funktioniert der Ansatz als Ergänzung zu einer Blockierung in echten Sitzungen.

Die Funktion, bis März 2026 Page Shield genannt und jetzt Client-Side Security, ist für Domains verfügbar, die über Cloudflare geproxyt werden. Die Dokumentation beschreibt die Überwachung von Skripten, Verbindungen und Cookies, die Erkennung schädlicher Skripte und Codeänderungen sowie Content-Security-Regeln, die alles außerhalb der Erlaubnisliste blockieren können.

Die Dokumentation selbst erklärt den Mechanismus: Der Report-Only-Header geht mit einer Stichprobe der Antworten hinaus, sodass ein neues Skript Zeit brauchen kann, bis es erscheint. Die Anforderungen 6.4.3 und 11.6.1 werden in der erweiterten Stufe abgedeckt. Pix, Boleto (brasilianischer Zahlschein) und Echtzeitzahlungssysteme kommen im Material nicht vor.