Cloudflare Page Shield vs. Proteside: Skript-Überwachung von der Edge oder Prüfung der Zahlung auf dem Bildschirm?
Von Laís Peixoto
Growth Marketer, Proteside
Veröffentlicht
Cloudflare Client-Side Security, bis März 2026 als Page Shield bekannt, überwacht Skripte, Verbindungen und Cookies auf Websites, die über Cloudflare geproxyt werden, ohne Installation. Proteside ist eine Codezeile auf jedem Checkout, die in jeder Sitzung prüft, ob QR-Code, Wallet-Adresse und Kartenfelder auf dem Bildschirm dem entsprechen, was der Händler ausgestellt hat.
Nebeneinander
- Wie es sich selbst beschreibt
- Eine Client-Side-Security-Funktion innerhalb der Cloudflare-Plattform. Page Shield bis zum 25. März 2026, seitdem Client-Side Security; das erweiterte Paket heißt Client-Side Security Advanced.
- Hauptsitz
- San Francisco, Vereinigte Staaten. Das Gründungsjahr wird auf der herangezogenen Unternehmensseite nicht angegeben.
- Wie es auf die Website kommt
- Kein eigenes Skript. Der Cloudflare-Proxy fügt einer Stichprobe von HTML-Antworten einen Report-Only-CSP-Header hinzu und baut das Inventar aus den Berichten auf, die Browser zurücksenden. Setzt voraus, dass der Traffic der Website über Cloudflare geproxyt wird.
- Was es auf der Zahlungsseite prüft
- Skripte, die von ihnen geöffneten Verbindungen und Cookies, mit der Seite, auf der jede Ressource zuerst erschien. Erkennung schädlicher Skripte und von Codeänderungen im erweiterten Paket.
- PCI DSS
- Die Dokumentation gibt an, dass die Funktion für die Anforderungen 6.4.3 und 11.6.1 genutzt werden kann und dass dafür Client-Side Security Advanced erforderlich ist. Eine Mitgliedschaft im PCI SSC wird in den herangezogenen Quellen nicht erwähnt.
Cloudflare Client-Side Security (antes Page Shield)
- Wie es sich selbst beschreibt
- Cybersicherheitsebene für den Moment der Zahlung: Integrität dessen, was der Käufer sieht, kopiert und bestätigt.
- Hauptsitz
- São Paulo, Brasilien. In Betrieb seit 2026.
- Wie es auf die Website kommt
- Eine Codezeile auf der Zahlungsseite oder eine Integration in die Vorlage der Plattform oder des Zahlungsanbieters. Kein Proxy, keine Änderung an DNS oder CDN.
- Was es auf der Zahlungsseite prüft
- Drittskripte, Kartenformular, Pix-QR-Code und -Schlüssel, Zahlungszeile des Boleto (brasilianischer Zahlschein), Krypto-Wallet-Adresse und die QR-Codes von acht Echtzeitzahlungssystemen, abgeglichen mit dem, was der Händler ausgestellt hat.
- PCI DSS
- Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1, mit exportierbarem Bericht für den QSA.
Proteside
Kriterium für Kriterium
Die Bewertungen beruhen auf der öffentlichen Dokumentation des jeweiligen Anbieters. Fahren Sie mit der Maus über eine Bewertung oder tippen Sie darauf, um die Legende zu lesen.
| Cloudflare Page Shield | Proteside | |
|---|---|---|
| Was auf dem Bildschirm des Zahlers geprüft wird | ||
| Inventar und Freigabe der Skripte auf der ZahlungsseiteDie Grundlage von Anforderung 6.4.3: wissen, was auf der Seite läuft, und jedes Skript freigeben. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)1 | In der öffentlichen Dokumentation beschrieben |
| Ins Formular eingegebene KartendatenVerhindern, dass ein Skript Nummer, Ablaufdatum und Prüfziffer kopiert. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)2 | In der öffentlichen Dokumentation beschrieben |
| Pix-QR-Code und Pix-Code zum Kopieren und Einfügen (Brasilien)Der häufigste Checkout-Betrug in Brasilien: Der angezeigte QR-Code führt auf ein anderes Konto. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Zahlungszeile des Boleto (brasilianischer Zahlschein)Eine ausgetauschte Zeile zahlt denselben Betrag an einen anderen Empfänger. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| QR-Codes von Echtzeitzahlungssystemen weltweit (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Derselbe Austausch wie bei Pix, über acht Echtzeitzahlungssysteme hinweg. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Stablecoin- und Krypto-Wallet-Adresse, auch beim KopierenEine auf dem Bildschirm oder in der Zwischenablage ausgetauschte Wallet-Adresse ist unumkehrbar. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Gleicht das Angezeigte mit dem ab, was der Händler ausgestellt hat, und blockiert den Austausch vor der BestätigungDie Prüfung, die Zahlungsintegrität ausmacht: Empfänger und Betrag identisch mit dem Ausgestellten. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Wie es schützt | ||
| Blockiert nicht freigegebene Skripte im Browser des KäufersEine nachträgliche Erkennung bringt die kopierten Daten nicht zurück. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)3 | In der öffentlichen Dokumentation beschrieben |
| Beobachtet echte KäufersitzungenGezielte Betrugsversuche tauchen in simulierten Besuchen nicht auf. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)4 | In der öffentlichen Dokumentation beschrieben |
| Funktioniert ohne Änderung von CDN, DNS oder ProxyLässt sich mit einer Codezeile in jede Plattform einfügen. | Der Anbieter gibt an, dies nicht zu tun5 | In der öffentlichen Dokumentation beschrieben |
| PCI-DSS-Konformität | ||
| Nachweis für PCI-DSS-Anforderung 6.4.3Inventar, Freigabe und Integrität der Skripte. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)6 | In der öffentlichen Dokumentation beschrieben |
| Nachweis für PCI-DSS-Anforderung 11.6.1Nicht autorisierte Änderungen an der Seite und ihren Headern. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)7 | In der öffentlichen Dokumentation beschrieben |
| Exportierbarer Bericht für den Prüfer (QSA)Der Nachweis muss das Dashboard verlassen und in die Prüfung gelangen. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
- In der öffentlichen Dokumentation beschrieben
- Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)
- Nicht in den öffentlichen Informationen gefunden
- Der Anbieter gibt an, dies nicht zu tun
Anmerkungen zu den Bewertungen
- 1Inventar und Freigabe der Skripte auf der Zahlungsseite: Die Dokumentation beschreibt das Inventar als aufgebaut aus einem Report-Only-CSP-Header, der einer Stichprobe von HTML-Antworten hinzugefügt wird, und warnt, dass ein neu bereitgestelltes Skript eine Weile brauchen kann, bis es im Dashboard erscheint.
- 2Ins Formular eingegebene Kartendaten: Das öffentliche Material behandelt Skripte, Verbindungen und Cookies, die über Browser-Berichte beobachtet werden. Eine Prüfung des Kartenformulars selbst, im Browser des Käufers, wird nicht beschrieben.
- 3Blockiert nicht freigegebene Skripte im Browser des Käufers: Der Überwachungs-Header ist Report-Only und blockiert, in den Worten der Dokumentation, nichts. Die Blockierung kommt von Content-Security-Regeln im Erlaubnismodus, verfügbar im erweiterten Paket, mit einer Grenze von fünf Regeln.
- 4Beobachtet echte Käufersitzungen: Die Berichte kommen von echten Browsern, aber nur aus der Stichprobe der Antworten, die den Header erhalten haben; die Dokumentation beschreibt keine Abdeckung jeder Sitzung.
- 5Funktioniert ohne Änderung von CDN, DNS oder Proxy: Der offizielle Blog gibt an, dass die einzige Voraussetzung ist, dass der Traffic über Cloudflare geproxyt wird. Websites auf einem anderen CDN oder ohne Proxy liegen außerhalb des Umfangs.
- 6Nachweis für PCI-DSS-Anforderung 6.4.3: Die PCI-DSS-Referenzseite gibt an, dass die Funktion für Anforderung 6.4.3 genutzt werden kann und dass Client-Side Security Advanced erforderlich ist.
- 7Nachweis für PCI-DSS-Anforderung 11.6.1: Dieselbe Seite nennt Anforderung 11.6.1 unter derselben Bedingung: nur im erweiterten Paket. Wie die Nachweise an den Prüfer übergeben werden, wird auf der herangezogenen Seite nicht beschrieben.
Wo Cloudflare Page Shield herausragt
Nichts bereitzustellen für Websites, die bereits auf Cloudflare sind
Die Überwachung wird im Cloudflare-Dashboard eingeschaltet und beginnt laut offiziellem Blog, Browser-Berichte zu sammeln, ohne den Code der Website anzufassen.
Skripte, Verbindungen und Cookies in einem Inventar
Über Skripte hinaus beschreibt die Dokumentation die Erfassung der Verbindungen, die diese Skripte öffnen, und der Cookies, die den Proxy passieren, mit der Seite, auf der jede Ressource zuerst gesehen wurde.
Bedrohungsdaten plus Sprachmodell zur Erkennung
Seit dem 3. März 2026 werden verdächtige Skripte mit einem auf Workers AI laufenden Sprachmodell analysiert, um Fehlalarme zu reduzieren; Cloudflare gibt an, dass Kundendaten nicht zum Training dieser Modelle verwendet werden.
Durchsetzung an der Edge, ohne Code
Im erweiterten Paket werden Content-Security-Regeln zu einem durchsetzenden CSP-Header, der alles außerhalb der Erlaubnisliste blockiert, angewendet auf jede Antwort, auf die die Regel zutrifft.
Was Proteside prüft, das in der Cloudflare-Dokumentation nicht erwähnt wird
Ein Nachhilfe-Marktplatz in Bangalore kassiert per UPI. Der Elternteil tippt auf Bezahlen, ein QR-Code erscheint, er scannt ihn mit seiner Banking-App und das Geld geht in Sekunden ab. Hat eine Browser-Erweiterung oder ein kompromittiertes Theme-Plugin diesen QR-Code gegen einen ausgetauscht, der auf ein anderes Konto zeigt, gleicher Betrag, geht die Zahlung durch, die Bestellung wird nie abgewickelt, und es erschien kein neues Skript auf der Seite. Für ein Skript-Inventar sieht die Seite unverändert aus.
Client-Side Security beobachtet die Skripte, Verbindungen und Cookies, die den Proxy passieren, und die Dokumentation beschreibt das klar. QR-Codes für UPI, PromptPay oder PayNow, USDT-Wallet-Adressen und brasilianische Zahlscheine (Boleto) kommen im öffentlichen Material nicht vor. Proteside erfasst, was der Server des Händlers für jede Zahlungsaufforderung ausgestellt hat, und vergleicht es mit dem, was der Käufer sieht, kopiert und bestätigt, in jeder Sitzung statt einer Stichprobe. Bei einer Abweichung wird die Bestätigung blockiert und der Versuch als Benachrichtigung und als Nachweis protokolliert.
Dasselbe Skript inventarisiert auch Drittskripte, beobachtet das Kartenformular und führt die Änderungshistorie, die die Anforderungen 6.4.3 und 11.6.1 verlangen. Eine Website hinter Cloudflare behält ihre Edge genau so, wie sie ist, und ergänzt die Zahlungsprüfung auf der Checkout-Seite.
Wie beide in den Betrieb gelangen
Cloudflare Page Shield
- Aktiviert im Cloudflare-Dashboard, für Domains, deren Traffic bereits über den Cloudflare-Proxy läuft.
- Report-Only-CSP-Header auf einer Stichprobe der Antworten; der Header kann nicht abgeschaltet werden, solange die Überwachung aktiv ist.
- Content-Security-Regeln im erweiterten Paket zur Durchsetzung einer Erlaubnisliste; Benachrichtigungen und Protokollexport über die Plattform selbst.
Proteside
- Eine Codezeile auf der Zahlungsseite, auf jeder Plattform und hinter jedem CDN, Cloudflare eingeschlossen.
- Prüfung in jeder Sitzung, ohne Stichproben und ohne Warten darauf, dass ein neues Skript auftaucht.
- Automatische Blockierung vor der Bestätigung; Dashboard, API und Benachrichtigungen per E-Mail, Slack, Teams und Webhook.
Wann welches zu wählen ist
Cloudflare Page Shield ist sinnvoll, wenn
- Die Website läuft bereits über Cloudflare, Karten sind die Zahlungsart und Ihr Prüfer akzeptiert ein per Stichprobe aufgebautes Inventar.
- Sie wollen Transparenz über Skripte, Verbindungen und Cookies über die gesamte Domain, nicht nur den Checkout, ohne Code hinzuzufügen.
- Ihr Team verwaltet bereits Sicherheitsregeln in Cloudflare und zieht es vor, die Erlaubnisliste von der Edge aus durchzusetzen.
Proteside ist sinnvoll, wenn
- Der Checkout akzeptiert UPI, PromptPay, PayNow, DuitNow, FPS, Stablecoins oder das brasilianische Pix und Boleto.
- Sie brauchen die Blockierung des Empfängeraustauschs in der Sitzung, in der er stattfindet, für jeden Käufer.
- Die Website wird nicht über Cloudflare geproxyt, oder Sie wollen denselben Schutz über Shops auf mehreren CDNs hinweg.
Beide zusammen
Ein guter Teil der Proteside-Kunden nutzt Cloudflare bereits an der Edge für DNS, Caching und Angriffsabwehr. In dieser Konfiguration baut Client-Side Security weiterhin das domainweite Inventar vom Proxy aus auf, und Proteside prüft die Zahlung auf der Checkout-Seite, Sitzung für Sitzung. Die beiden konkurrieren nicht um dieselbe Aufgabe und stören einander nicht.
Häufige Fragen
Deckt Cloudflare Page Shield Pix, Boleto oder QR-Codes ab?
Nicht in den im Oktober 2026 herangezogenen öffentlichen Informationen. Die Dokumentation zu Client-Side Security beschreibt Skripte, Verbindungen, Cookies und Codeänderungen; auf dem Bildschirm angezeigte Zahlungsdaten wie ein UPI- oder PromptPay-QR-Code werden nicht erwähnt.
Kann ich Cloudflare Page Shield und Proteside zusammen nutzen?
Ja, und das ist die häufigste Konfiguration unter Proteside-Kunden auf Cloudflare. Proteside ist ein Skript auf der Zahlungsseite und erscheint im Cloudflare-Inventar wie jede andere freigegebene Ressource.
Sind Page Shield und Client-Side Security dasselbe Produkt?
Ja. Am 25. März 2026 hat Cloudflare Page Shield in Client-Side Security umbenannt, und das Add-on wurde zu Client-Side Security Advanced. Die Release Notes geben an, dass sich Funktionen und Berechtigungen mit dem Namen nicht geändert haben.
Muss ich auf Cloudflare sein, um Client-Side Security zu nutzen?
Ja. Der offizielle Blog gibt an, dass die einzige Voraussetzung ist, dass Ihr Traffic über Cloudflare geproxyt wird, weil der Überwachungs-Header an der Edge zu den Antworten hinzugefügt wird.
Warum braucht ein neues Skript Zeit, bis es im Cloudflare-Dashboard erscheint?
Die Dokumentation erklärt es: Der Report-Only-Header geht auf eine Stichprobe der Antworten, und das Inventar hängt von den Berichten ab, die Browser zurücksenden. Das lässt eine Lücke zwischen der Bereitstellung eines Skripts und seiner Auflistung.
Sehen Sie, wie Proteside Ihren Checkout prüft
Vierzehn Tage kostenlos, eine Codezeile, jede Zahlungsart auf Ihrer Seite.