Imperva Client-Side Protection vs. Proteside: Skriptrichtlinie an der WAF oder Prüfung der Zahlung selbst?
Von Laís Peixoto
Growth Marketer, Proteside
Veröffentlicht
Imperva Client-Side Protection ist für Unternehmen gebaut, die bereits auf Imperva Cloud Application Security sind und die Skripte der Zahlungsseite aus der Konsole verwalten wollen, die sie heute betreiben, ohne Code. Proteside ist für Händler, die Karten, Echtzeitzahlungen, Boleto oder Krypto akzeptieren und jeden QR-Code, jedes Konto und jede Wallet-Adresse auf dem Bildschirm gegen das geprüft brauchen, was sie ausgestellt haben.
Nebeneinander
- Wie es sich selbst beschreibt
- Bestandteil von Imperva Web Application & API Protection, der laut Datenblatt Datendiebstahl durch Skripte auf der Seite verhindert.
- Hauptsitz
- Imperva: Vereinigte Staaten, mit mehr als einer Adresse in öffentlichen Quellen. Seit Dezember 2023 Teil der Thales-Gruppe (Frankreich).
- Wie es auf die Website kommt
- Aktivierung mit einem Klick innerhalb von Imperva Cloud Application Security ohne Codeänderungen; der Browser setzt eine serverseitig festgelegte Content-Security-Richtlinie durch.
- Was es auf der Zahlungsseite prüft
- JavaScript-Dienste auf der Seite (fortlaufendes Inventar, Herkunftsland, Zertifikatsstatus, Position im Code), Formulardaten und Sicherheits-Header.
- PCI DSS
- Anforderungen 6.4.3 und 11.6.1, mit einem PCI-Dashboard, das jede Anforderung erklärt und Maßnahmen auflistet, plus wöchentliche Zusammenfassungen der Änderungen an der Zahlungsseite.
Imperva Client-Side Protection
- Wie es sich selbst beschreibt
- Cybersicherheitsebene für den Moment der Zahlung: Integrität dessen, was der Käufer sieht, kopiert und bestätigt.
- Hauptsitz
- São Paulo, Brasilien. In Betrieb seit 2026.
- Wie es auf die Website kommt
- Eine Codezeile auf der Zahlungsseite oder eine Integration in die Vorlage der Plattform oder des Zahlungsanbieters. Kein Proxy, keine Änderung an DNS oder CDN.
- Was es auf der Zahlungsseite prüft
- Drittskripte, Kartenformular, Pix-QR-Code und -Schlüssel, Zahlungszeile des Boleto (brasilianischer Zahlschein), Krypto-Wallet-Adresse und die QR-Codes von acht Echtzeitzahlungssystemen, abgeglichen mit dem, was der Händler ausgestellt hat.
- PCI DSS
- Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1, mit exportierbarem Bericht für den QSA.
Proteside
Kriterium für Kriterium
Die Bewertungen beruhen auf der öffentlichen Dokumentation des jeweiligen Anbieters. Fahren Sie mit der Maus über eine Bewertung oder tippen Sie darauf, um die Legende zu lesen.
| Imperva Client-Side Protection | Proteside | |
|---|---|---|
| Was auf dem Bildschirm des Zahlers geprüft wird | ||
| Inventar und Freigabe der Skripte auf der ZahlungsseiteDie Grundlage von Anforderung 6.4.3: wissen, was auf der Seite läuft, und jedes Skript freigeben. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Ins Formular eingegebene KartendatenVerhindern, dass ein Skript Nummer, Ablaufdatum und Prüfziffer kopiert. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Pix-QR-Code und Pix-Code zum Kopieren und Einfügen (Brasilien)Der häufigste Checkout-Betrug in Brasilien: Der angezeigte QR-Code führt auf ein anderes Konto. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Zahlungszeile des Boleto (brasilianischer Zahlschein)Eine ausgetauschte Zeile zahlt denselben Betrag an einen anderen Empfänger. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| QR-Codes von Echtzeitzahlungssystemen weltweit (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Derselbe Austausch wie bei Pix, über acht Echtzeitzahlungssysteme hinweg. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Stablecoin- und Krypto-Wallet-Adresse, auch beim KopierenEine auf dem Bildschirm oder in der Zwischenablage ausgetauschte Wallet-Adresse ist unumkehrbar. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Gleicht das Angezeigte mit dem ab, was der Händler ausgestellt hat, und blockiert den Austausch vor der BestätigungDie Prüfung, die Zahlungsintegrität ausmacht: Empfänger und Betrag identisch mit dem Ausgestellten. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Wie es schützt | ||
| Blockiert nicht freigegebene Skripte im Browser des KäufersEine nachträgliche Erkennung bringt die kopierten Daten nicht zurück. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Beobachtet echte KäufersitzungenGezielte Betrugsversuche tauchen in simulierten Besuchen nicht auf. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Funktioniert ohne Änderung von CDN, DNS oder ProxyLässt sich mit einer Codezeile in jede Plattform einfügen. | Der Anbieter gibt an, dies nicht zu tun1 | In der öffentlichen Dokumentation beschrieben |
| PCI-DSS-Konformität | ||
| Nachweis für PCI-DSS-Anforderung 6.4.3Inventar, Freigabe und Integrität der Skripte. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Nachweis für PCI-DSS-Anforderung 11.6.1Nicht autorisierte Änderungen an der Seite und ihren Headern. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Exportierbarer Bericht für den Prüfer (QSA)Der Nachweis muss das Dashboard verlassen und in die Prüfung gelangen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
- In der öffentlichen Dokumentation beschrieben
- Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)
- Nicht in den öffentlichen Informationen gefunden
- Der Anbieter gibt an, dies nicht zu tun
Anmerkungen zu den Bewertungen
- 1Funktioniert ohne Änderung von CDN, DNS oder Proxy: Das Datenblatt stellt Client-Side Protection als Teil des Stacks von Imperva Cloud Application Security dar, aktiviert mit einem Klick ohne Code. Die öffentliche Dokumentation beschreibt keinen Installationsweg außerhalb dieser Plattform; die Website muss darüber ausgeliefert werden.
Wo Imperva Client-Side Protection herausragt
Standardmäßig blockiert, bis freigegeben
Das Datenblatt beschreibt ein Modell, in dem jeder neue Dienst oder jede Änderung blockiert bleibt, bis sie überprüft und freigegeben wurde. Teams mit strenger Änderungskontrolle erhalten von Anfang an eine klare Haltung.
Instant Block im Browser
Die Produktseite beschreibt Instant Block, das eine Browserkomponente (einen Service Worker) zwischen Seite und Server nutzt, um einen Dienst sofort abzuschneiden, ohne auf die nächste Richtlinienaktualisierung zu warten.
Infrastruktur als Code
Vollständige Terraform-Unterstützung, laut Datenblatt. Teams, die ihre Imperva-WAF-Konfiguration versionieren, können die Skriptrichtlinie genauso behandeln.
Kontext für jede Skriptentscheidung
Eine Domain-Risikobewertung, eine KI-geschriebene Erklärung dessen, was jedes Skript tut (AI Explain), und Inventardetails wie Herkunftsland, Zertifikatsstatus und Position im Code.
Was Proteside prüft, das im öffentlichen Material von Imperva nicht erwähnt wird
Ein Einzelhändler in Singapur zeigt einen PayNow-QR-Code für eine Bestellung über 1.250 S$. Der Kunde scannt ihn mit einer Banking-App, sieht den Betrag, bestätigt. Eine Browser-Erweiterung auf dem Laptop des Kunden hatte den QR-Code so neu gezeichnet, dass er auf eine andere UEN mit demselben Betrag zeigt. Es wurde kein neues Skript auf der Seite geladen. Es haben keine Kartendaten den Browser verlassen. Das Dienste-Inventar bleibt sauber, und das Geld ist bereits weg.
Imperva macht gut, wofür es entworfen wurde: wissen, welche Dienste auf der Seite laufen, die unbekannten blockieren und die PCI-DSS-Nachweise in Ordnung halten. Für PayNow, UPI, PromptPay, DuitNow, FPS, Pix, brasilianische Zahlscheine und Krypto-Wallet-Adressen beschreibt die öffentliche Dokumentation von Imperva keine Prüfung dessen, was der Käufer tatsächlich sieht. Proteside erfasst, was Ihr Server für jede Zahlungsaufforderung ausgestellt hat, und vergleicht es mit dem, was in jeder Sitzung dargestellt und kopiert wird. Weichen sie voneinander ab, stoppt die Bestätigung, bevor sie stattfindet, und der Versuch wird als Benachrichtigung und als Nachweis protokolliert.
Dasselbe Skript führt das Skript-Inventar, schützt das Kartenformular und speichert die Historie, die die Anforderungen 6.4.3 und 11.6.1 verlangen. Die Installation ist eine Codezeile auf der Zahlungsseite, auf jeder Plattform, mit oder ohne WAF davor.
Wie beide in Ihren Betrieb gelangen
Imperva Client-Side Protection
- Aktivierung mit einem Klick innerhalb von Imperva Cloud Application Security; keine Codeänderungen auf der Seite.
- Beginnt im Discovery-Modus, der Dienste inventarisiert und bei neuen Diensten und Datenübertragungen warnt; danach blockiert die Richtlinie alles, was noch nicht freigegeben ist.
- Benachrichtigungen per E-Mail, API und SIEM; Konfiguration auch über Terraform verfügbar.
Proteside
- Eine Codezeile auf der Zahlungsseite, auf jeder Plattform, oder eine einzige Integration in die Vorlage der Plattform oder des Zahlungsanbieters.
- Jede Checkout-Sitzung wird geprüft: QR-Codes, Kontokennungen, Boleto-Zahlungszeilen, Wallet-Adressen und Kartenfelder, gegen das, was der Server ausgestellt hat.
- Blockierung vor der Bestätigung; Dashboard, API und Benachrichtigungen per E-Mail, Slack, Teams und Webhook. Funktioniert neben jedem CDN oder jeder WAF.
Wann welches zu wählen ist
Imperva Client-Side Protection ist sinnvoll, wenn
- Ihre Website läuft bereits auf Imperva Cloud Application Security und das Sicherheitsteam will die Skriptrichtlinie in der Konsole, die es bereits bedient.
- Ihre interne Regel lautet, alles Neue zurückzuhalten, bis jemand es freigibt, und Karten sind die Zahlungsart auf der Seite.
- Die Sicherheitskonfiguration liegt in Terraform und die Skriptrichtlinie muss demselben Workflow folgen.
Proteside ist sinnvoll, wenn
- Die Seite akzeptiert Echtzeitzahlungen wie UPI, PayNow, PromptPay oder DuitNow, brasilianische Zahlscheine oder Krypto, und Sie brauchen die Prüfung des angezeigten Empfängers.
- Die Website liegt auf einem anderen CDN, auf Ihrem eigenen CDN oder auf keinem, und Sie wollen die Auslieferung des Traffics nicht ändern, um den Checkout zu schützen.
- Sie wollen Schutz und Nachweise für die Anforderungen 6.4.3 und 11.6.1 in einer Installation, in Minuten, ohne Projekt.
Beide zusammen
Ein Unternehmen, das bereits auf Imperva Cloud Application Security ist, kann die Skriptrichtlinie von Imperva behalten und Proteside auf der Zahlungsseite hinzufügen, um die Zahlung selbst zu prüfen. Proteside erscheint als ein weiterer Dienst im Inventar von Imperva: einmal freigeben, und beide laufen auf derselben Seite.
Häufige Fragen
Deckt Imperva Client-Side Protection Pix, Boleto oder QR-Codes ab?
Nicht in den im Oktober 2026 geprüften öffentlichen Informationen. Das Material von Imperva beschreibt JavaScript-Dienste, in Formulare eingegebene Daten und Sicherheits-Header; Pix, Boleto (der brasilianische Zahlschein) und Zahlungs-QR-Codes werden nicht erwähnt.
Können Imperva Client-Side Protection und Proteside zusammen verwendet werden?
Ja. Proteside ist ein Skript auf der Zahlungsseite und erscheint im Inventar von Imperva als freizugebender Dienst. Danach verwaltet Imperva weiterhin die Skripte und Proteside prüft die Zahlung. Keines von beiden verändert eine legitime Zahlung.
Muss ich auf der WAF von Imperva sein, um Client-Side Protection zu nutzen?
Die öffentliche Dokumentation beschreibt die Aktivierung innerhalb von Imperva Cloud Application Security und keinen anderen Installationsweg. Proteside wird mit einer Codezeile auf jeder Website installiert, hinter jedem CDN oder jeder WAF, auch der von Imperva.
Steht das Modell von Imperva, bis zur Freigabe zu blockieren, dem Checkout im Weg?
Das Material von Imperva beschreibt einen anfänglichen Discovery-Modus, der nur inventarisiert und warnt, bevor die Richtlinie beginnt, das Nichtfreigegebene zu blockieren. Proteside geht einen anderen Weg: Bekannte Skripte sind freigegeben und der Zahlungsinhalt wird in jeder Sitzung geprüft, ohne dass ein neuer Dienst standardmäßig zurückgehalten wird.
Wie kann ich Proteside ausprobieren, ohne Imperva anzufassen?
Registrieren Sie sich für die vierzehntägige kostenlose Testphase, fügen Sie eine Codezeile auf der Zahlungsseite ein und geben Sie das Skript im Inventar von Imperva frei. Innerhalb von Minuten zeigt das Proteside-Dashboard die Skripte der Seite, ihre Zahlungsarten und alle blockierten Versuche.
Sehen Sie, wie Proteside Ihren Checkout prüft
Vierzehn Tage kostenlos, eine Codezeile, jede Zahlungsart auf Ihrer Seite.