Reflectiz vs. Proteside: ein geplanter Besuch von außen oder eine Prüfung in jedem Kauf?
Von Laís Peixoto
Growth Marketer, Proteside
Veröffentlicht
Reflectiz beobachtet Zahlungsseiten von außen: Ein automatisierter Browser besucht die URLs nach Zeitplan, ohne Code, und erzeugt das Inventar und die Nachweise, die PCI DSS verlangt. Proteside läuft in der Seite in jeder Sitzung, prüft, ob QR-Code, Kontokennung, Boleto-Zahlungszeile oder Wallet-Adresse dem entsprechen, was der Server ausgestellt hat, und blockiert den Austausch vor der Bestätigung.
Nebeneinander
- Wie es sich selbst beschreibt
- Plattform für Web Exposure Management (Security Hub, Privacy Hub, Offensive Hub); das PCI Module kümmert sich um Zahlungsseiten.
- Hauptsitz
- Tel Aviv, Israel, mit Standorten in Boston und Sydney. Das Gründungsjahr wird auf der offiziellen Website nicht angegeben.
- Wie es auf die Website kommt
- Automatisierter Browser in einer Sandbox, der die vom Kunden angegebenen URLs nach konfigurierbarem Zeitplan besucht, ohne Code auf der Website. Die Blockierung nutzt ein inaktives Skript, das aus der Konsole aktiviert wird.
- Was es auf der Zahlungsseite prüft
- Dritt- und Viertanbieter-Skripte (auch innerhalb von iframes), Freigabe und Begründung je Skript, HTTP-Antwort-Header und Inhalt der Zahlungsseite.
- PCI DSS
- Anforderungen 6.4.3 und 11.6.1 mit Nachweisexport auf Abruf für den QSA. Principal Participating Organization des PCI SSC, laut eigener Website.
Reflectiz PCI Module
- Wie es sich selbst beschreibt
- Cybersicherheitsebene für den Moment der Zahlung: Integrität dessen, was der Käufer sieht, kopiert und bestätigt.
- Hauptsitz
- São Paulo, Brasilien. In Betrieb seit 2026.
- Wie es auf die Website kommt
- Eine Codezeile auf der Zahlungsseite oder eine Integration in die Vorlage der Plattform oder des Zahlungsanbieters. Kein Proxy, keine Änderung an DNS oder CDN.
- Was es auf der Zahlungsseite prüft
- Drittskripte, Kartenformular, Pix-QR-Code und -Schlüssel, Zahlungszeile des Boleto (brasilianischer Zahlschein), Krypto-Wallet-Adresse und die QR-Codes von acht Echtzeitzahlungssystemen, abgeglichen mit dem, was der Händler ausgestellt hat.
- PCI DSS
- Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1, mit exportierbarem Bericht für den QSA.
Proteside
Kriterium für Kriterium
Die Bewertungen beruhen auf der öffentlichen Dokumentation des jeweiligen Anbieters. Fahren Sie mit der Maus über eine Bewertung oder tippen Sie darauf, um die Legende zu lesen.
| Reflectiz | Proteside | |
|---|---|---|
| Was auf dem Bildschirm des Zahlers geprüft wird | ||
| Inventar und Freigabe der Skripte auf der ZahlungsseiteDie Grundlage von Anforderung 6.4.3: wissen, was auf der Seite läuft, und jedes Skript freigeben. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Ins Formular eingegebene KartendatenVerhindern, dass ein Skript Nummer, Ablaufdatum und Prüfziffer kopiert. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)3 | In der öffentlichen Dokumentation beschrieben |
| Pix-QR-Code und Pix-Code zum Kopieren und Einfügen (Brasilien)Der häufigste Checkout-Betrug in Brasilien: Der angezeigte QR-Code führt auf ein anderes Konto. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Zahlungszeile des Boleto (brasilianischer Zahlschein)Eine ausgetauschte Zeile zahlt denselben Betrag an einen anderen Empfänger. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| QR-Codes von Echtzeitzahlungssystemen weltweit (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Derselbe Austausch wie bei Pix, über acht Echtzeitzahlungssysteme hinweg. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Stablecoin- und Krypto-Wallet-Adresse, auch beim KopierenEine auf dem Bildschirm oder in der Zwischenablage ausgetauschte Wallet-Adresse ist unumkehrbar. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Gleicht das Angezeigte mit dem ab, was der Händler ausgestellt hat, und blockiert den Austausch vor der BestätigungDie Prüfung, die Zahlungsintegrität ausmacht: Empfänger und Betrag identisch mit dem Ausgestellten. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Wie es schützt | ||
| Blockiert nicht freigegebene Skripte im Browser des KäufersEine nachträgliche Erkennung bringt die kopierten Daten nicht zurück. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)2 | In der öffentlichen Dokumentation beschrieben |
| Beobachtet echte KäufersitzungenGezielte Betrugsversuche tauchen in simulierten Besuchen nicht auf. | Der Anbieter gibt an, dies nicht zu tun1 | In der öffentlichen Dokumentation beschrieben |
| Funktioniert ohne Änderung von CDN, DNS oder ProxyLässt sich mit einer Codezeile in jede Plattform einfügen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| PCI-DSS-Konformität | ||
| Nachweis für PCI-DSS-Anforderung 6.4.3Inventar, Freigabe und Integrität der Skripte. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Nachweis für PCI-DSS-Anforderung 11.6.1Nicht autorisierte Änderungen an der Seite und ihren Headern. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Exportierbarer Bericht für den Prüfer (QSA)Der Nachweis muss das Dashboard verlassen und in die Prüfung gelangen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
- In der öffentlichen Dokumentation beschrieben
- Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)
- Nicht in den öffentlichen Informationen gefunden
- Der Anbieter gibt an, dies nicht zu tun
Anmerkungen zu den Bewertungen
- 1Beobachtet echte Käufersitzungen: Reflectiz beschreibt seinen eigenen Ansatz als remote und agentenlos: Ein automatisierter Browser besucht die Seiten nach Zeitplan, ohne installierten Code. Die Website spricht von der Simulation von Nutzeraktivität statt von der Beobachtung echter Käufersitzungen.
- 2Blockiert nicht freigegebene Skripte im Browser des Käufers: Das öffentliche Material beschreibt das Idle Blocking Script: ein Tag, das inaktiv bleibt, bis das Sicherheitsteam eine Blockierung aus der Konsole anfordert, und dann eine Domain über eine CSP-Richtlinie ausschließt. Die Seite selbst fasst es zusammen als Fernüberwachung, die erkennt, und Blockierung auf Abruf, die reagiert.
- 3Ins Formular eingegebene Kartendaten: Inventar und Benachrichtigungen decken Skripte ab, die die Zahlungsseite berühren, auch innerhalb von iframes. Die Reaktion auf ein Skript, das Kartendaten kopiert, hängt davon ab, dass ein geplanter Besuch es findet und eine Person die Domain-Blockierung auslöst; die Website beschreibt keine automatische Blockierung im Browser des Käufers.
Wo Reflectiz herausragt
Nichts auf der Seite zu installieren
Reflectiz beschreibt das PCI Module als vollständig remote laufend. Der Kunde liefert die URLs der Zahlungsseiten, und die Website gibt an, dass die meisten Organisationen innerhalb von 24 Stunden einsatzbereit sind.
Skriptfreigabe im großen Maßstab
Smart Approval gibt Skripte frei, deren Verhalten bereits akzeptierten Mustern entspricht, Bulk Approval wendet eine Entscheidung auf viele Websites an, und eine integrierte KI entwirft je Skript eine Begründung, die Prüfer übernehmen oder bearbeiten.
Datenschutz und offensive Tests auf einer Plattform
Über das PCI Module hinaus deckt der Privacy Hub DSGVO, CCPA und HIPAA ab, und der Offensive Hub umfasst agentengesteuerte Penetrationstests.
Ein Sitz im PCI SSC
Die Website gibt an, dass Reflectiz zu den Technology Guidance Groups des PCI SSC und zur Entwicklung des Standards selbst beiträgt.
Was Proteside prüft, das im Material von Reflectiz nicht erwähnt wird
Ein Händler in Bangkok zeigt einen PromptPay-QR-Code über 2.400 Baht. Die Käuferin öffnet ihre Banking-App, scannt und zahlt. Hat eine Browser-Erweiterung auf ihrem Laptop diesen QR-Code durch einen ersetzt, der auf ein anderes Konto zeigt, hat der automatisierte Browser, der den Checkout um 3 Uhr nachts besucht hat, das nie gesehen. Der Austausch existierte nur in ihrer Sitzung, nur für sie.
Reflectiz ist offen in Bezug auf sein Design: Ein Browser in einer Sandbox simuliert Nutzeraktivität, der Besuch wiederholt sich nach Zeitplan, und die Website gibt an, dass Reflectiz keinen Zugriff auf Zahlungs- oder Sitzungsdaten hat. Proteside arbeitet von der anderen Seite. Es erfasst, was Ihr Server ausgestellt hat (QR-Code, UPI-ID, Boleto-Zahlungszeile, Wallet-Adresse, Betrag), vergleicht das mit dem, was der Käufer in jeder echten Sitzung sieht und kopiert, und blockiert die Bestätigung, wenn beides voneinander abweicht.
Dieselbe Codezeile führt das Skript-Inventar, beobachtet das Kartenformular und speichert die Änderungshistorie, die die Anforderungen 6.4.3 und 11.6.1 verlangen. Ein nicht freigegebenes Skript wird im Browser des Käufers blockiert, ohne dass jemand zuerst eine Konsole öffnet.
Wie beide in Ihren Betrieb gelangen
Reflectiz
- Sie geben die URLs der Zahlungsseiten an; der Website wird kein Code hinzugefügt.
- Ein automatisierter Browser in einer Sandbox besucht die Seiten nach konfigurierbarem Zeitplan und wiederholt die Prüfung.
- Zum Blockieren wird das Idle Blocking Script aus der Konsole aktiviert und schließt die gewählte Domain per CSP aus; ein Klick macht es rückgängig.
Proteside
- Eine Codezeile auf der Zahlungsseite, auf jeder Plattform, oder eine einzige Integration in die Vorlage der Plattform oder des Anbieters.
- Eine Prüfung in jeder Sitzung jedes Käufers, ohne Zeitplan und ohne simulierten Besuch.
- Automatische Blockierung vor der Bestätigung; Dashboard, API und Benachrichtigungen per E-Mail, Slack, Teams und Webhook.
Wann welches zu wählen ist
Reflectiz ist sinnvoll, wenn
- Die interne Richtlinie schließt jedes neue Skript auf der Zahlungsseite aus und das Team akzeptiert Erkennung mit anschließender menschlicher Überprüfung.
- Sie betreiben Dutzende Karten-Checkouts und wollen Skriptfreigabe in großen Mengen mit KI-entworfenen Begründungen, fertig für den Auditor.
- Datenschutz (DSGVO, CCPA, HIPAA) und offensive Tests gehören zum selben Web-Sicherheitsprogramm.
Proteside ist sinnvoll, wenn
- Sie akzeptieren UPI, PromptPay, PayNow, DuitNow, FPS, das brasilianische Pix oder Boleto oder Krypto-Wallets.
- Sie brauchen die Blockierung des Empfängeraustauschs in der Sitzung, in der er stattfindet, ohne auf den nächsten geplanten Besuch zu warten.
- Sie wollen Schutz und Nachweise für 6.4.3 und 11.6.1 aus einer Installation, mit einer Codezeile.
Beide zusammen
Ein Konzern, der Reflectiz nutzt, um viele Websites von außen zu inventarisieren, kann diese Übersicht behalten und Proteside auf der Zahlungsseite hinzufügen, um jeden Kauf zu prüfen. Der Reflectiz-Browser listet das Proteside-Skript als einen weiteren Inventareintrag auf, bereit zur Freigabe.
Häufige Fragen
Deckt Reflectiz Pix, Boleto oder QR-Codes ab?
Nicht in den von uns im Oktober 2026 geprüften öffentlichen Informationen. Das Material von Reflectiz beschreibt Skripte, iframes, HTTP-Header und den Inhalt der Zahlungsseite.
Können Reflectiz und Proteside zusammen verwendet werden?
Ja. Reflectiz beobachtet von außen ohne Code; Proteside läuft in der Seite. Das Proteside-Skript taucht im Reflectiz-Inventar wie jedes andere auf, und Proteside verändert nie eine legitime Zahlung.
Was ist das Idle Blocking Script von Reflectiz?
Laut Website von Reflectiz ist es ein Tag, das inaktiv auf der Seite sitzt, bis das Team eine Blockierung aus der Konsole anfordert. Nach der Aktivierung fügt es eine CSP-Richtlinie ein, die die gewählte Domain ausschließt. Bei Proteside erfolgt die Blockierung nicht freigegebener Skripte automatisch und im Browser des Käufers.
Erfüllt Überwachung ohne Code die Anforderungen 6.4.3 und 11.6.1?
Reflectiz beschreibt Inventar, Freigabe, Header-Benachrichtigungen und Nachweisexport und berichtet, dass die QSAs seiner Kunden den Ansatz akzeptiert haben. Proteside erzeugt dieselben Nachweise aus echten Sitzungen, einschließlich einer Aufzeichnung dessen, was blockiert wurde.
Erkennt Reflectiz einen Betrug, der nur einem Käufer erscheint?
Die Website von Reflectiz beschreibt simulierte Besuche nach Zeitplan und gibt an, keinen Zugriff auf Sitzungsdaten zu haben. Ein QR-Code oder eine Kontokennung, die eine Erweiterung im Browser eines einzelnen Kunden austauscht, geschieht außerhalb dieser Besuche. Proteside prüft es in jeder Sitzung.
Sehen Sie, wie Proteside Ihren Checkout prüft
Vierzehn Tage kostenlos, eine Codezeile, jede Zahlungsart auf Ihrer Seite.