SecurityMetrics vs. Proteside: die Seite von außen scannen oder jede Zahlung prüfen?
Von Laís Peixoto
Growth Marketer, Proteside
Veröffentlicht
SecurityMetrics Shopping Cart Monitor scannt Ihre Zahlungsseite in Intervallen von außen und legt die Nachweise für die Anforderungen 6.4.3 und 11.6.1 im PCI-Portal ab, in dem Sie Ihren SAQ ausfüllen. Proteside läuft in der Seite, in jeder Käufersitzung, prüft, ob QR-Code, Kontodaten oder Wallet-Adresse dem entsprechen, was Sie ausgestellt haben, und blockiert einen Austausch vor der Bestätigung.
Nebeneinander
- Wie es sich selbst beschreibt
- Überwachung der Zahlungsseite für die Anforderungen 6.4.3 und 11.6.1 (Shopping Cart Monitor), von einem Unternehmen, das als QSA, ASV und PFI tätig ist; Shopping Cart Inspect ist seine von Menschen durchgeführte forensische Untersuchung.
- Hauptsitz
- Orem, Utah, Vereinigte Staaten. Gegründet 2000.
- Wie es auf die Website kommt
- Kein Code auf Ihrer Website: Ein externes System simuliert den Checkout in Intervallen, mit Scans, die je nach Konfiguration manuell oder nach automatischem Zeitplan laufen. Version 2.0 im März 2025 veröffentlicht.
- Was es auf der Zahlungsseite prüft
- Inventar statischer und dynamischer Skripte mit Begründung, Inhalts- und Header-Änderungen, Benachrichtigungen rund um die Uhr und ein exportierbares Protokoll für den Prüfer.
- PCI DSS
- Anforderungen 6.4.3 und 11.6.1, integriert in das PCI-Portal von SecurityMetrics (SAQ-Fragebogen und ASV-Scans).
SecurityMetrics Shopping Cart Monitor
- Wie es sich selbst beschreibt
- Cybersicherheitsebene für den Moment der Zahlung: Integrität dessen, was der Käufer sieht, kopiert und bestätigt.
- Hauptsitz
- São Paulo, Brasilien. In Betrieb seit 2026.
- Wie es auf die Website kommt
- Eine Codezeile auf der Zahlungsseite oder eine Integration in die Vorlage der Plattform oder des Zahlungsanbieters. Kein Proxy, keine Änderung an DNS oder CDN.
- Was es auf der Zahlungsseite prüft
- Drittskripte, Kartenformular, Pix-QR-Code und -Schlüssel, Zahlungszeile des Boleto (brasilianischer Zahlschein), Krypto-Wallet-Adresse und die QR-Codes von acht Echtzeitzahlungssystemen, abgeglichen mit dem, was der Händler ausgestellt hat.
- PCI DSS
- Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1, mit exportierbarem Bericht für den QSA.
Proteside
Kriterium für Kriterium
Die Bewertungen beruhen auf der öffentlichen Dokumentation des jeweiligen Anbieters. Fahren Sie mit der Maus über eine Bewertung oder tippen Sie darauf, um die Legende zu lesen.
| SecurityMetrics | Proteside | |
|---|---|---|
| Was auf dem Bildschirm des Zahlers geprüft wird | ||
| Inventar und Freigabe der Skripte auf der ZahlungsseiteDie Grundlage von Anforderung 6.4.3: wissen, was auf der Seite läuft, und jedes Skript freigeben. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Ins Formular eingegebene KartendatenVerhindern, dass ein Skript Nummer, Ablaufdatum und Prüfziffer kopiert. | Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)1 | In der öffentlichen Dokumentation beschrieben |
| Pix-QR-Code und Pix-Code zum Kopieren und Einfügen (Brasilien)Der häufigste Checkout-Betrug in Brasilien: Der angezeigte QR-Code führt auf ein anderes Konto. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Zahlungszeile des Boleto (brasilianischer Zahlschein)Eine ausgetauschte Zeile zahlt denselben Betrag an einen anderen Empfänger. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| QR-Codes von Echtzeitzahlungssystemen weltweit (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Derselbe Austausch wie bei Pix, über acht Echtzeitzahlungssysteme hinweg. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Stablecoin- und Krypto-Wallet-Adresse, auch beim KopierenEine auf dem Bildschirm oder in der Zwischenablage ausgetauschte Wallet-Adresse ist unumkehrbar. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Gleicht das Angezeigte mit dem ab, was der Händler ausgestellt hat, und blockiert den Austausch vor der BestätigungDie Prüfung, die Zahlungsintegrität ausmacht: Empfänger und Betrag identisch mit dem Ausgestellten. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Wie es schützt | ||
| Blockiert nicht freigegebene Skripte im Browser des KäufersEine nachträgliche Erkennung bringt die kopierten Daten nicht zurück. | Der Anbieter gibt an, dies nicht zu tun2 | In der öffentlichen Dokumentation beschrieben |
| Beobachtet echte KäufersitzungenGezielte Betrugsversuche tauchen in simulierten Besuchen nicht auf. | Der Anbieter gibt an, dies nicht zu tun3 | In der öffentlichen Dokumentation beschrieben |
| Funktioniert ohne Änderung von CDN, DNS oder ProxyLässt sich mit einer Codezeile in jede Plattform einfügen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| PCI-DSS-Konformität | ||
| Nachweis für PCI-DSS-Anforderung 6.4.3Inventar, Freigabe und Integrität der Skripte. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Nachweis für PCI-DSS-Anforderung 11.6.1Nicht autorisierte Änderungen an der Seite und ihren Headern. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Exportierbarer Bericht für den Prüfer (QSA)Der Nachweis muss das Dashboard verlassen und in die Prüfung gelangen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
- In der öffentlichen Dokumentation beschrieben
- Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)
- Nicht in den öffentlichen Informationen gefunden
- Der Anbieter gibt an, dies nicht zu tun
Anmerkungen zu den Bewertungen
- 1Ins Formular eingegebene Kartendaten: Das öffentliche Material beschreibt Skript- und Änderungserkennung auf Basis simulierter Besuche des Checkouts; es beschreibt keine Aktion im Browser des Käufers, während Kartendaten eingegeben werden.
- 2Blockiert nicht freigegebene Skripte im Browser des Käufers: SecurityMetrics schreibt, dass Shopping Cart Monitor zur Erkennung gebaut wurde, nicht zur Prävention, und nennt CSP und Skriptblockierung als außerhalb des Produkts liegend.
- 3Beobachtet echte Käufersitzungen: Das Tool wird als agentenlos beschrieben: Ein externes System simuliert den Checkout in Intervallen. Nach eigener Beschreibung folgt es nicht der Sitzung jedes echten Käufers.
Wo SecurityMetrics herausragt
Der Anbieter ist selbst Prüfer
SecurityMetrics ist als QSA, ASV und PFI tätig. Der Monitor kommt von einem Unternehmen, das beruflich Händler prüft, Schwachstellenscans durchführt und Kartendatenlecks untersucht.
Nachweise neben dem Fragebogen
Die Protokolle von Shopping Cart Monitor liegen neben dem SAQ und den ASV-Scans in einem Portal, was den Papierkram für dort bereits geprüfte Händler an einem Ort hält.
Forensische Untersuchung auf Anfrage
Shopping Cart Inspect ergänzt eine Spezialistenprüfung des Warenkorbs bei Verdacht auf eine Kompromittierung, etwas, das wenige Überwachungstools mit ihrem Produkt verbinden.
Nichts zu installieren
Der agentenlose Ansatz passt für Händler, die der Zahlungsseite keinen Code hinzufügen können, einschließlich Shops auf geschlossenen Plattformen.
Was Proteside prüft, das im Material von SecurityMetrics nicht erwähnt wird
Ein Möbelgeschäft in Bengaluru zeigt einen UPI-QR-Code für eine Bestellung über 48.000 Rupien. Die Käuferin scannt ihn mit ihrer Banking-App und zahlt in Sekunden. Ein kompromittiertes Bewertungs-Widget hat den QR-Code durch einen mit demselben Betrag und einem anderen Empfänger ersetzt, aber nur für Käufer, die über eine bestimmte Werbekampagne kommen. Das Geld ist weg, die Bestellung wird nie abgewickelt, und der Shop erfährt zwei Tage später davon. Ein externer Scan, der die Seite um 3 Uhr nachts besucht hat, sah einen völlig normalen QR-Code, weil der Austausch bei diesem Besuch nie lief.
SecurityMetrics ist klar in dem, was es liefert: ein Skript-Inventar mit Begründung, Erkennung von Inhalts- und Header-Änderungen, Benachrichtigungen und ein exportierbares Protokoll für den Prüfer, alles von außen in Intervallen erhoben. Für UPI, PromptPay, PayNow, DuitNow, FPS, das brasilianische Pix und den Zahlschein (Boleto) sowie Stablecoin-Wallets beschreibt die öffentliche Dokumentation keine Prüfung dessen, was der Käufer tatsächlich sieht. Proteside erfasst, was Ihr Server ausgestellt hat (QR-Inhalt, Kontokennung, Wallet-Adresse, Betrag), und vergleicht es mit dem, was in jeder Sitzung angezeigt und kopiert wird. Weichen sie voneinander ab, wird die Bestätigung blockiert, und der Versuch wird zu einer Benachrichtigung und einem Nachweis.
Kartenformularfelder und Drittskripte werden von derselben Installation abgedeckt, mit dem Inventar und der Änderungshistorie, die die Anforderungen 6.4.3 und 11.6.1 verlangen. Eine Codezeile erzeugt die Nachweise für den Prüfer und schützt die Zahlung selbst, auch für den Käufer, der zwischen zwei Scans kommt.
Wie beide in Ihren Betrieb gelangen
SecurityMetrics
- Registrieren Sie Ihre Zahlungsseiten im PCI-Portal von SecurityMetrics; kein Code auf der Website.
- Ein externer Scan simuliert den Checkout, manuell ausgelöst oder nach automatischem Zeitplan, je nach Ihrer Konfiguration.
- Benachrichtigungen rund um die Uhr, eine Begründung je Skript und ein exportierbares Protokoll, im selben Portal wie SAQ und ASV-Scans.
Proteside
- Eine Codezeile auf der Zahlungsseite, auf jeder Plattform, oder eine einzige Integration in die Vorlage der Plattform oder des Zahlungsanbieters.
- Prüfung in jeder echten Sitzung, vom ersten Käufer des Tages bis zum letzten, ohne Lücke zwischen Besuchen.
- Automatische Blockierung vor der Bestätigung; Dashboard, API und Benachrichtigungen per E-Mail, Slack, Teams und Webhook.
Wann welches zu wählen ist
SecurityMetrics ist sinnvoll, wenn
- Ihre PCI-DSS-Prüfung läuft bereits über SecurityMetrics und Sie wollen die Nachweise für 6.4.3 und 11.6.1 im selben Portal.
- Sie können der Zahlungsseite keinen Code hinzufügen und Erkennung mit menschlicher Überprüfung ist akzeptabel.
- Sie wollen ein forensisches Team auf Abruf, das eine vermutete Kompromittierung des Warenkorbs untersucht, über den Monitor hinaus.
Proteside ist sinnvoll, wenn
- Sie akzeptieren UPI, PromptPay, PayNow, DuitNow, FPS, Pix, Boleto oder Stablecoins und müssen prüfen, was der Käufer sieht.
- Ein Empfängeraustausch oder eine Kartenkopie muss in der Sitzung blockiert werden, in der er stattfindet, nicht nach dem nächsten Scan gemeldet.
- Sie wollen Schutz und Nachweise für 6.4.3 und 11.6.1 in einer einzigen Installation, unabhängig vom Portal eines Prüfers.
Beide zusammen
Ein Händler, der den SAQ ausfüllt und ASV-Scans mit SecurityMetrics durchführt, kann Shopping Cart Monitor als externen Nachweis behalten und Proteside auf der Seite hinzufügen, um jede Zahlung zu prüfen und Austausche in echten Sitzungen zu blockieren. Die externe Überwachung sieht die Seite weiterhin von außen, und Proteside lässt legitime Zahlungen unberührt.
Häufige Fragen
Deckt SecurityMetrics Pix, Boleto oder QR-Codes ab?
Nicht in den im Oktober 2026 geprüften öffentlichen Informationen. Das Material zu Shopping Cart Monitor beschreibt Skripte, Inhalts- und Header-Änderungen auf der Zahlungsseite, mit Kartendaten im Fokus.
Können SecurityMetrics und Proteside zusammen verwendet werden?
Ja. Shopping Cart Monitor beobachtet die Seite von außen und braucht keinen Code; Proteside ist ein Skript auf der Seite selbst. Keines stört das andere, sodass ein Händler die Nachweise im SecurityMetrics-Portal behalten kann, während Proteside Austausche in jeder Sitzung blockiert.
Was meint SecurityMetrics mit zur Erkennung gebaut, nicht zur Prävention?
Das sind die eigenen Worte des Unternehmens für Shopping Cart Monitor: Es identifiziert neue Skripte und Änderungen und benachrichtigt den Händler; ein Skript zu stoppen, während der Käufer auf der Seite ist, liegt außerhalb dessen, was das Produkt leisten will. Die Blockierung in echten Sitzungen ist das, was Proteside ergänzt.
Erfüllen Scans in Intervallen die Anforderungen 6.4.3 und 11.6.1?
Laut seiner öffentlichen Dokumentation liefert SecurityMetrics ein Inventar mit Begründung, Änderungserkennung und ein Protokoll für den Prüfer, was die beiden Anforderungen verlangen. Der Unterschied liegt zwischen den Scans: Proteside folgt jedem Käufer, sodass auch ein auf eine einzelne Sitzung gerichteter Angriff sichtbar wird.
Erzeugt Proteside die Art von Nachweisen, die ein QSA erwartet?
Proteside exportiert das Skript-Inventar, die Freigaben und die Änderungshistorie der Seite und ihrer Header als Bericht für den QSA. Es ersetzt nicht die Prüfung selbst, die beim Prüfer Ihrer Wahl bleibt, SecurityMetrics eingeschlossen.
Sehen Sie, wie Proteside Ihren Checkout prüft
Vierzehn Tage kostenlos, eine Codezeile, jede Zahlungsart auf Ihrer Seite.