Source Defense vs. Proteside: die Skripte blockieren oder die Zahlung prüfen?
Von Laís Peixoto
Growth Marketer, Proteside
Veröffentlicht
Source Defense hindert Drittskripte daran, Kartendaten auf der Zahlungsseite zu lesen, blockiert in Echtzeit und lässt Acquirer diesen Schutz über das SDK verteilen, das sie bereits ausliefern. Proteside inventarisiert ebenfalls Skripte, prüft dann, ob QR-Code, Konto, Boleto-Zahlungszeile oder Wallet-Adresse auf dem Bildschirm dem entsprechen, was der Verkäufer ausgestellt hat, und blockiert den Austausch vor der Bestätigung.
Nebeneinander
- Wie es sich selbst beschreibt
- Client-Side Security für Websites, vom Unternehmen als Begründer der Kategorie beschrieben; Protect verhindert, Detect überwacht, Acquirer Protect verteilt den Schutz über Acquirer und Zahlungsanbieter.
- Hauptsitz
- Rosh Ha'ayin, Israel, und Stamford, Connecticut, USA. Gegründet 2014.
- Wie es auf die Website kommt
- Zwei Codezeilen auf der Website, wobei Drittskripte standardmäßig als nicht vertrauenswürdig behandelt werden; die Website gibt an, dass es in 24 Stunden einsatzbereit ist und rund zwei Stunden Verwaltung pro Monat erfordert.
- Was es auf der Zahlungsseite prüft
- Dritt- und Viertanbieter-Skripte, wie sich diese Skripte auf der Seite verhalten und ihr Zugriff auf die ins Kartenformular eingegebenen Daten.
- PCI DSS
- Anforderung 6.4.3 wird für Acquirer Protect und in den Ressourcen für QSA-Partner genannt, mit Compliance-Berichterstattung. Principal Participating Organization des PCI SSC, laut öffentlicher Liste des Councils.
Source Defense Protect e Detect
- Wie es sich selbst beschreibt
- Cybersicherheitsebene für den Moment der Zahlung: Integrität dessen, was der Käufer sieht, kopiert und bestätigt.
- Hauptsitz
- São Paulo, Brasilien. In Betrieb seit 2026.
- Wie es auf die Website kommt
- Eine Codezeile auf der Zahlungsseite oder eine Integration in die Vorlage der Plattform oder des Zahlungsanbieters. Kein Proxy, keine Änderung an DNS oder CDN.
- Was es auf der Zahlungsseite prüft
- Drittskripte, Kartenformular, Pix-QR-Code und -Schlüssel, Zahlungszeile des Boleto (brasilianischer Zahlschein), Krypto-Wallet-Adresse und die QR-Codes von acht Echtzeitzahlungssystemen, abgeglichen mit dem, was der Händler ausgestellt hat.
- PCI DSS
- Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1, mit exportierbarem Bericht für den QSA.
Proteside
Kriterium für Kriterium
Die Bewertungen beruhen auf der öffentlichen Dokumentation des jeweiligen Anbieters. Fahren Sie mit der Maus über eine Bewertung oder tippen Sie darauf, um die Legende zu lesen.
| Source Defense | Proteside | |
|---|---|---|
| Was auf dem Bildschirm des Zahlers geprüft wird | ||
| Inventar und Freigabe der Skripte auf der ZahlungsseiteDie Grundlage von Anforderung 6.4.3: wissen, was auf der Seite läuft, und jedes Skript freigeben. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Ins Formular eingegebene KartendatenVerhindern, dass ein Skript Nummer, Ablaufdatum und Prüfziffer kopiert. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Pix-QR-Code und Pix-Code zum Kopieren und Einfügen (Brasilien)Der häufigste Checkout-Betrug in Brasilien: Der angezeigte QR-Code führt auf ein anderes Konto. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Zahlungszeile des Boleto (brasilianischer Zahlschein)Eine ausgetauschte Zeile zahlt denselben Betrag an einen anderen Empfänger. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| QR-Codes von Echtzeitzahlungssystemen weltweit (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Derselbe Austausch wie bei Pix, über acht Echtzeitzahlungssysteme hinweg. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Stablecoin- und Krypto-Wallet-Adresse, auch beim KopierenEine auf dem Bildschirm oder in der Zwischenablage ausgetauschte Wallet-Adresse ist unumkehrbar. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Gleicht das Angezeigte mit dem ab, was der Händler ausgestellt hat, und blockiert den Austausch vor der BestätigungDie Prüfung, die Zahlungsintegrität ausmacht: Empfänger und Betrag identisch mit dem Ausgestellten. | Nicht in den öffentlichen Informationen gefunden | In der öffentlichen Dokumentation beschrieben |
| Wie es schützt | ||
| Blockiert nicht freigegebene Skripte im Browser des KäufersEine nachträgliche Erkennung bringt die kopierten Daten nicht zurück. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Beobachtet echte KäufersitzungenGezielte Betrugsversuche tauchen in simulierten Besuchen nicht auf. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Funktioniert ohne Änderung von CDN, DNS oder ProxyLässt sich mit einer Codezeile in jede Plattform einfügen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| PCI-DSS-Konformität | ||
| Nachweis für PCI-DSS-Anforderung 6.4.3Inventar, Freigabe und Integrität der Skripte. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
| Nachweis für PCI-DSS-Anforderung 11.6.1Nicht autorisierte Änderungen an der Seite und ihren Headern. | Nicht in den öffentlichen Informationen gefunden1 | In der öffentlichen Dokumentation beschrieben |
| Exportierbarer Bericht für den Prüfer (QSA)Der Nachweis muss das Dashboard verlassen und in die Prüfung gelangen. | In der öffentlichen Dokumentation beschrieben | In der öffentlichen Dokumentation beschrieben |
- In der öffentlichen Dokumentation beschrieben
- Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)
- Nicht in den öffentlichen Informationen gefunden
- Der Anbieter gibt an, dies nicht zu tun
Anmerkungen zu den Bewertungen
- 1Nachweis für PCI-DSS-Anforderung 11.6.1: Die öffentlichen Produktseiten nennen Anforderung 6.4.3 (für Acquirer Protect und in den Ressourcen für QSA-Partner) und beschreiben PCI-DSS-Compliance-Berichterstattung. Anforderung 11.6.1, die nicht autorisierte Änderungen an der Seite und ihren Headern betrifft, erscheint im Oktober 2026 geprüften Material nicht namentlich. Die Bewertung lautet daher 'nicht öffentlich angegeben' statt 'tut es nicht'.
Wo Source Defense herausragt
Verteilung über Acquirer und Anbieter
Acquirer Protect bringt den Schutz über das SDK, das der Acquirer, Zahlungsanbieter oder die Plattform bereits ausliefert, in ein gesamtes Händlerportfolio, ohne Installation Shop für Shop.
Höchste Mitgliedsstufe im PCI SSC
Source Defense erscheint auf der öffentlichen Liste des Councils als Principal Participating Organization, der höchsten Stufe der Mitgliedschaft.
Geringer Aufwand nach der Installation
Die Website beschreibt Protect mit rund zwei Stunden Verwaltung pro Monat, mit Richtlinien, die standardmäßig als nicht vertrauenswürdig starten und mit der Zeit verfeinert werden.
Erklärte Größenordnung
Mehr als 1.000 Marken und 1,2 Milliarden Seitenaufrufe pro Monat geschützt, laut eigener Website, nach zehn Jahren Entwicklung mit Fokus auf die Client-Seite.
Was Proteside prüft, das im Material von Source Defense nicht erwähnt wird
Ein Elektronikgeschäft in Bengaluru zeigt einen UPI-QR-Code für einen Laptop zu 84.000 Rupien. Der Käufer scannt ihn mit einer Banking-App und zahlt. Ein in die Seite eingeschleustes Skript hatte den QR-Code gegen einen ausgetauscht, der auf eine andere UPI-ID zeigt, gleicher Betrag. Es haben keine Kartendaten die Seite verlassen; das Geld ging auf das falsche Konto, und der Shop erfährt davon, wenn die Bestellung nie abgeglichen wird.
Source Defense beantwortet das Kartenproblem: Drittskripte standardmäßig nicht vertrauenswürdig, vom Lesen des Formulars abgehalten, mit Echtzeitblockierung in Protect. Für UPI, PromptPay, PayNow, brasilianische Zahlscheine (Boleto) und Krypto-Wallets beschreiben die öffentlichen Produktseiten keine Prüfung dessen, was der Käufer sieht. Proteside erfasst, was Ihr Server ausgestellt hat (QR-Code, Kontokennung, Boleto-Zahlungszeile, Wallet-Adresse, Betrag), und vergleicht es mit dem, was angezeigt und was kopiert wird, in jeder Sitzung. Bei einer Abweichung wird die Bestätigung blockiert und der Versuch als Benachrichtigung und als Nachweis protokolliert.
Skript-Inventar und Schutz des Kartenformulars kommen in derselben Installation, mit der Änderungshistorie, die die Anforderungen 6.4.3 und 11.6.1 verlangen, und einem Bericht, der fertig für den QSA ist. Eine Codezeile beobachtet die Skripte und prüft die Zahlung.
Wie beide in Ihren Betrieb gelangen
Source Defense
- Zwei Codezeilen auf der Website; das Material gibt an, dass es in 24 Stunden einsatzbereit ist.
- Drittskripte werden standardmäßig als nicht vertrauenswürdig behandelt, mit Richtlinien, die Ihr Team mit der Zeit verfeinert.
- Protect blockiert in Echtzeit; Detect überwacht und warnt nur, mit Daten über API, Benachrichtigungen und eine Konsole. Acquirer und Anbieter verteilen es über ihr bestehendes SDK.
Proteside
- Eine Codezeile auf der Zahlungsseite, auf jeder Plattform, oder eine einzige Integration in die Vorlage der Plattform oder des Zahlungsanbieters.
- Jede Zahlungsaufforderung wird serverseitig erfasst und in jeder Sitzung geprüft, ohne Stichproben.
- Automatische Blockierung vor der Bestätigung; Dashboard, API und Benachrichtigungen per E-Mail, Slack, Teams und Webhook.
Wann welches zu wählen ist
Source Defense ist sinnvoll, wenn
- Sie sind ein Acquirer, Zahlungsanbieter oder eine Plattform und wollen den Skriptschutz über das bereits ausgelieferte SDK an Ihr gesamtes Händlerportfolio verteilen.
- Karten sind die einzige Zahlungsart und die Priorität ist, Drittskripte mit wenig monatlichem Aufwand vom Formular fernzuhalten.
- Ihr Sicherheitsteam will zunächst nur mit Überwachung und Benachrichtigungen beginnen (Detect) und die Daten über eine API beziehen, bevor es die Blockierung einschaltet.
Proteside ist sinnvoll, wenn
- Ihr Checkout akzeptiert UPI, PromptPay, PayNow, DuitNow, FPS, brasilianische Zahlscheine oder Krypto.
- Sie brauchen die Blockierung des Empfängeraustauschs in der Sitzung des Käufers selbst, vor der Bestätigung.
- Sie wollen Nachweise für die Anforderungen 6.4.3 und 11.6.1, Header eingeschlossen, aus einer einzigen Installation und ohne Änderung Ihres CDN.
Beide zusammen
Ein Händler, dessen Acquirer Source Defense über sein SDK verteilt, kann diesen Schutz des Kartenformulars behalten und Proteside auf der Zahlungsseite hinzufügen, um Echtzeitzahlungen, Boleto und Wallet-Adressen zu prüfen. Die beiden Skripte sind unabhängig; Proteside greift nicht in die Richtlinien eines anderen Tools ein.
Häufige Fragen
Deckt Source Defense UPI, PromptPay, PayNow, Boleto oder Zahlungs-QR-Codes ab?
Nicht in den im Oktober 2026 geprüften öffentlichen Informationen angegeben. Die Produktseiten beschreiben Drittskripte, ins Kartenformular eingegebene Daten und Compliance-Berichterstattung.
Können Source Defense und Proteside zusammen verwendet werden?
Ja. Es sind zwei unabhängige Skripte auf der Zahlungsseite. Proteside prüft Zahlungsdaten und Skripte, ohne legitime Zahlungen oder die Richtlinien eines anderen Tools zu verändern.
Was ist der Unterschied zwischen Protect und Detect?
Laut Website von Source Defense blockiert Protect nicht freigegebene Skriptzugriffe auf Daten in Echtzeit, während Detect überwacht und warnt, ohne zu blockieren. Proteside blockiert standardmäßig in jeder Sitzung und protokolliert den Versuch.
Ich bin Acquirer oder Zahlungsanbieter. Welches verteile ich an Händler?
Beide beschreiben die Verteilung über einen Anbieter. Acquirer Protect nutzt das SDK, das der Acquirer bereits ausliefert, und konzentriert sich auf Kartendaten. Proteside wird als einzige Integration in die Vorlage der Plattform oder des Anbieters eingebunden und prüft zusätzlich UPI, PromptPay, PayNow, Boleto und Krypto.
Erfüllen Source Defense und Proteside die PCI-DSS-Anforderung 11.6.1?
Proteside erzeugt Nachweise für die Anforderungen 6.4.3 und 11.6.1, mit Header-Überwachung und einem QSA-Bericht. Die öffentlichen Seiten von Source Defense nennen 6.4.3; 11.6.1 erscheint im geprüften Material nicht.
Sehen Sie, wie Proteside Ihren Checkout prüft
Vierzehn Tage kostenlos, eine Codezeile, jede Zahlungsart auf Ihrer Seite.