Akamai Client-Side Protection vs Proteside: ¿borde de la CDN o verificación del pago?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
Akamai Client-Side Protection & Compliance inventaría los scripts de una página de pago, puntúa su comportamiento en sesiones reales de usuarios y permite que tu equipo restrinja un script desde la consola de Akamai. Proteside conserva ese inventario y verifica, en el navegador del comprador, que el código QR, la línea digitable del boleto o la dirección de billetera coincidan con lo que el comercio emitió, bloqueando un cambio antes de la confirmación.
Lado a lado
- Cómo se describe a sí mismo
- Producto de seguridad de Akamai para amenazas que actúan en el navegador del cliente: inventario de scripts, análisis de comportamiento y cumplimiento del PCI DSS en páginas de pago.
- Sede
- Cambridge, Massachusetts, Estados Unidos. Renombrado de Page Integrity Manager a Client-Side Protection & Compliance en octubre de 2023.
- Cómo entra en el sitio
- Script de detección inyectado por el borde de Akamai como primer recurso de la página, o colocado en el origen. La proporción de vistas de página que reciben el script se configura en Akamai Control Center.
- Qué verifica en la página de pago
- Scripts observados en la página de pago (origen, comportamiento, destinos de datos), con justificaciones predefinidas, puntuaciones de riesgo e inteligencia de amenazas; cambios en los encabezados HTTP y protecciones de la página de pago.
- PCI DSS
- Requisitos 6.4.3 y 11.6.1 citados en la página del producto, con alertas PCI dedicadas y un panel de auditoría. Un informe con nombre para el QSA no se describe en el material público.
Akamai Client-Side Protection & Compliance (antes Page Integrity Manager)
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| Akamai Client-Side Protection | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito en la documentación pública | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)1 | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)2 | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | Descrito en la documentación pública | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)3 | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito en la documentación pública | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | No consta en la información pública4 | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Datos de tarjeta escritos en el formulario: La página del producto de Akamai describe la detección de scripts que acceden a datos sensibles y los exfiltran en sesiones reales, y la restricción de esos scripts "con un clic". El bloqueo depende, por tanto, de que una persona actúe en la consola después de la alerta.
- 2Bloquea scripts no autorizados en el navegador del comprador: La mitigación se describe como restringir scripts maliciosos "con un clic" en Akamai Control Center. Se pueden crear políticas para amenazas recurrentes; el bloqueo automático de un script visto por primera vez dentro de una sesión en curso no se describe en el material público.
- 3Funciona sin cambiar CDN, DNS ni proxy: La documentación dice que las detecciones aplican a cualquier sitio web, donde sea que esté alojado, y que el script puede colocarse en el origen. La política de seguridad, el porcentaje de inyección y la gestión de incidentes viven en Akamai Control Center.
- 4Informe exportable para el evaluador (QSA): El material público cita un panel de auditoría y alertas PCI dedicadas para producir evidencia. Un informe exportable para el QSA, con ese nombre, no se describe en las fuentes consultadas.
En qué se destaca Akamai Client-Side Protection
Análisis de comportamiento en sesiones reales
La página del producto describe un análisis continuo de lo que cada script ejecuta en navegadores reales de usuarios, aprendizaje automático para puntuar el riesgo de acciones no autorizadas y verificación de las URL de los scripts contra vulnerabilidades conocidas.
Inyección en el borde antes que cualquier otro script
Cuando la página se entrega a través de Akamai, el script de detección carga primero y de forma síncrona. La documentación declara que la página no puede evitarlo, lo que dificulta que un script malicioso corra antes que la detección.
Control fino sobre dónde va el script
Puedes definir un porcentaje de vistas de página, forzar o excluir rutas específicas como formularios sensibles, y activar o desactivar la inyección por solicitud con parámetros de prueba antes de ampliar la cobertura.
Sin recolección de lo que el comprador escribe
El material público declara que el producto no recolecta datos de formularios, texto de la página ni datos de pago; registra solo el comportamiento de los scripts.
Lo que Proteside verifica y el material de Akamai no menciona
Una tienda de electrónica de Bengaluru recibe un pedido de 38.000 rupias por UPI. El comprador toca pagar, escanea el código QR con una app bancaria y aprueba. Un widget de reseñas actualizado la noche anterior redibujó el código QR con el mismo monto y otro ID de beneficiario. Ningún número de tarjeta salió de la página; el dinero simplemente cayó en la cuenta de otra persona, y la tienda se entera cuando el pedido nunca concilia.
Client-Side Protection & Compliance vigila lo que hacen los scripts y adónde envían los datos, lo que cubre bien el robo de datos de tarjeta. El código QR de UPI, un código de PromptPay o PayNow, una línea digitable de boleto brasileño o una dirección de billetera USDT no aparecen en la documentación pública de Akamai como datos que se verifican. Proteside registra lo que tu servidor emitió para cada cobro (código, dirección, monto) y lo compara con lo que el comprador ve y copia, en cada sesión. Cuando los dos difieren, la confirmación se bloquea y el intento se registra como alerta y como evidencia.
La misma instalación inventaría los scripts de la página, protege el formulario de tarjeta de crédito y el de tarjeta de débito, y conserva el historial de cambios que exigen los requisitos 6.4.3 y 11.6.1. El bloqueo ocurre en el navegador del comprador, sin esperar a que alguien apruebe una restricción.
Cómo entra cada uno en tu operación
Akamai Client-Side Protection
- Script de detección inyectado por el borde de Akamai como primer recurso de la página, o instalado en el origen.
- Porcentaje de vistas de página que reciben el script definido en la política de seguridad; la documentación recomienda empezar en pequeño y subir hasta el 100%.
- Datos de comportamiento enviados a los servidores de Akamai antes de que el usuario deje la página; incidentes gestionados en Akamai Control Center.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma o CDN, o una sola integración en la plantilla del proveedor de pagos.
- Cada sesión verificada, sin porcentaje de muestreo que configurar.
- Un código QR, ID, línea digitable o dirección de billetera cambiados se bloquean antes de la confirmación; panel, API y alertas por correo, Slack, Teams y webhook.
Cuándo elegir cada uno
Akamai Client-Side Protection tiene sentido cuando
- Tu sitio ya se entrega a través de Akamai y tu equipo de seguridad gestiona las políticas en Akamai Control Center.
- Quieres inteligencia de amenazas de la red de Akamai, puntuaciones de riesgo y verificación de vulnerabilidades conocidas en los scripts de tu página.
- Tu proceso de cambios exige que una persona apruebe la restricción de un script antes de que surta efecto, con registro de quién decidió.
Proteside tiene sentido cuando
- Tu checkout acepta UPI, PromptPay, PayNow, DuitNow, FPS, Pix, boletos brasileños o stablecoins, y el riesgo es un beneficiario cambiado.
- Necesitas que el cambio se bloquee en cada sesión, sin muestreo y sin esperar un clic.
- Tu sitio no corre en Akamai y quieres protección más evidencia para los requisitos 6.4.3 y 11.6.1 desde una línea de código.
Los dos juntos
Un equipo que ya ejecuta Client-Side Protection & Compliance en el borde puede conservarlo para la inteligencia de amenazas y el inventario gestionado en la consola, y agregar Proteside en la página de pago para verificar el código QR, el ID del beneficiario, la línea digitable y la dirección de billetera. El script de Proteside no interfiere con la inyección de Akamai ni con los datos que envía de vuelta a Akamai.
Preguntas frecuentes
¿Akamai Client-Side Protection cubre pagos por UPI, PromptPay o código QR?
No en la información pública consultada en octubre de 2026. El sitio y la documentación de Akamai describen scripts, datos sensibles a los que acceden los scripts, encabezados HTTP y protecciones de la página de pago.
¿Se pueden usar Akamai Client-Side Protection y Proteside juntos?
Sí. El script de Akamai llega a través del borde o del origen; el de Proteside llega como una línea en la página de pago. Cada uno mantiene su propio inventario, y Proteside no altera los pagos legítimos ni bloquea el script de Akamai.
¿Mi sitio tiene que entregarse a través de Akamai para usar Client-Side Protection & Compliance?
Según la documentación pública, no: las detecciones aplican a cualquier sitio web y el script puede colocarse en el origen. La política de seguridad, el porcentaje de inyección y la gestión de incidentes se quedan en Akamai Control Center.
¿Qué significa el porcentaje de vistas de página para la cobertura?
La documentación permite inyectar el script en una proporción aleatoria de las vistas de página y recomienda empezar en pequeño y llegar al 100%. Por debajo del 100%, algunos compradores cargan la página sin el script de detección. Proteside verifica cada sesión, sin ese ajuste.
¿Page Integrity Manager y Client-Side Protection & Compliance son el mismo producto?
Sí. Akamai renombró Page Integrity Manager como Client-Side Protection & Compliance en octubre de 2023; la documentación técnica sigue en la dirección antigua.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.