Cloudflare Page Shield vs Proteside: ¿monitoreo de scripts desde el borde, o verificación del pago en pantalla?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
Cloudflare Client-Side Security, conocido como Page Shield hasta marzo de 2026, monitorea scripts, conexiones y cookies en sitios que pasan por el proxy de Cloudflare, sin nada que instalar. Proteside es una línea de código en cualquier checkout que verifica, en cada sesión, si el código QR, la dirección de billetera y los campos de tarjeta en pantalla coinciden con lo que el comercio emitió.
Lado a lado
- Cómo se describe a sí mismo
- Una función de seguridad del lado del cliente dentro de la plataforma de Cloudflare. Page Shield hasta el 25 de marzo de 2026, Client-Side Security desde entonces; el paquete avanzado se llama Client-Side Security Advanced.
- Sede
- San Francisco, Estados Unidos. El año de fundación no consta en la página corporativa consultada.
- Cómo entra en el sitio
- Sin script propio. El proxy de Cloudflare agrega un encabezado CSP en modo solo reporte a una muestra de las respuestas HTML y construye el inventario a partir de los reportes que los navegadores devuelven. Requiere que el tráfico del sitio pase por el proxy de Cloudflare.
- Qué verifica en la página de pago
- Scripts, las conexiones que abren y cookies, con la página donde cada recurso apareció por primera vez. Detección de scripts maliciosos y de cambios de código en el paquete avanzado.
- PCI DSS
- La documentación dice que la función puede usarse para los requisitos 6.4.3 y 11.6.1 y que Client-Side Security Advanced es necesario para eso. Una inscripción en el PCI SSC no se menciona en las fuentes consultadas.
Cloudflare Client-Side Security (antes Page Shield)
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| Cloudflare Page Shield | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)1 | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)2 | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)3 | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)4 | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | El proveedor declara que no lo hace5 | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)6 | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)7 | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | No consta en la información pública | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Inventario y autorización de scripts en la página de pago: La documentación describe el inventario como construido a partir de un encabezado CSP en modo solo reporte agregado a una muestra de las respuestas HTML, y advierte que un script recién desplegado puede tardar en aparecer en el panel.
- 2Datos de tarjeta escritos en el formulario: El material público cubre scripts, conexiones y cookies observados mediante reportes del navegador. No se describe una verificación del formulario de tarjeta en sí, en el navegador del comprador.
- 3Bloquea scripts no autorizados en el navegador del comprador: El encabezado de monitoreo es solo de reporte y, en palabras de la propia documentación, no bloquea nada. El bloqueo viene de las reglas de seguridad de contenido en modo permiso, disponibles en el paquete avanzado, con un límite de cinco reglas.
- 4Observa sesiones reales de compradores: Los reportes vienen de navegadores reales, pero solo de la muestra de respuestas que recibió el encabezado; la documentación no describe cobertura de todas las sesiones.
- 5Funciona sin cambiar CDN, DNS ni proxy: El blog oficial declara que el único requisito previo es que el tráfico pase por el proxy de Cloudflare. Los sitios en otra CDN, o sin proxy, quedan fuera del alcance.
- 6Evidencia para el requisito 6.4.3 del PCI DSS: La página de referencia del PCI DSS dice que la función puede usarse para el requisito 6.4.3 y que Client-Side Security Advanced es necesario.
- 7Evidencia para el requisito 11.6.1 del PCI DSS: La misma página enumera el requisito 11.6.1 bajo la misma condición: solo con el paquete avanzado. Cómo se entrega la evidencia al evaluador no se describe en la página consultada.
En qué se destaca Cloudflare Page Shield
Nada que desplegar para sitios que ya están en Cloudflare
El monitoreo se activa en el panel de Cloudflare y empieza a recolectar reportes del navegador sin tocar el código del sitio, según el blog oficial.
Scripts, conexiones y cookies en un solo inventario
Más allá de los scripts, la documentación describe el registro de las conexiones que esos scripts abren y de las cookies que cruzan el proxy, con la página donde cada recurso se vio por primera vez.
Inteligencia de amenazas más un modelo de lenguaje para la detección
Desde el 3 de marzo de 2026, los scripts sospechosos se analizan con un modelo de lenguaje que corre en Workers AI para reducir falsos positivos; Cloudflare declara que los datos de los clientes no se usan para entrenar esos modelos.
Aplicación en el borde, sin código
En el paquete avanzado, las reglas de seguridad de contenido se convierten en un encabezado CSP que bloquea todo lo que esté fuera de la lista de permitidos, aplicado a cada respuesta que la regla coincide.
Lo que Proteside verifica y la documentación de Cloudflare no menciona
Un marketplace de clases particulares en Bangalore cobra por UPI. El padre toca Pagar, aparece un código QR, lo escanea con su app bancaria y el dinero sale en segundos. Si una extensión del navegador o un plugin de tema comprometido cambió ese QR por uno que apunta a otra cuenta, con el mismo monto, el pago se completa, el pedido nunca se concreta, y ningún script nuevo apareció en la página. Para un inventario de scripts, la página se ve sin cambios.
Client-Side Security vigila los scripts, las conexiones y las cookies que cruzan el proxy, y la documentación lo describe con claridad. Los códigos QR de UPI, PromptPay o PayNow, las direcciones de billetera USDT y los boletos bancarios brasileños (boleto) no aparecen en el material público. Proteside registra lo que el servidor del comercio emitió para cada cobro y lo compara con lo que el comprador ve, copia y confirma, en cada sesión y no en una muestra. Ante una discrepancia, la confirmación se bloquea y el intento se registra como alerta y como evidencia.
El mismo script también inventaría los scripts de terceros, vigila el formulario de tarjeta y conserva el historial de cambios que exigen los requisitos 6.4.3 y 11.6.1. Un sitio detrás de Cloudflare mantiene su borde exactamente como está y agrega la verificación del pago en la página de checkout.
Cómo entra cada uno en la operación
Cloudflare Page Shield
- Se activa en el panel de Cloudflare, para dominios cuyo tráfico ya pasa por el proxy de Cloudflare.
- Encabezado CSP en modo solo reporte en una muestra de las respuestas; el encabezado no puede desactivarse mientras el monitoreo está activo.
- Reglas de seguridad de contenido en el paquete avanzado para aplicar una lista de permitidos; alertas y exportación de registros a través de la propia plataforma.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma y detrás de cualquier CDN, Cloudflare incluida.
- Verificación en cada sesión, sin muestreo y sin esperar a que un script nuevo aparezca.
- Bloqueo automático antes de la confirmación; panel, API y alertas por correo, Slack, Teams y webhook.
Cuándo elegir cada uno
Cloudflare Page Shield tiene sentido cuando
- El sitio ya pasa por Cloudflare, las tarjetas son el medio de pago y tu evaluador acepta un inventario construido por muestreo.
- Quieres visibilidad de scripts, conexiones y cookies en todo el dominio, no solo en el checkout, sin agregar código.
- Tu equipo ya gestiona reglas de seguridad en Cloudflare y prefiere aplicar la lista de permitidos desde el borde.
Proteside tiene sentido cuando
- El checkout acepta UPI, PromptPay, PayNow, DuitNow, FPS, stablecoins o el Pix y el boleto brasileños.
- Necesitas que el cambio de beneficiario se bloquee en la sesión donde ocurre, para cada comprador.
- El sitio no pasa por el proxy de Cloudflare, o quieres la misma protección en tiendas repartidas en varias CDN.
Los dos juntos
Una buena parte de los clientes de Proteside ya usa Cloudflare en el borde para DNS, caché y mitigación de ataques. En esa configuración, Client-Side Security sigue construyendo el inventario de todo el dominio desde el proxy, y Proteside verifica el pago en la página de checkout, sesión por sesión. Los dos no compiten por el mismo trabajo y no interfieren entre sí.
Preguntas frecuentes
¿Cloudflare Page Shield cubre Pix, boleto o códigos QR?
No en la información pública consultada en octubre de 2026. La documentación de Client-Side Security describe scripts, conexiones, cookies y cambios de código; los datos de pago mostrados en pantalla, como un código QR de UPI o PromptPay, no se mencionan.
¿Puedo usar Cloudflare Page Shield y Proteside juntos?
Sí, y esa es la configuración más común entre los clientes de Proteside que están en Cloudflare. Proteside es un script en la página de pago y aparece en el inventario de Cloudflare como cualquier otro recurso autorizado.
¿Page Shield y Client-Side Security son el mismo producto?
Sí. El 25 de marzo de 2026 Cloudflare renombró Page Shield como Client-Side Security, y el complemento pasó a llamarse Client-Side Security Advanced. Las notas de la versión dicen que las funciones y los derechos de uso no cambiaron con el nombre.
¿Necesito estar en Cloudflare para usar Client-Side Security?
Sí. El blog oficial dice que el único requisito previo es que tu tráfico pase por el proxy de Cloudflare, porque el encabezado de monitoreo se agrega a las respuestas en el borde.
¿Por qué un script nuevo tarda en aparecer en el panel de Cloudflare?
La documentación lo explica: el encabezado en modo solo reporte va en una muestra de las respuestas, y el inventario depende de los reportes que los navegadores devuelven. Eso deja una brecha entre desplegar un script y verlo listado.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.