F5 Client-Side Defense vs Proteside: ¿listas de mitigación o bloqueo automático en el momento del pago?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
F5 Distributed Cloud Client-Side Defense inventaría los scripts de tu aplicación y alerta sobre dominios sospechosos y lecturas de campos sensibles, con una mitigación que tu equipo define mediante listas en la consola de F5. Proteside verifica, en el navegador del comprador, que el código QR, los datos de cuenta, la dirección de billetera y los campos de tarjeta coincidan con lo que el comercio emitió, y bloquea un cambio automáticamente.
Lado a lado
- Cómo se describe a sí mismo
- Un servicio dentro de F5 Distributed Cloud Services que enumera los scripts que corren en una aplicación web y alerta sobre lecturas de datos sensibles, con mitigación definida por el usuario.
- Sede
- Seattle, Estados Unidos (F5, Inc.).
- Cómo entra en el sitio
- Script insertado por un balanceador de carga HTTP de F5 Distributed Cloud, o colocado manualmente a través de un CMS, una CDN, un balanceador de carga o BIG-IP; la gestión vive en la consola de Distributed Cloud.
- Qué verifica en la página de pago
- Scripts propios, de terceros y de cuartos, lecturas de campos de formulario, dominios de destino, scripts nuevos, cambios de comportamiento y cambios en encabezados.
- PCI DSS
- El material público cita el PCI DSS y telemetría para pistas de auditoría. No se enumeran un informe con nombre para el QSA ni una afiliación declarada al PCI SSC.
F5 Distributed Cloud Client-Side Defense
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito en la documentación pública | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)1 | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)2 | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | Descrito en la documentación pública | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)3 | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito en la documentación pública | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | No consta en la información pública | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Datos de tarjeta escritos en el formulario: La documentación describe alertas sobre lecturas de campos sensibles y un bloqueo activado por el usuario sobre la lectura de campos de formulario; la protección depende de las listas que tu equipo define.
- 2Bloquea scripts no autorizados en el navegador del comprador: La mitigación funciona por lista de dominios: la Mitigate List bloquea un dominio completo para todos los scripts, y la documentación de F5 declara que rechazar un script es solo informativo, sin bloqueo.
- 3Funciona sin cambiar CDN, DNS ni proxy: La inserción manual del script a través de un CMS, una CDN o BIG-IP está documentada para aplicaciones fuera de F5, pero la gestión exige la consola y una suscripción a F5 Distributed Cloud.
En qué se destaca F5 Client-Side Defense
Scripts de cuartos en el inventario
La Script List cubre lo que los scripts de terceros cargan a su vez, y cada aprobación se registra con una justificación escrita.
Alcance más allá de las aplicaciones alojadas en F5
La documentación describe la inserción manual del script a través de un CMS, una CDN, un balanceador de carga o BIG-IP para aplicaciones que no pasan por Distributed Cloud.
Alertas de comportamiento y de encabezados
Más allá de los dominios sospechosos y las lecturas de campos, el servicio señala un script que cambia su forma de comportarse y una página cuyos encabezados cambian.
Una consola para equipos que ya están en F5
Los clientes que corren una aplicación detrás de un balanceador de carga de Distributed Cloud activan el servicio donde ya gestionan esa aplicación, sin cambios de código.
Lo que Proteside verifica y el material público de F5 no menciona
Un minorista de Bangkok muestra un código QR de PromptPay por 2.400 baht en el checkout. El comprador abre una app bancaria, escanea y paga. Si una extensión del navegador o un plugin comprometido cambió ese QR por uno vinculado a otra cuenta, con el mismo monto, el dinero cae en otra parte y la tienda se entera solo cuando el pedido nunca se concreta. No se leyó ningún número de tarjeta; cambió el destinatario.
Client-Side Defense vigila los scripts y las lecturas de campos de formulario, y la documentación de F5 cubre ese terreno con cuidado. Para un código QR de PromptPay, UPI, PayNow o DuitNow, una línea digitable de boleto brasileño, una clave Pix o una dirección de billetera USDT, el material público no describe ninguna verificación de lo que la página muestra. Proteside registra lo que tu servidor emitió (QR, datos de cuenta, dirección, monto) y lo compara con lo que el comprador ve y copia, en cada sesión. Cuando difieren, la confirmación se bloquea y el intento se convierte en una alerta y en una pieza de evidencia.
En F5, la mitigación corre sobre listas que tu equipo mantiene: la Mitigate List bloquea un dominio para todos los scripts, la Allow List libera uno, y la propia documentación declara que rechazar un script en la interfaz es solo informativo. Proteside bloquea scripts no autorizados y cambios de destinatario en cada sesión sin un paso manual, y su inventario e historial de cambios producen la evidencia para los requisitos 6.4.3 y 11.6.1.
Cómo entra cada uno en tu operación
F5 Client-Side Defense
- Activado en un balanceador de carga HTTP de F5 Distributed Cloud con inserción de JavaScript, o insertado a mano a través de un CMS, una CDN, un balanceador de carga o BIG-IP.
- La documentación pide que el script cargue de forma síncrona y primero en la página, y limita el servicio a 100 dominios por espacio de nombres.
- Mitigación definida por el usuario mediante listas en la consola; según la documentación, desactivar el servicio en la consola no elimina un script insertado manualmente.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma, sin consola de borde y sin suscripción a una CDN.
- Una verificación en cada sesión de compra: scripts, campos de tarjeta y datos de pago comparados con lo que tu servidor emitió.
- Bloqueo automático antes de la confirmación, con panel, API y alertas por correo, Slack, Teams y webhook.
Cuándo elegir cada uno
F5 Client-Side Defense tiene sentido cuando
- Tu aplicación ya corre detrás de un balanceador de carga de F5 Distributed Cloud y el equipo quiere un inventario de scripts sin tocar código.
- Operas BIG-IP u otra infraestructura de F5 y prefieres gestionar la seguridad de la aplicación desde una sola consola.
- Tu equipo de seguridad quiere decidir cada mitigación por lista de dominios, con aprobaciones y justificaciones registradas.
Proteside tiene sentido cuando
- Tu checkout acepta UPI, PromptPay, PayNow, DuitNow, FPS, Pix, boletos brasileños o stablecoins, y el riesgo es un destinatario cambiado.
- Necesitas que el bloqueo ocurra en cada sesión, antes de la confirmación, sin que nadie apruebe una lista antes.
- Tu operación no está en F5 y quieres protección más evidencia para los requisitos 6.4.3 y 11.6.1 desde una línea de código.
Los dos juntos
Un equipo con Client-Side Defense activado en su balanceador de carga de F5 puede conservar ahí el inventario y las alertas y agregar Proteside a la página de pago para verificar el pago en sí y bloquear un cambio. Los dos scripts coexisten, y Proteside nunca altera un pago legítimo.
Preguntas frecuentes
¿F5 Client-Side Defense cubre Pix, boleto o códigos QR?
No en la información pública consultada en octubre de 2026. La documentación de F5 describe scripts, dominios de destino, lecturas de campos de formulario y encabezados; los códigos QR, los sistemas de pago instantáneo y las líneas digitables no se mencionan.
¿Puedo usar F5 Client-Side Defense y Proteside juntos?
Sí. El script de F5 puede seguir insertado por el balanceador de carga o a mano, y Proteside entra como una línea en la página de pago. Cada uno mantiene su propio inventario; Proteside agrega la verificación del destinatario y el bloqueo automático.
¿Qué pasa cuando rechazo un script en la consola de F5?
Según la documentación de F5, rechazar un script es solo informativo y no impide que se ejecute. Para bloquear, un usuario agrega el dominio a la Mitigate List, que aplica a todos los scripts de ese dominio. En Proteside, un script fuera del inventario autorizado se bloquea en cada sesión sin paso manual.
¿Necesito estar en F5 Distributed Cloud para usar Client-Side Defense?
La documentación describe dos caminos: activarlo en un balanceador de carga HTTP de Distributed Cloud, o insertar el script a mano a través de un CMS, una CDN, un balanceador de carga o BIG-IP. En ambos casos la gestión ocurre en la consola de Distributed Cloud bajo una suscripción al servicio.
¿F5 Client-Side Defense produce un informe para el QSA?
El material público cita el PCI DSS y telemetría para pistas de auditoría; un informe con nombre para el QSA no se enumera en la información consultada. Proteside exporta el inventario de scripts y el historial de cambios para la evaluación de los requisitos 6.4.3 y 11.6.1.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.