Imperva Client-Side Protection vs Proteside: ¿política de scripts en el WAF o verificación del pago en sí?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
Imperva Client-Side Protection está hecho para empresas que ya están en Imperva Cloud Application Security y quieren gobernar los scripts de la página de pago desde la consola que operan hoy, sin código. Proteside es para comercios que aceptan tarjetas, pagos instantáneos, boletos o cripto y necesitan que cada código QR, cuenta y dirección de billetera en pantalla se verifique contra lo que emitieron.
Lado a lado
- Cómo se describe a sí mismo
- Un componente de Imperva Web Application & API Protection que previene el robo de datos a través de scripts en la página, según la hoja de datos.
- Sede
- Imperva: Estados Unidos, con más de una dirección en las fuentes públicas. Parte del grupo Thales (Francia) desde diciembre de 2023.
- Cómo entra en el sitio
- Activación con un clic dentro de Imperva Cloud Application Security sin cambios de código; el navegador aplica una política de seguridad de contenido definida en el servidor.
- Qué verifica en la página de pago
- Servicios JavaScript en la página (inventario continuo, país de origen, estado del certificado, ubicación dentro del código), datos de formularios y encabezados de seguridad.
- PCI DSS
- Requisitos 6.4.3 y 11.6.1, con un panel PCI que explica cada requisito y enumera acciones pendientes, más resúmenes semanales de cambios en la página de pago.
Imperva Client-Side Protection
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| Imperva Client-Side Protection | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito en la documentación pública | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito en la documentación pública | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | Descrito en la documentación pública | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | El proveedor declara que no lo hace1 | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito en la documentación pública | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | Descrito en la documentación pública | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Funciona sin cambiar CDN, DNS ni proxy: La hoja de datos presenta Client-Side Protection como parte del conjunto Imperva Cloud Application Security, activado con un clic y sin código. La documentación pública no describe una vía de instalación fuera de esa plataforma; el sitio necesita servirse a través de ella.
En qué se destaca Imperva Client-Side Protection
Bloqueado por defecto hasta ser autorizado
La hoja de datos describe un modelo en el que cualquier servicio nuevo, o cualquier cambio, permanece bloqueado hasta que se revisa y autoriza. Los equipos con control de cambios estricto obtienen una postura clara desde el inicio.
Instant Block dentro del navegador
La página del producto describe Instant Block, que usa un componente del navegador (un service worker) ubicado entre la página y el servidor para cortar un servicio de inmediato, sin esperar la próxima actualización de la política.
Infraestructura como código
Soporte completo de Terraform, según la hoja de datos. Los equipos que versionan la configuración de su WAF de Imperva pueden tratar la política de scripts de la misma manera.
Contexto para cada decisión sobre un script
Una puntuación de riesgo del dominio, una explicación escrita por IA de lo que hace cada script (AI Explain) y detalles de inventario como país de origen, estado del certificado y posición en el código.
Lo que Proteside verifica y el material público de Imperva no menciona
Un minorista de Singapur muestra un código QR de PayNow para un pedido de S$ 1.250. El cliente lo escanea con una app bancaria, ve el monto, confirma. Una extensión del navegador en la laptop del cliente había redibujado el código QR para apuntar a otro UEN con el mismo monto. Ningún script nuevo cargó en la página. Ningún dato de tarjeta salió del navegador. El inventario de servicios sigue limpio, y el dinero ya se movió.
Imperva hace bien lo que fue diseñado para hacer: saber qué servicios corren en la página, bloquear los desconocidos y mantener en orden la evidencia del PCI DSS. Para PayNow, UPI, PromptPay, DuitNow, FPS, Pix, boletos brasileños y direcciones de billetera cripto, la documentación pública de Imperva no describe una verificación de lo que el comprador realmente ve. Proteside registra lo que tu servidor emitió para cada cobro y lo compara con lo que se muestra y lo que se copia en cada sesión. Si difieren, la confirmación se detiene antes de ocurrir y el intento se registra como alerta y como evidencia.
El mismo script conserva el inventario de scripts, protege el formulario de tarjeta y guarda el historial que exigen los requisitos 6.4.3 y 11.6.1. La instalación es una línea de código en la página de pago, en cualquier plataforma, con o sin un WAF adelante.
Cómo entra cada uno en tu operación
Imperva Client-Side Protection
- Activación con un clic dentro de Imperva Cloud Application Security; sin cambios de código en la página.
- Empieza en modo Discovery, que inventaría los servicios y alerta sobre los nuevos y sobre transferencias de datos; la política después bloquea todo lo que aún no esté autorizado.
- Alertas por correo, API y SIEM; configuración también disponible mediante Terraform.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma, o una sola integración en la plantilla de la plataforma o del proveedor de pagos.
- Cada sesión de checkout se verifica: códigos QR, identificadores de cuenta, líneas digitables, direcciones de billetera y campos de tarjeta, contra lo que el servidor emitió.
- Bloqueo antes de la confirmación; panel, API y alertas por correo, Slack, Teams y webhook. Funciona junto a cualquier CDN o WAF.
Cuándo elegir cada uno
Imperva Client-Side Protection tiene sentido cuando
- Tu sitio ya corre en Imperva Cloud Application Security y el equipo de seguridad quiere la política de scripts en la consola que ya opera.
- Tu regla interna es retener todo lo nuevo hasta que alguien lo apruebe, y las tarjetas son el medio de pago de la página.
- La configuración de seguridad vive en Terraform y la política de scripts necesita seguir el mismo flujo de trabajo.
Proteside tiene sentido cuando
- La página acepta pagos instantáneos como UPI, PayNow, PromptPay o DuitNow, boletos brasileños o cripto, y necesitas que el beneficiario mostrado se verifique.
- El sitio está en otra CDN, en tu propia CDN o en ninguna, y no quieres cambiar cómo se entrega el tráfico para proteger el checkout.
- Quieres protección y evidencia para los requisitos 6.4.3 y 11.6.1 en una instalación, en minutos, sin un proyecto.
Los dos juntos
Una empresa que ya está en Imperva Cloud Application Security puede conservar la política de scripts de Imperva y agregar Proteside en la página de pago para verificar el pago en sí. Proteside aparece como un servicio más en el inventario de Imperva: autorízalo una vez y ambos corren en la misma página.
Preguntas frecuentes
¿Imperva Client-Side Protection cubre Pix, boleto o códigos QR?
No en la información pública revisada en octubre de 2026. El material de Imperva describe servicios JavaScript, datos escritos en formularios y encabezados de seguridad; Pix, boleto (el boleto bancario brasileño) y los códigos QR de pago no se mencionan.
¿Se pueden usar Imperva Client-Side Protection y Proteside juntos?
Sí. Proteside es un script en la página de pago y aparece en el inventario de Imperva como un servicio por autorizar. Después de eso, Imperva sigue gobernando los scripts y Proteside verifica el pago. Ninguno altera un pago legítimo.
¿Necesito estar en el WAF de Imperva para usar Client-Side Protection?
La documentación pública describe la activación dentro de Imperva Cloud Application Security y no describe otra vía de instalación. Proteside se instala con una línea de código en cualquier sitio, detrás de cualquier CDN o WAF, incluido el de Imperva.
¿El modelo de Imperva de bloquear hasta autorizar estorba el checkout?
El material de Imperva describe un modo Discovery inicial que solo inventaría y alerta, antes de que la política empiece a bloquear lo que no ha sido autorizado. Proteside toma otro camino: los scripts conocidos se autorizan y el contenido del pago se verifica en cada sesión, sin retener ningún servicio nuevo por defecto.
¿Cómo pruebo Proteside sin tocar Imperva?
Regístrate en la prueba gratuita de catorce días, agrega una línea de código a la página de pago y autoriza el script en el inventario de Imperva. En minutos, el panel de Proteside muestra los scripts de la página, sus medios de pago y cualquier intento bloqueado.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.