Reflectiz vs Proteside: ¿una visita programada desde afuera, o una verificación dentro de cada compra?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
Reflectiz observa las páginas de pago desde afuera: un navegador automatizado visita las URL según un calendario, sin código, y produce el inventario y la evidencia que pide el PCI DSS. Proteside corre dentro de la página en cada sesión, verifica que el código QR, el ID de cuenta, la línea digitable del boleto o la dirección de billetera coincidan con lo que el servidor emitió, y bloquea el cambio antes de la confirmación.
Lado a lado
- Cómo se describe a sí mismo
- Plataforma de gestión de exposición web (Security Hub, Privacy Hub, Offensive Hub); el PCI Module se encarga de las páginas de pago.
- Sede
- Tel Aviv, Israel, con sedes en Boston y Sídney. El año de fundación no consta en el sitio oficial.
- Cómo entra en el sitio
- Navegador automatizado en un entorno aislado que visita las URL proporcionadas por el cliente según un calendario configurable, sin código en el sitio. El bloqueo usa un script inactivo que se activa desde la consola.
- Qué verifica en la página de pago
- Scripts de terceros y de cuartos (incluso dentro de iframes), aprobación y justificación por script, encabezados de respuesta HTTP y contenido de la página de pago.
- PCI DSS
- Requisitos 6.4.3 y 11.6.1 con exportación de evidencia a pedido para el QSA. Principal Participating Organization del PCI SSC, según su propio sitio.
Reflectiz PCI Module
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| Reflectiz | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito en la documentación pública | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)3 | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)2 | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | El proveedor declara que no lo hace1 | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | Descrito en la documentación pública | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito en la documentación pública | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | Descrito en la documentación pública | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Observa sesiones reales de compradores: Reflectiz describe su propio enfoque como remoto y sin agente: un navegador automatizado visita las páginas según un calendario, sin código instalado. El sitio habla de simular la actividad del usuario, no de observar sesiones reales de compradores.
- 2Bloquea scripts no autorizados en el navegador del comprador: El material público describe el Idle Blocking Script: una etiqueta que permanece inactiva hasta que el equipo de seguridad solicita un bloqueo desde la consola, momento en que excluye un dominio mediante una política CSP. La propia página lo resume como monitoreo remoto que detecta y bloqueo a pedido que responde.
- 3Datos de tarjeta escritos en el formulario: El inventario y las alertas cubren los scripts que tocan la página de pago, incluso dentro de iframes. Reaccionar ante un script que copia datos de tarjeta depende de que una visita programada lo encuentre y de que una persona active el bloqueo del dominio; el sitio no describe bloqueo automático en el navegador del comprador.
En qué se destaca Reflectiz
Nada que instalar en la página
Reflectiz describe el PCI Module como algo que funciona completamente de forma remota. El cliente proporciona las URL de las páginas de pago, y el sitio dice que la mayoría de las organizaciones están operativas en 24 horas.
Aprobación de scripts a escala
Smart Approval libera scripts cuyo comportamiento coincide con patrones ya aceptados, Bulk Approval aplica una decisión a muchos sitios, y una IA integrada redacta una justificación por script para que los revisores la acepten o editen.
Privacidad y pruebas ofensivas en una plataforma
Más allá del PCI Module, el Privacy Hub cubre GDPR, CCPA y HIPAA, y el Offensive Hub incluye pruebas de penetración dirigidas por agentes.
Un lugar en el PCI SSC
El sitio afirma que Reflectiz contribuye a los Technology Guidance Groups del PCI SSC y al desarrollo del propio estándar.
Lo que Proteside verifica y el material de Reflectiz no menciona
Un comercio en Bangkok muestra un código QR de PromptPay por 2.400 baht. La compradora abre su app bancaria, escanea y paga. Si una extensión del navegador en su laptop reemplazó ese código QR por uno que apunta a otra cuenta, el navegador automatizado que visitó el checkout a las 3 de la madrugada nunca lo vio. El cambio existió solo en su sesión, solo para ella.
Reflectiz es transparente sobre su diseño: un navegador aislado simula la actividad del usuario, la visita se repite según un calendario, y el sitio declara que Reflectiz no tiene acceso a datos de pago ni de sesión. Proteside trabaja desde el otro lado. Registra lo que tu servidor emitió (código QR, ID de UPI, línea digitable, dirección de billetera, monto), lo compara con lo que el comprador ve y copia en cada sesión real, y bloquea la confirmación cuando los dos difieren.
La misma línea de código mantiene el inventario de scripts, vigila el formulario de tarjeta y guarda el historial de cambios que exigen los requisitos 6.4.3 y 11.6.1. Un script no autorizado se bloquea en el navegador del comprador, sin que nadie abra una consola antes.
Cómo entra cada uno en tu operación
Reflectiz
- Tú proporcionas las URL de las páginas de pago; no se agrega código al sitio.
- Un navegador automatizado aislado visita las páginas según un calendario configurable y repite la verificación.
- Para bloquear, el Idle Blocking Script se activa desde la consola y excluye el dominio elegido mediante CSP; una reversión con un clic lo deshace.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma, o una sola integración en la plantilla de la plataforma o del proveedor.
- Una verificación en cada sesión de cada comprador, sin calendario y sin visita simulada.
- Bloqueo automático antes de la confirmación; panel, API y alertas por correo, Slack, Teams y webhook.
Cuándo elegir cada uno
Reflectiz tiene sentido cuando
- La política interna descarta cualquier script nuevo en la página de pago y el equipo acepta detección seguida de revisión humana.
- Operas decenas de checkouts con tarjeta y quieres aprobación masiva de scripts con justificaciones redactadas por IA, listas para el auditor.
- La privacidad (GDPR, CCPA, HIPAA) y las pruebas ofensivas pertenecen al mismo programa de seguridad web.
Proteside tiene sentido cuando
- Aceptas UPI, PromptPay, PayNow, DuitNow, FPS, Pix o boletos brasileños, o billeteras cripto.
- Necesitas que el cambio de beneficiario se bloquee en la sesión donde ocurre, sin esperar la próxima visita programada.
- Quieres protección y evidencia para el 6.4.3 y el 11.6.1 desde una sola instalación, con una línea de código.
Los dos juntos
Un grupo que usa Reflectiz para inventariar muchos sitios desde afuera puede conservar ese mapa y agregar Proteside en la página de pago para verificar cada compra. El navegador de Reflectiz listará el script de Proteside como un elemento más del inventario, listo para su aprobación.
Preguntas frecuentes
¿Reflectiz cubre Pix, boletos o códigos QR?
No en la información pública que revisamos en octubre de 2026. El material de Reflectiz describe scripts, iframes, encabezados HTTP y contenido de la página de pago.
¿Se pueden usar Reflectiz y Proteside juntos?
Sí. Reflectiz observa desde afuera sin código; Proteside corre dentro de la página. El script de Proteside aparece en el inventario de Reflectiz como cualquier otro, y Proteside nunca altera un pago legítimo.
¿Qué es el Idle Blocking Script de Reflectiz?
Según el sitio de Reflectiz, es una etiqueta que permanece inactiva en la página hasta que el equipo solicita un bloqueo desde la consola. Una vez activada, inyecta una política CSP que excluye el dominio elegido. En Proteside, el bloqueo de scripts no autorizados es automático y ocurre en el navegador del comprador.
¿El monitoreo sin código satisface los requisitos 6.4.3 y 11.6.1?
Reflectiz describe inventario, autorización, alertas de encabezados y exportación de evidencia, e informa que los QSA de sus clientes aceptaron el enfoque. Proteside produce la misma evidencia a partir de sesiones reales, incluido un registro de lo que se bloqueó.
¿Reflectiz detecta una estafa que aparece solo para un comprador?
El sitio de Reflectiz describe visitas simuladas según un calendario y declara que no tiene acceso a datos de sesión. Un código QR o un ID de cuenta cambiado por una extensión en el navegador de un cliente ocurre fuera de esas visitas. Proteside lo verifica en cada sesión.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.