SecurityMetrics vs Proteside: ¿escanear la página desde afuera, o verificar cada pago?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
SecurityMetrics Shopping Cart Monitor escanea tu página de pago desde afuera a intervalos y archiva la evidencia para los requisitos 6.4.3 y 11.6.1 en el portal PCI donde completas tu SAQ. Proteside corre en la página, en cada sesión de compra, verifica que el código QR, los datos de cuenta o la dirección de billetera mostrados coincidan con lo que emitiste, y bloquea un cambio antes de la confirmación.
Lado a lado
- Cómo se describe a sí mismo
- Monitoreo de la página de pago para los requisitos 6.4.3 y 11.6.1 (Shopping Cart Monitor), de una empresa que opera como QSA, ASV y PFI; Shopping Cart Inspect es su inspección forense realizada por personas.
- Sede
- Orem, Utah, Estados Unidos. Fundada en 2000.
- Cómo entra en el sitio
- Sin código en tu sitio: un sistema externo simula el checkout a intervalos, con escaneos ejecutados manualmente o en un calendario automático según la configuración. La versión 2.0 se lanzó en marzo de 2025.
- Qué verifica en la página de pago
- Inventario de scripts estáticos y dinámicos con justificación, cambios en el contenido y los encabezados, alertas 24/7 y un registro exportable para el evaluador.
- PCI DSS
- Requisitos 6.4.3 y 11.6.1, integrados con el portal PCI de SecurityMetrics (cuestionario SAQ y escaneos ASV).
SecurityMetrics Shopping Cart Monitor
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| SecurityMetrics | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito en la documentación pública | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)1 | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | El proveedor declara que no lo hace2 | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | El proveedor declara que no lo hace3 | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | Descrito en la documentación pública | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito en la documentación pública | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | Descrito en la documentación pública | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Datos de tarjeta escritos en el formulario: El material público describe la detección de scripts y cambios a partir de visitas simuladas al checkout; no describe ninguna acción dentro del navegador del comprador mientras se escriben los datos de tarjeta.
- 2Bloquea scripts no autorizados en el navegador del comprador: SecurityMetrics escribe que Shopping Cart Monitor fue construido para la detección, no para la prevención, y enumera CSP y el bloqueo de scripts como algo fuera del producto.
- 3Observa sesiones reales de compradores: La herramienta se describe como sin agente: un sistema externo simula el checkout a intervalos. Según su propia descripción, no sigue la sesión de cada comprador real.
En qué se destaca SecurityMetrics
El proveedor es él mismo un evaluador
SecurityMetrics opera como QSA, ASV y PFI. El monitor viene de una empresa que audita comercios, ejecuta escaneos de vulnerabilidades e investiga filtraciones de tarjetas como oficio.
La evidencia vive junto al cuestionario
Los registros de Shopping Cart Monitor están junto al SAQ y los escaneos ASV en un solo portal, lo que mantiene el papeleo en un mismo lugar para los comercios que ya se evalúan ahí.
Inspección forense a pedido
Shopping Cart Inspect agrega una revisión especializada del carrito cuando se sospecha un compromiso, algo que pocas herramientas de monitoreo combinan con su producto.
Nada que instalar
El enfoque sin agente conviene a comercios que no pueden agregar código a la página de pago, incluidas tiendas en plataformas cerradas.
Lo que Proteside verifica y el material de SecurityMetrics no menciona
Una tienda de muebles en Bengaluru muestra un código QR de UPI para un pedido de 48.000 rupias. La compradora lo escanea con su app bancaria y paga en segundos. Un widget de reseñas comprometido reemplazó el código QR por uno que lleva el mismo monto y otro beneficiario, pero solo para los compradores que llegan desde una campaña publicitaria en particular. El dinero desapareció, el pedido nunca se concreta, y la tienda se entera dos días después. Un escaneo externo que visitó la página a las 3 de la madrugada vio un código QR perfectamente normal, porque el cambio nunca se ejecutó en esa visita.
SecurityMetrics es claro sobre lo que entrega: un inventario de scripts con justificación, detección de cambios en el contenido y los encabezados, alertas y un registro exportable para el evaluador, todo recolectado desde afuera a intervalos. Para UPI, PromptPay, PayNow, DuitNow, FPS, el Pix y el boleto (boleto bancario) de Brasil, y las billeteras de stablecoins, la documentación pública no describe la verificación de lo que el comprador realmente ve. Proteside registra lo que tu servidor emitió (contenido del QR, identificador de cuenta, dirección de billetera, monto) y lo compara con lo que se muestra y se copia en cada sesión. Si difieren, la confirmación se bloquea y el intento se convierte en una alerta y en una pieza de evidencia.
Los campos del formulario de tarjeta y los scripts de terceros están cubiertos por la misma instalación, con el inventario y el historial de cambios que exigen los requisitos 6.4.3 y 11.6.1. Una línea de código produce la evidencia del evaluador y protege el pago en sí, incluso para el comprador que llega entre dos escaneos.
Cómo entra cada uno en tu operación
SecurityMetrics
- Registra tus páginas de pago en el portal PCI de SecurityMetrics; sin código en el sitio.
- Un escaneo externo simula el checkout, activado manualmente o en un calendario automático según la configuración que tengas.
- Alertas 24/7, una justificación por cada script y un registro exportable, en el mismo portal que el SAQ y los escaneos ASV.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma, o una sola integración en la plantilla de la plataforma o del proveedor de pagos.
- Verificación en cada sesión real, desde el primer comprador del día hasta el último, sin brechas entre visitas.
- Bloqueo automático antes de la confirmación; panel, API y alertas por correo, Slack, Teams y webhook.
Cuándo elegir cada uno
SecurityMetrics tiene sentido cuando
- Tu evaluación del PCI DSS ya pasa por SecurityMetrics y quieres la evidencia del 6.4.3 y el 11.6.1 dentro del mismo portal.
- No puedes agregar ningún código a la página de pago y la detección con revisión humana es aceptable.
- Quieres un equipo forense disponible para investigar una sospecha de compromiso del carrito, más allá del propio monitor.
Proteside tiene sentido cuando
- Aceptas UPI, PromptPay, PayNow, DuitNow, FPS, Pix, boleto o stablecoins y necesitas verificar lo que el comprador ve.
- Un cambio de beneficiario o una copia de tarjeta tiene que bloquearse en la sesión donde ocurre, no reportarse después del próximo escaneo.
- Quieres protección y evidencia del 6.4.3 y el 11.6.1 en una sola instalación, independiente del portal de cualquier evaluador.
Los dos juntos
Un comercio que completa el SAQ y ejecuta escaneos ASV con SecurityMetrics puede conservar Shopping Cart Monitor como evidencia externa y agregar Proteside en la página para verificar cada pago y bloquear cambios en sesiones reales. El monitor externo sigue viendo la página desde afuera, y Proteside deja intactos los pagos legítimos.
Preguntas frecuentes
¿SecurityMetrics cubre Pix, boleto o códigos QR?
No en la información pública revisada en octubre de 2026. El material de Shopping Cart Monitor describe scripts, cambios en el contenido y los encabezados de la página de pago, con los datos de tarjeta como foco.
¿Se pueden usar SecurityMetrics y Proteside juntos?
Sí. Shopping Cart Monitor vigila la página desde afuera y no necesita código; Proteside es un script en la propia página. Ninguno interfiere con el otro, así que un comercio puede conservar la evidencia en el portal de SecurityMetrics mientras Proteside bloquea cambios en cada sesión.
¿Qué quiere decir SecurityMetrics con construido para la detección, no para la prevención?
Son las palabras de la propia empresa para Shopping Cart Monitor: identifica scripts nuevos y cambios y alerta al comercio; detener un script mientras el comprador está en la página queda fuera de lo que el producto se propone hacer. El bloqueo en sesiones reales es lo que Proteside agrega.
¿Los escaneos a intervalos satisfacen los requisitos 6.4.3 y 11.6.1?
Según su documentación pública, SecurityMetrics entrega un inventario con justificación, detección de cambios y un registro para el evaluador, que es lo que piden los dos requisitos. La diferencia está entre escaneos: Proteside sigue a cada comprador, así que un ataque dirigido a una sola sesión también aparece.
¿Proteside produce el tipo de evidencia que espera un QSA?
Proteside exporta el inventario de scripts, las autorizaciones y el historial de cambios de la página y sus encabezados como un informe para el QSA. No reemplaza la evaluación en sí, que sigue a cargo del evaluador que elijas, SecurityMetrics incluido.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.