Source Defense vs Proteside: ¿bloquear los scripts o verificar el pago?
Por Laís Peixoto
Growth Marketer, Proteside
Publicado el
Source Defense impide que los scripts de terceros lean datos de tarjeta en la página de pago, con bloqueo en tiempo real, y permite a los adquirentes distribuir esa protección a través del SDK que ya entregan. Proteside también inventaría scripts, y después verifica que el QR, la cuenta, la línea digitable del boleto o la dirección de billetera mostrados coincidan con lo que el vendedor emitió, y bloquea el cambio antes de la confirmación.
Lado a lado
- Cómo se describe a sí mismo
- Seguridad del lado del cliente para sitios web, descrita por la empresa como la creadora de la categoría; Protect previene, Detect monitorea, Acquirer Protect distribuye la protección a través de adquirentes y proveedores de pagos.
- Sede
- Rosh Ha'ayin, Israel, y Stamford, Connecticut, Estados Unidos. Fundada en 2014.
- Cómo entra en el sitio
- Dos líneas de código en el sitio, con los scripts de terceros tratados como no confiables por defecto; el sitio dice que está en funcionamiento en 24 horas y que exige unas dos horas de gestión al mes.
- Qué verifica en la página de pago
- Scripts de terceros y de cuartos, cómo se comportan esos scripts en la página y su acceso a los datos escritos en el formulario de tarjeta.
- PCI DSS
- Requisito 6.4.3 citado para Acquirer Protect y en los recursos para socios QSA, con informes de cumplimiento. Principal Participating Organization del PCI SSC, según la lista pública del consejo.
Source Defense Protect e Detect
- Cómo se describe a sí mismo
- Capa de ciberseguridad para el momento del pago: integridad de lo que el comprador ve, copia y confirma.
- Sede
- São Paulo, Brasil. En operación desde 2026.
- Cómo entra en el sitio
- Una línea de código en la página de pago, o una integración en la plantilla de la plataforma o del proveedor de pagos. Sin proxy, sin cambios de DNS ni de CDN.
- Qué verifica en la página de pago
- Scripts de terceros, formulario de tarjeta, código QR y clave de Pix, línea digitable del boleto (boleto bancario brasileño), dirección de billetera cripto y los códigos QR de ocho sistemas de pago instantáneo, comparados con lo que el comercio emitió.
- PCI DSS
- Evidencia para los requisitos 6.4.3 y 11.6.1 del PCI DSS, con un informe exportable para el QSA.
Proteside
Criterio por criterio
Las marcas se basan en la documentación pública de cada proveedor. Pasa el cursor o toca una marca para leer la leyenda.
| Source Defense | Proteside | |
|---|---|---|
| Qué se verifica en la pantalla del pagador | ||
| Inventario y autorización de scripts en la página de pagoLa base del requisito 6.4.3: saber qué se ejecuta en la página y autorizar cada script. | Descrito en la documentación pública | Descrito en la documentación pública |
| Datos de tarjeta escritos en el formularioImpedir que un script copie el número, la fecha de vencimiento y el código de seguridad. | Descrito en la documentación pública | Descrito en la documentación pública |
| Código QR y código copia y pega de Pix (Brasil)La estafa de checkout más común de Brasil: el código QR mostrado lleva a otra cuenta. | No consta en la información pública | Descrito en la documentación pública |
| Línea digitable del boleto (boleto bancario brasileño)Una línea cambiada paga a otro beneficiario por el mismo monto. | No consta en la información pública | Descrito en la documentación pública |
| Códigos QR de sistemas de pago instantáneo de todo el mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)El mismo cambio que en Pix, en ocho sistemas de pago instantáneo. | No consta en la información pública | Descrito en la documentación pública |
| Dirección de billetera de stablecoins y cripto, incluso al copiarlaUna dirección de billetera cambiada en pantalla o en el portapapeles es irreversible. | No consta en la información pública | Descrito en la documentación pública |
| Compara lo que aparece en pantalla con lo que el comercio emitió y bloquea el cambio antes de la confirmaciónLa verificación que define la integridad del pago: beneficiario y monto iguales a lo emitido. | No consta en la información pública | Descrito en la documentación pública |
| Cómo protege | ||
| Bloquea scripts no autorizados en el navegador del compradorDetectar después del hecho no devuelve los datos copiados. | Descrito en la documentación pública | Descrito en la documentación pública |
| Observa sesiones reales de compradoresLas estafas dirigidas no aparecen en visitas simuladas. | Descrito en la documentación pública | Descrito en la documentación pública |
| Funciona sin cambiar CDN, DNS ni proxySe instala en cualquier plataforma con una línea de código. | Descrito en la documentación pública | Descrito en la documentación pública |
| Cumplimiento del PCI DSS | ||
| Evidencia para el requisito 6.4.3 del PCI DSSInventario, autorización e integridad de scripts. | Descrito en la documentación pública | Descrito en la documentación pública |
| Evidencia para el requisito 11.6.1 del PCI DSSCambios no autorizados en la página y sus encabezados. | No consta en la información pública1 | Descrito en la documentación pública |
| Informe exportable para el evaluador (QSA)La evidencia tiene que salir del panel y llegar a la evaluación. | Descrito en la documentación pública | Descrito en la documentación pública |
- Descrito en la documentación pública
- Descrito con una limitación (opcional, por muestreo, requiere acción humana o solo en un nivel del producto)
- No consta en la información pública
- El proveedor declara que no lo hace
Notas sobre las marcas
- 1Evidencia para el requisito 11.6.1 del PCI DSS: Las páginas públicas del producto citan el requisito 6.4.3 (para Acquirer Protect y en los recursos para socios QSA) y describen informes de cumplimiento del PCI DSS. El requisito 11.6.1, que cubre los cambios no autorizados en la página y sus encabezados, no aparece por su nombre en el material consultado en octubre de 2026. La marca es, por tanto, 'no consta en la información pública' y no 'no lo hace'.
En qué se destaca Source Defense
Distribución a través de adquirentes y proveedores
Acquirer Protect lleva la protección a toda una cartera de comercios a través del SDK que el adquirente, el proveedor de pagos o la plataforma ya entrega, sin instalación tienda por tienda.
Participación de primer nivel en el PCI SSC
Source Defense aparece en la lista pública del consejo como Principal Participating Organization, el nivel más alto de participación.
Operación liviana una vez instalado
El sitio describe que Protect exige unas dos horas de gestión al mes, con políticas que empiezan como no confiables por defecto y se ajustan con el tiempo.
Escala declarada
Más de 1.000 marcas y 1.200 millones de vistas de página al mes protegidas, según el propio sitio de la empresa, tras diez años de ingeniería centrada en el lado del cliente.
Lo que Proteside verifica y el material de Source Defense no menciona
Una tienda de electrónica en Bengaluru muestra un QR de UPI para una laptop de 84.000 rupias. El comprador lo escanea con una app bancaria y paga. Un script inyectado en la página había cambiado el QR por uno que apunta a otro ID de UPI, con el mismo monto. Ningún dato de tarjeta salió de la página; el dinero salió hacia la cuenta equivocada, y la tienda se entera cuando el pedido nunca concilia.
Source Defense responde al problema de las tarjetas: scripts de terceros no confiables por defecto, sin acceso al formulario, con bloqueo en tiempo real en Protect. Para UPI, PromptPay, PayNow, boletos bancarios brasileños (boleto) y billeteras cripto, las páginas públicas del producto no describen una verificación de lo que el comprador ve. Proteside registra lo que tu servidor emitió (QR, identificador de cuenta, línea digitable, dirección de billetera, monto) y lo compara con lo que se muestra y lo que se copia, en cada sesión. Ante una discrepancia, la confirmación se bloquea y el intento se registra como alerta y como evidencia.
El inventario de scripts y la protección del formulario de tarjeta vienen en la misma instalación, con el historial de cambios que exigen los requisitos 6.4.3 y 11.6.1 y un informe listo para el QSA. Una línea de código vigila los scripts y verifica el pago.
Cómo entra cada uno en tu operación
Source Defense
- Dos líneas de código en el sitio; el material dice que está en funcionamiento en 24 horas.
- Scripts de terceros tratados como no confiables por defecto, con políticas que tu equipo ajusta con el tiempo.
- Protect bloquea en tiempo real; Detect solo monitorea y alerta, con datos disponibles por API, alertas y una consola. Los adquirentes y proveedores lo distribuyen a través de su SDK existente.
Proteside
- Una línea de código en la página de pago, en cualquier plataforma, o una sola integración en la plantilla de la plataforma o del proveedor de pagos.
- Cada cobro se registra en el servidor y se verifica en cada sesión, sin muestreo.
- Bloqueo automático antes de la confirmación; panel, API y alertas por correo, Slack, Teams y webhook.
Cuándo elegir cada uno
Source Defense tiene sentido cuando
- Eres un adquirente, proveedor de pagos o plataforma y quieres llevar la protección de scripts a toda tu cartera de comercios a través del SDK que ya entregas.
- Las tarjetas son el único medio de pago y la prioridad es mantener a los scripts de terceros lejos del formulario con poca operación mensual.
- Tu equipo de seguridad quiere empezar solo con monitoreo y alertas (Detect), consumiendo los datos por API, antes de activar el bloqueo.
Proteside tiene sentido cuando
- Tu checkout acepta UPI, PromptPay, PayNow, DuitNow, FPS, boletos bancarios brasileños o cripto.
- Necesitas que el cambio de beneficiario se bloquee en la propia sesión del comprador, antes de la confirmación.
- Quieres evidencia para los requisitos 6.4.3 y 11.6.1, encabezados incluidos, desde una sola instalación y sin cambiar tu CDN.
Los dos juntos
Un comercio cuyo adquirente distribuye Source Defense a través de su SDK puede conservar esa protección del formulario de tarjeta y agregar Proteside a la página de pago para verificar pagos instantáneos, boletos y direcciones de billetera. Los dos scripts son independientes; Proteside no toca las políticas de otra herramienta.
Preguntas frecuentes
¿Source Defense cubre UPI, PromptPay, PayNow, boletos o códigos QR de pago?
No consta en la información pública consultada en octubre de 2026. Las páginas del producto describen scripts de terceros, datos escritos en el formulario de tarjeta e informes de cumplimiento.
¿Se pueden usar Source Defense y Proteside juntos?
Sí. Son dos scripts independientes en la página de pago. Proteside verifica los datos de pago y los scripts sin alterar los pagos legítimos ni las políticas de otra herramienta.
¿Cuál es la diferencia entre Protect y Detect?
Según el sitio de Source Defense, Protect bloquea en tiempo real el acceso no autorizado de scripts a los datos, mientras que Detect monitorea y alerta sin bloquear. Proteside bloquea por defecto en cada sesión y registra el intento.
Soy adquirente o proveedor de pagos. ¿Cuál distribuyo a los comercios?
Ambos describen distribución a través de un proveedor. Acquirer Protect usa el SDK que el adquirente ya entrega y se centra en datos de tarjeta. Proteside entra como una sola integración en la plantilla de la plataforma o del proveedor y además verifica UPI, PromptPay, PayNow, boletos y cripto.
¿Source Defense y Proteside cumplen el requisito 11.6.1 del PCI DSS?
Proteside produce evidencia para los requisitos 6.4.3 y 11.6.1, con monitoreo de encabezados y un informe para el QSA. Las páginas públicas de Source Defense citan el 6.4.3; el 11.6.1 no aparece en el material consultado.
Mira a Proteside verificando tu checkout
Catorce días gratis, una línea de código, todos los medios de pago de tu página.