Cloudflare Page Shield vs Proteside: script monitoring mula sa edge, o pagsusuri ng bayad sa screen?
Ni Laís Peixoto
Growth Marketer, Proteside
Inilathala
Nagmo-monitor ang Cloudflare Client-Side Security, na kilala bilang Page Shield hanggang Marso 2026, ng mga script, koneksyon at cookie sa mga site na naka-proxy sa Cloudflare, nang walang ii-install. Isang linya ng code ang Proteside sa anumang checkout na sinusuri, sa bawat session, kung tugma ang QR code, wallet address at mga card field sa screen sa inilabas ng merchant.
Magkatabi
- Paano nito inilalarawan ang sarili
- Isang client-side security feature sa loob ng Cloudflare platform. Page Shield hanggang 25 Marso 2026, Client-Side Security mula noon; tinatawag ang advanced package na Client-Side Security Advanced.
- Punong-tanggapan
- San Francisco, Estados Unidos. Hindi nakasaad sa company page na kinonsulta ang taon ng pagkakatatag.
- Paano ito pumapasok sa site
- Walang sariling script. Nagdaragdag ang Cloudflare proxy ng report-only na CSP header sa isang sample ng mga HTML response at binubuo ang inventory mula sa mga report na ipinapadala pabalik ng mga browser. Nangangailangan na naka-proxy sa Cloudflare ang traffic ng site.
- Ano ang sinusuri nito sa payment page
- Mga script, ang mga koneksyong binubuksan nila at mga cookie, kasama ang pahina kung saan unang lumitaw ang bawat resource. Pagtuklas ng malisyosong script at pagbabago ng code sa advanced package.
- PCI DSS
- Sinasabi ng dokumentasyon na maaaring gamitin ang feature para sa requirements 6.4.3 at 11.6.1 at kailangan ang Client-Side Security Advanced para doon. Hindi binabanggit ang PCI SSC listing sa mga source na kinonsulta.
Cloudflare Client-Side Security (antes Page Shield)
- Paano nito inilalarawan ang sarili
- Cybersecurity layer para sa sandali ng pagbabayad: integridad ng nakikita, kinokopya at kinukumpirma ng mamimili.
- Punong-tanggapan
- São Paulo, Brazil. Nag-ooperate mula 2026.
- Paano ito pumapasok sa site
- Isang linya ng code sa payment page, o isang integration sa template ng platform o payment provider. Walang proxy, walang pagbabago sa DNS o CDN.
- Ano ang sinusuri nito sa payment page
- Mga third-party script, card form, QR code at key ng Pix, linya ng boleto (bank slip ng Brazil), address ng crypto wallet at mga QR code ng walong instant payment rail, na itinutugma sa inilabas ng merchant.
- PCI DSS
- Ebidensya para sa PCI DSS requirements 6.4.3 at 11.6.1, na may exportable na report para sa QSA.
Proteside
Bawat criterion
Ang mga marka ay batay sa pampublikong dokumentasyon ng bawat vendor. I-hover o i-tap ang marka para basahin ang legend.
| Cloudflare Page Shield | Proteside | |
|---|---|---|
| Ano ang sinusuri sa screen ng nagbabayad | ||
| Inventory at awtorisasyon ng mga script sa payment pageAng batayan ng requirement 6.4.3: alamin kung ano ang tumatakbo sa pahina at i-authorize ang bawat script. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)1 | Inilarawan sa pampublikong dokumentasyon |
| Mga detalye ng card na tina-type sa formPigilan ang isang script na kopyahin ang numero, expiry date at security code. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)2 | Inilarawan sa pampublikong dokumentasyon |
| QR code ng Pix at copy-and-paste code (Brazil)Ang pinakakaraniwang scam sa checkout sa Brazil: ang ipinakitang QR code ay patungo sa ibang account. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Linya ng bayad ng boleto (bank slip ng Brazil)Ang pinalitang linya ay nagbabayad sa ibang tatanggap para sa parehong halaga. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Mga QR code ng instant payment rail sa buong mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Parehong pagpapalit gaya sa Pix, sa walong instant payment system. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Address ng stablecoin at crypto wallet, kasama kapag kinopyaAng wallet address na pinalitan sa screen o sa clipboard ay hindi na maibabalik. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Itinutugma ang nasa screen sa inilabas ng merchant at hinaharang ang pagpapalit bago ang kumpirmasyonAng pagsusuring nagtatakda ng integridad ng bayad: tatanggap at halaga na katumbas ng inilabas. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Paano ito nagpoprotekta | ||
| Hinaharang ang mga hindi awtorisadong script sa browser ng mamimiliAng pagtuklas pagkatapos ng pangyayari ay hindi nagbabalik ng kinopyang datos. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)3 | Inilarawan sa pampublikong dokumentasyon |
| Binabantayan ang mga totoong session ng mamimiliAng mga targeted na scam ay hindi lumalabas sa mga simulated na pagbisita. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)4 | Inilarawan sa pampublikong dokumentasyon |
| Gumagana nang hindi binabago ang CDN, DNS o proxyPumapasok sa anumang platform gamit ang isang linya ng code. | Sinasabi ng vendor na hindi nito ginagawa ito5 | Inilarawan sa pampublikong dokumentasyon |
| PCI DSS compliance | ||
| Ebidensya para sa PCI DSS requirement 6.4.3Inventory, awtorisasyon at integridad ng mga script. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)6 | Inilarawan sa pampublikong dokumentasyon |
| Ebidensya para sa PCI DSS requirement 11.6.1Mga hindi awtorisadong pagbabago sa pahina at sa mga header nito. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)7 | Inilarawan sa pampublikong dokumentasyon |
| Exportable na report para sa assessor (QSA)Kailangang lumabas ang ebidensya sa dashboard at makarating sa assessment. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
- Inilarawan sa pampublikong dokumentasyon
- Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)
- Hindi makita sa pampublikong impormasyon
- Sinasabi ng vendor na hindi nito ginagawa ito
Mga tala sa mga marka
- 1Inventory at awtorisasyon ng mga script sa payment page: Inilalarawan ng dokumentasyon ang inventory bilang binuo mula sa report-only na CSP header na idinagdag sa isang sample ng mga HTML response, at nagbababala na maaaring magtagal bago lumabas sa dashboard ang bagong na-deploy na script.
- 2Mga detalye ng card na tina-type sa form: Sakop ng pampublikong materyal ang mga script, koneksyon at cookie na naobserbahan sa pamamagitan ng mga browser report. Hindi inilalarawan ang pagsusuri ng mismong card form, sa browser ng mamimili.
- 3Hinaharang ang mga hindi awtorisadong script sa browser ng mamimili: Report-only ang monitoring header at, sa sariling salita ng dokumentasyon, walang hinaharang. Nagmumula ang pagharang sa mga content security rule sa allow mode, available sa advanced package, na may limit na limang rule.
- 4Binabantayan ang mga totoong session ng mamimili: Galing sa mga totoong browser ang mga report, pero mula lang sa sample ng mga response na nakatanggap ng header; hindi inilalarawan ng dokumentasyon ang coverage ng bawat session.
- 5Gumagana nang hindi binabago ang CDN, DNS o proxy: Sinasabi ng opisyal na blog na ang tanging prerequisite ay naka-proxy sa Cloudflare ang traffic. Nasa labas ng saklaw ang mga site sa ibang CDN, o walang proxy.
- 6Ebidensya para sa PCI DSS requirement 6.4.3: Sinasabi ng PCI DSS reference page na maaaring gamitin ang feature para sa requirement 6.4.3 at kailangan ang Client-Side Security Advanced.
- 7Ebidensya para sa PCI DSS requirement 11.6.1: Inililista ng parehong pahina ang requirement 11.6.1 sa ilalim ng parehong kondisyon: advanced package lang. Hindi inilalarawan sa pahinang kinonsulta kung paano ibinibigay ang ebidensya sa assessor.
Kung saan namumukod-tangi ang Cloudflare Page Shield
Walang ide-deploy para sa mga site na nasa Cloudflare na
Binubuksan ang monitoring sa Cloudflare dashboard at nagsisimulang mangolekta ng mga browser report nang hindi ginagalaw ang code ng site, ayon sa opisyal na blog.
Mga script, koneksyon at cookie sa isang inventory
Lampas sa mga script, inilalarawan ng dokumentasyon ang pagtatala ng mga koneksyong binubuksan ng mga script na iyon at ng mga cookie na tumatawid sa proxy, kasama ang pahina kung saan unang nakita ang bawat resource.
Threat intelligence at language model para sa detection
Mula 3 Marso 2026, sinusuri ang mga kahina-hinalang script gamit ang language model na tumatakbo sa Workers AI para bawasan ang mga false positive; sinasabi ng Cloudflare na hindi ginagamit ang datos ng customer para sanayin ang mga modelong iyon.
Enforcement sa edge, walang code
Sa advanced package, nagiging enforcing na CSP header ang mga content security rule na humaharang ng anumang nasa labas ng allowlist, na inilalapat sa bawat response na tugma sa rule.
Ano ang sinusuri ng Proteside na hindi binabanggit ng dokumentasyon ng Cloudflare
Nangongolekta ang isang tutoring marketplace sa Bangalore sa pamamagitan ng UPI. Tina-tap ng magulang ang Pay, lumilitaw ang QR code, ini-scan nila ito gamit ang banking app at umaalis ang pera sa loob ng ilang segundo. Kung pinalitan ng browser extension o na-compromise na theme plugin ang QR na iyon ng isang patungo sa ibang account, parehong halaga, natutuloy ang bayad, hindi kailanman na-settle ang order, at walang bagong script na lumitaw sa pahina. Para sa script inventory, mukhang hindi nagbago ang pahina.
Binabantayan ng Client-Side Security ang mga script, koneksyon at cookie na tumatawid sa proxy, at malinaw na inilalarawan iyon ng dokumentasyon. Hindi lumalabas sa pampublikong materyal ang mga QR code ng UPI, PromptPay o PayNow, mga USDT wallet address at mga bank slip ng Brazil (boleto). Itinatala ng Proteside ang inilabas ng server ng merchant para sa bawat singil at inihahambing ito sa nakikita, kinokopya at kinukumpirma ng mamimili, sa bawat session sa halip na sample. Kapag hindi tugma, hinaharang ang kumpirmasyon at itinatala ang pagtatangka bilang alert at ebidensya.
Nag-i-inventory rin ang parehong script ng mga third-party script, binabantayan ang card form at pinapanatili ang history ng mga pagbabago na hinihingi ng requirements 6.4.3 at 11.6.1. Pinapanatili ng site na nasa likod ng Cloudflare ang edge nito nang eksakto kung paano ito at nagdaragdag ng pagsusuri ng bayad sa checkout page.
Paano pumapasok ang bawat isa sa operasyon
Cloudflare Page Shield
- Binubuksan sa Cloudflare dashboard, para sa mga domain na dumadaan na sa Cloudflare proxy ang traffic.
- Report-only na CSP header sa isang sample ng mga response; hindi maaaring patayin ang header habang naka-on ang monitoring.
- Mga content security rule sa advanced package para ipatupad ang allowlist; mga alert at log export sa pamamagitan mismo ng platform.
Proteside
- Isang linya ng code sa payment page, sa anumang platform at sa likod ng anumang CDN, kasama ang Cloudflare.
- Pagsusuri sa bawat session, walang sampling at walang paghihintay na lumitaw ang bagong script.
- Awtomatikong pagharang bago ang kumpirmasyon; dashboard, API at mga alert sa email, Slack, Teams at webhook.
Kailan pipiliin ang bawat isa
Makabuluhan ang Cloudflare Page Shield kapag
- Dumadaan na sa Cloudflare ang site, card ang paraan ng pagbabayad at tinatanggap ng assessor mo ang inventory na binuo sa pamamagitan ng sampling.
- Gusto mo ng visibility ng mga script, koneksyon at cookie sa buong domain, hindi lang sa checkout, nang hindi nagdaragdag ng code.
- Namamahala na ng mga security rule sa Cloudflare ang team mo at mas gustong ipatupad ang allowlist mula sa edge.
Makabuluhan ang Proteside kapag
- Tumatanggap ang checkout ng UPI, PromptPay, PayNow, DuitNow, FPS, stablecoins o Pix at boleto ng Brazil.
- Kailangan mong maharang ang pagpapalit ng benepisyaryo sa session kung saan ito nangyayari, para sa bawat mamimili.
- Hindi naka-proxy sa Cloudflare ang site, o gusto mo ng parehong proteksyon sa mga tindahang nakakalat sa ilang CDN.
Pareho nang magkasama
Malaking bahagi ng mga customer ng Proteside ang gumagamit na ng Cloudflare sa edge para sa DNS, caching at attack mitigation. Sa setup na iyon, patuloy na binubuo ng Client-Side Security ang domain-wide na inventory mula sa proxy, at sinusuri ng Proteside ang bayad sa checkout page, session bawat session. Hindi nag-aagawan ang dalawa sa parehong trabaho at hindi nakikialam sa isa't isa.
Mga madalas itanong
Sakop ba ng Cloudflare Page Shield ang Pix, boleto o mga QR code?
Hindi sa pampublikong impormasyong kinonsulta noong Oktubre 2026. Inilalarawan ng dokumentasyon ng Client-Side Security ang mga script, koneksyon, cookie at pagbabago ng code; hindi binabanggit ang datos ng bayad na ipinapakita sa screen, gaya ng UPI o PromptPay QR code.
Puwede ko bang gamitin nang magkasama ang Cloudflare Page Shield at Proteside?
Oo, at iyon ang pinakakaraniwang setup sa mga customer ng Proteside na nasa Cloudflare. Isang script ang Proteside sa payment page at lumalabas sa inventory ng Cloudflare gaya ng anumang ibang awtorisadong resource.
Pareho bang produkto ang Page Shield at Client-Side Security?
Oo. Noong 25 Marso 2026, pinalitan ng Cloudflare ang pangalan ng Page Shield sa Client-Side Security, at naging Client-Side Security Advanced ang add-on. Sinasabi ng release notes na hindi nagbago ang mga feature at entitlement kasabay ng pangalan.
Kailangan ko bang nasa Cloudflare para gamitin ang Client-Side Security?
Oo. Sinasabi ng opisyal na blog na ang tanging prerequisite ay naka-proxy sa Cloudflare ang traffic mo, dahil idinaragdag ang monitoring header sa mga response sa edge.
Bakit nagtatagal bago lumabas ang bagong script sa Cloudflare dashboard?
Ipinapaliwanag ito ng dokumentasyon: napupunta ang report-only header sa isang sample ng mga response, at nakadepende ang inventory sa mga report na ipinapadala pabalik ng mga browser. Nag-iiwan iyon ng puwang sa pagitan ng pag-deploy ng script at pagkakita nitong nakalista.
Tingnan ang Proteside na sinusuri ang checkout mo
Labing-apat na araw na libre, isang linya ng code, bawat paraan ng pagbabayad sa pahina mo.