F5 Client-Side Defense vs Proteside: mga mitigation list o awtomatikong pagharang sa sandali ng pagbabayad?
Ni Laís Peixoto
Growth Marketer, Proteside
Inilathala
Nag-i-inventory ang F5 Distributed Cloud Client-Side Defense ng mga script sa application mo at nag-aalerto sa mga kahina-hinalang domain at pagbasa ng mga sensitibong field, na may mitigation na tinutukoy ng team mo sa pamamagitan ng mga listahan sa F5 console. Sinusuri ng Proteside, sa browser ng shopper, kung tugma ang QR code, mga detalye ng account, wallet address at mga card field sa inilabas ng merchant, at awtomatikong hinaharang ang pagpapalit.
Magkatabi
- Paano nito inilalarawan ang sarili
- Isang service sa loob ng F5 Distributed Cloud Services na naglilista ng mga script na tumatakbo sa web application at nag-aalerto sa mga pagbasa ng sensitibong datos, na may user-defined na mitigation.
- Punong-tanggapan
- Seattle, Estados Unidos (F5, Inc.).
- Paano ito pumapasok sa site
- Script na isiningit ng F5 Distributed Cloud HTTP load balancer, o inilagay nang manu-mano sa pamamagitan ng CMS, CDN, load balancer o BIG-IP; nasa Distributed Cloud console ang pamamahala.
- Ano ang sinusuri nito sa payment page
- Mga first-, third- at fourth-party script, pagbasa ng mga field ng form, destination domain, mga bagong script, pagbabago sa pag-uugali at pagbabago sa header.
- PCI DSS
- Binabanggit ng pampublikong materyal ang PCI DSS at telemetry para sa mga audit trail. Hindi nakalista ang pinangalanang QSA report at ipinahayag na PCI SSC affiliation.
F5 Distributed Cloud Client-Side Defense
- Paano nito inilalarawan ang sarili
- Cybersecurity layer para sa sandali ng pagbabayad: integridad ng nakikita, kinokopya at kinukumpirma ng mamimili.
- Punong-tanggapan
- São Paulo, Brazil. Nag-ooperate mula 2026.
- Paano ito pumapasok sa site
- Isang linya ng code sa payment page, o isang integration sa template ng platform o payment provider. Walang proxy, walang pagbabago sa DNS o CDN.
- Ano ang sinusuri nito sa payment page
- Mga third-party script, card form, QR code at key ng Pix, linya ng boleto (bank slip ng Brazil), address ng crypto wallet at mga QR code ng walong instant payment rail, na itinutugma sa inilabas ng merchant.
- PCI DSS
- Ebidensya para sa PCI DSS requirements 6.4.3 at 11.6.1, na may exportable na report para sa QSA.
Proteside
Bawat criterion
Ang mga marka ay batay sa pampublikong dokumentasyon ng bawat vendor. I-hover o i-tap ang marka para basahin ang legend.
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| Ano ang sinusuri sa screen ng nagbabayad | ||
| Inventory at awtorisasyon ng mga script sa payment pageAng batayan ng requirement 6.4.3: alamin kung ano ang tumatakbo sa pahina at i-authorize ang bawat script. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Mga detalye ng card na tina-type sa formPigilan ang isang script na kopyahin ang numero, expiry date at security code. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)1 | Inilarawan sa pampublikong dokumentasyon |
| QR code ng Pix at copy-and-paste code (Brazil)Ang pinakakaraniwang scam sa checkout sa Brazil: ang ipinakitang QR code ay patungo sa ibang account. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Linya ng bayad ng boleto (bank slip ng Brazil)Ang pinalitang linya ay nagbabayad sa ibang tatanggap para sa parehong halaga. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Mga QR code ng instant payment rail sa buong mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Parehong pagpapalit gaya sa Pix, sa walong instant payment system. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Address ng stablecoin at crypto wallet, kasama kapag kinopyaAng wallet address na pinalitan sa screen o sa clipboard ay hindi na maibabalik. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Itinutugma ang nasa screen sa inilabas ng merchant at hinaharang ang pagpapalit bago ang kumpirmasyonAng pagsusuring nagtatakda ng integridad ng bayad: tatanggap at halaga na katumbas ng inilabas. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Paano ito nagpoprotekta | ||
| Hinaharang ang mga hindi awtorisadong script sa browser ng mamimiliAng pagtuklas pagkatapos ng pangyayari ay hindi nagbabalik ng kinopyang datos. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)2 | Inilarawan sa pampublikong dokumentasyon |
| Binabantayan ang mga totoong session ng mamimiliAng mga targeted na scam ay hindi lumalabas sa mga simulated na pagbisita. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Gumagana nang hindi binabago ang CDN, DNS o proxyPumapasok sa anumang platform gamit ang isang linya ng code. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)3 | Inilarawan sa pampublikong dokumentasyon |
| PCI DSS compliance | ||
| Ebidensya para sa PCI DSS requirement 6.4.3Inventory, awtorisasyon at integridad ng mga script. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Ebidensya para sa PCI DSS requirement 11.6.1Mga hindi awtorisadong pagbabago sa pahina at sa mga header nito. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Exportable na report para sa assessor (QSA)Kailangang lumabas ang ebidensya sa dashboard at makarating sa assessment. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
- Inilarawan sa pampublikong dokumentasyon
- Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)
- Hindi makita sa pampublikong impormasyon
- Sinasabi ng vendor na hindi nito ginagawa ito
Mga tala sa mga marka
- 1Mga detalye ng card na tina-type sa form: Inilalarawan ng dokumentasyon ang mga alert sa pagbasa ng mga sensitibong field at user-triggered na pagharang sa pagbasa ng field ng form; nakadepende ang proteksyon sa mga listahang tinutukoy ng team mo.
- 2Hinaharang ang mga hindi awtorisadong script sa browser ng mamimili: Gumagana ang mitigation sa pamamagitan ng domain list: humaharang ang Mitigate List ng buong domain para sa bawat script, at sinasabi ng dokumentasyon ng F5 na pang-impormasyon lamang ang pag-reject ng script, walang pagharang.
- 3Gumagana nang hindi binabago ang CDN, DNS o proxy: Dokumentado ang manu-manong pagsisingit ng script sa pamamagitan ng CMS, CDN o BIG-IP para sa mga application sa labas ng F5, pero nangangailangan ang pamamahala ng console at F5 Distributed Cloud subscription.
Kung saan namumukod-tangi ang F5 Client-Side Defense
Mga fourth-party script sa inventory
Sakop ng Script List ang nilo-load naman ng mga third-party script, at naitatala ang bawat pag-apruba na may nakasulat na justification.
Abot lampas sa mga application na naka-host sa F5
Inilalarawan ng dokumentasyon ang manu-manong pagsisingit ng script sa pamamagitan ng CMS, CDN, load balancer o BIG-IP para sa mga application na hindi dumadaan sa Distributed Cloud.
Mga alert sa pag-uugali at header
Lampas sa mga kahina-hinalang domain at pagbasa ng field, minamarkahan ng service ang script na nagbabago ng pag-uugali at pahinang nagbabago ng mga header.
Isang console para sa mga team na nasa F5 na
Binubuksan ng mga customer na nagpapatakbo ng application sa likod ng Distributed Cloud load balancer ang service kung saan nila pinamamahalaan na ang application na iyon, nang walang pagbabago sa code.
Ano ang sinusuri ng Proteside na hindi binabanggit ng pampublikong materyal ng F5
Nagpapakita ang isang retailer sa Bangkok ng PromptPay QR code para sa 2,400 baht sa checkout. Binuksan ng shopper ang banking app, nag-scan at nagbayad. Kung pinalitan ng browser extension o na-compromise na plugin ang QR na iyon ng isang nakatali sa ibang account, parehong halaga, napupunta sa iba ang pera at malalaman lang ng tindahan kapag hindi kailanman na-clear ang order. Walang numero ng card na nabasa; nagbago ang tatanggap.
Binabantayan ng Client-Side Defense ang mga script at pagbasa ng mga field ng form, at maingat na sinasakop ng dokumentasyon ng F5 ang larangang iyon. Para sa PromptPay, UPI, PayNow o DuitNow QR code, linya ng bank slip ng Brazil, Pix key o USDT wallet address, hindi inilalarawan ng pampublikong materyal ang anumang pagsusuri ng ipinapakita ng pahina. Itinatala ng Proteside ang inilabas ng server mo (QR, mga detalye ng account, address, halaga) at inihahambing ito sa nakikita at kinokopya ng shopper, sa bawat session. Kapag magkaiba, hinaharang ang kumpirmasyon at nagiging alert at ebidensya ang pagtatangka.
Sa F5, tumatakbo ang mitigation sa mga listahang pinapanatili ng team mo: humaharang ang Mitigate List ng domain para sa bawat script, naglilinis ang Allow List ng isa, at sinasabi mismo ng dokumentasyon na pang-impormasyon lamang ang pag-reject ng script sa interface. Hinaharang ng Proteside ang mga hindi awtorisadong script at pagpapalit ng tatanggap sa bawat session nang walang manu-manong hakbang, at gumagawa ang inventory at history ng mga pagbabago nito ng ebidensya para sa requirements 6.4.3 at 11.6.1.
Paano pumapasok ang bawat isa sa operasyon mo
F5 Client-Side Defense
- Binubuksan sa F5 Distributed Cloud HTTP load balancer na may JavaScript insertion, o isiningit nang manu-mano sa pamamagitan ng CMS, CDN, load balancer o BIG-IP.
- Hinihingi ng dokumentasyon na mag-load ang script nang synchronously at una sa pahina, at nililimitahan ang service sa 100 domain bawat namespace.
- User-defined na mitigation sa pamamagitan ng mga listahan sa console; ayon sa dokumentasyon, hindi inaalis ng pag-disable ng service sa console ang manu-manong isiningit na script.
Proteside
- Isang linya ng code sa payment page, sa anumang platform, nang walang edge console at walang CDN subscription.
- Pagsusuri sa bawat session ng pagbili: mga script, card field at detalye ng bayad na inihahambing sa inilabas ng server mo.
- Awtomatikong pagharang bago ang kumpirmasyon, na may dashboard, API at mga alert sa email, Slack, Teams at webhook.
Kailan pipiliin ang bawat isa
Makabuluhan ang F5 Client-Side Defense kapag
- Tumatakbo na ang application mo sa likod ng F5 Distributed Cloud load balancer at gusto ng team ng script inventory nang hindi ginagalaw ang code.
- Nagpapatakbo ka ng BIG-IP o ibang F5 infrastructure at mas gustong patakbuhin ang application security mula sa isang console.
- Gusto ng security team mo na magdesisyon ng bawat mitigation sa pamamagitan ng domain list, na may nakatalang pag-apruba at justification.
Makabuluhan ang Proteside kapag
- Tumatanggap ang checkout mo ng UPI, PromptPay, PayNow, DuitNow, FPS, Pix, mga bank slip ng Brazil o stablecoins, at ang panganib ay pinalitang tatanggap.
- Kailangan mong mangyari ang pagharang sa bawat session, bago ang kumpirmasyon, nang walang sinumang nag-aapruba muna ng listahan.
- Wala sa F5 ang operasyon mo at gusto mo ng proteksyon at ebidensya para sa requirements 6.4.3 at 11.6.1 mula sa isang linya ng code.
Pareho nang magkasama
Ang team na may Client-Side Defense na naka-enable sa F5 load balancer nito ay maaaring panatilihin ang inventory at mga alert doon at magdagdag ng Proteside sa payment page para i-verify ang mismong bayad at harangin ang pagpapalit. Nagsasama ang dalawang script, at hindi kailanman binabago ng Proteside ang lehitimong bayad.
Mga madalas itanong
Sakop ba ng F5 Client-Side Defense ang Pix, boleto o mga QR code?
Hindi sa pampublikong impormasyong sinuri noong Oktubre 2026. Inilalarawan ng dokumentasyon ng F5 ang mga script, destination domain, pagbasa ng mga field ng form at mga header; hindi binabanggit ang mga QR code, instant payment rail at linya ng bank slip.
Puwede ko bang gamitin nang magkasama ang F5 Client-Side Defense at Proteside?
Oo. Maaaring manatiling isiningit ng load balancer o nang manu-mano ang script ng F5, at pumapasok ang Proteside bilang isang linya sa payment page. Pinapanatili ng bawat isa ang sariling inventory; idinaragdag ng Proteside ang pagsusuri ng tatanggap at awtomatikong pagharang.
Ano ang nangyayari kapag nag-reject ako ng script sa F5 console?
Ayon sa dokumentasyon ng F5, pang-impormasyon lamang ang pag-reject ng script at hindi nito pinipigilan itong tumakbo. Para humarang, idinaragdag ng user ang domain sa Mitigate List, na nalalapat sa bawat script mula sa domain na iyon. Sa Proteside, hinaharang ang script na nasa labas ng awtorisadong inventory sa bawat session nang walang manu-manong hakbang.
Kailangan ko bang nasa F5 Distributed Cloud para gamitin ang Client-Side Defense?
Inilalarawan ng dokumentasyon ang dalawang daan: pag-enable nito sa Distributed Cloud HTTP load balancer, o manu-manong pagsisingit ng script sa pamamagitan ng CMS, CDN, load balancer o BIG-IP. Sa parehong kaso, nangyayari ang pamamahala sa Distributed Cloud console sa ilalim ng service subscription.
Gumagawa ba ang F5 Client-Side Defense ng report para sa QSA?
Binabanggit ng pampublikong materyal ang PCI DSS at telemetry para sa mga audit trail; hindi nakalista ang pinangalanang QSA report sa impormasyong sinuri. Ine-export ng Proteside ang script inventory at history ng mga pagbabago para sa assessment ng requirements 6.4.3 at 11.6.1.
Tingnan ang Proteside na sinusuri ang checkout mo
Labing-apat na araw na libre, isang linya ng code, bawat paraan ng pagbabayad sa pahina mo.