SecurityMetrics vs Proteside: i-scan ang pahina mula sa labas, o suriin ang bawat bayad?
Ni Laís Peixoto
Growth Marketer, Proteside
Inilathala
Nag-i-scan ang SecurityMetrics Shopping Cart Monitor ng payment page mo mula sa labas sa mga pagitan at itinatala ang ebidensya para sa requirements 6.4.3 at 11.6.1 sa PCI portal kung saan mo kinukumpleto ang SAQ mo. Tumatakbo ang Proteside sa pahina, sa bawat session ng shopper, sinusuri kung tugma ang QR code, mga detalye ng account o wallet address na ipinapakita sa inilabas mo, at hinaharang ang pagpapalit bago ang kumpirmasyon.
Magkatabi
- Paano nito inilalarawan ang sarili
- Payment page monitoring para sa requirements 6.4.3 at 11.6.1 (Shopping Cart Monitor), mula sa kumpanyang nag-ooperate bilang QSA, ASV at PFI; ang Shopping Cart Inspect ang human-led na forensic inspection nito.
- Punong-tanggapan
- Orem, Utah, Estados Unidos. Itinatag noong 2000.
- Paano ito pumapasok sa site
- Walang code sa site mo: nagsi-simulate ng checkout ang isang external system sa mga pagitan, na may mga scan na tinatakbo nang manu-mano o sa awtomatikong iskedyul depende sa configuration. Inilabas ang Version 2.0 noong Marso 2025.
- Ano ang sinusuri nito sa payment page
- Inventory ng mga static at dynamic na script na may justification, mga pagbabago sa content at header, 24/7 na mga alert at exportable na log para sa assessor.
- PCI DSS
- Requirements 6.4.3 at 11.6.1, integrated sa SecurityMetrics PCI portal (SAQ questionnaire at mga ASV scan).
SecurityMetrics Shopping Cart Monitor
- Paano nito inilalarawan ang sarili
- Cybersecurity layer para sa sandali ng pagbabayad: integridad ng nakikita, kinokopya at kinukumpirma ng mamimili.
- Punong-tanggapan
- São Paulo, Brazil. Nag-ooperate mula 2026.
- Paano ito pumapasok sa site
- Isang linya ng code sa payment page, o isang integration sa template ng platform o payment provider. Walang proxy, walang pagbabago sa DNS o CDN.
- Ano ang sinusuri nito sa payment page
- Mga third-party script, card form, QR code at key ng Pix, linya ng boleto (bank slip ng Brazil), address ng crypto wallet at mga QR code ng walong instant payment rail, na itinutugma sa inilabas ng merchant.
- PCI DSS
- Ebidensya para sa PCI DSS requirements 6.4.3 at 11.6.1, na may exportable na report para sa QSA.
Proteside
Bawat criterion
Ang mga marka ay batay sa pampublikong dokumentasyon ng bawat vendor. I-hover o i-tap ang marka para basahin ang legend.
| SecurityMetrics | Proteside | |
|---|---|---|
| Ano ang sinusuri sa screen ng nagbabayad | ||
| Inventory at awtorisasyon ng mga script sa payment pageAng batayan ng requirement 6.4.3: alamin kung ano ang tumatakbo sa pahina at i-authorize ang bawat script. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Mga detalye ng card na tina-type sa formPigilan ang isang script na kopyahin ang numero, expiry date at security code. | Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)1 | Inilarawan sa pampublikong dokumentasyon |
| QR code ng Pix at copy-and-paste code (Brazil)Ang pinakakaraniwang scam sa checkout sa Brazil: ang ipinakitang QR code ay patungo sa ibang account. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Linya ng bayad ng boleto (bank slip ng Brazil)Ang pinalitang linya ay nagbabayad sa ibang tatanggap para sa parehong halaga. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Mga QR code ng instant payment rail sa buong mundo (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)Parehong pagpapalit gaya sa Pix, sa walong instant payment system. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Address ng stablecoin at crypto wallet, kasama kapag kinopyaAng wallet address na pinalitan sa screen o sa clipboard ay hindi na maibabalik. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Itinutugma ang nasa screen sa inilabas ng merchant at hinaharang ang pagpapalit bago ang kumpirmasyonAng pagsusuring nagtatakda ng integridad ng bayad: tatanggap at halaga na katumbas ng inilabas. | Hindi makita sa pampublikong impormasyon | Inilarawan sa pampublikong dokumentasyon |
| Paano ito nagpoprotekta | ||
| Hinaharang ang mga hindi awtorisadong script sa browser ng mamimiliAng pagtuklas pagkatapos ng pangyayari ay hindi nagbabalik ng kinopyang datos. | Sinasabi ng vendor na hindi nito ginagawa ito2 | Inilarawan sa pampublikong dokumentasyon |
| Binabantayan ang mga totoong session ng mamimiliAng mga targeted na scam ay hindi lumalabas sa mga simulated na pagbisita. | Sinasabi ng vendor na hindi nito ginagawa ito3 | Inilarawan sa pampublikong dokumentasyon |
| Gumagana nang hindi binabago ang CDN, DNS o proxyPumapasok sa anumang platform gamit ang isang linya ng code. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| PCI DSS compliance | ||
| Ebidensya para sa PCI DSS requirement 6.4.3Inventory, awtorisasyon at integridad ng mga script. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Ebidensya para sa PCI DSS requirement 11.6.1Mga hindi awtorisadong pagbabago sa pahina at sa mga header nito. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
| Exportable na report para sa assessor (QSA)Kailangang lumabas ang ebidensya sa dashboard at makarating sa assessment. | Inilarawan sa pampublikong dokumentasyon | Inilarawan sa pampublikong dokumentasyon |
- Inilarawan sa pampublikong dokumentasyon
- Inilarawan na may limitasyon (opsyonal, sampled, nangangailangan ng aksyon ng tao o nasa isang product tier lang)
- Hindi makita sa pampublikong impormasyon
- Sinasabi ng vendor na hindi nito ginagawa ito
Mga tala sa mga marka
- 1Mga detalye ng card na tina-type sa form: Inilalarawan ng pampublikong materyal ang pagtuklas ng script at pagbabago batay sa mga simulated na pagbisita sa checkout; hindi nito inilalarawan ang anumang aksyon sa loob ng browser ng shopper habang tina-type ang mga detalye ng card.
- 2Hinaharang ang mga hindi awtorisadong script sa browser ng mamimili: Isinusulat ng SecurityMetrics na ginawa ang Shopping Cart Monitor para sa detection, hindi prevention, at inililista ang CSP at pagharang ng script bilang nasa labas ng produkto.
- 3Binabantayan ang mga totoong session ng mamimili: Inilalarawan ang tool bilang agentless: nagsi-simulate ng checkout ang isang external system sa mga pagitan. Ayon sa sarili nitong paglalarawan, hindi nito sinusundan ang session ng bawat totoong shopper.
Kung saan namumukod-tangi ang SecurityMetrics
Ang vendor mismo ay assessor
Nag-ooperate ang SecurityMetrics bilang QSA, ASV at PFI. Galing ang monitor sa kumpanyang nag-a-audit ng mga merchant, nagpapatakbo ng mga vulnerability scan at nag-iimbestiga ng mga card breach bilang hanapbuhay.
Katabi ng questionnaire ang ebidensya
Nasa tabi ng SAQ at mga ASV scan ang mga log ng Shopping Cart Monitor sa isang portal, na nagpapanatili ng paperwork sa isang lugar para sa mga merchant na na-assess na roon.
Forensic inspection kapag hiniling
Nagdaragdag ang Shopping Cart Inspect ng specialist review ng cart kapag may hinihinalang compromise, isang bagay na kakaunting monitoring tool ang nagpapares sa kanilang produkto.
Walang ii-install
Akma ang agentless na paraan sa mga merchant na hindi makapagdagdag ng code sa payment page, kasama ang mga tindahan sa mga locked-down na platform.
Ano ang sinusuri ng Proteside na hindi binabanggit ng materyal ng SecurityMetrics
Nagpapakita ang isang tindahan ng muwebles sa Bengaluru ng UPI QR code para sa order na 48,000 rupee. Ini-scan ito ng shopper gamit ang banking app niya at nagbayad sa loob ng ilang segundo. Pinalitan ng isang na-compromise na review widget ang QR code ng isang may parehong halaga at ibang tatanggap, pero para lang sa mga shopper na dumarating mula sa isang partikular na ad campaign. Nawala ang pera, hindi kailanman na-settle ang order, at nalaman ng tindahan pagkalipas ng dalawang araw. Ang external scan na bumisita sa pahina noong 3 a.m. ay nakakita ng ganap na normal na QR code, dahil hindi kailanman tumakbo ang pagpapalit sa pagbisitang iyon.
Malinaw ang SecurityMetrics tungkol sa inihahatid nito: script inventory na may justification, pagtuklas ng pagbabago sa content at header, mga alert at exportable na log para sa assessor, lahat kinukuha mula sa labas sa mga pagitan. Para sa UPI, PromptPay, PayNow, DuitNow, FPS, Pix at bank slip (boleto) ng Brazil, at mga stablecoin wallet, hindi inilalarawan ng pampublikong dokumentasyon ang pagsusuri ng talagang nakikita ng shopper. Itinatala ng Proteside ang inilabas ng server mo (QR payload, account identifier, wallet address, halaga) at inihahambing ito sa ipinapakita at kinokopya sa bawat session. Kung magkaiba, hinaharang ang kumpirmasyon at nagiging alert at ebidensya ang pagtatangka.
Sakop ng parehong install ang mga field ng card form at mga third-party script, na may inventory at history ng mga pagbabago na hinihingi ng requirements 6.4.3 at 11.6.1. Isang linya ng code ang gumagawa ng ebidensya ng assessor at nagpoprotekta sa mismong bayad, kasama ang para sa shopper na dumarating sa pagitan ng dalawang scan.
Paano pumapasok ang bawat isa sa operasyon mo
SecurityMetrics
- I-register ang mga payment page mo sa SecurityMetrics PCI portal; walang code sa site.
- Nagsi-simulate ng checkout ang isang external scan, na tini-trigger nang manu-mano o sa awtomatikong iskedyul depende sa configuration na hawak mo.
- 24/7 na mga alert, justification para sa bawat script at exportable na log, sa parehong portal ng SAQ at mga ASV scan.
Proteside
- Isang linya ng code sa payment page, sa anumang platform, o isang integration sa template ng platform o payment provider.
- Pagsusuri sa bawat totoong session, mula sa unang shopper ng araw hanggang sa huli, walang puwang sa pagitan ng mga pagbisita.
- Awtomatikong pagharang bago ang kumpirmasyon; dashboard, API at mga alert sa email, Slack, Teams at webhook.
Kailan pipiliin ang bawat isa
Makabuluhan ang SecurityMetrics kapag
- Dumadaan na sa SecurityMetrics ang PCI DSS assessment mo at gusto mo ang ebidensya ng 6.4.3 at 11.6.1 sa loob ng parehong portal.
- Hindi ka makapagdagdag ng anumang code sa payment page at katanggap-tanggap ang detection na may human review.
- Gusto mo ng forensic team na handang mag-imbestiga ng hinihinalang cart compromise, lampas sa mismong monitor.
Makabuluhan ang Proteside kapag
- Tumatanggap ka ng UPI, PromptPay, PayNow, DuitNow, FPS, Pix, boleto o stablecoins at kailangang i-verify ang nakikita ng shopper.
- Kailangang maharang ang pagpapalit ng tatanggap o pagkopya ng card sa session kung saan ito nangyayari, hindi iulat pagkatapos ng susunod na scan.
- Gusto mo ng proteksyon at ebidensya ng 6.4.3 at 11.6.1 sa isang install, independiyente sa portal ng anumang assessor.
Pareho nang magkasama
Ang merchant na kumukumpleto ng SAQ at nagpapatakbo ng mga ASV scan sa SecurityMetrics ay maaaring panatilihin ang Shopping Cart Monitor bilang external na ebidensya at magdagdag ng Proteside sa pahina para i-verify ang bawat bayad at harangin ang mga pagpapalit sa mga totoong session. Patuloy na nakikita ng external monitor ang pahina mula sa labas, at hindi ginagalaw ng Proteside ang mga lehitimong bayad.
Mga madalas itanong
Sakop ba ng SecurityMetrics ang Pix, boleto o mga QR code?
Hindi sa pampublikong impormasyong sinuri noong Oktubre 2026. Inilalarawan ng materyal ng Shopping Cart Monitor ang mga script, pagbabago sa content at header sa payment page, na datos ng card ang pokus.
Puwede bang gamitin nang magkasama ang SecurityMetrics at Proteside?
Oo. Binabantayan ng Shopping Cart Monitor ang pahina mula sa labas at hindi nangangailangan ng code; script sa mismong pahina ang Proteside. Walang nakikialam sa isa't isa, kaya mapapanatili ng merchant ang ebidensya sa SecurityMetrics portal habang hinaharang ng Proteside ang mga pagpapalit sa bawat session.
Ano ang ibig sabihin ng SecurityMetrics sa ginawa para sa detection, hindi prevention?
Iyon ang sariling salita ng kumpanya para sa Shopping Cart Monitor: tinutukoy nito ang mga bagong script at pagbabago at inaalerto ang merchant; nasa labas ng nilalayon ng produkto ang pagpigil sa script habang nasa pahina ang shopper. Ang pagharang sa mga totoong session ang idinaragdag ng Proteside.
Sapat ba ang mga interval scan para sa requirements 6.4.3 at 11.6.1?
Ayon sa pampublikong dokumentasyon nito, inihahatid ng SecurityMetrics ang inventory na may justification, pagtuklas ng pagbabago at log para sa assessor, na siyang hinihingi ng dalawang requirement. Nasa pagitan ng mga scan ang pagkakaiba: sinusundan ng Proteside ang bawat shopper, kaya lumalabas din ang atakeng nakatuon sa isang session.
Gumagawa ba ang Proteside ng uri ng ebidensyang inaasahan ng QSA?
Ine-export ng Proteside ang script inventory, mga awtorisasyon at history ng mga pagbabago ng pahina at mga header nito bilang report para sa QSA. Hindi nito pinapalitan ang mismong assessment, na nananatili sa assessor na pipiliin mo, kasama ang SecurityMetrics.
Tingnan ang Proteside na sinusuri ang checkout mo
Labing-apat na araw na libre, isang linya ng code, bawat paraan ng pagbabayad sa pahina mo.