Alternatives à Feroot pour protéger la page de paiement (2026)

Proteside enregistre ce qui est légitime sur chaque page de paiement (les données de chaque transaction, les champs du formulaire, les scripts autorisés) et vérifie en continu, dans le navigateur du payeur, ce qui est affiché, ce qui est copié et où vont les données. Lorsqu’il détecte une divergence, il arrête l’action avant la confirmation du paiement et consigne la tentative.

L’inventaire des scripts et l’historique des modifications constituent les preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS. L’installation tient en une ligne de code sur n’importe quelle plateforme e-commerce, ou en une seule intégration pour les plateformes et prestataires de paiement, avec tableau de bord, API et alertes.

c/side se définit comme une plateforme de sécurité côté client. Le matériel public décrit un inventaire avec l’historique du contenu de chaque script, un graphe des fournisseurs, des alertes, des tableaux de bord pour les exigences 6.4.3 et 11.6.1 et un point de réception des rapports CSP.

Sa page publique sur la crypto cite la substitution d’une adresse de portefeuille copiée dans le presse-papiers, ce qui la rapproche du problème que Proteside résout. Pix, le boleto (bordereau bancaire brésilien) et les QR codes des systèmes de paiement instantané comme UPI ou PromptPay n’apparaissent pas dans la documentation publique que nous avons consultée.

Jscrambler réunit deux produits distincts : Code Integrity, pour protéger et obfusquer le code JavaScript, et Webpage Integrity, pour inventorier et contrôler les scripts de la page, avec un module de conformité PCI DSS. La documentation publique décrit un mode agent, qui bloque dans les sessions réelles, et un mode sans agent, qui simule un utilisateur.

C’est une offre mature pour les équipes dont la carte est le principal moyen de paiement et qui veulent un seul fournisseur pour le code et la page. Le matériel public n’aborde ni Pix, ni le boleto (bordereau bancaire brésilien), ni les QR codes de paiement instantané, ni les portefeuilles crypto.

Reflectiz décrit sa propre approche comme sans agent : un navigateur en bac à sable simule le parcours utilisateur, inventorie les scripts (y compris dans les iframes), surveille les en-têtes pour l’exigence 11.6.1 et exporte les preuves pour le QSA. La plateforme couvre aussi la confidentialité et les tests offensifs.

Le matériel de l’éditeur lui-même explique le blocage comme un script qui reste inactif sur la page jusqu’à son déclenchement dans l’interface, moment où il commence à exclure un domaine via CSP. C’est un choix de conception : détection d’abord, intervention humaine ensuite. Les fraudes qui n’apparaissent qu’à un acheteur précis ne sont pas observées par les visites simulées.

SecurityMetrics est une société d’évaluation PCI (QSA, ASV) et Shopping Cart Monitor s’intègre à son portail : inventaire des scripts avec justification, détection des modifications de contenu et d’en-têtes, alertes et journal exportable pour l’évaluateur, sans rien installer sur le site.

Le matériel public est franc sur la limite : l’outil a été conçu pour détecter, dit l’éditeur, et il fonctionne à partir d’instantanés pris à intervalles. Pour les équipes qui ont besoin que la fraude soit bloquée pendant que le client est encore sur la page, l’approche fonctionne en complément d’un blocage en session réelle.

La fonctionnalité, appelée Page Shield jusqu’en mars 2026 et désormais Client-Side Security, est disponible pour les domaines passant par le proxy Cloudflare. La documentation décrit la surveillance des scripts, des connexions et des cookies, la détection des scripts malveillants et des modifications de code, et des règles de sécurité de contenu capables de bloquer tout ce qui est hors de la liste d’autorisation.

La documentation elle-même explique le mécanisme : l’en-tête en mode rapport seul part sur un échantillon de réponses, si bien qu’un nouveau script peut mettre du temps à apparaître. Les exigences 6.4.3 et 11.6.1 sont couvertes dans le niveau avancé. Pix, le boleto (bordereau bancaire brésilien) et les systèmes de paiement instantané n’apparaissent pas dans le matériel.