Akamai Client-Side Protection vs Proteside : périphérie du CDN ou vérification du paiement ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
Akamai Client-Side Protection & Compliance inventorie les scripts d’une page de paiement, note leur comportement dans les sessions réelles des utilisateurs et permet à votre équipe de restreindre un script depuis la console Akamai. Proteside conserve cet inventaire et vérifie, dans le navigateur de l’acheteur, que le QR code, la ligne de boleto ou l’adresse de portefeuille correspondent à ce que le commerçant a émis, en bloquant toute substitution avant la confirmation.
Côte à côte
- Comment il se décrit
- Le produit de sécurité d’Akamai pour les menaces qui agissent dans le navigateur du client : inventaire des scripts, analyse de comportement et conformité PCI DSS sur les pages de paiement.
- Siège
- Cambridge, Massachusetts, États-Unis. Renommé de Page Integrity Manager en Client-Side Protection & Compliance en octobre 2023.
- Comment il s’installe sur le site
- Script de détection injecté par la périphérie Akamai comme première ressource de la page, ou placé à l’origine. La part des pages vues qui reçoivent le script se règle dans Akamai Control Center.
- Ce qu’il vérifie sur la page de paiement
- Scripts observés sur la page de paiement (source, comportement, destinations des données), avec justifications prédéfinies, scores de risque et renseignement sur les menaces ; modifications des en-têtes HTTP et protections de la page de paiement.
- PCI DSS
- Exigences 6.4.3 et 11.6.1 citées sur la page produit, avec des alertes PCI dédiées et un tableau de bord d’audit. Un rapport nommément destiné au QSA n’est pas décrit dans le matériel public.
Akamai Client-Side Protection & Compliance (antes Page Integrity Manager)
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| Akamai Client-Side Protection | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)1 | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)2 | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)3 | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Non trouvé dans les informations publiques4 | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Données de carte saisies dans le formulaire: La page produit d’Akamai décrit la détection des scripts qui accèdent à des données sensibles et les exfiltrent dans les sessions réelles, et la restriction de ces scripts « en un clic ». Le blocage dépend donc d’une personne qui agit dans la console après l’alerte.
- 2Bloque les scripts non autorisés dans le navigateur de l’acheteur: La mitigation est décrite comme la restriction des scripts malveillants « en un clic » dans Akamai Control Center. Des politiques peuvent être créées pour les menaces récurrentes ; le blocage automatique d’un script vu pour la première fois au sein d’une session en cours n’est pas décrit dans le matériel public.
- 3Fonctionne sans changer de CDN, de DNS ni de proxy: La documentation indique que les détections s’appliquent à n’importe quel site, où qu’il soit hébergé, et que le script peut être placé à l’origine. La politique de sécurité, le pourcentage d’injection et le traitement des incidents se trouvent dans Akamai Control Center.
- 4Rapport exportable pour l’évaluateur (QSA): Le matériel public cite un tableau de bord d’audit et des alertes PCI dédiées pour produire les preuves. Un rapport exportable pour le QSA, sous ce nom, n’est pas décrit dans les sources vérifiées.
Où Akamai Client-Side Protection se distingue
Analyse de comportement dans les sessions réelles
La page produit décrit une analyse continue de ce que chaque script exécute dans les navigateurs des vrais utilisateurs, de l’apprentissage automatique pour noter le risque d’actions non autorisées, et des contrôles des URL de scripts par rapport aux vulnérabilités connues.
Injection en périphérie avant tout autre script
Quand la page est livrée via Akamai, le script de détection se charge en premier et de façon synchrone. La documentation indique que la page ne peut pas l’éviter, ce qui rend difficile pour un script malveillant de s’exécuter avant la détection.
Contrôle fin de la portée du script
Vous pouvez définir un pourcentage de pages vues, forcer ou exclure des chemins précis comme les formulaires sensibles, et activer ou désactiver l’injection par requête avec des paramètres de test avant d’élargir la couverture.
Aucune collecte de ce que l’acheteur saisit
Le matériel public indique que le produit ne collecte ni les saisies de formulaire, ni le texte de la page, ni les données de paiement ; il n’enregistre que le comportement des scripts.
Ce que Proteside vérifie et que le matériel d’Akamai ne mentionne pas
Un magasin d’électronique à Bangalore reçoit une commande de 38 000 roupies via UPI. L’acheteur touche « Payer », scanne le QR code avec une application bancaire et valide. Un widget d’avis mis à jour la veille a redessiné le QR code avec le même montant et un identifiant de bénéficiaire différent. Aucun numéro de carte n’a quitté la page ; l’argent a simplement atterri sur le compte de quelqu’un d’autre, et le magasin l’apprend quand la commande ne se rapproche jamais.
Client-Side Protection & Compliance observe ce que font les scripts et où ils envoient les données, ce qui couvre bien le vol de données de carte. Le QR code UPI, un code PromptPay ou PayNow, une ligne de boleto (bordereau bancaire brésilien) ou une adresse de portefeuille USDT n’apparaissent pas dans la documentation publique d’Akamai comme des données vérifiées. Proteside enregistre ce que votre serveur a émis pour chaque transaction (code, adresse, montant) et le compare avec ce que l’acheteur voit et copie, à chaque session. Quand les deux diffèrent, la confirmation est bloquée et la tentative est consignée comme alerte et comme preuve.
La même installation inventorie les scripts de la page, protège le formulaire de carte de crédit et le formulaire de carte de débit, et conserve l’historique des modifications qu’exigent les points 6.4.3 et 11.6.1. Le blocage se produit dans le navigateur de l’acheteur, sans attendre que quelqu’un approuve une restriction.
Comment chacun s’installe dans votre opération
Akamai Client-Side Protection
- Script de détection injecté par la périphérie Akamai comme première ressource de la page, ou installé à l’origine.
- Pourcentage de pages vues recevant le script défini dans la politique de sécurité ; la documentation recommande de commencer petit et de monter jusqu’à 100 %.
- Données de comportement envoyées aux serveurs d’Akamai avant que l’utilisateur ne quitte la page ; incidents traités dans Akamai Control Center.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme ou CDN, ou une seule intégration dans le modèle du prestataire de paiement.
- Chaque session vérifiée, sans pourcentage d’échantillonnage à configurer.
- Un QR code, un identifiant, une ligne de boleto ou une adresse de portefeuille substitués sont bloqués avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
Akamai Client-Side Protection a du sens quand
- Votre site est déjà livré via Akamai et votre équipe sécurité gère ses politiques dans Akamai Control Center.
- Vous voulez le renseignement sur les menaces du réseau Akamai, des scores de risque et des contrôles de vulnérabilités connues sur les scripts de votre page.
- Votre processus de changement exige qu’une personne approuve la restriction d’un script avant qu’elle ne prenne effet, avec une trace de qui a décidé.
Proteside a du sens quand
- Votre page de paiement accepte UPI, PromptPay, PayNow, DuitNow, FPS, Pix, le boleto ou les stablecoins, et le risque est un bénéficiaire substitué.
- Vous avez besoin que la substitution soit bloquée à chaque session, sans échantillonnage et sans attendre un clic.
- Votre site ne tourne pas sur Akamai et vous voulez protection et preuves pour les exigences 6.4.3 et 11.6.1 à partir d’une ligne de code.
Les deux ensemble
Une équipe qui exploite déjà Client-Side Protection & Compliance en périphérie peut le conserver pour le renseignement sur les menaces et l’inventaire géré en console, et ajouter Proteside sur la page de paiement pour vérifier le QR code, l’identifiant du bénéficiaire, la ligne de boleto et l’adresse de portefeuille. Le script de Proteside n’interfère ni avec l’injection d’Akamai ni avec les données qu’elle renvoie à Akamai.
Questions fréquentes
Akamai Client-Side Protection couvre-t-il UPI, PromptPay ou les paiements par QR code ?
Pas dans les informations publiques vérifiées en octobre 2026. Le site et la documentation d’Akamai décrivent les scripts, les données sensibles auxquelles accèdent les scripts, les en-têtes HTTP et les protections de la page de paiement.
Peut-on utiliser Akamai Client-Side Protection et Proteside ensemble ?
Oui. Le script d’Akamai arrive par la périphérie ou l’origine ; celui de Proteside arrive sous forme d’une ligne sur la page de paiement. Chacun conserve son propre inventaire, et Proteside ne modifie pas les paiements légitimes et ne bloque pas le script d’Akamai.
Mon site doit-il être livré via Akamai pour utiliser Client-Side Protection & Compliance ?
Selon la documentation publique, non : les détections s’appliquent à n’importe quel site et le script peut être placé à l’origine. La politique de sécurité, le pourcentage d’injection et le traitement des incidents restent dans Akamai Control Center.
Que signifie le pourcentage de pages vues pour la couverture ?
La documentation permet d’injecter le script dans une part aléatoire des pages vues et recommande de commencer petit pour atteindre 100 %. En dessous de 100 %, certains acheteurs chargent la page sans le script de détection. Proteside vérifie chaque session, sans ce réglage.
Page Integrity Manager et Client-Side Protection & Compliance sont-ils le même produit ?
Oui. Akamai a renommé Page Integrity Manager en Client-Side Protection & Compliance en octobre 2023 ; la documentation technique se trouve toujours à l’ancienne adresse.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.