Cloudflare Page Shield vs Proteside : surveillance des scripts depuis la périphérie, ou vérification du paiement à l’écran ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
Cloudflare Client-Side Security, connu sous le nom Page Shield jusqu’en mars 2026, surveille les scripts, les connexions et les cookies des sites passant par le proxy Cloudflare, sans rien installer. Proteside est une ligne de code sur n’importe quelle page de paiement qui vérifie, à chaque session, que le QR code, l’adresse de portefeuille et les champs de carte à l’écran correspondent à ce que le commerçant a émis.
Côte à côte
- Comment il se décrit
- Une fonctionnalité de sécurité côté client au sein de la plateforme Cloudflare. Page Shield jusqu’au 25 mars 2026, Client-Side Security depuis ; l’offre avancée s’appelle Client-Side Security Advanced.
- Siège
- San Francisco, États-Unis. L’année de fondation n’est pas indiquée sur la page entreprise consultée.
- Comment il s’installe sur le site
- Aucun script propre. Le proxy Cloudflare ajoute un en-tête CSP en mode rapport seul à un échantillon de réponses HTML et construit l’inventaire à partir des rapports renvoyés par les navigateurs. Exige que le trafic du site passe par le proxy Cloudflare.
- Ce qu’il vérifie sur la page de paiement
- Scripts, connexions qu’ils ouvrent et cookies, avec la page où chaque ressource est apparue pour la première fois. Détection des scripts malveillants et des modifications de code dans l’offre avancée.
- PCI DSS
- La documentation indique que la fonctionnalité peut servir aux exigences 6.4.3 et 11.6.1 et que Client-Side Security Advanced est requis pour cela. Une inscription au PCI SSC n’est pas mentionnée dans les sources consultées.
Cloudflare Client-Side Security (antes Page Shield)
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| Cloudflare Page Shield | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)1 | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)2 | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)3 | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)4 | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | L’éditeur déclare ne pas le faire5 | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)6 | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)7 | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Inventaire et autorisation des scripts de la page de paiement: La documentation décrit l’inventaire comme construit à partir d’un en-tête CSP en mode rapport seul ajouté à un échantillon de réponses HTML, et avertit qu’un script nouvellement déployé peut mettre un certain temps à apparaître dans le tableau de bord.
- 2Données de carte saisies dans le formulaire: Le matériel public couvre les scripts, les connexions et les cookies observés via les rapports des navigateurs. Une vérification du formulaire de carte lui-même, dans le navigateur de l’acheteur, n’est pas décrite.
- 3Bloque les scripts non autorisés dans le navigateur de l’acheteur: L’en-tête de surveillance est en mode rapport seul et, selon les mots mêmes de la documentation, ne bloque rien. Le blocage provient des règles de sécurité de contenu en mode autorisation, disponibles dans l’offre avancée, avec une limite de cinq règles.
- 4Observe les sessions réelles des acheteurs: Les rapports proviennent de vrais navigateurs, mais uniquement de l’échantillon de réponses qui ont reçu l’en-tête ; la documentation ne décrit pas de couverture de chaque session.
- 5Fonctionne sans changer de CDN, de DNS ni de proxy: Le blog officiel indique que le seul prérequis est que le trafic passe par le proxy Cloudflare. Les sites sur un autre CDN, ou sans proxy, sont hors périmètre.
- 6Preuves pour l’exigence 6.4.3 de PCI DSS: La page de référence PCI DSS indique que la fonctionnalité peut servir à l’exigence 6.4.3 et que Client-Side Security Advanced est requis.
- 7Preuves pour l’exigence 11.6.1 de PCI DSS: La même page cite l’exigence 11.6.1 sous la même condition : offre avancée uniquement. La manière dont les preuves sont remises à l’évaluateur n’est pas décrite sur la page consultée.
Où Cloudflare Page Shield se distingue
Rien à déployer pour les sites déjà sur Cloudflare
La surveillance s’active dans le tableau de bord Cloudflare et commence à collecter les rapports des navigateurs sans toucher au code du site, selon le blog officiel.
Scripts, connexions et cookies dans un seul inventaire
Au-delà des scripts, la documentation décrit l’enregistrement des connexions que ces scripts ouvrent et des cookies qui transitent par le proxy, avec la page où chaque ressource a été vue pour la première fois.
Renseignement sur les menaces plus un modèle de langage pour la détection
Depuis le 3 mars 2026, les scripts suspects sont analysés par un modèle de langage exécuté sur Workers AI pour réduire les faux positifs ; Cloudflare indique que les données des clients ne servent pas à entraîner ces modèles.
Application en périphérie, sans code
Dans l’offre avancée, les règles de sécurité de contenu deviennent un en-tête CSP contraignant qui bloque tout ce qui est hors de la liste d’autorisation, appliqué à chaque réponse correspondant à la règle.
Ce que Proteside vérifie et que la documentation de Cloudflare ne mentionne pas
Une place de marché de cours particuliers à Bangalore encaisse par UPI. Le parent touche « Payer », un QR code apparaît, il le scanne avec son application bancaire et l’argent part en quelques secondes. Si une extension de navigateur ou un plugin de thème compromis a remplacé ce QR par un autre pointant vers un autre compte, même montant, le paiement passe, la commande ne se règle jamais, et aucun nouveau script n’est apparu sur la page. Pour un inventaire de scripts, la page semble inchangée.
Client-Side Security surveille les scripts, les connexions et les cookies qui transitent par le proxy, et la documentation le décrit clairement. Les QR codes UPI, PromptPay ou PayNow, les adresses de portefeuille USDT et le boleto (bordereau bancaire brésilien) n’apparaissent pas dans le matériel public. Proteside enregistre ce que le serveur du commerçant a émis pour chaque transaction et le compare avec ce que l’acheteur voit, copie et confirme, à chaque session et non sur un échantillon. En cas de divergence, la confirmation est bloquée et la tentative est consignée comme alerte et comme preuve.
Le même script inventorie aussi les scripts tiers, surveille le formulaire de carte et conserve l’historique des modifications qu’exigent les points 6.4.3 et 11.6.1. Un site derrière Cloudflare garde sa périphérie exactement telle quelle et ajoute la vérification du paiement sur la page de paiement.
Comment chacun s’installe dans l’opération
Cloudflare Page Shield
- Activé dans le tableau de bord Cloudflare, pour les domaines dont le trafic passe déjà par le proxy Cloudflare.
- En-tête CSP en mode rapport seul sur un échantillon de réponses ; l’en-tête ne peut pas être désactivé tant que la surveillance est active.
- Règles de sécurité de contenu dans l’offre avancée pour appliquer une liste d’autorisation ; alertes et export des journaux via la plateforme elle-même.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme et derrière n’importe quel CDN, Cloudflare compris.
- Vérification à chaque session, sans échantillonnage et sans attendre qu’un nouveau script apparaisse.
- Blocage automatique avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
Cloudflare Page Shield a du sens quand
- Le site passe déjà par Cloudflare, la carte est le moyen de paiement et votre évaluateur accepte un inventaire construit par échantillonnage.
- Vous voulez une visibilité sur les scripts, les connexions et les cookies de tout le domaine, pas seulement de la page de paiement, sans ajouter de code.
- Votre équipe gère déjà des règles de sécurité dans Cloudflare et préfère appliquer la liste d’autorisation depuis la périphérie.
Proteside a du sens quand
- La page de paiement accepte UPI, PromptPay, PayNow, DuitNow, FPS, les stablecoins ou le Pix et le boleto brésiliens.
- Vous avez besoin que la substitution du bénéficiaire soit bloquée dans la session où elle se produit, pour chaque acheteur.
- Le site ne passe pas par le proxy Cloudflare, ou vous voulez la même protection sur des boutiques réparties sur plusieurs CDN.
Les deux ensemble
Une bonne part des clients Proteside utilisent déjà Cloudflare en périphérie pour le DNS, le cache et la mitigation des attaques. Dans cette configuration, Client-Side Security continue de construire l’inventaire de tout le domaine depuis le proxy, et Proteside vérifie le paiement sur la page de paiement, session par session. Les deux ne se disputent pas la même mission et n’interfèrent pas l’un avec l’autre.
Questions fréquentes
Cloudflare Page Shield couvre-t-il Pix, le boleto ou les QR codes ?
Pas dans les informations publiques consultées en octobre 2026. La documentation de Client-Side Security décrit les scripts, les connexions, les cookies et les modifications de code ; les données de paiement affichées à l’écran, comme un QR code UPI ou PromptPay, ne sont pas mentionnées.
Puis-je utiliser Cloudflare Page Shield et Proteside ensemble ?
Oui, et c’est la configuration la plus courante parmi les clients Proteside sur Cloudflare. Proteside est un script sur la page de paiement et apparaît dans l’inventaire Cloudflare comme n’importe quelle autre ressource autorisée.
Page Shield et Client-Side Security sont-ils le même produit ?
Oui. Le 25 mars 2026, Cloudflare a renommé Page Shield en Client-Side Security, et l’option complémentaire est devenue Client-Side Security Advanced. Les notes de version indiquent que les fonctionnalités et les droits n’ont pas changé avec le nom.
Dois-je être sur Cloudflare pour utiliser Client-Side Security ?
Oui. Le blog officiel indique que le seul prérequis est que votre trafic passe par le proxy Cloudflare, parce que l’en-tête de surveillance est ajouté aux réponses en périphérie.
Pourquoi un nouveau script met-il du temps à apparaître dans le tableau de bord Cloudflare ?
La documentation l’explique : l’en-tête en mode rapport seul part sur un échantillon de réponses, et l’inventaire dépend des rapports renvoyés par les navigateurs. Cela laisse un délai entre le déploiement d’un script et son apparition dans la liste.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.