c/side vs Proteside : surveiller les scripts ou vérifier le paiement ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
c/side observe chaque script tiers dans toutes les sessions réelles, conserve un historique de ce que chacun a livré et bloque tout ce qui est hors de la liste approuvée. Proteside inventorie et bloque aussi les scripts, puis vérifie le paiement lui-même : QR codes, identifiants de paiement instantané, lignes de boleto, adresses de portefeuille et champs de carte, comparés à ce que le commerçant a émis.
Côte à côte
- Comment il se décrit
- Une plateforme de sécurité côté client, selon les mots de l’entreprise. Script Security couvre les scripts de la page ; Fingerprint couvre l’identification des appareils et la détection des bots et des agents IA.
- Siège
- États-Unis, équipe entièrement à distance. Fondée en 2024.
- Comment il s’installe sur le site
- Une balise de script dans l’en-tête de la page. Le site indique qu’il n’y a ni proxy inverse ni changement de DNS, et que le trafic du site ne transite pas par c/side.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers dans 100 % des sessions réelles des visiteurs, sans échantillonnage : inventaire, historique par chargement de page de ce que chaque script a livré, graphe de dépendances des fournisseurs et permissions par fournisseur.
- PCI DSS
- Exigences 6.4.3 et 11.6.1 avec des rapports décrits comme prêts pour l’audit et approuvés par VikingCloud, un QSA. Une participation au PCI SSC n’est pas indiquée dans le matériel public.
c/side Script Security
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| c/side | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)1 | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Décrit dans la documentation publique | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Adresse de portefeuille stablecoin et crypto, y compris lors de la copie: La page publique de c/side sur la crypto cite les modifications en temps réel de l’adresse de destination et le remplacement d’une adresse de portefeuille copiée dans le presse-papiers parmi les menaces traitées via la surveillance des scripts. Le matériel ne décrit pas de comparaison entre l’adresse affichée et celle que le commerçant a émise, d’où la marque partielle.
Où c/side se distingue
Chaque session réelle, sans échantillonnage
Le site annonce une couverture de 100 % des sessions réelles des visiteurs et l’oppose aux analyses périodiques et aux parcours simulés.
Un historique de ce que chaque script a livré
L’inventaire conserve, par chargement de page, le contenu que chaque script tiers a transmis, ce qui facilite l’enquête sur une modification après coup.
Des racines dans Cloudflare Page Shield
Le fondateur a été chef de produit sur Page Shield et copréside le W3C Anti-Fraud Community Group, selon la page « à propos ».
La crypto dans le viseur
Une page dédiée à la crypto couvre les wallet drainers, les scripts qui modifient en temps réel les adresses de destination et les montants, et le remplacement d’une adresse de portefeuille copiée dans le presse-papiers.
Ce que Proteside vérifie et que le matériel public de c/side ne mentionne pas
Un magasin de meubles à Bangalore affiche un QR code UPI pour une commande de 42 000 roupies. Le client le scanne avec une application bancaire, voit le montant, valide, et la commande n’arrive jamais. Un script compromis avait redessiné le QR avec l’identifiant UPI d’un autre bénéficiaire et le même montant. Aucun numéro de carte n’a été volé ; l’argent est simplement parti chez quelqu’un d’autre, et le magasin l’apprend quand le client demande où en est la livraison.
c/side verrait le script qui l’a fait, si ce script était hors de la liste approuvée, et cela compte. Ce que sa documentation publique ne décrit pas, c’est une vérification des données de paiement elles-mêmes : si le QR, l’identifiant ou l’adresse à l’écran sont bien ceux que votre serveur a émis. Pour UPI, PromptPay, PayNow, DuitNow, FPS et le boleto (bordereau bancaire brésilien), le matériel de c/side ne mentionne aucune vérification. Pour les portefeuilles crypto, il mentionne l’adresse substituée dans le presse-papiers, mais pas une comparaison avec l’adresse générée par le commerçant. Proteside enregistre ce qui a été émis (QR, identifiant, ligne de boleto, adresse USDT, montant) et le compare avec ce que l’acheteur voit et copie, à chaque session. En cas de divergence, la confirmation est bloquée et la tentative devient une alerte et un élément de preuve.
La même ligne de code couvre le formulaire de carte et les scripts tiers, avec l’inventaire, les autorisations et l’historique des modifications qu’exigent les points 6.4.3 et 11.6.1. Une équipe qui utilise déjà c/side conserve sa visibilité sur les scripts et ajoute la vérification du paiement sans second projet de déploiement.
Comment chacun s’installe dans votre opération
c/side
- Une balise de script dans l’en-tête de la page, sur n’importe quelle plateforme.
- Ni proxy inverse ni changement de DNS, selon le site ; le trafic continue d’aller directement vers vos serveurs.
- Alertes vers Slack, Teams, e-mail et webhooks, avec des flux vers les outils antifraude et SIEM.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme, ou une seule intégration dans le modèle de la plateforme ou du prestataire de paiement.
- Pas de proxy, pas de changement de DNS ni de CDN ; la vérification s’exécute dans le navigateur de l’acheteur, à chaque session.
- Blocage automatique avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
c/side a du sens quand
- La carte est votre seul moyen de paiement et votre priorité est d’enquêter sur le comportement de chaque script tiers, avec un historique par chargement de page.
- Vous voulez l’identification des appareils et la détection des bots et des agents IA auprès du même fournisseur que votre sécurité des scripts.
- Votre équipe sécurité travaille déjà avec des politiques CSP et veut un point de réception des rapports du navigateur à côté de l’inventaire.
Proteside a du sens quand
- Vous acceptez UPI, PromptPay, PayNow, DuitNow, FPS, Pix, des boletos ou des stablecoins, et vous avez besoin que le bénéficiaire soit vérifié, pas seulement le script.
- Vous avez besoin qu’un QR, un identifiant, une ligne de boleto ou une adresse de portefeuille substitués soient bloqués avant la confirmation, à chaque session.
- Vous voulez protection et preuves pour les exigences 6.4.3 et 11.6.1 en une seule installation, avec un rapport que votre QSA peut prendre tel quel.
Les deux ensemble
Une équipe qui s’appuie sur c/side pour le détail des scripts tiers peut conserver ce tableau de bord et ajouter Proteside sur la page de paiement pour vérifier le paiement lui-même. Les deux balises sont indépendantes ; Proteside ne modifie pas les paiements légitimes et n’interfère pas avec l’inventaire d’un autre outil.
Questions fréquentes
c/side couvre-t-il Pix, les boletos ou les QR codes ?
Pas dans les informations publiques vérifiées en octobre 2026. Le matériel de c/side couvre les scripts tiers, les données de carte, la conformité PCI DSS et la confidentialité, et sa page crypto couvre les portefeuilles et les adresses copiées.
Peut-on utiliser c/side et Proteside ensemble ?
Oui. Ce sont deux balises de script indépendantes sur la page de paiement. c/side continue de surveiller les scripts pendant que Proteside compare le paiement à l’écran avec ce que votre serveur a émis et bloque toute substitution avant la confirmation.
c/side protège-t-il contre la substitution d’adresse de portefeuille crypto ?
Sa page publique sur la crypto cite les modifications d’adresse en temps réel et le remplacement dans le presse-papiers comme des menaces traitées via la surveillance des scripts. La comparaison entre l’adresse affichée et celle que le commerçant a émise n’apparaît pas dans le matériel ; Proteside effectue cette comparaison et bloque toute divergence.
Une politique CSP suffit-elle pour les exigences 6.4.3 et 11.6.1 ?
La FAQ de c/side indique elle-même que CSP contrôle d’où viennent les scripts mais ne voit pas leur contenu, et qu’à elle seule elle ne répond donc pas à PCI DSS. c/side comme Proteside ajoutent l’inventaire, l’autorisation et l’historique des modifications sur cette base.
Les deux observent chaque session réelle. Quelle est la différence, alors ?
Ce que chacun regarde dans la session. c/side décrit le comportement des scripts tiers. Proteside regarde aussi les données de paiement à l’écran et dans le presse-papiers : QR, identifiant du bénéficiaire, ligne de boleto, adresse de portefeuille et montant, comparés à ce qui a été émis.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.