F5 Client-Side Defense vs Proteside : listes de mitigation ou blocage automatique au moment du paiement ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
F5 Distributed Cloud Client-Side Defense inventorie les scripts de votre application et alerte sur les domaines suspects et les lectures de champs sensibles, avec une mitigation que votre équipe définit via des listes dans la console F5. Proteside vérifie, dans le navigateur de l’acheteur, que le QR code, les coordonnées de compte, l’adresse de portefeuille et les champs de carte correspondent à ce que le commerçant a émis, et bloque automatiquement toute substitution.
Côte à côte
- Comment il se décrit
- Un service au sein de F5 Distributed Cloud Services qui liste les scripts qui s’exécutent sur une application web et alerte sur les lectures de données sensibles, avec une mitigation définie par l’utilisateur.
- Siège
- Seattle, États-Unis (F5, Inc.).
- Comment il s’installe sur le site
- Script inséré par un répartiteur de charge HTTP F5 Distributed Cloud, ou placé manuellement via un CMS, un CDN, un répartiteur de charge ou BIG-IP ; la gestion se fait dans la console Distributed Cloud.
- Ce qu’il vérifie sur la page de paiement
- Scripts de première, troisième et quatrième partie, lectures de champs de formulaire, domaines de destination, nouveaux scripts, changements de comportement et modifications d’en-têtes.
- PCI DSS
- Le matériel public cite PCI DSS et une télémétrie pour les pistes d’audit. Un rapport nommément destiné au QSA et une affiliation déclarée au PCI SSC ne sont pas listés.
F5 Distributed Cloud Client-Side Defense
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)1 | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)2 | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)3 | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Données de carte saisies dans le formulaire: La documentation décrit des alertes sur les lectures de champs sensibles et un blocage de la lecture des champs de formulaire déclenché par l’utilisateur ; la protection dépend des listes que votre équipe définit.
- 2Bloque les scripts non autorisés dans le navigateur de l’acheteur: La mitigation fonctionne par liste de domaines : la Mitigate List bloque tout un domaine pour tous les scripts, et la documentation de F5 indique que rejeter un script n’a qu’une valeur informative, sans blocage.
- 3Fonctionne sans changer de CDN, de DNS ni de proxy: L’insertion manuelle du script via un CMS, un CDN ou BIG-IP est documentée pour les applications hors F5, mais la gestion exige la console et un abonnement F5 Distributed Cloud.
Où F5 Client-Side Defense se distingue
Les scripts de quatrième partie dans l’inventaire
La Script List couvre ce que les scripts tiers chargent à leur tour, et chaque approbation est enregistrée avec une justification écrite.
Une portée au-delà des applications hébergées sur F5
La documentation décrit l’insertion manuelle du script via un CMS, un CDN, un répartiteur de charge ou BIG-IP pour les applications qui ne passent pas par Distributed Cloud.
Alertes de comportement et d’en-têtes
Au-delà des domaines suspects et des lectures de champs, le service signale un script qui change de comportement et une page dont les en-têtes changent.
Une seule console pour les équipes déjà sur F5
Les clients qui exploitent une application derrière un répartiteur de charge Distributed Cloud activent le service là où ils gèrent déjà cette application, sans modification de code.
Ce que Proteside vérifie et que le matériel public de F5 ne mentionne pas
Un détaillant de Bangkok affiche un QR code PromptPay de 2 400 bahts sur sa page de paiement. L’acheteur ouvre une application bancaire, scanne et paie. Si une extension de navigateur ou un plugin compromis a remplacé ce QR par un autre lié à un autre compte, même montant, l’argent atterrit ailleurs et le magasin ne l’apprend que lorsque la commande ne se règle jamais. Aucun numéro de carte n’a été lu ; le destinataire a changé.
Client-Side Defense observe les scripts et les lectures de champs de formulaire, et la documentation de F5 couvre ce terrain avec soin. Pour un QR code PromptPay, UPI, PayNow ou DuitNow, une ligne de boleto (bordereau bancaire brésilien), une clé Pix ou une adresse de portefeuille USDT, le matériel public ne décrit aucune vérification de ce que la page affiche. Proteside enregistre ce que votre serveur a émis (QR, coordonnées de compte, adresse, montant) et le compare avec ce que l’acheteur voit et copie, à chaque session. Quand ils diffèrent, la confirmation est bloquée et la tentative devient une alerte et un élément de preuve.
Chez F5, la mitigation repose sur des listes que votre équipe maintient : la Mitigate List bloque un domaine pour tous les scripts, l’Allow List en libère un, et la documentation elle-même indique que rejeter un script dans l’interface n’a qu’une valeur informative. Proteside bloque les scripts non autorisés et les substitutions de destinataire à chaque session sans étape manuelle, et son inventaire et son historique des modifications produisent les preuves pour les exigences 6.4.3 et 11.6.1.
Comment chacun s’installe dans votre opération
F5 Client-Side Defense
- Activé sur un répartiteur de charge HTTP F5 Distributed Cloud avec insertion de JavaScript, ou inséré à la main via un CMS, un CDN, un répartiteur de charge ou BIG-IP.
- La documentation demande que le script se charge de façon synchrone et en premier sur la page, et plafonne le service à 100 domaines par espace de noms.
- Mitigation définie par l’utilisateur via des listes dans la console ; selon la documentation, désactiver le service dans la console ne retire pas un script inséré manuellement.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme, sans console de périphérie ni abonnement CDN.
- Une vérification à chaque session d’achat : scripts, champs de carte et données de paiement comparés à ce que votre serveur a émis.
- Blocage automatique avant la confirmation, avec un tableau de bord, une API et des alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
F5 Client-Side Defense a du sens quand
- Votre application tourne déjà derrière un répartiteur de charge F5 Distributed Cloud et l’équipe veut un inventaire des scripts sans toucher au code.
- Vous exploitez BIG-IP ou une autre infrastructure F5 et préférez gérer la sécurité applicative depuis une seule console.
- Votre équipe sécurité veut décider de chaque mitigation par liste de domaines, avec des approbations et des justifications enregistrées.
Proteside a du sens quand
- Votre page de paiement accepte UPI, PromptPay, PayNow, DuitNow, FPS, Pix, le boleto ou les stablecoins, et le risque est un destinataire substitué.
- Vous avez besoin que le blocage ait lieu à chaque session, avant la confirmation, sans que personne n’approuve d’abord une liste.
- Votre opération n’est pas sur F5 et vous voulez protection et preuves pour les exigences 6.4.3 et 11.6.1 à partir d’une ligne de code.
Les deux ensemble
Une équipe qui a activé Client-Side Defense sur son répartiteur de charge F5 peut y conserver l’inventaire et les alertes et ajouter Proteside à la page de paiement pour vérifier le paiement lui-même et bloquer une substitution. Les deux scripts coexistent, et Proteside ne modifie jamais un paiement légitime.
Questions fréquentes
F5 Client-Side Defense couvre-t-il Pix, le boleto ou les QR codes ?
Pas dans les informations publiques vérifiées en octobre 2026. La documentation de F5 décrit les scripts, les domaines de destination, les lectures de champs de formulaire et les en-têtes ; les QR codes, les systèmes de paiement instantané et les lignes de boleto ne sont pas mentionnés.
Puis-je utiliser F5 Client-Side Defense et Proteside ensemble ?
Oui. Le script F5 peut rester inséré par le répartiteur de charge ou à la main, et Proteside s’ajoute sous forme d’une ligne sur la page de paiement. Chacun conserve son propre inventaire ; Proteside ajoute la vérification du destinataire et le blocage automatique.
Que se passe-t-il quand je rejette un script dans la console F5 ?
Selon la documentation de F5, rejeter un script n’a qu’une valeur informative et ne l’empêche pas de s’exécuter. Pour bloquer, un utilisateur ajoute le domaine à la Mitigate List, qui s’applique à tous les scripts de ce domaine. Chez Proteside, un script hors de l’inventaire autorisé est bloqué à chaque session sans étape manuelle.
Dois-je être sur F5 Distributed Cloud pour utiliser Client-Side Defense ?
La documentation décrit deux voies : l’activer sur un répartiteur de charge HTTP Distributed Cloud, ou insérer le script à la main via un CMS, un CDN, un répartiteur de charge ou BIG-IP. Dans les deux cas, la gestion se fait dans la console Distributed Cloud dans le cadre d’un abonnement au service.
F5 Client-Side Defense produit-il un rapport pour le QSA ?
Le matériel public cite PCI DSS et une télémétrie pour les pistes d’audit ; un rapport nommément destiné au QSA n’est pas listé dans les informations vérifiées. Proteside exporte l’inventaire des scripts et l’historique des modifications pour l’évaluation des exigences 6.4.3 et 11.6.1.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.