Imperva Client-Side Protection vs Proteside : politique de scripts au WAF ou vérification du paiement lui-même ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
Imperva Client-Side Protection est conçu pour les entreprises déjà sur Imperva Cloud Application Security qui veulent gouverner les scripts de la page de paiement depuis la console qu’elles exploitent aujourd’hui, sans code. Proteside s’adresse aux commerçants qui acceptent les cartes, les paiements instantanés, les boletos ou la crypto et ont besoin que chaque QR code, compte et adresse de portefeuille à l’écran soit vérifié par rapport à ce qu’ils ont émis.
Côte à côte
- Comment il se décrit
- Un composant d’Imperva Web Application & API Protection qui empêche le vol de données via les scripts de la page, selon la fiche produit.
- Siège
- Imperva : États-Unis, avec plus d’une adresse selon les sources publiques. Fait partie du groupe Thales (France) depuis décembre 2023.
- Comment il s’installe sur le site
- Activation en un clic dans Imperva Cloud Application Security sans modification de code ; le navigateur applique une politique de sécurité de contenu définie côté serveur.
- Ce qu’il vérifie sur la page de paiement
- Services JavaScript de la page (inventaire continu, pays d’origine, état du certificat, emplacement dans le code), données de formulaire et en-têtes de sécurité.
- PCI DSS
- Exigences 6.4.3 et 11.6.1, avec un tableau de bord PCI qui explique chaque exigence et liste les actions à mener, plus des résumés hebdomadaires des modifications de la page de paiement.
Imperva Client-Side Protection
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| Imperva Client-Side Protection | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | L’éditeur déclare ne pas le faire1 | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Décrit dans la documentation publique | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Fonctionne sans changer de CDN, de DNS ni de proxy: La fiche produit présente Client-Side Protection comme un élément de la pile Imperva Cloud Application Security, activé en un clic sans code. La documentation publique ne décrit pas de voie d’installation en dehors de cette plateforme ; le site doit être servi à travers elle.
Où Imperva Client-Side Protection se distingue
Bloqué par défaut jusqu’à autorisation
La fiche produit décrit un modèle dans lequel tout nouveau service, ou toute modification, reste bloqué jusqu’à sa revue et son autorisation. Les équipes dotées d’un contrôle des changements strict obtiennent une posture claire dès le départ.
Instant Block dans le navigateur
La page produit décrit Instant Block, qui utilise un composant du navigateur (un service worker) placé entre la page et le serveur pour couper un service immédiatement, sans attendre la prochaine mise à jour de la politique.
Infrastructure as code
Prise en charge complète de Terraform, selon la fiche produit. Les équipes qui versionnent leur configuration du WAF Imperva peuvent traiter la politique de scripts de la même manière.
Du contexte pour chaque décision sur un script
Un score de risque par domaine, une explication rédigée par IA de ce que fait chaque script (AI Explain), et des détails d’inventaire comme le pays d’origine, l’état du certificat et la position dans le code.
Ce que Proteside vérifie et que le matériel public d’Imperva ne mentionne pas
Un détaillant de Singapour affiche un QR code PayNow pour une commande de 1 250 S$. Le client le scanne avec une application bancaire, voit le montant, confirme. Une extension de navigateur sur l’ordinateur portable du client avait redessiné le QR code pour pointer vers un autre UEN avec le même montant. Aucun nouveau script ne s’est chargé sur la page. Aucune donnée de carte n’a quitté le navigateur. L’inventaire des services reste propre, et l’argent est déjà parti.
Imperva fait bien ce pour quoi il a été conçu : savoir quels services s’exécutent sur la page, bloquer les inconnus et tenir les preuves PCI DSS en ordre. Pour PayNow, UPI, PromptPay, DuitNow, FPS, Pix, le boleto (bordereau bancaire brésilien) et les adresses de portefeuille crypto, la documentation publique d’Imperva ne décrit pas de vérification de ce que l’acheteur voit réellement. Proteside enregistre ce que votre serveur a émis pour chaque transaction et le compare avec ce qui est affiché et ce qui est copié à chaque session. En cas de différence, la confirmation s’arrête avant d’avoir lieu et la tentative est consignée comme alerte et comme preuve.
Le même script conserve l’inventaire des scripts, protège le formulaire de carte et stocke l’historique qu’exigent les points 6.4.3 et 11.6.1. L’installation est une ligne de code sur la page de paiement, sur n’importe quelle plateforme, avec ou sans WAF devant.
Comment chacun s’installe dans votre opération
Imperva Client-Side Protection
- Activation en un clic dans Imperva Cloud Application Security ; aucune modification de code sur la page.
- Démarre en mode Discovery, qui inventorie les services et alerte sur les nouveaux et sur les transferts de données ; la politique bloque ensuite tout ce qui n’est pas encore autorisé.
- Alertes par e-mail, API et SIEM ; configuration également disponible via Terraform.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme, ou une seule intégration dans le modèle de la plateforme ou du prestataire de paiement.
- Chaque session de paiement est vérifiée : QR codes, identifiants de compte, lignes de boleto, adresses de portefeuille et champs de carte, par rapport à ce que le serveur a émis.
- Blocage avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook. Fonctionne aux côtés de n’importe quel CDN ou WAF.
Quand choisir l’un ou l’autre
Imperva Client-Side Protection a du sens quand
- Votre site tourne déjà sur Imperva Cloud Application Security et l’équipe sécurité veut la politique de scripts dans la console qu’elle exploite déjà.
- Votre règle interne est de retenir toute nouveauté jusqu’à ce que quelqu’un l’approuve, et la carte est le moyen de paiement de la page.
- La configuration de sécurité vit dans Terraform et la politique de scripts doit suivre le même flux de travail.
Proteside a du sens quand
- La page accepte des paiements instantanés comme UPI, PayNow, PromptPay ou DuitNow, le boleto ou la crypto, et vous avez besoin que le bénéficiaire affiché soit vérifié.
- Le site est sur un autre CDN, sur votre propre CDN ou sans CDN, et vous ne voulez pas changer la manière dont le trafic est livré pour protéger le paiement.
- Vous voulez protection et preuves pour les exigences 6.4.3 et 11.6.1 en une seule installation, en quelques minutes, sans projet.
Les deux ensemble
Une entreprise déjà sur Imperva Cloud Application Security peut conserver la politique de scripts d’Imperva et ajouter Proteside sur la page de paiement pour vérifier le paiement lui-même. Proteside apparaît comme un service de plus dans l’inventaire d’Imperva : autorisez-le une fois et les deux s’exécutent sur la même page.
Questions fréquentes
Imperva Client-Side Protection couvre-t-il Pix, le boleto ou les QR codes ?
Pas dans les informations publiques examinées en octobre 2026. Le matériel d’Imperva décrit les services JavaScript, les données saisies dans les formulaires et les en-têtes de sécurité ; Pix, le boleto (bordereau bancaire brésilien) et les QR codes de paiement ne sont pas mentionnés.
Peut-on utiliser Imperva Client-Side Protection et Proteside ensemble ?
Oui. Proteside est un script sur la page de paiement et apparaît dans l’inventaire d’Imperva comme un service à autoriser. Ensuite, Imperva continue de gouverner les scripts et Proteside vérifie le paiement. Aucun des deux ne modifie un paiement légitime.
Dois-je être sur le WAF Imperva pour utiliser Client-Side Protection ?
La documentation publique décrit une activation dans Imperva Cloud Application Security et ne décrit pas d’autre voie d’installation. Proteside s’installe avec une ligne de code sur n’importe quel site, derrière n’importe quel CDN ou WAF, y compris celui d’Imperva.
Le modèle « bloqué jusqu’à autorisation » d’Imperva gêne-t-il le paiement ?
Le matériel d’Imperva décrit un mode Discovery initial qui ne fait qu’inventorier et alerter, avant que la politique ne commence à bloquer ce qui n’a pas été autorisé. Proteside emprunte une autre voie : les scripts connus sont autorisés et le contenu du paiement est vérifié à chaque session, sans qu’aucun nouveau service ne soit retenu par défaut.
Comment essayer Proteside sans toucher à Imperva ?
Inscrivez-vous à l’essai gratuit de quatorze jours, ajoutez une ligne de code à la page de paiement et autorisez le script dans l’inventaire d’Imperva. En quelques minutes, le tableau de bord Proteside affiche les scripts de la page, ses moyens de paiement et les éventuelles tentatives bloquées.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.