Reflectiz vs Proteside : une visite planifiée de l’extérieur, ou une vérification dans chaque achat ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
Reflectiz surveille les pages de paiement de l’extérieur : un navigateur automatisé visite les URL selon un calendrier, sans code, et produit l’inventaire et les preuves demandés par PCI DSS. Proteside s’exécute dans la page à chaque session, vérifie que le QR code, l’identifiant de compte, la ligne de boleto ou l’adresse de portefeuille correspondent à ce que le serveur a émis, et bloque la substitution avant la confirmation.
Côte à côte
- Comment il se décrit
- Plateforme de gestion de l’exposition web (Security Hub, Privacy Hub, Offensive Hub) ; le PCI Module prend en charge les pages de paiement.
- Siège
- Tel Aviv, Israël, avec des bureaux à Boston et Sydney. L’année de fondation n’est pas indiquée sur le site officiel.
- Comment il s’installe sur le site
- Navigateur automatisé en bac à sable qui visite les URL fournies par le client selon un calendrier configurable, sans code sur le site. Le blocage utilise un script inactif activé depuis la console.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers et de quatrième partie (y compris dans les iframes), approbation et justification par script, en-têtes de réponse HTTP et contenu de la page de paiement.
- PCI DSS
- Exigences 6.4.3 et 11.6.1 avec export de preuves à la demande pour le QSA. Principal Participating Organization du PCI SSC, selon son propre site.
Reflectiz PCI Module
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| Reflectiz | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)3 | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)2 | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | L’éditeur déclare ne pas le faire1 | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Décrit dans la documentation publique | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Observe les sessions réelles des acheteurs: Reflectiz décrit sa propre approche comme distante et sans agent : un navigateur automatisé visite les pages selon un calendrier, sans code installé. Le site parle de simuler l’activité d’un utilisateur plutôt que d’observer les sessions réelles des acheteurs.
- 2Bloque les scripts non autorisés dans le navigateur de l’acheteur: Le matériel public décrit l’Idle Blocking Script : une balise qui reste inactive jusqu’à ce que l’équipe sécurité demande un blocage depuis la console, moment où elle exclut un domaine via une politique CSP. La page elle-même le résume ainsi : la surveillance à distance détecte et le blocage à la demande répond.
- 3Données de carte saisies dans le formulaire: L’inventaire et les alertes couvrent les scripts qui touchent la page de paiement, y compris dans les iframes. Réagir à un script qui copie des données de carte dépend d’une visite planifiée qui le découvre et d’une personne qui déclenche le blocage du domaine ; le site ne décrit pas de blocage automatique dans le navigateur de l’acheteur.
Où Reflectiz se distingue
Rien à installer sur la page
Reflectiz décrit le PCI Module comme fonctionnant entièrement à distance. Le client fournit les URL des pages de paiement, et le site indique que la plupart des organisations sont opérationnelles en 24 heures.
Approbation des scripts à grande échelle
Smart Approval valide les scripts dont le comportement correspond à des schémas déjà acceptés, Bulk Approval applique une décision à de nombreux sites, et une IA intégrée rédige une justification par script que les réviseurs acceptent ou modifient.
Confidentialité et tests offensifs sur une seule plateforme
Au-delà du PCI Module, le Privacy Hub couvre le RGPD, le CCPA et HIPAA, et l’Offensive Hub inclut des tests d’intrusion pilotés par des agents.
Un siège au PCI SSC
Le site indique que Reflectiz contribue aux Technology Guidance Groups du PCI SSC et au développement de la norme elle-même.
Ce que Proteside vérifie et que le matériel de Reflectiz ne mentionne pas
Un commerçant à Bangkok affiche un QR code PromptPay de 2 400 bahts. L’acheteuse ouvre son application bancaire, scanne et paie. Si une extension de navigateur sur son ordinateur portable a remplacé ce QR code par un autre pointant vers un autre compte, le navigateur automatisé qui a visité la page de paiement à 3 heures du matin ne l’a jamais vu. La substitution n’existait que dans sa session, uniquement pour elle.
Reflectiz est transparent sur sa conception : un navigateur en bac à sable simule l’activité d’un utilisateur, la visite se répète selon un calendrier, et le site indique que Reflectiz n’a accès ni aux données de paiement ni aux données de session. Proteside travaille de l’autre côté. Il enregistre ce que votre serveur a émis (QR code, identifiant UPI, ligne de boleto, adresse de portefeuille, montant), le compare avec ce que l’acheteur voit et copie dans chaque session réelle, et bloque la confirmation quand les deux diffèrent.
La même ligne de code conserve l’inventaire des scripts, surveille le formulaire de carte et stocke l’historique des modifications qu’exigent les points 6.4.3 et 11.6.1. Un script non autorisé est bloqué dans le navigateur de l’acheteur, sans que personne n’ouvre d’abord une console.
Comment chacun s’installe dans votre opération
Reflectiz
- Vous fournissez les URL des pages de paiement ; aucun code n’est ajouté au site.
- Un navigateur automatisé en bac à sable visite les pages selon un calendrier configurable et répète la vérification.
- Pour bloquer, l’Idle Blocking Script est activé depuis la console et exclut le domaine choisi via CSP ; un retour arrière en un clic l’annule.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme, ou une seule intégration dans le modèle de la plateforme ou du prestataire.
- Une vérification à chaque session de chaque acheteur, sans calendrier ni visite simulée.
- Blocage automatique avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
Reflectiz a du sens quand
- La politique interne exclut tout nouveau script sur la page de paiement et l’équipe accepte une détection suivie d’une revue humaine.
- Vous gérez des dizaines de pages de paiement par carte et voulez une approbation groupée des scripts avec des justifications rédigées par IA, prêtes pour l’auditeur.
- La confidentialité (RGPD, CCPA, HIPAA) et les tests offensifs relèvent du même programme de sécurité web.
Proteside a du sens quand
- Vous acceptez UPI, PromptPay, PayNow, DuitNow, FPS, le Pix ou le boleto brésiliens, ou les portefeuilles crypto.
- Vous avez besoin que la substitution du bénéficiaire soit bloquée dans la session où elle se produit, sans attendre la prochaine visite planifiée.
- Vous voulez protection et preuves 6.4.3 et 11.6.1 à partir d’une seule installation, avec une ligne de code.
Les deux ensemble
Un groupe qui utilise Reflectiz pour inventorier de nombreux sites de l’extérieur peut conserver cette cartographie et ajouter Proteside sur la page de paiement pour vérifier chaque achat. Le navigateur de Reflectiz listera le script Proteside comme un élément d’inventaire de plus, prêt à être approuvé.
Questions fréquentes
Reflectiz couvre-t-il Pix, les boletos ou les QR codes ?
Pas dans les informations publiques que nous avons examinées en octobre 2026. Le matériel de Reflectiz décrit les scripts, les iframes, les en-têtes HTTP et le contenu de la page de paiement.
Peut-on utiliser Reflectiz et Proteside ensemble ?
Oui. Reflectiz observe de l’extérieur sans code ; Proteside s’exécute dans la page. Le script Proteside apparaît dans l’inventaire de Reflectiz comme n’importe quel autre, et Proteside ne modifie jamais un paiement légitime.
Qu’est-ce que l’Idle Blocking Script de Reflectiz ?
Selon le site de Reflectiz, c’est une balise qui reste inactive sur la page jusqu’à ce que l’équipe demande un blocage depuis la console. Une fois activée, elle injecte une politique CSP qui exclut le domaine choisi. Chez Proteside, le blocage des scripts non autorisés est automatique et se produit dans le navigateur de l’acheteur.
Une surveillance sans code satisfait-elle les exigences 6.4.3 et 11.6.1 ?
Reflectiz décrit un inventaire, une autorisation, des alertes sur les en-têtes et un export de preuves, et rapporte que les QSA de ses clients ont accepté l’approche. Proteside produit les mêmes preuves à partir des sessions réelles, y compris un enregistrement de ce qui a été bloqué.
Reflectiz détecte-t-il une fraude qui n’apparaît qu’à un seul acheteur ?
Le site de Reflectiz décrit des visites simulées selon un calendrier et indique qu’il n’a pas accès aux données de session. Un QR code ou un identifiant de compte substitué par une extension dans le navigateur d’un client se produit en dehors de ces visites. Proteside le vérifie à chaque session.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.