SecurityMetrics vs Proteside : analyser la page de l’extérieur, ou vérifier chaque paiement ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
SecurityMetrics Shopping Cart Monitor analyse votre page de paiement de l’extérieur à intervalles et classe les preuves pour les exigences 6.4.3 et 11.6.1 dans le portail PCI où vous remplissez votre SAQ. Proteside s’exécute dans la page, à chaque session d’acheteur, vérifie que le QR code, les coordonnées de compte ou l’adresse de portefeuille affichés correspondent à ce que vous avez émis, et bloque toute substitution avant la confirmation.
Côte à côte
- Comment il se décrit
- Surveillance de la page de paiement pour les exigences 6.4.3 et 11.6.1 (Shopping Cart Monitor), par une entreprise qui opère comme QSA, ASV et PFI ; Shopping Cart Inspect est son inspection forensique menée par des humains.
- Siège
- Orem, Utah, États-Unis. Fondée en 2000.
- Comment il s’installe sur le site
- Aucun code sur votre site : un système externe simule le parcours d’achat à intervalles, avec des analyses lancées manuellement ou selon un calendrier automatique selon la configuration. Version 2.0 publiée en mars 2025.
- Ce qu’il vérifie sur la page de paiement
- Inventaire des scripts statiques et dynamiques avec justification, modifications de contenu et d’en-têtes, alertes 24h/24 et 7j/7 et journal exportable pour l’évaluateur.
- PCI DSS
- Exigences 6.4.3 et 11.6.1, intégrées au portail PCI de SecurityMetrics (questionnaire SAQ et scans ASV).
SecurityMetrics Shopping Cart Monitor
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| SecurityMetrics | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)1 | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | L’éditeur déclare ne pas le faire2 | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | L’éditeur déclare ne pas le faire3 | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Décrit dans la documentation publique | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Données de carte saisies dans le formulaire: Le matériel public décrit une détection des scripts et des modifications fondée sur des visites simulées de la page de paiement ; il ne décrit aucune action dans le navigateur de l’acheteur pendant la saisie des données de carte.
- 2Bloque les scripts non autorisés dans le navigateur de l’acheteur: SecurityMetrics écrit que Shopping Cart Monitor a été conçu pour la détection, pas pour la prévention, et cite CSP et le blocage des scripts comme hors du produit.
- 3Observe les sessions réelles des acheteurs: L’outil est décrit comme sans agent : un système externe simule le parcours d’achat à intervalles. Selon sa propre description, il ne suit pas la session de chaque acheteur réel.
Où SecurityMetrics se distingue
L’éditeur est lui-même évaluateur
SecurityMetrics opère comme QSA, ASV et PFI. Le moniteur vient d’une entreprise dont le métier est d’auditer les commerçants, de réaliser des scans de vulnérabilités et d’enquêter sur les compromissions de cartes.
Les preuves à côté du questionnaire
Les journaux de Shopping Cart Monitor se trouvent à côté du SAQ et des scans ASV dans un seul portail, ce qui regroupe les documents pour les commerçants déjà évalués là.
Inspection forensique sur demande
Shopping Cart Inspect ajoute une revue par un spécialiste du panier en cas de suspicion de compromission, ce que peu d’outils de surveillance associent à leur produit.
Rien à installer
L’approche sans agent convient aux commerçants qui ne peuvent pas ajouter de code à la page de paiement, y compris les boutiques sur des plateformes verrouillées.
Ce que Proteside vérifie et que le matériel de SecurityMetrics ne mentionne pas
Un magasin de meubles à Bangalore affiche un QR code UPI pour une commande de 48 000 roupies. L’acheteuse le scanne avec son application bancaire et paie en quelques secondes. Un widget d’avis compromis avait remplacé le QR code par un autre portant le même montant et un bénéficiaire différent, mais seulement pour les acheteurs venant d’une campagne publicitaire précise. L’argent est parti, la commande ne se règle jamais, et le magasin l’apprend deux jours plus tard. Une analyse externe qui a visité la page à 3 heures du matin a vu un QR code parfaitement normal, parce que la substitution ne s’est jamais exécutée lors de cette visite.
SecurityMetrics est clair sur ce qu’il fournit : un inventaire des scripts avec justification, la détection des modifications de contenu et d’en-têtes, des alertes et un journal exportable pour l’évaluateur, le tout collecté de l’extérieur à intervalles. Pour UPI, PromptPay, PayNow, DuitNow, FPS, le Pix et le boleto (bordereau bancaire brésilien) du Brésil, et les portefeuilles de stablecoins, la documentation publique ne décrit pas de vérification de ce que l’acheteur voit réellement. Proteside enregistre ce que votre serveur a émis (contenu du QR, identifiant de compte, adresse de portefeuille, montant) et le compare avec ce qui est affiché et copié à chaque session. En cas de différence, la confirmation est bloquée et la tentative devient une alerte et un élément de preuve.
Les champs du formulaire de carte et les scripts tiers sont couverts par la même installation, avec l’inventaire et l’historique des modifications qu’exigent les points 6.4.3 et 11.6.1. Une ligne de code produit les preuves pour l’évaluateur et protège le paiement lui-même, y compris pour l’acheteur qui arrive entre deux analyses.
Comment chacun s’installe dans votre opération
SecurityMetrics
- Enregistrez vos pages de paiement dans le portail PCI de SecurityMetrics ; aucun code sur le site.
- Une analyse externe simule le parcours d’achat, lancée manuellement ou selon un calendrier automatique selon la configuration dont vous disposez.
- Alertes 24h/24 et 7j/7, une justification pour chaque script et un journal exportable, dans le même portail que le SAQ et les scans ASV.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme, ou une seule intégration dans le modèle de la plateforme ou du prestataire de paiement.
- Vérification à chaque session réelle, du premier acheteur de la journée au dernier, sans intervalle entre les visites.
- Blocage automatique avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
SecurityMetrics a du sens quand
- Votre évaluation PCI DSS passe déjà par SecurityMetrics et vous voulez les preuves 6.4.3 et 11.6.1 dans le même portail.
- Vous ne pouvez ajouter aucun code à la page de paiement et une détection avec revue humaine est acceptable.
- Vous voulez une équipe forensique disponible pour enquêter sur une suspicion de compromission du panier, au-delà du moniteur lui-même.
Proteside a du sens quand
- Vous acceptez UPI, PromptPay, PayNow, DuitNow, FPS, Pix, le boleto ou les stablecoins et devez vérifier ce que l’acheteur voit.
- Une substitution du bénéficiaire ou une copie de carte doit être bloquée dans la session où elle se produit, pas signalée après la prochaine analyse.
- Vous voulez protection et preuves 6.4.3 et 11.6.1 en une seule installation, indépendante du portail de tout évaluateur.
Les deux ensemble
Un commerçant qui remplit le SAQ et réalise ses scans ASV avec SecurityMetrics peut conserver Shopping Cart Monitor comme preuve externe et ajouter Proteside sur la page pour vérifier chaque paiement et bloquer les substitutions dans les sessions réelles. La surveillance externe continue de voir la page de l’extérieur, et Proteside laisse les paiements légitimes intacts.
Questions fréquentes
SecurityMetrics couvre-t-il Pix, le boleto ou les QR codes ?
Pas dans les informations publiques examinées en octobre 2026. Le matériel de Shopping Cart Monitor décrit les scripts, les modifications de contenu et d’en-têtes de la page de paiement, avec les données de carte comme priorité.
Peut-on utiliser SecurityMetrics et Proteside ensemble ?
Oui. Shopping Cart Monitor observe la page de l’extérieur et n’a besoin d’aucun code ; Proteside est un script sur la page elle-même. Aucun n’interfère avec l’autre, de sorte qu’un commerçant peut conserver les preuves dans le portail SecurityMetrics pendant que Proteside bloque les substitutions à chaque session.
Que veut dire SecurityMetrics par « conçu pour la détection, pas pour la prévention » ?
Ce sont les mots de l’entreprise elle-même pour Shopping Cart Monitor : il identifie les nouveaux scripts et les modifications et alerte le commerçant ; arrêter un script pendant que l’acheteur est sur la page est en dehors de ce que le produit se propose de faire. Le blocage dans les sessions réelles est ce que Proteside ajoute.
Des analyses à intervalles satisfont-elles les exigences 6.4.3 et 11.6.1 ?
Selon sa documentation publique, SecurityMetrics fournit un inventaire avec justification, une détection des modifications et un journal pour l’évaluateur, ce que demandent les deux exigences. La différence se situe entre deux analyses : Proteside suit chaque acheteur, de sorte qu’une attaque visant une seule session apparaît aussi.
Proteside produit-il le type de preuves qu’un QSA attend ?
Proteside exporte l’inventaire des scripts, les autorisations et l’historique des modifications de la page et de ses en-têtes sous forme de rapport pour le QSA. Il ne remplace pas l’évaluation elle-même, qui reste du ressort de l’évaluateur que vous choisissez, SecurityMetrics compris.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.