Source Defense vs Proteside : bloquer les scripts ou vérifier le paiement ?
Par Laís Peixoto
Growth Marketer, Proteside
Publié le
Source Defense empêche les scripts tiers de lire les données de carte sur la page de paiement, avec un blocage en temps réel, et permet aux acquéreurs de diffuser cette protection via le SDK qu’ils livrent déjà. Proteside inventorie aussi les scripts, puis vérifie que le QR, le compte, la ligne de boleto ou l’adresse de portefeuille affichés correspondent à ce que le vendeur a émis, et bloque la substitution avant la confirmation.
Côte à côte
- Comment il se décrit
- Sécurité côté client pour les sites web, décrite par l’entreprise comme créatrice de la catégorie ; Protect prévient, Detect surveille, Acquirer Protect distribue la protection via les acquéreurs et les prestataires de paiement.
- Siège
- Rosh Ha’ayin, Israël, et Stamford, Connecticut, États-Unis. Fondée en 2014.
- Comment il s’installe sur le site
- Deux lignes de code sur le site, les scripts tiers étant traités comme non fiables par défaut ; le site indique une mise en service en 24 heures et environ deux heures de gestion par mois.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers et de quatrième partie, leur comportement sur la page et leur accès aux données saisies dans le formulaire de carte.
- PCI DSS
- Exigence 6.4.3 citée pour Acquirer Protect et dans les ressources pour partenaires QSA, avec des rapports de conformité. Principal Participating Organization du PCI SSC, selon la liste publique du conseil.
Source Defense Protect e Detect
- Comment il se décrit
- Couche de cybersécurité pour le moment du paiement : intégrité de ce que l’acheteur voit, copie et confirme.
- Siège
- São Paulo, Brésil. En activité depuis 2026.
- Comment il s’installe sur le site
- Une ligne de code sur la page de paiement, ou une intégration dans le modèle de la plateforme ou du prestataire de paiement. Pas de proxy, pas de changement de DNS ni de CDN.
- Ce qu’il vérifie sur la page de paiement
- Scripts tiers, formulaire de carte, QR code et clé Pix, ligne du boleto (bordereau bancaire brésilien), adresse de portefeuille crypto et QR codes de huit systèmes de paiement instantané, comparés à ce que le commerçant a émis.
- PCI DSS
- Preuves pour les exigences 6.4.3 et 11.6.1 de PCI DSS, avec un rapport exportable pour le QSA.
Proteside
Critère par critère
Les marques reposent sur la documentation publique de chaque éditeur. Survolez ou touchez une marque pour lire la légende.
| Source Defense | Proteside | |
|---|---|---|
| Ce qui est vérifié sur l’écran du payeur | ||
| Inventaire et autorisation des scripts de la page de paiementLa base de l’exigence 6.4.3 : savoir ce qui s’exécute sur la page et autoriser chaque script. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Données de carte saisies dans le formulaireEmpêcher un script de copier le numéro, la date d’expiration et le code de sécurité. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| QR code Pix et code copier-coller (Brésil)La fraude la plus courante des paiements en ligne au Brésil : le QR code affiché mène vers un autre compte. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Ligne de paiement du boleto (bordereau bancaire brésilien)Une ligne substituée paie un autre bénéficiaire pour le même montant. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| QR codes des systèmes de paiement instantané du monde entier (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)La même substitution que pour Pix, sur huit systèmes de paiement instantané. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Adresse de portefeuille stablecoin et crypto, y compris lors de la copieUne adresse de portefeuille substituée à l’écran ou dans le presse-papiers est irréversible. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Compare ce qui est à l’écran avec ce que le commerçant a émis et bloque la substitution avant la confirmationLa vérification qui définit l’intégrité du paiement : bénéficiaire et montant identiques à ce qui a été émis. | Non trouvé dans les informations publiques | Décrit dans la documentation publique |
| Comment il protège | ||
| Bloque les scripts non autorisés dans le navigateur de l’acheteurDétecter après coup ne ramène pas les données copiées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Observe les sessions réelles des acheteursLes fraudes ciblées n’apparaissent pas dans les visites simulées. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Fonctionne sans changer de CDN, de DNS ni de proxyS’installe sur n’importe quelle plateforme avec une ligne de code. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Conformité PCI DSS | ||
| Preuves pour l’exigence 6.4.3 de PCI DSSInventaire, autorisation et intégrité des scripts. | Décrit dans la documentation publique | Décrit dans la documentation publique |
| Preuves pour l’exigence 11.6.1 de PCI DSSModifications non autorisées de la page et de ses en-têtes. | Non trouvé dans les informations publiques1 | Décrit dans la documentation publique |
| Rapport exportable pour l’évaluateur (QSA)Les preuves doivent sortir du tableau de bord et arriver jusqu’à l’évaluation. | Décrit dans la documentation publique | Décrit dans la documentation publique |
- Décrit dans la documentation publique
- Décrit avec une limite (optionnel, échantillonné, nécessite une action humaine ou disponible dans un seul niveau d’offre)
- Non trouvé dans les informations publiques
- L’éditeur déclare ne pas le faire
Notes sur les marques
- 1Preuves pour l’exigence 11.6.1 de PCI DSS: Les pages produit publiques citent l’exigence 6.4.3 (pour Acquirer Protect et dans les ressources pour partenaires QSA) et décrivent des rapports de conformité PCI DSS. L’exigence 11.6.1, qui couvre les modifications non autorisées de la page et de ses en-têtes, n’apparaît pas nommément dans le matériel vérifié en octobre 2026. La marque est donc « non trouvé dans les informations publiques » et non « ne le fait pas ».
Où Source Defense se distingue
Distribution via les acquéreurs et prestataires
Acquirer Protect apporte la protection à tout un portefeuille de commerçants via le SDK que l’acquéreur, le prestataire de paiement ou la plateforme livre déjà, sans installation boutique par boutique.
Participation au plus haut niveau du PCI SSC
Source Defense figure sur la liste publique du conseil comme Principal Participating Organization, le niveau de participation le plus élevé.
Exploitation légère une fois installé
Le site décrit Protect comme demandant environ deux heures de gestion par mois, avec des politiques non fiables par défaut, affinées au fil du temps.
Échelle déclarée
Plus de 1 000 marques et 1,2 milliard de pages vues par mois protégées, selon le site de l’entreprise, après dix ans d’ingénierie consacrée au côté client.
Ce que Proteside vérifie et que le matériel de Source Defense ne mentionne pas
Un magasin d’électronique à Bangalore affiche un QR UPI pour un ordinateur portable à 84 000 roupies. L’acheteur le scanne avec une application bancaire et paie. Un script injecté dans la page avait remplacé le QR par un autre pointant vers un identifiant UPI différent, même montant. Aucune donnée de carte n’a quitté la page ; l’argent est parti vers le mauvais compte, et le magasin l’apprend quand la commande ne se rapproche jamais.
Source Defense répond au problème de la carte : scripts tiers non fiables par défaut, tenus à l’écart du formulaire, avec un blocage en temps réel dans Protect. Pour UPI, PromptPay, PayNow, le boleto (bordereau bancaire brésilien) et les portefeuilles crypto, les pages produit publiques ne décrivent pas de vérification de ce que l’acheteur voit. Proteside enregistre ce que votre serveur a émis (QR, identifiant de compte, ligne de boleto, adresse de portefeuille, montant) et le compare avec ce qui est affiché et ce qui est copié, à chaque session. En cas de divergence, la confirmation est bloquée et la tentative est consignée comme alerte et comme preuve.
L’inventaire des scripts et la protection du formulaire de carte sont dans la même installation, avec l’historique des modifications qu’exigent les points 6.4.3 et 11.6.1 et un rapport prêt pour le QSA. Une ligne de code surveille les scripts et vérifie le paiement.
Comment chacun s’installe dans votre opération
Source Defense
- Deux lignes de code sur le site ; le matériel indique une mise en service en 24 heures.
- Scripts tiers traités comme non fiables par défaut, avec des politiques affinées au fil du temps par votre équipe.
- Protect bloque en temps réel ; Detect surveille et alerte uniquement, avec des données disponibles via une API, des alertes et une console. Les acquéreurs et prestataires le distribuent via leur SDK existant.
Proteside
- Une ligne de code sur la page de paiement, sur n’importe quelle plateforme, ou une seule intégration dans le modèle de la plateforme ou du prestataire de paiement.
- Chaque transaction est enregistrée côté serveur et vérifiée à chaque session, sans échantillonnage.
- Blocage automatique avant la confirmation ; tableau de bord, API et alertes par e-mail, Slack, Teams et webhook.
Quand choisir l’un ou l’autre
Source Defense a du sens quand
- Vous êtes un acquéreur, un prestataire de paiement ou une plateforme et vous voulez diffuser la protection des scripts à tout votre portefeuille de commerçants via le SDK que vous livrez déjà.
- La carte est le seul moyen de paiement et la priorité est de tenir les scripts tiers à l’écart du formulaire avec peu d’exploitation mensuelle.
- Votre équipe sécurité veut commencer par la surveillance et les alertes seules (Detect), en consommant les données via une API, avant d’activer le blocage.
Proteside a du sens quand
- Votre page de paiement accepte UPI, PromptPay, PayNow, DuitNow, FPS, le boleto ou la crypto.
- Vous avez besoin que la substitution du bénéficiaire soit bloquée dans la session même de l’acheteur, avant la confirmation.
- Vous voulez des preuves pour les exigences 6.4.3 et 11.6.1, en-têtes compris, à partir d’une seule installation et sans changer de CDN.
Les deux ensemble
Un commerçant dont l’acquéreur distribue Source Defense via son SDK peut conserver cette protection du formulaire de carte et ajouter Proteside à la page de paiement pour vérifier les paiements instantanés, les boletos et les adresses de portefeuille. Les deux scripts sont indépendants ; Proteside ne touche pas aux politiques d’un autre outil.
Questions fréquentes
Source Defense couvre-t-il UPI, PromptPay, PayNow, les boletos ou les QR codes de paiement ?
Non trouvé dans les informations publiques vérifiées en octobre 2026. Les pages produit décrivent les scripts tiers, les données saisies dans le formulaire de carte et les rapports de conformité.
Peut-on utiliser Source Defense et Proteside ensemble ?
Oui. Ce sont deux scripts indépendants sur la page de paiement. Proteside vérifie les données de paiement et les scripts sans modifier les paiements légitimes ni les politiques d’un autre outil.
Quelle est la différence entre Protect et Detect ?
Selon le site de Source Defense, Protect bloque en temps réel l’accès non autorisé des scripts aux données, tandis que Detect surveille et alerte sans bloquer. Proteside bloque par défaut à chaque session et consigne la tentative.
Je suis acquéreur ou prestataire de paiement. Lequel distribuer à mes commerçants ?
Les deux décrivent une distribution via un prestataire. Acquirer Protect utilise le SDK que l’acquéreur livre déjà et se concentre sur les données de carte. Proteside s’intègre en une seule fois dans le modèle de la plateforme ou du prestataire et vérifie aussi UPI, PromptPay, PayNow, les boletos et la crypto.
Source Defense et Proteside répondent-ils à l’exigence 11.6.1 de PCI DSS ?
Proteside produit des preuves pour les exigences 6.4.3 et 11.6.1, avec surveillance des en-têtes et rapport pour le QSA. Les pages publiques de Source Defense citent la 6.4.3 ; la 11.6.1 n’apparaît pas dans le matériel vérifié.
Voyez Proteside vérifier votre page de paiement
Quatorze jours gratuits, une ligne de code, tous les moyens de paiement de votre page.