Cloudflare Page Shield vs Proteside: pemantauan skrip dari edge, atau semakan pembayaran di skrin?
Oleh Laís Peixoto
Growth Marketer, Proteside
Diterbitkan
Cloudflare Client-Side Security, dikenali sebagai Page Shield sehingga Mac 2026, memantau skrip, sambungan dan kuki di laman yang diproksi melalui Cloudflare, tanpa apa-apa untuk dipasang. Proteside ialah satu baris kod di mana-mana checkout yang menyemak, dalam setiap sesi, sama ada kod QR, alamat dompet dan medan kad di skrin sepadan dengan apa yang dikeluarkan peniaga.
Bersebelahan
- Cara ia menggambarkan dirinya
- Ciri keselamatan sisi klien di dalam platform Cloudflare. Page Shield sehingga 25 Mac 2026, Client-Side Security sejak itu; pakej lanjutan dipanggil Client-Side Security Advanced.
- Ibu pejabat
- San Francisco, Amerika Syarikat. Tahun penubuhan tidak dinyatakan di halaman syarikat yang dirujuk.
- Cara ia masuk ke laman
- Tiada skrip sendiri. Proksi Cloudflare menambah pengepala CSP laporan sahaja pada sampel respons HTML dan membina inventori daripada laporan yang dihantar balik pelayar. Memerlukan trafik laman diproksi melalui Cloudflare.
- Apa yang disemak di halaman pembayaran
- Skrip, sambungan yang dibukanya dan kuki, dengan halaman tempat setiap sumber mula-mula muncul. Pengesanan skrip berniat jahat dan pengesanan perubahan kod dalam pakej lanjutan.
- PCI DSS
- Dokumentasi menyatakan ciri ini boleh digunakan untuk keperluan 6.4.3 dan 11.6.1 dan Client-Side Security Advanced diperlukan untuk itu. Penyenaraian PCI SSC tidak disebut dalam sumber yang dirujuk.
Cloudflare Client-Side Security (antes Page Shield)
- Cara ia menggambarkan dirinya
- Lapisan keselamatan siber untuk saat pembayaran: integriti apa yang dilihat, disalin dan disahkan oleh pembeli.
- Ibu pejabat
- São Paulo, Brazil. Beroperasi sejak 2026.
- Cara ia masuk ke laman
- Satu baris kod di halaman pembayaran, atau integrasi dalam templat platform atau penyedia pembayaran. Tiada proksi, tiada perubahan DNS atau CDN.
- Apa yang disemak di halaman pembayaran
- Skrip pihak ketiga, borang kad, kod QR dan kunci Pix, baris boleto (slip bank Brazil), alamat dompet kripto dan kod QR lapan sistem pembayaran segera, dipadankan dengan apa yang dikeluarkan peniaga.
- PCI DSS
- Bukti untuk keperluan PCI DSS 6.4.3 dan 11.6.1, dengan laporan boleh eksport untuk QSA.
Proteside
Kriteria demi kriteria
Tanda berdasarkan dokumentasi awam setiap vendor. Tuding atau ketik tanda untuk membaca legenda.
| Cloudflare Page Shield | Proteside | |
|---|---|---|
| Apa yang disemak di skrin pembayar | ||
| Inventori dan kebenaran skrip di halaman pembayaranAsas keperluan 6.4.3: mengetahui apa yang berjalan di halaman dan membenarkan setiap skrip. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)1 | Diterangkan dalam dokumentasi awam |
| Butiran kad yang ditaip ke dalam borangMenghalang skrip daripada menyalin nombor, tarikh luput dan kod keselamatan. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)2 | Diterangkan dalam dokumentasi awam |
| Kod QR Pix dan kod salin-dan-tampal (Brazil)Penipuan checkout paling lazim di Brazil: kod QR yang dipaparkan membawa ke akaun lain. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Baris pembayaran boleto (slip bank Brazil)Baris yang ditukar membayar penerima lain dengan amaun yang sama. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Kod QR sistem pembayaran segera di seluruh dunia (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Penggantian yang sama seperti Pix, merentas lapan sistem pembayaran segera. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Alamat dompet stablecoin dan kripto, termasuk ketika disalinAlamat dompet yang ditukar di skrin atau dalam papan keratan tidak boleh dipulihkan. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Memadankan apa yang ada di skrin dengan apa yang dikeluarkan peniaga dan menyekat penggantian sebelum pengesahanSemakan yang mentakrifkan integriti pembayaran: penerima dan amaun sama dengan yang dikeluarkan. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Cara ia melindungi | ||
| Menyekat skrip tanpa kebenaran dalam pelayar pembeliMengesan selepas kejadian tidak mengembalikan data yang sudah disalin. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)3 | Diterangkan dalam dokumentasi awam |
| Memerhati sesi pembeli sebenarPenipuan bersasar tidak muncul dalam lawatan simulasi. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)4 | Diterangkan dalam dokumentasi awam |
| Berfungsi tanpa menukar CDN, DNS atau proksiMasuk ke mana-mana platform dengan satu baris kod. | Vendor menyatakan ia tidak melakukan perkara ini5 | Diterangkan dalam dokumentasi awam |
| Pematuhan PCI DSS | ||
| Bukti untuk keperluan PCI DSS 6.4.3Inventori, kebenaran dan integriti skrip. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)6 | Diterangkan dalam dokumentasi awam |
| Bukti untuk keperluan PCI DSS 11.6.1Perubahan tanpa kebenaran pada halaman dan pengepalanya. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)7 | Diterangkan dalam dokumentasi awam |
| Laporan boleh eksport untuk penilai (QSA)Bukti mesti keluar dari papan pemuka dan sampai ke penilaian. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
- Diterangkan dalam dokumentasi awam
- Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)
- Tidak ditemui dalam maklumat awam
- Vendor menyatakan ia tidak melakukan perkara ini
Nota tentang tanda
- 1Inventori dan kebenaran skrip di halaman pembayaran: Dokumentasi menggambarkan inventori sebagai dibina daripada pengepala CSP laporan sahaja yang ditambah pada sampel respons HTML, dan memberi amaran bahawa skrip yang baru dipasang mungkin mengambil masa untuk muncul dalam papan pemuka.
- 2Butiran kad yang ditaip ke dalam borang: Bahan awam meliputi skrip, sambungan dan kuki yang diperhatikan melalui laporan pelayar. Semakan borang kad itu sendiri, dalam pelayar pembeli, tidak diterangkan.
- 3Menyekat skrip tanpa kebenaran dalam pelayar pembeli: Pengepala pemantauan bersifat laporan sahaja dan, dalam kata-kata dokumentasi sendiri, tidak menyekat apa-apa. Sekatan datang daripada peraturan keselamatan kandungan dalam mod benar, tersedia dalam pakej lanjutan, dengan had lima peraturan.
- 4Memerhati sesi pembeli sebenar: Laporan datang daripada pelayar sebenar, tetapi hanya daripada sampel respons yang menerima pengepala; dokumentasi tidak menerangkan liputan setiap sesi.
- 5Berfungsi tanpa menukar CDN, DNS atau proksi: Blog rasmi menyatakan satu-satunya prasyarat ialah trafik diproksi melalui Cloudflare. Laman di CDN lain, atau tanpa proksi, berada di luar skop.
- 6Bukti untuk keperluan PCI DSS 6.4.3: Halaman rujukan PCI DSS menyatakan ciri ini boleh digunakan untuk keperluan 6.4.3 dan Client-Side Security Advanced diperlukan.
- 7Bukti untuk keperluan PCI DSS 11.6.1: Halaman yang sama menyenaraikan keperluan 11.6.1 di bawah syarat yang sama: pakej lanjutan sahaja. Cara bukti diserahkan kepada penilai tidak diterangkan di halaman yang dirujuk.
Di mana Cloudflare Page Shield menonjol
Tiada apa-apa untuk dipasang bagi laman yang sudah di Cloudflare
Pemantauan dihidupkan dalam papan pemuka Cloudflare dan mula mengumpul laporan pelayar tanpa menyentuh kod laman, menurut blog rasmi.
Skrip, sambungan dan kuki dalam satu inventori
Selain skrip, dokumentasi menerangkan perekodan sambungan yang dibuka skrip tersebut dan kuki yang melintasi proksi, dengan halaman tempat setiap sumber mula-mula dilihat.
Risikan ancaman ditambah model bahasa untuk pengesanan
Sejak 3 Mac 2026, skrip mencurigakan dianalisis dengan model bahasa yang berjalan di Workers AI untuk mengurangkan positif palsu; Cloudflare menyatakan data pelanggan tidak digunakan untuk melatih model tersebut.
Penguatkuasaan di edge, tanpa kod
Dalam pakej lanjutan, peraturan keselamatan kandungan menjadi pengepala CSP penguatkuasaan yang menyekat apa sahaja di luar senarai benar, diterapkan pada setiap respons yang sepadan dengan peraturan.
Apa yang disemak Proteside yang tidak disebut dalam dokumentasi Cloudflare
Sebuah pasaran tuisyen di Bangalore mengutip bayaran melalui UPI. Ibu bapa mengetik Bayar, kod QR muncul, mereka mengimbasnya dengan aplikasi perbankan dan wang keluar dalam beberapa saat. Jika sambungan pelayar atau pemalam tema yang diceroboh menukar QR itu dengan yang menunjuk ke akaun lain, amaun yang sama, pembayaran berjaya, pesanan tidak pernah diselesaikan, dan tiada skrip baharu muncul di halaman. Bagi inventori skrip, halaman itu kelihatan tidak berubah.
Client-Side Security memerhati skrip, sambungan dan kuki yang melintasi proksi, dan dokumentasi menerangkannya dengan jelas. Kod QR UPI, PromptPay atau PayNow, alamat dompet USDT dan slip bank Brazil (boleto) tidak muncul dalam bahan awam. Proteside merekodkan apa yang dikeluarkan pelayan peniaga untuk setiap caj dan membandingkannya dengan apa yang dilihat, disalin dan disahkan pembeli, dalam setiap sesi dan bukannya sampel. Jika tidak sepadan, pengesahan disekat dan percubaan itu direkodkan sebagai makluman dan sebagai bukti.
Skrip yang sama juga menginventori skrip pihak ketiga, memerhati borang kad dan menyimpan sejarah perubahan yang dituntut oleh keperluan 6.4.3 dan 11.6.1. Laman di belakang Cloudflare mengekalkan edge-nya seperti sedia ada dan menambah semakan pembayaran di halaman checkout.
Cara setiap satu masuk ke operasi
Cloudflare Page Shield
- Diaktifkan dalam papan pemuka Cloudflare, untuk domain yang trafiknya sudah melalui proksi Cloudflare.
- Pengepala CSP laporan sahaja pada sampel respons; pengepala tidak boleh dimatikan sementara pemantauan dihidupkan.
- Peraturan keselamatan kandungan dalam pakej lanjutan untuk menguatkuasakan senarai benar; makluman dan eksport log melalui platform itu sendiri.
Proteside
- Satu baris kod di halaman pembayaran, di mana-mana platform dan di belakang mana-mana CDN, termasuk Cloudflare.
- Semakan dalam setiap sesi, tanpa pensampelan dan tanpa menunggu skrip baharu muncul.
- Sekatan automatik sebelum pengesahan; papan pemuka, API dan makluman melalui e-mel, Slack, Teams dan webhook.
Bila memilih setiap satu
Cloudflare Page Shield masuk akal apabila
- Laman sudah berjalan melalui Cloudflare, kad ialah kaedah pembayaran dan penilai anda menerima inventori yang dibina melalui pensampelan.
- Anda mahukan keterlihatan skrip, sambungan dan kuki merentas keseluruhan domain, bukan hanya checkout, tanpa menambah kod.
- Pasukan anda sudah mengurus peraturan keselamatan di Cloudflare dan lebih suka menguatkuasakan senarai benar dari edge.
Proteside masuk akal apabila
- Checkout menerima UPI, PromptPay, PayNow, DuitNow, FPS, stablecoin atau Pix dan boleto Brazil.
- Anda perlu menyekat penggantian penerima dalam sesi tempat ia berlaku, untuk setiap pembeli.
- Laman tidak diproksi melalui Cloudflare, atau anda mahukan perlindungan yang sama merentas kedai yang tersebar di beberapa CDN.
Kedua-duanya bersama
Sebahagian besar pelanggan Proteside sudah menggunakan Cloudflare di edge untuk DNS, cache dan mitigasi serangan. Dalam persediaan itu, Client-Side Security terus membina inventori seluruh domain dari proksi, dan Proteside menyemak pembayaran di halaman checkout, sesi demi sesi. Kedua-duanya tidak bersaing untuk tugas yang sama dan tidak saling mengganggu.
Soalan lazim
Adakah Cloudflare Page Shield meliputi Pix, boleto atau kod QR?
Tidak dalam maklumat awam yang dirujuk pada Oktober 2026. Dokumentasi Client-Side Security menerangkan skrip, sambungan, kuki dan perubahan kod; data pembayaran yang dipaparkan di skrin, seperti kod QR UPI atau PromptPay, tidak disebut.
Bolehkah saya menggunakan Cloudflare Page Shield dan Proteside bersama?
Boleh, dan itulah persediaan paling lazim dalam kalangan pelanggan Proteside di Cloudflare. Proteside ialah satu skrip di halaman pembayaran dan muncul dalam inventori Cloudflare seperti mana-mana sumber lain yang dibenarkan.
Adakah Page Shield dan Client-Side Security produk yang sama?
Ya. Pada 25 Mac 2026 Cloudflare menamakan semula Page Shield kepada Client-Side Security, dan tambahannya menjadi Client-Side Security Advanced. Nota keluaran menyatakan ciri dan kelayakan tidak berubah dengan nama itu.
Adakah saya perlu berada di Cloudflare untuk menggunakan Client-Side Security?
Ya. Blog rasmi menyatakan satu-satunya prasyarat ialah trafik anda diproksi melalui Cloudflare, kerana pengepala pemantauan ditambah pada respons di edge.
Mengapa skrip baharu mengambil masa untuk muncul dalam papan pemuka Cloudflare?
Dokumentasi menerangkannya: pengepala laporan sahaja dihantar pada sampel respons, dan inventori bergantung pada laporan yang dihantar balik pelayar. Itu meninggalkan jurang antara memasang skrip dan melihatnya disenaraikan.
Lihat Proteside menyemak checkout anda
Empat belas hari percuma, satu baris kod, setiap kaedah pembayaran di halaman anda.