SecurityMetrics vs Proteside: mengimbas halaman dari luar, atau menyemak setiap pembayaran?
Oleh Laís Peixoto
Growth Marketer, Proteside
Diterbitkan
SecurityMetrics Shopping Cart Monitor mengimbas halaman pembayaran anda dari luar pada selang masa dan memfailkan bukti untuk keperluan 6.4.3 dan 11.6.1 dalam portal PCI tempat anda melengkapkan SAQ. Proteside berjalan dalam halaman, dalam setiap sesi pembeli, menyemak bahawa kod QR, butiran akaun atau alamat dompet yang dipaparkan sepadan dengan apa yang anda keluarkan, dan menyekat penggantian sebelum pengesahan.
Bersebelahan
- Cara ia menggambarkan dirinya
- Pemantauan halaman pembayaran untuk keperluan 6.4.3 dan 11.6.1 (Shopping Cart Monitor), daripada syarikat yang beroperasi sebagai QSA, ASV dan PFI; Shopping Cart Inspect ialah pemeriksaan forensik yang diketuai manusia.
- Ibu pejabat
- Orem, Utah, Amerika Syarikat. Ditubuhkan pada 2000.
- Cara ia masuk ke laman
- Tiada kod di laman anda: sistem luaran mensimulasikan checkout pada selang masa, dengan imbasan dijalankan secara manual atau mengikut jadual automatik bergantung pada konfigurasi. Versi 2.0 dikeluarkan pada Mac 2025.
- Apa yang disemak di halaman pembayaran
- Inventori skrip statik dan dinamik dengan justifikasi, perubahan kandungan dan pengepala, makluman 24/7 dan log boleh eksport untuk penilai.
- PCI DSS
- Keperluan 6.4.3 dan 11.6.1, bersepadu dengan portal PCI SecurityMetrics (soal selidik SAQ dan imbasan ASV).
SecurityMetrics Shopping Cart Monitor
- Cara ia menggambarkan dirinya
- Lapisan keselamatan siber untuk saat pembayaran: integriti apa yang dilihat, disalin dan disahkan oleh pembeli.
- Ibu pejabat
- São Paulo, Brazil. Beroperasi sejak 2026.
- Cara ia masuk ke laman
- Satu baris kod di halaman pembayaran, atau integrasi dalam templat platform atau penyedia pembayaran. Tiada proksi, tiada perubahan DNS atau CDN.
- Apa yang disemak di halaman pembayaran
- Skrip pihak ketiga, borang kad, kod QR dan kunci Pix, baris boleto (slip bank Brazil), alamat dompet kripto dan kod QR lapan sistem pembayaran segera, dipadankan dengan apa yang dikeluarkan peniaga.
- PCI DSS
- Bukti untuk keperluan PCI DSS 6.4.3 dan 11.6.1, dengan laporan boleh eksport untuk QSA.
Proteside
Kriteria demi kriteria
Tanda berdasarkan dokumentasi awam setiap vendor. Tuding atau ketik tanda untuk membaca legenda.
| SecurityMetrics | Proteside | |
|---|---|---|
| Apa yang disemak di skrin pembayar | ||
| Inventori dan kebenaran skrip di halaman pembayaranAsas keperluan 6.4.3: mengetahui apa yang berjalan di halaman dan membenarkan setiap skrip. | Diterangkan dalam dokumentasi awam | Diterangkan dalam dokumentasi awam |
| Butiran kad yang ditaip ke dalam borangMenghalang skrip daripada menyalin nombor, tarikh luput dan kod keselamatan. | Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)1 | Diterangkan dalam dokumentasi awam |
| Kod QR Pix dan kod salin-dan-tampal (Brazil)Penipuan checkout paling lazim di Brazil: kod QR yang dipaparkan membawa ke akaun lain. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Baris pembayaran boleto (slip bank Brazil)Baris yang ditukar membayar penerima lain dengan amaun yang sama. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Kod QR sistem pembayaran segera di seluruh dunia (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Penggantian yang sama seperti Pix, merentas lapan sistem pembayaran segera. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Alamat dompet stablecoin dan kripto, termasuk ketika disalinAlamat dompet yang ditukar di skrin atau dalam papan keratan tidak boleh dipulihkan. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Memadankan apa yang ada di skrin dengan apa yang dikeluarkan peniaga dan menyekat penggantian sebelum pengesahanSemakan yang mentakrifkan integriti pembayaran: penerima dan amaun sama dengan yang dikeluarkan. | Tidak ditemui dalam maklumat awam | Diterangkan dalam dokumentasi awam |
| Cara ia melindungi | ||
| Menyekat skrip tanpa kebenaran dalam pelayar pembeliMengesan selepas kejadian tidak mengembalikan data yang sudah disalin. | Vendor menyatakan ia tidak melakukan perkara ini2 | Diterangkan dalam dokumentasi awam |
| Memerhati sesi pembeli sebenarPenipuan bersasar tidak muncul dalam lawatan simulasi. | Vendor menyatakan ia tidak melakukan perkara ini3 | Diterangkan dalam dokumentasi awam |
| Berfungsi tanpa menukar CDN, DNS atau proksiMasuk ke mana-mana platform dengan satu baris kod. | Diterangkan dalam dokumentasi awam | Diterangkan dalam dokumentasi awam |
| Pematuhan PCI DSS | ||
| Bukti untuk keperluan PCI DSS 6.4.3Inventori, kebenaran dan integriti skrip. | Diterangkan dalam dokumentasi awam | Diterangkan dalam dokumentasi awam |
| Bukti untuk keperluan PCI DSS 11.6.1Perubahan tanpa kebenaran pada halaman dan pengepalanya. | Diterangkan dalam dokumentasi awam | Diterangkan dalam dokumentasi awam |
| Laporan boleh eksport untuk penilai (QSA)Bukti mesti keluar dari papan pemuka dan sampai ke penilaian. | Diterangkan dalam dokumentasi awam | Diterangkan dalam dokumentasi awam |
- Diterangkan dalam dokumentasi awam
- Diterangkan dengan batasan (pilihan, disampel, memerlukan tindakan manusia atau hanya dalam satu peringkat produk)
- Tidak ditemui dalam maklumat awam
- Vendor menyatakan ia tidak melakukan perkara ini
Nota tentang tanda
- 1Butiran kad yang ditaip ke dalam borang: Bahan awam menerangkan pengesanan skrip dan perubahan berdasarkan lawatan simulasi ke checkout; ia tidak menerangkan sebarang tindakan di dalam pelayar pembeli semasa butiran kad ditaip.
- 2Menyekat skrip tanpa kebenaran dalam pelayar pembeli: SecurityMetrics menulis bahawa Shopping Cart Monitor dibina untuk pengesanan, bukan pencegahan, dan menyenaraikan CSP dan sekatan skrip sebagai di luar produk.
- 3Memerhati sesi pembeli sebenar: Alat ini digambarkan sebagai tanpa ejen: sistem luaran mensimulasikan checkout pada selang masa. Menurut keterangannya sendiri, ia tidak mengikuti sesi setiap pembeli sebenar.
Di mana SecurityMetrics menonjol
Vendor itu sendiri ialah penilai
SecurityMetrics beroperasi sebagai QSA, ASV dan PFI. Pemantau ini datang daripada syarikat yang mengaudit peniaga, menjalankan imbasan kerentanan dan menyiasat pelanggaran kad sebagai pekerjaannya.
Bukti berada di sebelah soal selidik
Log Shopping Cart Monitor berada bersama SAQ dan imbasan ASV dalam satu portal, yang menyimpan kertas kerja di satu tempat untuk peniaga yang sudah dinilai di situ.
Pemeriksaan forensik atas permintaan
Shopping Cart Inspect menambah semakan pakar terhadap troli apabila pencerobohan disyaki, sesuatu yang jarang dipasangkan oleh alat pemantauan dengan produk mereka.
Tiada apa-apa untuk dipasang
Pendekatan tanpa ejen sesuai untuk peniaga yang tidak boleh menambah kod pada halaman pembayaran, termasuk kedai di platform yang terkunci.
Apa yang disemak Proteside yang tidak disebut dalam bahan SecurityMetrics
Sebuah kedai perabot di Bengaluru memaparkan kod QR UPI untuk pesanan bernilai 48,000 rupee. Pembeli mengimbasnya dengan aplikasi perbankannya dan membayar dalam beberapa saat. Widget ulasan yang diceroboh menggantikan kod QR dengan yang membawa amaun yang sama dan penerima yang berbeza, tetapi hanya untuk pembeli yang tiba daripada kempen iklan tertentu. Wang hilang, pesanan tidak pernah diselesaikan, dan kedai mendengarnya dua hari kemudian. Imbasan luaran yang melawat halaman pada pukul 3 pagi melihat kod QR yang normal sepenuhnya, kerana penggantian itu tidak pernah berjalan dalam lawatan tersebut.
SecurityMetrics jelas tentang apa yang disampaikannya: inventori skrip dengan justifikasi, pengesanan perubahan kandungan dan pengepala, makluman dan log boleh eksport untuk penilai, semuanya dikumpulkan dari luar pada selang masa. Untuk UPI, PromptPay, PayNow, DuitNow, FPS, Pix dan slip bank (boleto) Brazil, serta dompet stablecoin, dokumentasi awam tidak menerangkan semakan terhadap apa yang sebenarnya dilihat pembeli. Proteside merekodkan apa yang dikeluarkan pelayan anda (muatan QR, pengecam akaun, alamat dompet, amaun) dan membandingkannya dengan apa yang dipaparkan dan disalin dalam setiap sesi. Jika berbeza, pengesahan disekat dan percubaan itu menjadi makluman dan bukti.
Medan borang kad dan skrip pihak ketiga diliputi oleh pemasangan yang sama, dengan inventori dan sejarah perubahan yang dituntut oleh keperluan 6.4.3 dan 11.6.1. Satu baris kod menghasilkan bukti penilai dan melindungi pembayaran itu sendiri, termasuk untuk pembeli yang tiba antara dua imbasan.
Cara setiap satu masuk ke operasi anda
SecurityMetrics
- Daftarkan halaman pembayaran anda dalam portal PCI SecurityMetrics; tiada kod di laman.
- Imbasan luaran mensimulasikan checkout, dicetuskan secara manual atau mengikut jadual automatik bergantung pada konfigurasi yang anda miliki.
- Makluman 24/7, justifikasi bagi setiap skrip dan log boleh eksport, dalam portal yang sama dengan SAQ dan imbasan ASV.
Proteside
- Satu baris kod di halaman pembayaran, di mana-mana platform, atau satu integrasi dalam templat platform atau penyedia pembayaran.
- Semakan dalam setiap sesi sebenar, daripada pembeli pertama hari itu hingga yang terakhir, tanpa jurang antara lawatan.
- Sekatan automatik sebelum pengesahan; papan pemuka, API dan makluman melalui e-mel, Slack, Teams dan webhook.
Bila memilih setiap satu
SecurityMetrics masuk akal apabila
- Penilaian PCI DSS anda sudah berjalan melalui SecurityMetrics dan anda mahukan bukti 6.4.3 dan 11.6.1 di dalam portal yang sama.
- Anda tidak boleh menambah sebarang kod pada halaman pembayaran dan pengesanan dengan semakan manusia boleh diterima.
- Anda mahukan pasukan forensik sedia dipanggil untuk menyiasat pencerobohan troli yang disyaki, melangkaui pemantau itu sendiri.
Proteside masuk akal apabila
- Anda menerima UPI, PromptPay, PayNow, DuitNow, FPS, Pix, boleto atau stablecoin dan perlu mengesahkan apa yang dilihat pembeli.
- Penggantian penerima atau penyalinan kad mesti disekat dalam sesi tempat ia berlaku, bukan dilaporkan selepas imbasan seterusnya.
- Anda mahukan perlindungan dan bukti 6.4.3 dan 11.6.1 dalam satu pemasangan, bebas daripada portal mana-mana penilai.
Kedua-duanya bersama
Peniaga yang melengkapkan SAQ dan menjalankan imbasan ASV dengan SecurityMetrics boleh mengekalkan Shopping Cart Monitor sebagai bukti luaran dan menambah Proteside di halaman untuk mengesahkan setiap pembayaran dan menyekat penggantian dalam sesi sebenar. Pemantau luaran terus melihat halaman dari luar, dan Proteside tidak menyentuh pembayaran yang sah.
Soalan lazim
Adakah SecurityMetrics meliputi Pix, boleto atau kod QR?
Tidak dalam maklumat awam yang disemak pada Oktober 2026. Bahan Shopping Cart Monitor menerangkan skrip, perubahan kandungan dan pengepala di halaman pembayaran, dengan data kad sebagai fokus.
Bolehkah SecurityMetrics dan Proteside digunakan bersama?
Boleh. Shopping Cart Monitor memerhati halaman dari luar dan tidak memerlukan kod; Proteside ialah skrip di halaman itu sendiri. Kedua-duanya tidak saling mengganggu, jadi peniaga boleh mengekalkan bukti dalam portal SecurityMetrics sementara Proteside menyekat penggantian dalam setiap sesi.
Apa yang dimaksudkan SecurityMetrics dengan dibina untuk pengesanan, bukan pencegahan?
Itu kata-kata syarikat itu sendiri untuk Shopping Cart Monitor: ia mengenal pasti skrip baharu dan perubahan serta memberi makluman kepada peniaga; menghentikan skrip ketika pembeli berada di halaman berada di luar apa yang ditetapkan produk ini. Sekatan dalam sesi sebenar ialah apa yang ditambah Proteside.
Adakah imbasan berselang memenuhi keperluan 6.4.3 dan 11.6.1?
Menurut dokumentasi awamnya, SecurityMetrics menyampaikan inventori dengan justifikasi, pengesanan perubahan dan log untuk penilai, iaitu apa yang diminta oleh kedua-dua keperluan. Perbezaannya terletak antara imbasan: Proteside mengikuti setiap pembeli, jadi serangan yang disasarkan kepada satu sesi turut kelihatan.
Adakah Proteside menghasilkan jenis bukti yang dijangkakan QSA?
Proteside mengeksport inventori skrip, kebenaran dan sejarah perubahan halaman dan pengepalanya sebagai laporan untuk QSA. Ia tidak menggantikan penilaian itu sendiri, yang kekal dengan penilai yang anda pilih, termasuk SecurityMetrics.
Lihat Proteside menyemak checkout anda
Empat belas hari percuma, satu baris kod, setiap kaedah pembayaran di halaman anda.