F5 Client-Side Defense vs Proteside: รายการบรรเทาความเสียหาย หรือการบล็อกอัตโนมัติในช่วงเวลาชำระเงิน?
โดย Laís Peixoto
Growth Marketer, Proteside
เผยแพร่เมื่อ
F5 Distributed Cloud Client-Side Defense จัดทำรายการสคริปต์บนแอปพลิเคชันของคุณ และแจ้งเตือนเมื่อพบโดเมนที่น่าสงสัยและการอ่านช่องข้อมูลอ่อนไหว โดยการบรรเทาความเสียหายเป็นสิ่งที่ทีมของคุณกำหนดผ่านรายการในคอนโซลของ F5 Proteside ตรวจสอบในเบราว์เซอร์ของผู้ซื้อว่า QR code ข้อมูลบัญชี ที่อยู่กระเป๋าเงิน และช่องข้อมูลบัตรตรงกับสิ่งที่ร้านค้าออกให้หรือไม่ และบล็อกการสลับโดยอัตโนมัติ
เทียบกันแบบเคียงข้าง
- นิยามตนเองว่าอย่างไร
- บริการภายใน F5 Distributed Cloud Services ที่แสดงรายการสคริปต์ที่ทำงานบนเว็บแอปพลิเคชัน และแจ้งเตือนเมื่อมีการอ่านข้อมูลอ่อนไหว โดยผู้ใช้เป็นผู้กำหนดการบรรเทาความเสียหาย
- สำนักงานใหญ่
- ซีแอตเทิล สหรัฐอเมริกา (F5, Inc.)
- เข้าสู่เว็บไซต์อย่างไร
- สคริปต์ที่ HTTP load balancer ของ F5 Distributed Cloud แทรกเข้าไป หรือวางด้วยตนเองผ่าน CMS, CDN, load balancer หรือ BIG-IP การจัดการอยู่ในคอนโซลของ Distributed Cloud
- ตรวจสอบอะไรบนหน้าชำระเงิน
- สคริปต์ของบุคคลที่หนึ่ง ที่สาม และที่สี่ การอ่านช่องข้อมูลในฟอร์ม โดเมนปลายทาง สคริปต์ใหม่ การเปลี่ยนพฤติกรรม และการเปลี่ยนแปลงเฮดเดอร์
- PCI DSS
- เอกสารสาธารณะอ้างถึง PCI DSS และข้อมูลเทเลเมทรีสำหรับร่องรอยการตรวจสอบ ไม่ได้ระบุรายงานสำหรับ QSA ที่ระบุชื่อ หรือการเป็นสมาชิก PCI SSC ที่ประกาศไว้
F5 Distributed Cloud Client-Side Defense
- นิยามตนเองว่าอย่างไร
- ชั้นความปลอดภัยไซเบอร์สำหรับช่วงเวลาชำระเงิน: ความถูกต้องของสิ่งที่ผู้ซื้อเห็น คัดลอก และยืนยัน
- สำนักงานใหญ่
- เซาเปาโล ประเทศบราซิล ดำเนินงานตั้งแต่ปี 2026
- เข้าสู่เว็บไซต์อย่างไร
- โค้ดหนึ่งบรรทัดบนหน้าชำระเงิน หรือการผสานรวมในเทมเพลตของแพลตฟอร์มหรือผู้ให้บริการชำระเงิน ไม่มีพร็อกซี ไม่ต้องเปลี่ยน DNS หรือ CDN
- ตรวจสอบอะไรบนหน้าชำระเงิน
- สคริปต์ของบุคคลที่สาม ฟอร์มบัตร QR code และคีย์ Pix รหัสชำระเงิน boleto (ใบแจ้งชำระเงินธนาคารของบราซิล) ที่อยู่กระเป๋าเงินคริปโต และ QR code ของระบบชำระเงินทันทีแปดระบบ เทียบกับสิ่งที่ร้านค้าออกให้
- PCI DSS
- หลักฐานสำหรับข้อกำหนด PCI DSS 6.4.3 และ 11.6.1 พร้อมรายงานที่ส่งออกได้สำหรับ QSA
Proteside
ทีละเกณฑ์
เครื่องหมายอ้างอิงจากเอกสารสาธารณะของผู้ให้บริการแต่ละราย วางเมาส์หรือแตะที่เครื่องหมายเพื่ออ่านคำอธิบาย
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| สิ่งที่ตรวจสอบบนหน้าจอของผู้ชำระเงิน | ||
| การจัดทำรายการและอนุมัติสคริปต์บนหน้าชำระเงินพื้นฐานของข้อกำหนด 6.4.3: รู้ว่าอะไรทำงานอยู่บนหน้าเว็บ และอนุมัติแต่ละสคริปต์ | ระบุไว้ในเอกสารสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| ข้อมูลบัตรที่พิมพ์ลงในฟอร์มหยุดสคริปต์ไม่ให้คัดลอกหมายเลขบัตร วันหมดอายุ และรหัสความปลอดภัย | ระบุไว้พร้อมข้อจำกัด (เป็นตัวเลือกเสริม ใช้การสุ่มตัวอย่าง ต้องให้คนดำเนินการ หรือมีเฉพาะในแพ็กเกจเดียว)1 | ระบุไว้ในเอกสารสาธารณะ |
| QR code ของ Pix และรหัสแบบคัดลอกวาง (บราซิล)กลโกง checkout ที่พบบ่อยที่สุดในบราซิล: QR code ที่แสดงนำไปสู่บัญชีอื่น | ไม่พบในข้อมูลสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| รหัสชำระเงิน boleto (ใบแจ้งชำระเงินธนาคารของบราซิล)รหัสที่ถูกสลับจะจ่ายเงินให้ผู้รับรายอื่นด้วยยอดเงินเท่ากัน | ไม่พบในข้อมูลสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| QR code ของระบบชำระเงินทันทีทั่วโลก (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferências 3.0)การสลับแบบเดียวกับ Pix ในระบบชำระเงินทันทีแปดระบบ | ไม่พบในข้อมูลสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| ที่อยู่กระเป๋าเงิน stablecoin และคริปโต รวมถึงตอนที่ถูกคัดลอกที่อยู่กระเป๋าเงินที่ถูกสลับบนหน้าจอหรือในคลิปบอร์ดไม่สามารถเรียกคืนได้ | ไม่พบในข้อมูลสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| เทียบสิ่งที่อยู่บนหน้าจอกับสิ่งที่ร้านค้าออกให้ และบล็อกการสลับก่อนการยืนยันการตรวจสอบที่นิยามความถูกต้องของการชำระเงิน: ผู้รับเงินและยอดเงินตรงกับที่ออกให้ | ไม่พบในข้อมูลสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| วิธีการปกป้อง | ||
| บล็อกสคริปต์ที่ไม่ได้รับอนุญาตในเบราว์เซอร์ของผู้ซื้อการตรวจพบภายหลังไม่ได้นำข้อมูลที่ถูกคัดลอกกลับคืนมา | ระบุไว้พร้อมข้อจำกัด (เป็นตัวเลือกเสริม ใช้การสุ่มตัวอย่าง ต้องให้คนดำเนินการ หรือมีเฉพาะในแพ็กเกจเดียว)2 | ระบุไว้ในเอกสารสาธารณะ |
| เฝ้าดูเซสชันจริงของผู้ซื้อกลโกงแบบเจาะจงเป้าหมายไม่ปรากฏในการเข้าชมจำลอง | ระบุไว้ในเอกสารสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| ทำงานได้โดยไม่ต้องเปลี่ยน CDN, DNS หรือพร็อกซีติดตั้งบนแพลตฟอร์มใดก็ได้ด้วยโค้ดหนึ่งบรรทัด | ระบุไว้พร้อมข้อจำกัด (เป็นตัวเลือกเสริม ใช้การสุ่มตัวอย่าง ต้องให้คนดำเนินการ หรือมีเฉพาะในแพ็กเกจเดียว)3 | ระบุไว้ในเอกสารสาธารณะ |
| การปฏิบัติตาม PCI DSS | ||
| หลักฐานสำหรับข้อกำหนด PCI DSS 6.4.3รายการ การอนุมัติ และความถูกต้องครบถ้วนของสคริปต์ | ระบุไว้ในเอกสารสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| หลักฐานสำหรับข้อกำหนด PCI DSS 11.6.1การเปลี่ยนแปลงที่ไม่ได้รับอนุญาตบนหน้าเว็บและเฮดเดอร์ | ระบุไว้ในเอกสารสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
| รายงานที่ส่งออกได้สำหรับผู้ตรวจสอบ (QSA)หลักฐานต้องออกจากแดชบอร์ดไปถึงการประเมินได้ | ไม่พบในข้อมูลสาธารณะ | ระบุไว้ในเอกสารสาธารณะ |
- ระบุไว้ในเอกสารสาธารณะ
- ระบุไว้พร้อมข้อจำกัด (เป็นตัวเลือกเสริม ใช้การสุ่มตัวอย่าง ต้องให้คนดำเนินการ หรือมีเฉพาะในแพ็กเกจเดียว)
- ไม่พบในข้อมูลสาธารณะ
- ผู้ให้บริการระบุว่าไม่ทำสิ่งนี้
หมายเหตุเกี่ยวกับเครื่องหมาย
- 1ข้อมูลบัตรที่พิมพ์ลงในฟอร์ม: เอกสารอธิบายการแจ้งเตือนเมื่อมีการอ่านช่องข้อมูลอ่อนไหว และการบล็อกการอ่านช่องข้อมูลในฟอร์มที่ผู้ใช้เป็นผู้สั่ง การปกป้องขึ้นอยู่กับรายการที่ทีมของคุณกำหนด
- 2บล็อกสคริปต์ที่ไม่ได้รับอนุญาตในเบราว์เซอร์ของผู้ซื้อ: การบรรเทาความเสียหายทำงานตามรายการโดเมน: Mitigate List บล็อกทั้งโดเมนสำหรับทุกสคริปต์ และเอกสารของ F5 ระบุว่าการปฏิเสธสคริปต์มีไว้เพื่อแจ้งข้อมูลเท่านั้น โดยไม่มีการบล็อก
- 3ทำงานได้โดยไม่ต้องเปลี่ยน CDN, DNS หรือพร็อกซี: มีเอกสารอธิบายการแทรกสคริปต์ด้วยตนเองผ่าน CMS, CDN หรือ BIG-IP สำหรับแอปพลิเคชันนอก F5 แต่การจัดการต้องใช้คอนโซลและการสมัครใช้งาน F5 Distributed Cloud
จุดที่ F5 Client-Side Defense โดดเด่น
สคริปต์ของบุคคลที่สี่อยู่ในรายการ
Script List ครอบคลุมสิ่งที่สคริปต์ของบุคคลที่สามโหลดต่อ และทุกการอนุมัติถูกบันทึกพร้อมเหตุผลที่เขียนไว้
ใช้ได้นอกเหนือจากแอปพลิเคชันที่โฮสต์บน F5
เอกสารอธิบายการแทรกสคริปต์ด้วยตนเองผ่าน CMS, CDN, load balancer หรือ BIG-IP สำหรับแอปพลิเคชันที่ไม่ได้ส่งผ่าน Distributed Cloud
แจ้งเตือนพฤติกรรมและเฮดเดอร์
นอกเหนือจากโดเมนที่น่าสงสัยและการอ่านช่องข้อมูล บริการยังแจ้งเมื่อสคริปต์เปลี่ยนวิธีทำงาน และเมื่อเฮดเดอร์ของหน้าเว็บเปลี่ยนไป
คอนโซลเดียวสำหรับทีมที่ใช้ F5 อยู่แล้ว
ลูกค้าที่รันแอปพลิเคชันหลัง load balancer ของ Distributed Cloud เปิดบริการได้ในที่ที่จัดการแอปพลิเคชันนั้นอยู่แล้ว โดยไม่ต้องแก้โค้ด
สิ่งที่ Proteside ตรวจสอบ ซึ่งเอกสารสาธารณะของ F5 ไม่ได้กล่าวถึง
ร้านค้าปลีกในกรุงเทพฯ แสดง QR code ของ PromptPay มูลค่า 2,400 บาทที่หน้า checkout ผู้ซื้อเปิดแอปธนาคาร สแกน และจ่ายเงิน หากส่วนขยายเบราว์เซอร์หรือปลั๊กอินที่ถูกเจาะสลับ QR นั้นเป็นอันที่ผูกกับบัญชีอื่น ยอดเงินเท่ากัน เงินจะไปเข้าที่อื่น และร้านค้ารู้ตัวก็ต่อเมื่อคำสั่งซื้อไม่เคยได้รับการชำระ ไม่มีหมายเลขบัตรใดถูกอ่าน สิ่งที่เปลี่ยนคือผู้รับเงิน
Client-Side Defense เฝ้าดูสคริปต์และการอ่านช่องข้อมูลในฟอร์ม และเอกสารของ F5 ครอบคลุมส่วนนั้นอย่างรอบคอบ สำหรับ QR code ของ PromptPay, UPI, PayNow หรือ DuitNow รหัสชำระเงิน boleto (ใบแจ้งชำระเงินธนาคารของบราซิล) คีย์ Pix หรือที่อยู่กระเป๋าเงิน USDT เอกสารสาธารณะไม่ได้อธิบายการตรวจสอบสิ่งที่หน้าเว็บแสดง Proteside บันทึกสิ่งที่เซิร์ฟเวอร์ของคุณออกให้ (QR ข้อมูลบัญชี ที่อยู่ ยอดเงิน) และเปรียบเทียบกับสิ่งที่ผู้ซื้อเห็นและคัดลอก ในทุกเซสชัน เมื่อไม่ตรงกัน การยืนยันจะถูกบล็อก และความพยายามนั้นกลายเป็นการแจ้งเตือนและหลักฐาน
บน F5 การบรรเทาความเสียหายทำงานด้วยรายการที่ทีมของคุณดูแล: Mitigate List บล็อกโดเมนหนึ่งสำหรับทุกสคริปต์ Allow List อนุญาตโดเมนหนึ่ง และเอกสารเองระบุว่าการปฏิเสธสคริปต์ในอินเทอร์เฟซมีไว้เพื่อแจ้งข้อมูลเท่านั้น Proteside บล็อกสคริปต์ที่ไม่ได้รับอนุญาตและการสลับผู้รับเงินในแต่ละเซสชันโดยไม่มีขั้นตอนที่ต้องทำด้วยมือ และรายการสคริปต์กับประวัติการเปลี่ยนแปลงของ Proteside ให้หลักฐานสำหรับข้อกำหนด 6.4.3 และ 11.6.1
แต่ละตัวเข้าสู่ระบบของคุณอย่างไร
F5 Client-Side Defense
- เปิดใช้งานบน HTTP load balancer ของ F5 Distributed Cloud พร้อมการแทรก JavaScript หรือแทรกด้วยมือผ่าน CMS, CDN, load balancer หรือ BIG-IP
- เอกสารกำหนดให้สคริปต์โหลดแบบซิงโครนัสและเป็นตัวแรกบนหน้าเว็บ และจำกัดบริการไว้ที่ 100 โดเมนต่อ namespace
- การบรรเทาความเสียหายที่ผู้ใช้กำหนดผ่านรายการในคอนโซล ตามเอกสาร การปิดบริการในคอนโซลไม่ได้ลบสคริปต์ที่แทรกด้วยมือออก
Proteside
- โค้ดหนึ่งบรรทัดบนหน้าชำระเงิน บนแพลตฟอร์มใดก็ได้ โดยไม่ต้องมีคอนโซลเอดจ์และไม่ต้องสมัครใช้งาน CDN
- การตรวจสอบในทุกเซสชันการซื้อ: สคริปต์ ช่องข้อมูลบัตร และรายละเอียดการชำระเงิน เทียบกับสิ่งที่เซิร์ฟเวอร์ของคุณออกให้
- บล็อกอัตโนมัติก่อนการยืนยัน พร้อมแดชบอร์ด API และการแจ้งเตือนทางอีเมล Slack, Teams และ webhook
ควรเลือกตัวไหนเมื่อใด
F5 Client-Side Defense เหมาะเมื่อ
- แอปพลิเคชันของคุณทำงานหลัง load balancer ของ F5 Distributed Cloud อยู่แล้ว และทีมต้องการรายการสคริปต์โดยไม่แตะโค้ด
- คุณใช้ BIG-IP หรือโครงสร้างพื้นฐานอื่นของ F5 และต้องการดูแลความปลอดภัยของแอปพลิเคชันจากคอนโซลเดียว
- ทีมความปลอดภัยของคุณต้องการตัดสินใจการบรรเทาความเสียหายแต่ละครั้งตามรายการโดเมน พร้อมบันทึกการอนุมัติและเหตุผล
Proteside เหมาะเมื่อ
- checkout ของคุณรับ UPI, PromptPay, PayNow, DuitNow, FPS, Pix, boleto ของบราซิล หรือ stablecoin และความเสี่ยงคือการสลับผู้รับเงิน
- คุณต้องการให้การบล็อกเกิดขึ้นในทุกเซสชัน ก่อนการยืนยัน โดยไม่ต้องมีใครอนุมัติรายการก่อน
- ระบบของคุณไม่ได้อยู่บน F5 และคุณต้องการทั้งการปกป้องและหลักฐานสำหรับข้อกำหนด 6.4.3 และ 11.6.1 จากโค้ดหนึ่งบรรทัด
ใช้ทั้งสองร่วมกัน
ทีมที่เปิดใช้ Client-Side Defense บน load balancer ของ F5 สามารถเก็บรายการสคริปต์และการแจ้งเตือนไว้ที่นั่น และเพิ่ม Proteside บนหน้าชำระเงินเพื่อตรวจสอบตัวการชำระเงินเองและบล็อกการสลับ สคริปต์ทั้งสองทำงานร่วมกันได้ และ Proteside ไม่เปลี่ยนแปลงการชำระเงินที่ถูกต้อง
คำถามที่พบบ่อย
F5 Client-Side Defense ครอบคลุม Pix, boleto หรือ QR code หรือไม่?
ไม่พบในข้อมูลสาธารณะที่ตรวจสอบเมื่อตุลาคม 2026 เอกสารของ F5 อธิบายสคริปต์ โดเมนปลายทาง การอ่านช่องข้อมูลในฟอร์ม และเฮดเดอร์ QR code ระบบชำระเงินทันที และรหัสชำระเงิน boleto ไม่ได้ถูกกล่าวถึง
ใช้ F5 Client-Side Defense และ Proteside ร่วมกันได้หรือไม่?
ได้ สคริปต์ของ F5 ยังคงถูกแทรกโดย load balancer หรือด้วยมือได้ และ Proteside เข้ามาเป็นโค้ดหนึ่งบรรทัดบนหน้าชำระเงิน แต่ละตัวเก็บรายการของตนเอง Proteside เพิ่มการตรวจสอบผู้รับเงินและการบล็อกอัตโนมัติ
เกิดอะไรขึ้นเมื่อฉันปฏิเสธสคริปต์ในคอนโซลของ F5?
ตามเอกสารของ F5 การปฏิเสธสคริปต์มีไว้เพื่อแจ้งข้อมูลเท่านั้นและไม่หยุดการทำงานของสคริปต์ หากต้องการบล็อก ผู้ใช้ต้องเพิ่มโดเมนลงใน Mitigate List ซึ่งมีผลกับทุกสคริปต์จากโดเมนนั้น ใน Proteside สคริปต์ที่อยู่นอกรายการที่ได้รับอนุญาตจะถูกบล็อกในแต่ละเซสชันโดยไม่มีขั้นตอนที่ต้องทำด้วยมือ
ต้องอยู่บน F5 Distributed Cloud จึงจะใช้ Client-Side Defense ได้หรือไม่?
เอกสารอธิบายสองเส้นทาง: เปิดใช้งานบน HTTP load balancer ของ Distributed Cloud หรือแทรกสคริปต์ด้วยมือผ่าน CMS, CDN, load balancer หรือ BIG-IP ในทั้งสองกรณี การจัดการเกิดขึ้นในคอนโซลของ Distributed Cloud ภายใต้การสมัครใช้บริการ
F5 Client-Side Defense สร้างรายงานสำหรับ QSA หรือไม่?
เอกสารสาธารณะอ้างถึง PCI DSS และข้อมูลเทเลเมทรีสำหรับร่องรอยการตรวจสอบ ข้อมูลที่ตรวจสอบไม่ได้ระบุรายงานสำหรับ QSA ที่ระบุชื่อ Proteside ส่งออกรายการสคริปต์และประวัติการเปลี่ยนแปลงสำหรับการประเมินข้อกำหนด 6.4.3 และ 11.6.1
ดู Proteside ตรวจสอบ checkout ของคุณ
ทดลองใช้ฟรี 14 วัน โค้ดหนึ่งบรรทัด ครอบคลุมทุกวิธีชำระเงินบนหน้าเว็บของคุณ