F5 Client-Side Defense 與 Proteside：緩解名單，還是付款一刻的自動攔截？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
F5 Distributed Cloud Client-Side Defense 清點你應用程式上的腳本，並就可疑網域及敏感欄位讀取發出警報，緩解由你的團隊在 F5 控制台透過名單定義。Proteside 在購物者的瀏覽器中查核 QR 碼、帳戶資料、錢包地址及卡欄位是否與商戶所發出的一致，並自動攔截調換。
並排比較
- 自我定位
- F5 Distributed Cloud Services 內的一項服務，列出網頁應用程式上運行的腳本，並就敏感資料讀取發出警報，緩解由用戶定義。
- 總部
- 美國西雅圖（F5, Inc.）。
- 如何進入網站
- 由 F5 Distributed Cloud HTTP 負載平衡器插入腳本，或透過 CMS、CDN、負載平衡器或 BIG-IP 手動放置；管理在 Distributed Cloud 控制台進行。
- 在付款頁面查核甚麼
- 第一方、第三方及第四方腳本、表格欄位讀取、目的地網域、新腳本、行為變更及標頭變更。
- PCI DSS
- 公開資料引用 PCI DSS 及用於審計軌跡的遙測資料。沒有列出以此命名的 QSA 報告，也沒有聲明 PCI SSC 的隸屬關係。
F5 Distributed Cloud Client-Side Defense
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）1 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）2 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 公開文件中有描述 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）3 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開文件中有描述 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開資料中未見 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
關於標記的說明
- 1在表格輸入的卡資料: 文件描述就敏感欄位讀取發出警報，以及由用戶觸發對表格欄位讀取的攔截；保護取決於你的團隊所定義的名單。
- 2在買家的瀏覽器中攔截未授權腳本: 緩解按網域名單運作：Mitigate List 為所有腳本攔截整個網域，而 F5 的文件表明拒絕某個腳本僅屬資訊性質，沒有攔截。
- 3無需更改 CDN、DNS 或代理伺服器即可運作: 文件記載了在 F5 以外的應用程式透過 CMS、CDN 或 BIG-IP 手動插入腳本的方法，但管理需要控制台及 F5 Distributed Cloud 訂閱。
F5 Client-Side Defense 的突出之處
清單包含第四方腳本
Script List 涵蓋第三方腳本繼而載入的內容，每次批准都附書面理由記錄。
觸及 F5 託管以外的應用程式
文件描述可透過 CMS、CDN、負載平衡器或 BIG-IP 手動插入腳本，供不經 Distributed Cloud 路由的應用程式使用。
行為及標頭警報
除可疑網域及欄位讀取外，該服務還會標記改變行為方式的腳本及標頭發生變更的頁面。
已在 F5 上的團隊只需一個控制台
在 Distributed Cloud 負載平衡器後面運行應用程式的客戶，可在已經管理該應用程式的地方開啟該服務，無需更改程式碼。
Proteside 查核而 F5 的公開資料沒有提及的內容
一家曼谷零售商在結帳時顯示一個 2,400 泰銖的 PromptPay QR 碼。購物者打開銀行應用程式，掃描並付款。如果瀏覽器擴充程式或被入侵的插件把該 QR 碼換成綁定另一個帳戶、金額相同的 QR 碼，錢會落到別處，而商店只在訂單一直無法結算時才發現。沒有卡號被讀取；收款人變了。
Client-Side Defense 監察腳本及表格欄位讀取，F5 的文件對此有細緻的說明。對於 PromptPay、UPI、PayNow 或 DuitNow QR 碼、巴西銀行繳費單條碼、Pix 識別碼或 USDT 錢包地址，公開資料沒有描述對頁面所顯示內容的任何查核。Proteside 記錄你的伺服器所發出的資料（QR 碼、帳戶資料、地址、金額），並在每個工作階段中與購物者所見及所複製的內容比對。兩者不同時，確認會被攔截，該次嘗試會變成一則警報及一項證據。
在 F5 上，緩解依賴你的團隊維護的名單：Mitigate List 為所有腳本攔截某個網域，Allow List 放行某個網域，而文件本身表明在介面中拒絕某個腳本僅屬資訊性質。Proteside 在每個工作階段中攔截未授權腳本及收款人調換，無需人手步驟，其清單及變更歷史則產生要求 6.4.3 及 11.6.1 的證據。
各自如何進入你的營運
F5 Client-Side Defense
- 在 F5 Distributed Cloud HTTP 負載平衡器上以 JavaScript 插入啟用，或透過 CMS、CDN、負載平衡器或 BIG-IP 手動插入。
- 文件要求腳本在頁面上同步且最先載入，並把該服務限制為每個命名空間 100 個網域。
- 由用戶在控制台透過名單定義緩解；根據文件，在控制台停用該服務不會移除手動插入的腳本。
Proteside
- 在任何平台的付款頁面加入一行程式碼，無需邊緣控制台，也無需 CDN 訂閱。
- 在每個購買工作階段中查核：腳本、卡欄位及付款資料，與你的伺服器所發出的資料比對。
- 確認前自動攔截，附控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。
何時選擇哪一個
F5 Client-Side Defense 合適的情況
- 你的應用程式已經在 F5 Distributed Cloud 負載平衡器後面運行，而團隊希望在不觸碰程式碼的情況下取得腳本清單。
- 你運行 BIG-IP 或其他 F5 基礎設施，並偏好從單一控制台操作應用程式安全。
- 你的安全團隊希望按網域名單決定每項緩解措施，並記錄批准及理由。
Proteside 合適的情況
- 你的結帳接受 UPI、PromptPay、PayNow、DuitNow、FPS、Pix、巴西銀行繳費單或穩定幣，而風險是收款人被調換。
- 你需要在每個工作階段中、在確認前攔截，無需先由任何人批准名單。
- 你的營運不在 F5 上，而你希望以一行程式碼同時取得保護及要求 6.4.3 及 11.6.1 的證據。
兩者並用
在 F5 負載平衡器上啟用了 Client-Side Defense 的團隊可以把清單及警報保留在那裡，並在付款頁面加入 Proteside 核實付款本身並攔截調換。兩段腳本共存，而 Proteside 永遠不會更改合法的付款。
常見問題
F5 Client-Side Defense 涵蓋 Pix、boleto 或 QR 碼嗎？
在 2026 年 10 月查核的公開資料中未見。F5 的文件描述的是腳本、目的地網域、表格欄位讀取及標頭；沒有提及 QR 碼、即時支付系統及銀行繳費單條碼。
我可以同時使用 F5 Client-Side Defense 與 Proteside 嗎？
可以。F5 的腳本可以繼續由負載平衡器或手動插入，而 Proteside 以一行程式碼加入付款頁面。各自保留自己的清單；Proteside 加入收款人查核及自動攔截。
在 F5 控制台拒絕某個腳本會怎樣？
根據 F5 的文件，拒絕某個腳本僅屬資訊性質，不會阻止它運行。要攔截，用戶需把網域加入 Mitigate List，這會套用於來自該網域的所有腳本。在 Proteside 中，已授權清單以外的腳本會在每個工作階段中被攔截，無需人手步驟。
使用 Client-Side Defense 需要在 F5 Distributed Cloud 上嗎？
文件描述了兩條途徑：在 Distributed Cloud HTTP 負載平衡器上啟用，或透過 CMS、CDN、負載平衡器或 BIG-IP 手動插入腳本。兩種情況下，管理都在 Distributed Cloud 控制台內以服務訂閱進行。
F5 Client-Side Defense 會為 QSA 產生報告嗎？
公開資料引用 PCI DSS 及用於審計軌跡的遙測資料；查核的資料中沒有列出以此命名的 QSA 報告。Proteside 匯出腳本清單及變更歷史，供要求 6.4.3 及 11.6.1 的評估使用。