Feroot 與 Proteside：腳本管理還是付款核實？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
Feroot 清點及管理付款頁面上的腳本以符合 PCI DSS，涵蓋網站及流動應用程式。Proteside 同樣做這個清點，並更進一步：在買家的螢幕上查核所顯示的 QR 碼、付款識別碼、銀行繳費單條碼或錢包地址是否商戶所發出的，並在確認前攔截調換。
並排比較
- 自我定位
- 針對 PCI DSS、HIPAA 及私隱的自動化合規平台；PaymentGuard 負責付款頁面。
- 總部
- 加拿大多倫多。2017 年成立。
- 如何進入網站
- 在付款頁面放置腳本，評估頻率可配置；DXSecure 被描述為無代理程式，並在瀏覽器內監察。
- 在付款頁面查核甚麼
- 腳本（包括動態及嵌套腳本）、基於雜湊值的完整性、頁面內容及 HTTP 標頭；iOS 及 Android 應用程式。
- PCI DSS
- 要求 6.4.3 及 11.6.1，附給 QSA 的證據報告。據其網站所述，是 PCI SSC 的 Associate Participating Organization。
Feroot PaymentGuard e DXSecure
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| Feroot | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 公開文件中有描述 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 公開文件中有描述 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）1 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開文件中有描述 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開文件中有描述 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
關於標記的說明
- 1監察真實買家的工作階段: 其網站把 DXSecure 同時描述為無代理程式部署及在用戶瀏覽器內的監察；公開資料沒有詳細說明兩者如何結合。
Feroot 的突出之處
流動應用程式在範圍內
公開資料除網站外還包括 iOS 及 Android 應用程式，這在此類別中並不常見。
私隱與醫療合規在同一控制面板
該平台亦涵蓋 HIPAA 及私隱法規，對有多於一項監管義務的團隊有用。
部署前的診斷工具
Chrome 擴充程式及網頁掃描器可在部署前顯示風險暴露。
營運整合
可在聊天、事故及可觀測性工具中接收警報，並提供 API。
Proteside 查核而 Feroot 的資料沒有提及的內容
想像一家接受 UPI 的班加羅爾商店。顧客到達結帳頁面，看到 QR 碼，打開銀行應用程式付款。如果被入侵的插件或瀏覽器擴充程式把 QR 碼調換成另一個金額相同的 QR 碼，商店只會在顧客投訴已付款但訂單一直沒有送達時才會發現。沒有卡資料被盜；是收款人被調換了。一家接受 Pix 的巴西商店會經歷同樣的場景。
腳本清單是卡問題的正確答案，而 Feroot 做得很用心。對於 UPI、PromptPay、PayNow、Pix、boleto（巴西銀行繳費單）及加密貨幣錢包，Feroot 的公開文件沒有描述對螢幕所示內容的查核。Proteside 記錄你的伺服器所發出的資料（QR 碼、識別碼、銀行繳費單條碼、地址、金額），並在每個工作階段中與買家所見及所複製的內容比對。出現不符時，確認會被攔截，該次嘗試會變成一則警報及一項證據。
同一次安裝涵蓋卡表格及第三方腳本，並提供要求 6.4.3 及 11.6.1 所需的清單及歷史。一行程式碼完成兩項工作。
各自如何進入營運
Feroot
- 在付款頁面放置腳本，或透過支付處理商一次分發到多個頁面。
- 評估頻率可配置，由每小時至每週。
- PaymentGuard 中的執行期政策強制執行被描述為可選。
Proteside
- 在任何平台的付款頁面加入一行程式碼，或在平台或服務供應商的範本中進行一次整合。
- 在每個工作階段中持續核實，不抽樣，評估之間沒有空檔。
- 確認前自動攔截；控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。
何時選擇哪一個
Feroot 合適的情況
- 卡是唯一的付款方式，而首要目標是腳本管理及給評估員的報告。
- 你需要同時涵蓋流動應用程式及網站。
- HIPAA 或私隱法規是同一合規義務的一部分。
Proteside 合適的情況
- 你透過 UPI、PromptPay、PayNow、Pix、銀行繳費單、穩定幣或其他即時支付系統收款。
- 你需要在真實工作階段中攔截收款人調換，而不是等待定期評估。
- 你想以一次安裝同時取得保護及要求 6.4.3 及 11.6.1 的證據，無需部署專案。
兩者並用
流動應用程式在 Feroot 範圍內的營運團隊可以保留該覆蓋，並在網頁付款頁面加入 Proteside 以查核付款本身。兩段腳本可以共存。
常見問題
Feroot 涵蓋 Pix、boleto 或 QR 碼嗎？
在 2026 年 10 月查閱的公開資料中未見。Feroot 的資料描述的是腳本、卡資料、頁面內容及標頭。
Feroot 與 Proteside 可以一起使用嗎？
可以。它們是付款頁面上兩段獨立的腳本。Proteside 不會更改合法的付款，也不會干擾另一工具的清單。
兩者哪一個符合 PCI DSS 要求 6.4.3 及 11.6.1？
兩者都描述了清單、授權、變更偵測及給 QSA 的報告。分別在於各自還查核甚麼：Proteside 包括付款本身。
Proteside 會取代反欺詐嗎？
不會。反欺詐評估買家是否可信。Proteside 確保頁面及付款資料沒有被調換。它們是不同的層。
如何試用 Proteside？
登記十四天免費試用，在付款頁面加入一行程式碼，數分鐘內控制面板就會顯示腳本、付款方式及被攔截的嘗試。