HUMAN Security 與 Proteside：腳本控制還是付款核實？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
HUMAN Client-Side Defense 適合已經使用 HUMAN 平台防禦機械人及欺詐、並希望以動作層級攔截管理付款頁面腳本的公司。Proteside 適合接受 UPI、PromptPay、PayNow、卡、穩定幣或巴西 Pix 的商戶，他們需要確定螢幕上的 QR 碼、帳戶或錢包地址是自己所發出的，並包含腳本清單。
並排比較
- 自我定位
- 透過腳本控制實現 PCI DSS 合規及付款頁面保護，屬於 HUMAN Application Protection 套件的一部分。
- 總部
- 美國紐約。2012 年以 White Ops 之名成立；2022 年與 PerimeterX 合併。
- 如何進入網站
- 一行 JavaScript，即 HUMAN Sensor，在每位訪客的瀏覽器中運行；為 Salesforce Commerce Cloud 提供 cartridge。
- 在付款頁面查核甚麼
- 附風險評分的腳本清單、腳本行為、卡表格資料及 HTTP 標頭。
- PCI DSS
- 要求 6.4.3 及 11.6.1，附按需審計報告。根據 PCI SSC 的公開名單，自 2024 年 3 月起為該委員會的 Principal Participating Organization。
HUMAN Client-Side Defense
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| HUMAN Security | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 公開文件中有描述 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 公開文件中有描述 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 公開文件中有描述 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開文件中有描述 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開文件中有描述 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
HUMAN Security 的突出之處
攔截動作，保留腳本
資料表描述在不中斷腳本有用工作的情況下阻止高風險動作，例如讀取表格欄位。這比允許或拒絕整個腳本更精細。
附風險評分的清單
每個腳本都獲得風險評分，並為要求 6.4.3 記錄授權、理由及完整性檢查。
與機械人及欺詐防禦同一平台
該產品位於 HUMAN 的 Application Protection 套件內，與機械人管理、帳戶濫用及欺詐並列。已經運行該平台的團隊可在同一控制台管理付款頁面。
PerimeterX 的傳承
該產品在 PerimeterX 時期以 Code Defender 之名起步，技術文件中仍沿用該名稱；感應器有多年觀察真實瀏覽器工作階段的歷史。
Proteside 查核而 HUMAN 的資料沒有提及的內容
一家班加羅爾的網上藥房顯示一個 3,200 盧比的 UPI QR 碼。顧客用銀行應用程式掃描，看到金額，然後確認。一個被入侵的插件已把 QR 碼換成綁定另一個虛擬付款地址的 QR 碼，金額相同，商戶名稱相同。錢離開了顧客的帳戶，訂單一直沒有結算，而商店只在顧客來電時才發現。
HUMAN Sensor 監察腳本行為並攔截針對卡資料的高風險動作，而且做得精準。對於 UPI、PromptPay、PayNow、DuitNow 或 FPS QR 碼、Pix 識別碼、巴西銀行繳費單（boleto）號碼或穩定幣錢包地址，HUMAN 的公開文件沒有描述把商戶所發出的資料與買家所見的比對。Proteside 記錄你的伺服器所發出的每筆收費，並在買家的螢幕上查核 QR 碼、帳戶、地址及金額，包括他們複製的那一刻。出現不符時，確認會被攔截，該次嘗試會變成一則警報及一項證據。
腳本清單、未授權腳本的攔截以及頁面及其標頭的變更歷史都留在同一段 Proteside 腳本中，附要求 6.4.3 及 11.6.1 所需的報告。安裝一行，涵蓋兩項工作。
各自如何進入你的技術架構
HUMAN Security
- 在每個受監察的頁面加入一行 JavaScript，即 HUMAN Sensor；為 Salesforce Commerce Cloud 提供現成的 cartridge。
- 在 HUMAN 控制台設定授權及緩解政策；腳本及標頭警報、按需審計報告，以及與 SIEM 及工單工具的整合。
- 作為 Application Protection 套件的一部分提供，與機械人及欺詐防禦並列。
Proteside
- 在任何平台的付款頁面加入一行程式碼，或在平台或支付服務供應商的範本中進行一次整合。
- 在每個工作階段中、對頁面上每種付款方式進行核實，不抽樣，無需特定 CDN 或代理伺服器。
- 確認前自動攔截；控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。
何時選擇哪一個
HUMAN Security 合適的情況
- 你的營運已經在 HUMAN 平台上防禦機械人及欺詐，而你希望付款頁面由同一團隊在同一控制台管理。
- 卡是你的主要付款方式，而你希望在不把第三方腳本從頁面移除的情況下阻止其特定動作。
- 你的商店在 Salesforce Commerce Cloud 上運行，而現成的 cartridge 可減少安裝工作。
Proteside 合適的情況
- 你的結帳接受 UPI、PromptPay、PayNow、DuitNow、FPS、穩定幣或 Pix，而風險是收款人被調換。
- 你需要在真實工作階段中、在顧客付款前攔截被調換的 QR 碼、帳戶或錢包地址。
- 你想以一行程式碼同時取得保護及要求 6.4.3 及 11.6.1 的證據，無需採用整套套件。
兩者並用
使用 HUMAN 平台的公司可以保留 Client-Side Defense 管理其腳本，並在付款頁面加入 Proteside 核實付款本身。兩個感應器在同一頁面共存；Proteside 不會更改合法的付款，也不會干擾另一工具的清單。
常見問題
HUMAN Client-Side Defense 涵蓋 UPI、PromptPay、Pix 或 QR 碼嗎？
在 2026 年 10 月審閱的公開資料中未見。資料表及 Code Defender 文件描述的是腳本、腳本行為、表格資料及 HTTP 標頭。
HUMAN Client-Side Defense 與 Proteside 可以一起運行嗎？
可以。它們是付款頁面上兩段獨立的腳本。Proteside 核實付款資料及腳本；HUMAN Sensor 繼續執行其自身政策。兩者都不需要特定的 CDN 或代理伺服器。
Code Defender 與 Client-Side Defense 是同一產品嗎？
是。Code Defender 是該產品在 PerimeterX 時期的名稱，HUMAN 的技術文件仍在使用；Client-Side Defense 是目前的商業名稱，屬於 Application Protection 套件。
HUMAN 所描述的細緻攔截是甚麼？
根據資料表，它指在不停用整個腳本的情況下阻止腳本的某個高風險動作，例如存取表格欄位。Proteside 攔截未授權腳本，並在此之上，當 QR 碼、帳戶或錢包地址與所發出的不同時攔截確認。
Proteside 會取代 HUMAN 的機械人防禦嗎？
不會。機械人及欺詐防禦判斷流量及買家是否合法。Proteside 確保頁面及付款資料沒有被調換。它們是不同的層，可以共存。