Imperva Client-Side Protection 與 Proteside：WAF 層面的腳本政策，還是核實付款本身？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
Imperva Client-Side Protection 為已經在 Imperva Cloud Application Security 上、希望在現有控制台管理付款頁面腳本而無需程式碼的公司而建。Proteside 則為接受卡、即時支付、銀行繳費單或加密貨幣的商戶而設，他們需要螢幕上的每個 QR 碼、帳戶及錢包地址都與自己所發出的核對。
並排比較
- 自我定位
- 根據資料表，是 Imperva Web Application & API Protection 的一個組件，防止透過頁面上的腳本竊取資料。
- 總部
- Imperva：美國，公開來源中有多於一個地址。自 2023 年 12 月起為 Thales 集團（法國）的一部分。
- 如何進入網站
- 在 Imperva Cloud Application Security 內一鍵啟用，無需更改程式碼；瀏覽器強制執行在伺服器設定的內容安全政策。
- 在付款頁面查核甚麼
- 頁面上的 JavaScript 服務（持續清單、來源國家、憑證狀態、在程式碼中的位置）、表格資料及安全標頭。
- PCI DSS
- 要求 6.4.3 及 11.6.1，附解釋每項要求並列出行動項目的 PCI 控制面板，以及付款頁面變更的每週摘要。
Imperva Client-Side Protection
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| Imperva Client-Side Protection | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 公開文件中有描述 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 公開文件中有描述 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 公開文件中有描述 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 供應商表明不提供此功能1 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開文件中有描述 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開文件中有描述 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
關於標記的說明
- 1無需更改 CDN、DNS 或代理伺服器即可運作: 資料表把 Client-Side Protection 呈現為 Imperva Cloud Application Security 堆疊的一部分，一鍵啟用，無需程式碼。公開文件沒有描述該平台以外的安裝途徑；網站需要透過該平台提供服務。
Imperva Client-Side Protection 的突出之處
預設攔截，直至獲授權
資料表描述了一個模型：任何新服務或任何變更在經審核及授權前一直被攔截。有嚴格變更控制的團隊開箱即得到清晰的安全姿態。
瀏覽器內的 Instant Block
產品頁面描述了 Instant Block，它使用位於頁面與伺服器之間的瀏覽器組件（service worker）立即切斷某個服務，無需等待下一次政策更新。
基礎設施即程式碼
根據資料表，完整支援 Terraform。對 Imperva WAF 配置進行版本管理的團隊可以用同樣方式處理腳本政策。
每個腳本決定都有脈絡
網域風險評分、由 AI 撰寫的每個腳本功能說明（AI Explain），以及來源國家、憑證狀態及在程式碼中位置等清單詳情。
Proteside 查核而 Imperva 的公開資料沒有提及的內容
一家新加坡零售商為一張 1,250 新加坡元的訂單顯示 PayNow QR 碼。顧客用銀行應用程式掃描，看到金額，確認。顧客手提電腦上的瀏覽器擴充程式已把 QR 碼重繪為指向另一個 UEN，金額相同。頁面上沒有載入新腳本。沒有卡資料離開瀏覽器。服務清單保持乾淨，而錢已經轉走。
Imperva 把它設計要做的事做得很好：知道頁面上運行哪些服務、攔截未知的服務，並保持 PCI DSS 證據井然有序。對於 PayNow、UPI、PromptPay、DuitNow、FPS、Pix、巴西銀行繳費單及加密貨幣錢包地址，Imperva 的公開文件沒有描述對購物者實際所見內容的查核。Proteside 記錄你的伺服器為每筆收費所發出的資料，並在每個工作階段中與所呈現及所複製的內容比對。如果兩者不同，確認會在發生前停止，該次嘗試會作為警報及證據記錄。
同一段腳本保留腳本清單、保護卡表格，並儲存要求 6.4.3 及 11.6.1 所需的歷史。安裝只需在任何平台的付款頁面加入一行程式碼，無論前面有沒有 WAF。
各自如何進入你的營運
Imperva Client-Side Protection
- 在 Imperva Cloud Application Security 內一鍵啟用；頁面上無需更改程式碼。
- 以 Discovery 模式開始，清點服務並就新服務及資料傳輸發出警報；然後政策攔截任何尚未授權的內容。
- 透過電郵、API 及 SIEM 的警報；亦可透過 Terraform 配置。
Proteside
- 在任何平台的付款頁面加入一行程式碼，或在平台或支付服務供應商的範本中進行一次整合。
- 每個結帳工作階段都被查核：QR 碼、帳戶識別碼、銀行繳費單條碼、錢包地址及卡欄位，與伺服器所發出的資料比對。
- 確認前攔截；控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。可與任何 CDN 或 WAF 並行運作。
何時選擇哪一個
Imperva Client-Side Protection 合適的情況
- 你的網站已經在 Imperva Cloud Application Security 上運行，而安全團隊希望在已經操作的控制台中管理腳本政策。
- 你的內部規則是在有人批准前擱置任何新內容，而頁面上的付款方式是卡。
- 安全配置放在 Terraform 中，而腳本政策需要遵循同一工作流程。
Proteside 合適的情況
- 頁面接受 UPI、PayNow、PromptPay 或 DuitNow 等即時支付、巴西銀行繳費單或加密貨幣，而你需要核實所顯示的收款人。
- 網站在其他 CDN、自家 CDN 上或不經 CDN，而你不想為保護結帳而改變流量的交付方式。
- 你想在數分鐘內、無需專案，以一次安裝同時取得保護及要求 6.4.3 及 11.6.1 的證據。
兩者並用
已經在 Imperva Cloud Application Security 上的公司可以保留 Imperva 的腳本政策，並在付款頁面加入 Proteside 核實付款本身。Proteside 會作為另一項服務出現在 Imperva 的清單中：授權一次，兩者即在同一頁面運行。
常見問題
Imperva Client-Side Protection 涵蓋 Pix、boleto 或 QR 碼嗎？
在 2026 年 10 月審閱的公開資料中未見。Imperva 的資料描述的是 JavaScript 服務、在表格輸入的資料及安全標頭；沒有提及 Pix、boleto（巴西銀行繳費單）及付款 QR 碼。
Imperva Client-Side Protection 與 Proteside 可以一起使用嗎？
可以。Proteside 是付款頁面上的一段腳本，會作為待授權的服務出現在 Imperva 的清單中。之後，Imperva 繼續管理腳本，Proteside 核實付款。兩者都不會更改合法的付款。
使用 Client-Side Protection 需要在 Imperva 的 WAF 上嗎？
公開文件描述在 Imperva Cloud Application Security 內啟用，沒有描述其他安裝途徑。Proteside 以一行程式碼安裝在任何網站上，在任何 CDN 或 WAF（包括 Imperva 的）後面。
Imperva 的「授權前攔截」模型會妨礙結帳嗎？
Imperva 的資料描述了一個初始的 Discovery 模式，只清點及警報，然後政策才開始攔截尚未授權的內容。Proteside 走另一條路：已知腳本獲授權，付款內容在每個工作階段中查核，沒有新服務會被預設擱置。
如何在不觸碰 Imperva 的情況下試用 Proteside？
登記十四天免費試用，在付款頁面加入一行程式碼，並在 Imperva 的清單中授權該腳本。數分鐘內，Proteside 控制面板就會顯示頁面的腳本、付款方式及任何被攔截的嘗試。