Reflectiz 與 Proteside：從外部定時訪問，還是在每次購買中查核？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
Reflectiz 從外部監察付款頁面：自動化瀏覽器按時間表訪問網址，無需程式碼，並產生 PCI DSS 所要求的清單及證據。Proteside 在每個工作階段中於頁面內運行，查核 QR 碼、帳戶識別碼、銀行繳費單條碼或錢包地址是否與伺服器所發出的一致，並在確認前攔截調換。
並排比較
- 自我定位
- 網絡風險暴露管理平台（Security Hub、Privacy Hub、Offensive Hub）；PCI Module 負責付款頁面。
- 總部
- 以色列特拉維夫，在波士頓及悉尼設有據點。官方網站沒有說明成立年份。
- 如何進入網站
- 沙盒自動化瀏覽器按可配置的時間表訪問客戶提供的網址，網站上沒有程式碼。攔截使用從控制台啟動的閒置腳本。
- 在付款頁面查核甚麼
- 第三方及第四方腳本（包括 iframe 內的）、按腳本的批准及理由、HTTP 回應標頭及付款頁面內容。
- PCI DSS
- 要求 6.4.3 及 11.6.1，可按需匯出給 QSA 的證據。據其網站所述，是 PCI SSC 的 Principal Participating Organization。
Reflectiz PCI Module
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| Reflectiz | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）3 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）2 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 供應商表明不提供此功能1 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開文件中有描述 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開文件中有描述 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
關於標記的說明
- 1監察真實買家的工作階段: Reflectiz 把自己的方式描述為遠端及無代理程式：自動化瀏覽器按時間表訪問頁面，無需安裝程式碼。其網站說的是模擬用戶活動，而不是觀察真實購物者的工作階段。
- 2在買家的瀏覽器中攔截未授權腳本: 公開資料描述了 Idle Blocking Script：一個保持不活躍的標籤，直至安全團隊從控制台請求攔截，屆時它會透過 CSP 政策排除一個網域。該頁面自己總結為：遠端監察負責偵測，按需攔截負責回應。
- 3在表格輸入的卡資料: 清單及警報涵蓋觸及付款頁面的腳本，包括 iframe 內的。對複製卡資料的腳本作出反應，取決於定時訪問是否發現它，以及是否有人觸發網域攔截；其網站沒有描述在買家瀏覽器中的自動攔截。
Reflectiz 的突出之處
頁面上無需安裝任何東西
Reflectiz 把 PCI Module 描述為完全遠端運行。客戶提供付款頁面網址，其網站表示大多數機構在 24 小時內即可運作。
大規模的腳本批准
Smart Approval 放行行為與已接受模式相符的腳本，Bulk Approval 把一個決定套用到多個網站，而內置 AI 為每個腳本草擬理由供審核者接受或編輯。
私隱及攻擊性測試在同一平台
除 PCI Module 外，Privacy Hub 涵蓋 GDPR、CCPA 及 HIPAA，Offensive Hub 包括由代理驅動的滲透測試。
在 PCI SSC 佔一席位
其網站表示 Reflectiz 參與 PCI SSC Technology Guidance Groups 及標準本身的制定。
Proteside 查核而 Reflectiz 的資料沒有提及的內容
一家曼谷的商戶顯示一個 2,400 泰銖的 PromptPay QR 碼。購物者打開她的銀行應用程式，掃描並付款。如果她手提電腦上的瀏覽器擴充程式把該 QR 碼換成指向另一個帳戶的 QR 碼，凌晨三時訪問結帳頁面的自動化瀏覽器永遠不會看到。調換只存在於她的工作階段中，只針對她。
Reflectiz 對其設計很坦誠：沙盒瀏覽器模擬用戶活動，訪問按時間表重複，其網站並表示 Reflectiz 無法存取付款或工作階段資料。Proteside 從另一面運作。它記錄你的伺服器所發出的資料（QR 碼、UPI 識別碼、銀行繳費單條碼、錢包地址、金額），在每個真實工作階段中與買家所見及所複製的內容比對，並在兩者不同時攔截確認。
同一行程式碼保留腳本清單、監察卡表格，並儲存要求 6.4.3 及 11.6.1 所需的變更歷史。未授權腳本在買家的瀏覽器中被攔截，無需任何人先打開控制台。
各自如何進入你的營運
Reflectiz
- 你提供付款頁面網址；網站上不加入任何程式碼。
- 沙盒自動化瀏覽器按可配置的時間表訪問頁面並重複查核。
- 要攔截時，從控制台啟動 Idle Blocking Script，透過 CSP 排除所選網域；一鍵還原可撤銷。
Proteside
- 在任何平台的付款頁面加入一行程式碼，或在平台或服務供應商的範本中進行一次整合。
- 在每位買家的每個工作階段中查核，沒有時間表，沒有模擬訪問。
- 確認前自動攔截；控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。
何時選擇哪一個
Reflectiz 合適的情況
- 內部政策排除在付款頁面加入任何新腳本，而團隊接受偵測後由人手審核。
- 你運行數十個卡結帳，希望批量批准腳本，並有 AI 草擬、可直接交給審計員的理由。
- 私隱（GDPR、CCPA、HIPAA）及攻擊性測試屬於同一網絡安全計劃。
Proteside 合適的情況
- 你接受 UPI、PromptPay、PayNow、DuitNow、FPS、巴西 Pix 或銀行繳費單，或加密貨幣錢包。
- 你需要在調換發生的那個工作階段中攔截收款人調換，而不是等待下一次定時訪問。
- 你想以一次安裝、一行程式碼同時取得保護及 6.4.3 及 11.6.1 的證據。
兩者並用
使用 Reflectiz 從外部清點多個網站的集團可以保留該地圖，並在付款頁面加入 Proteside 查核每次購買。Reflectiz 的瀏覽器會把 Proteside 腳本列為清單中的另一項目，等待批准。
常見問題
Reflectiz 涵蓋 Pix、銀行繳費單或 QR 碼嗎？
在我們 2026 年 10 月審閱的公開資料中未見。Reflectiz 的資料描述的是腳本、iframe、HTTP 標頭及付款頁面內容。
Reflectiz 與 Proteside 可以一起使用嗎？
可以。Reflectiz 無需程式碼從外部觀察；Proteside 在頁面內運行。Proteside 腳本會像任何其他腳本一樣出現在 Reflectiz 的清單中，而 Proteside 永遠不會更改合法的付款。
Reflectiz 的 Idle Blocking Script 是甚麼？
根據 Reflectiz 網站，它是一個留在頁面上但保持不活躍的標籤，直至團隊從控制台請求攔截。一旦啟動，它會注入一條排除所選網域的 CSP 政策。在 Proteside 中，未授權腳本的攔截是自動的，並在買家的瀏覽器中進行。
無需程式碼的監察能滿足要求 6.4.3 及 11.6.1 嗎？
Reflectiz 描述了清單、授權、標頭警報及證據匯出，並表示客戶的 QSA 接受了這種方式。Proteside 從真實工作階段產生同樣的證據，包括被攔截內容的記錄。
Reflectiz 能抓到只向一位購物者出現的詐騙嗎？
Reflectiz 網站描述按時間表的模擬訪問，並表示它無法存取工作階段資料。在某一位顧客的瀏覽器中被擴充程式調換的 QR 碼或帳戶識別碼，發生在這些訪問之外。Proteside 在每個工作階段中查核。