SecurityMetrics 與 Proteside：從外部掃描頁面，還是查核每筆付款？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
SecurityMetrics Shopping Cart Monitor 按間隔從外部掃描你的付款頁面，並把要求 6.4.3 及 11.6.1 的證據存放在你完成 SAQ 的 PCI 入口網站中。Proteside 在頁面內、在每個購物者工作階段中運行，查核所顯示的 QR 碼、帳戶資料或錢包地址是否與你所發出的一致，並在確認前攔截調換。
並排比較
- 自我定位
- 針對要求 6.4.3 及 11.6.1 的付款頁面監察（Shopping Cart Monitor），來自一家以 QSA、ASV 及 PFI 身份營運的公司；Shopping Cart Inspect 是其由人手主導的鑑證檢查。
- 總部
- 美國猶他州 Orem。2000 年成立。
- 如何進入網站
- 你的網站上沒有程式碼：外部系統按間隔模擬結帳，掃描視乎配置以手動或自動時間表執行。2.0 版於 2025 年 3 月發佈。
- 在付款頁面查核甚麼
- 附理由的靜態及動態腳本清單、內容及標頭變更、全天候警報，以及可匯出給評估員的日誌。
- PCI DSS
- 要求 6.4.3 及 11.6.1，與 SecurityMetrics PCI 入口網站（SAQ 問卷及 ASV 掃描）整合。
SecurityMetrics Shopping Cart Monitor
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| SecurityMetrics | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）1 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 供應商表明不提供此功能2 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 供應商表明不提供此功能3 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開文件中有描述 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開文件中有描述 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
關於標記的說明
- 1在表格輸入的卡資料: 公開資料描述的是基於對結帳的模擬訪問的腳本及變更偵測；沒有描述在購物者輸入卡資料時於其瀏覽器內的任何動作。
- 2在買家的瀏覽器中攔截未授權腳本: SecurityMetrics 寫明 Shopping Cart Monitor 是為偵測而建，而非預防，並把 CSP 及腳本攔截列為產品範圍以外。
- 3監察真實買家的工作階段: 該工具被描述為無代理程式：外部系統按間隔模擬結帳。按其自身描述，它不會跟隨每位真實購物者的工作階段。
SecurityMetrics 的突出之處
供應商本身就是評估機構
SecurityMetrics 以 QSA、ASV 及 PFI 身份營運。該監察工具來自一家以審計商戶、執行漏洞掃描及調查卡資料外洩為業的公司。
證據與問卷放在一起
Shopping Cart Monitor 的日誌與 SAQ 及 ASV 掃描在同一入口網站並列，對已在該處接受評估的商戶而言，文件集中在一處。
可按需進行鑑證檢查
懷疑被入侵時，Shopping Cart Inspect 加入專家對購物車的審查，這是少有監察工具會與產品配搭的。
無需安裝任何東西
無代理程式的方式適合無法在付款頁面加入程式碼的商戶，包括在受限平台上的商店。
Proteside 查核而 SecurityMetrics 的資料沒有提及的內容
一家班加羅爾的傢俬店為一張 48,000 盧比的訂單顯示 UPI QR 碼。購物者用她的銀行應用程式掃描，數秒內完成付款。一個被入侵的評論小工具把 QR 碼換成了金額相同但收款人不同的 QR 碼，但只針對從某個廣告活動進來的購物者。錢沒了，訂單一直沒有結算，而商店兩天後才聽說。凌晨三時訪問該頁面的外部掃描看到的是一個完全正常的 QR 碼，因為調換在那次訪問中從未發生。
SecurityMetrics 對其所提供的內容說得很清楚：附理由的腳本清單、內容及標頭變更偵測、警報，以及可匯出給評估員的日誌，全部按間隔從外部收集。對於 UPI、PromptPay、PayNow、DuitNow、FPS、巴西的 Pix 及銀行繳費單（boleto）以及穩定幣錢包，公開文件沒有描述查核購物者實際看到的內容。Proteside 記錄你的伺服器所發出的資料（QR 碼內容、帳戶識別碼、錢包地址、金額），並在每個工作階段中與所顯示及所複製的內容比對。如果兩者不同，確認會被攔截，該次嘗試會變成一則警報及一項證據。
卡表格欄位及第三方腳本由同一次安裝涵蓋，附要求 6.4.3 及 11.6.1 所需的清單及變更歷史。一行程式碼既產生評估員的證據，又保護付款本身，包括在兩次掃描之間到來的購物者。
各自如何進入你的營運
SecurityMetrics
- 在 SecurityMetrics PCI 入口網站登記你的付款頁面；網站上沒有程式碼。
- 外部掃描模擬結帳，視乎你所持有的配置，以手動觸發或自動時間表執行。
- 全天候警報、每個腳本的理由及可匯出的日誌，與 SAQ 及 ASV 掃描在同一入口網站。
Proteside
- 在任何平台的付款頁面加入一行程式碼，或在平台或支付服務供應商的範本中進行一次整合。
- 在每個真實工作階段中查核，從當天第一位購物者到最後一位，訪問之間沒有空檔。
- 確認前自動攔截；控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。
何時選擇哪一個
SecurityMetrics 合適的情況
- 你的 PCI DSS 評估已經透過 SecurityMetrics 進行，而你希望 6.4.3 及 11.6.1 的證據放在同一入口網站內。
- 你無法在付款頁面加入任何程式碼，而偵測後由人手審核是可接受的。
- 你希望在監察工具之外，有鑑證團隊隨時調查懷疑被入侵的購物車。
Proteside 合適的情況
- 你接受 UPI、PromptPay、PayNow、DuitNow、FPS、Pix、boleto 或穩定幣，需要核實購物者所見的內容。
- 收款人調換或卡資料複製必須在發生的那個工作階段中被攔截，而不是在下一次掃描後才報告。
- 你想在一次安裝中同時取得保護及 6.4.3 及 11.6.1 的證據，不依賴任何評估機構的入口網站。
兩者並用
透過 SecurityMetrics 完成 SAQ 及執行 ASV 掃描的商戶可以保留 Shopping Cart Monitor 作為外部證據，並在頁面加入 Proteside 核實每筆付款並在真實工作階段中攔截調換。外部監察繼續從外部看頁面，而 Proteside 不會觸碰合法的付款。
常見問題
SecurityMetrics 涵蓋 Pix、boleto 或 QR 碼嗎？
在 2026 年 10 月審閱的公開資料中未見。Shopping Cart Monitor 的資料描述的是付款頁面上的腳本、內容及標頭變更，以卡資料為重點。
SecurityMetrics 與 Proteside 可以一起使用嗎？
可以。Shopping Cart Monitor 從外部監察頁面，無需程式碼；Proteside 是頁面本身的一段腳本。兩者互不干擾，因此商戶可以把證據保留在 SecurityMetrics 入口網站，同時由 Proteside 在每個工作階段中攔截調換。
SecurityMetrics 所說的「為偵測而建，而非預防」是甚麼意思？
這是該公司對 Shopping Cart Monitor 的原話：它識別新腳本及變更並向商戶發出警報；在購物者仍在頁面上時阻止腳本不在該產品的目標之內。在真實工作階段中攔截是 Proteside 所加入的。
按間隔掃描能滿足要求 6.4.3 及 11.6.1 嗎？
根據其公開文件，SecurityMetrics 提供附理由的清單、變更偵測及給評估員的日誌，這正是這兩項要求所需的。分別在於兩次掃描之間：Proteside 跟隨每位購物者，因此針對單一工作階段的攻擊也會顯現。
Proteside 會產生 QSA 期望的那種證據嗎？
Proteside 把腳本清單、授權以及頁面及其標頭的變更歷史匯出為給 QSA 的報告。它不取代評估本身，評估仍由你選擇的評估機構負責，包括 SecurityMetrics。