Source Defense 與 Proteside：攔截腳本還是核實付款？
作者 Laís Peixoto
Growth Marketer, Proteside
發佈於
Source Defense 阻止第三方腳本讀取付款頁面上的卡資料，即時攔截，並讓收單機構透過已提供的 SDK 推送該保護。Proteside 同樣清點腳本，然後查核所顯示的 QR 碼、帳戶、銀行繳費單條碼或錢包地址是否與賣家所發出的一致，並在確認前攔截調換。
並排比較
- 自我定位
- 網站的客戶端安全，該公司自稱此類別的創立者；Protect 負責預防，Detect 負責監察，Acquirer Protect 透過收單機構及支付服務供應商分發保護。
- 總部
- 以色列 Rosh Ha'ayin 及美國康涅狄格州 Stamford。2014 年成立。
- 如何進入網站
- 在網站加入兩行程式碼，第三方腳本預設視為不受信任；其網站表示 24 小時內即可運作，每月約需兩小時管理。
- 在付款頁面查核甚麼
- 第三方及第四方腳本、這些腳本在頁面上的行為，以及它們對卡表格所輸入資料的存取。
- PCI DSS
- Acquirer Protect 及 QSA 合作夥伴資源中引用要求 6.4.3，並有合規報告。根據 PCI SSC 的公開名單，是該委員會的 Principal Participating Organization。
Source Defense Protect e Detect
- 自我定位
- 付款一刻的網絡安全層：買家所見、所複製及所確認內容的完整性。
- 總部
- 巴西聖保羅。2026 年起營運。
- 如何進入網站
- 在付款頁面加入一行程式碼，或整合到平台或支付服務供應商的範本。無需代理伺服器，無需更改 DNS 或 CDN。
- 在付款頁面查核甚麼
- 第三方腳本、卡表格、Pix QR 碼及識別碼、boleto（巴西銀行繳費單）條碼、加密貨幣錢包地址，以及八個即時支付系統的 QR 碼，全部與商戶所發出的資料比對。
- PCI DSS
- PCI DSS 要求 6.4.3 及 11.6.1 的證據，附可匯出給 QSA 的報告。
Proteside
逐項準則
標記以各供應商的公開文件為依據。將滑鼠移至標記上或輕觸標記可查看圖例。
| Source Defense | Proteside | |
|---|---|---|
| 在付款人螢幕上查核甚麼 | ||
| 付款頁面腳本的清點與授權要求 6.4.3 的基礎：知道頁面上運行甚麼，並授權每個腳本。 | 公開文件中有描述 | 公開文件中有描述 |
| 在表格輸入的卡資料阻止腳本複製卡號、到期日及安全碼。 | 公開文件中有描述 | 公開文件中有描述 |
| Pix QR 碼及複製貼上代碼（巴西）巴西最常見的結帳詐騙：顯示的 QR 碼指向另一個帳戶。 | 公開資料中未見 | 公開文件中有描述 |
| Boleto（巴西銀行繳費單）繳費條碼被調換的條碼會以相同金額付給另一個收款人。 | 公開資料中未見 | 公開文件中有描述 |
| 全球即時支付系統的 QR 碼（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferências 3.0）與 Pix 相同的調換手法，橫跨八個即時支付系統。 | 公開資料中未見 | 公開文件中有描述 |
| 穩定幣及加密貨幣錢包地址，包括複製時在螢幕上或剪貼簿中被調換的錢包地址是不可逆轉的。 | 公開資料中未見 | 公開文件中有描述 |
| 比對螢幕所示與商戶所發出的資料，並在確認前攔截調換定義付款完整性的查核：收款人與金額與發出時一致。 | 公開資料中未見 | 公開文件中有描述 |
| 如何保護 | ||
| 在買家的瀏覽器中攔截未授權腳本事後偵測無法取回已被複製的資料。 | 公開文件中有描述 | 公開文件中有描述 |
| 監察真實買家的工作階段針對性詐騙不會出現在模擬訪問中。 | 公開文件中有描述 | 公開文件中有描述 |
| 無需更改 CDN、DNS 或代理伺服器即可運作一行程式碼即可部署到任何平台。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 合規 | ||
| PCI DSS 要求 6.4.3 的證據腳本的清單、授權及完整性。 | 公開文件中有描述 | 公開文件中有描述 |
| PCI DSS 要求 11.6.1 的證據頁面及其標頭的未授權變更。 | 公開資料中未見1 | 公開文件中有描述 |
| 可匯出給評估員（QSA）的報告證據必須離開控制面板，送到評估現場。 | 公開文件中有描述 | 公開文件中有描述 |
- 公開文件中有描述
- 有描述但附帶限制（可選、抽樣、需要人手操作或只在某一產品層級）
- 公開資料中未見
- 供應商表明不提供此功能
關於標記的說明
- 1PCI DSS 要求 11.6.1 的證據: 公開產品頁面引用要求 6.4.3（Acquirer Protect 及 QSA 合作夥伴資源中）並描述 PCI DSS 合規報告。涵蓋頁面及其標頭未授權變更的要求 11.6.1，並未以名稱出現在 2026 年 10 月查核的資料中。因此標記為「公開資料中未見」，而非「不提供」。
Source Defense 的突出之處
透過收單機構及服務供應商分發
Acquirer Protect 透過收單機構、支付服務供應商或平台已提供的 SDK，把保護帶到整個商戶組合，無需逐店安裝。
PCI SSC 的最高級別參與
Source Defense 在該委員會的公開名單上列為 Principal Participating Organization，即最高參與級別。
安裝後營運輕量
其網站把 Protect 描述為每月約需兩小時管理，政策預設不信任並隨時間調校。
公開的規模
據該公司自己的網站所述，經過十年專注於客戶端的工程，保護超過 1,000 個品牌及每月 12 億次頁面瀏覽。
Proteside 核實而 Source Defense 的資料沒有提及的內容
一家班加羅爾的電子產品店為一部售價 84,000 盧比的手提電腦顯示 UPI QR 碼。購物者用銀行應用程式掃描並付款。一個注入頁面的腳本已把 QR 碼換成指向另一個 UPI 識別碼、金額相同的 QR 碼。沒有卡資料離開頁面；錢去了錯誤的帳戶，而商店在訂單一直無法對賬時才發現。
Source Defense 回應的是卡的問題：第三方腳本預設不受信任，被阻止讀取表格，Protect 提供即時攔截。對於 UPI、PromptPay、PayNow、巴西銀行繳費單（boleto）及加密貨幣錢包，公開產品頁面沒有描述對購物者所見內容的查核。Proteside 記錄你的伺服器所發出的資料（QR 碼、帳戶識別碼、繳費單條碼、錢包地址、金額），並在每個工作階段中與所顯示及所複製的內容比對。出現不符時，確認會被攔截，該次嘗試會作為警報及證據記錄。
腳本清單及卡表格保護在同一次安裝中提供，附要求 6.4.3 及 11.6.1 所需的變更歷史，以及可直接交給 QSA 的報告。一行程式碼監察腳本並核實付款。
各自如何進入你的營運
Source Defense
- 在網站加入兩行程式碼；資料表示 24 小時內即可運作。
- 第三方腳本預設視為不受信任，政策由你的團隊隨時間調校。
- Protect 即時攔截；Detect 只監察及警報，資料可透過 API、警報及控制台取得。收單機構及服務供應商透過現有 SDK 分發。
Proteside
- 在任何平台的付款頁面加入一行程式碼，或在平台或支付服務供應商的範本中進行一次整合。
- 每筆收費在伺服器端記錄，並在每個工作階段核實，不抽樣。
- 確認前自動攔截；控制面板、API 及透過電郵、Slack、Teams 及 webhook 的警報。
何時選擇哪一個
Source Defense 合適的情況
- 你是收單機構、支付服務供應商或平台，想透過已提供的 SDK 把腳本保護推送到整個商戶組合。
- 卡是唯一的付款方式，而首要目標是以極少的每月營運工作把第三方腳本擋在表格之外。
- 你的安全團隊想先從只監察及警報（Detect）開始，透過 API 取用資料，然後才開啟攔截。
Proteside 合適的情況
- 你的結帳接受 UPI、PromptPay、PayNow、DuitNow、FPS、巴西銀行繳費單或加密貨幣。
- 你需要在購物者自己的工作階段中、在確認前攔截收款人調換。
- 你想以一次安裝取得要求 6.4.3 及 11.6.1 的證據，包括標頭，且無需更改 CDN。
兩者並用
收單機構透過 SDK 分發 Source Defense 的商戶可以保留該卡表格保護，並在付款頁面加入 Proteside 核實即時支付、銀行繳費單及錢包地址。兩段腳本互相獨立；Proteside 不會觸碰另一工具的政策。
常見問題
Source Defense 涵蓋 UPI、PromptPay、PayNow、銀行繳費單或付款 QR 碼嗎？
在 2026 年 10 月查核的公開資料中未見說明。產品頁面描述的是第三方腳本、在卡表格輸入的資料及合規報告。
Source Defense 與 Proteside 可以一起使用嗎？
可以。它們是付款頁面上兩段獨立的腳本。Proteside 核實付款資料及腳本，不會更改合法的付款或另一工具的政策。
Protect 與 Detect 有甚麼分別？
根據 Source Defense 網站，Protect 即時攔截腳本對資料的未授權存取，而 Detect 只監察及警報，不攔截。Proteside 預設在每個工作階段攔截並記錄該次嘗試。
我是收單機構或支付服務供應商。該向商戶分發哪一個？
兩者都描述透過服務供應商分發。Acquirer Protect 使用收單機構已提供的 SDK，專注於卡資料。Proteside 以一次整合加入平台或服務供應商的範本，並同時核實 UPI、PromptPay、PayNow、銀行繳費單及加密貨幣。
Source Defense 與 Proteside 符合 PCI DSS 要求 11.6.1 嗎？
Proteside 為要求 6.4.3 及 11.6.1 提供證據，附標頭監察及 QSA 報告。Source Defense 的公開頁面引用 6.4.3；11.6.1 並未出現在查核的資料中。