面向支付页面的 Akamai Client-Side Protection 替代方案（2026 年）

Proteside 记录每个支付页面上的合法内容（每笔收款的明细、表单字段、已授权的脚本），并在付款人的浏览器中持续核验显示了什么、复制了什么、数据流向何处。一旦发现不一致，它会在付款确认前阻止该操作，并记录这次尝试。

脚本清单和变更历史构成 PCI DSS 要求 6.4.3 和 11.6.1 的证据。安装只需在任何电商平台上加一行代码，平台和支付服务商则只需一次集成，并配有管理后台、API 和告警。

该功能在 2026 年 3 月之前称为 Page Shield，现称 Client-Side Security，面向通过 Cloudflare 代理的域名提供。文档描述了对脚本、连接和 Cookie 的监测、恶意脚本和代码变化的检测，以及可拦截允许列表之外一切内容的内容安全规则。

文档自身解释了这一机制：仅报告模式的标头只随一部分响应发出，因此新脚本可能需要一段时间才会出现。要求 6.4.3 和 11.6.1 在高级层级中覆盖。Pix、Boleto（巴西银行付款单）和即时支付网络未见于资料。

Imperva（Thales）将 Client-Side Protection 描述为其应用保护的一个组件：持续的服务发现、基于 AI 的脚本分析、一键拦截、标头变化监测、支付页面变化的每周摘要，以及可导出给评估机构的报告，并支持 Terraform。

其机制是在服务器端以零信任模型定义的内容安全策略：未获授权的内容不会加载。公开文档描述通过 Imperva Cloud Application Security 交付；范围是脚本和银行卡数据。

Feroot 的产品以合规为中心：PaymentGuard 通过脚本清单、授权理由、完整性检查和提交给 QSA 的证据报告覆盖要求 6.4.3 和 11.6.1。公开文档提到与告警和运维工具的集成，以及在网站之外对 iOS 和 Android 应用的覆盖。

对于银行卡之外的收款方式，需要留意的是范围：公开资料谈的是脚本和银行卡数据，没有提到二维码、收款密钥、Boleto（巴西银行付款单）或加密货币钱包。对这些支付方式而言，收款方调包不在该工具描述的核对范围之内。

c/side 将自己定义为客户端安全平台。公开资料描述了带有每个脚本内容历史的清单、供应商关系图、告警、面向要求 6.4.3 和 11.6.1 的仪表板，以及接收 CSP 报告的端点。

其关于加密货币的公开页面提到复制到剪贴板的钱包地址被调包，这与 Proteside 解决的问题已很接近。Pix、Boleto（巴西银行付款单）以及 UPI 或 PromptPay 等即时支付网络的二维码，未见于我们查阅的公开文档。

Reflectiz 将自己的方式描述为无代理：沙箱浏览器模拟用户旅程，盘点脚本（包括 iframe 内的），监测要求 11.6.1 所需的标头，并为 QSA 导出证据。该平台还覆盖隐私和攻击性测试。

厂商自己的资料把拦截解释为一个在页面上保持不活动的脚本，直到在界面中触发后才开始通过 CSP 排除某个域名。这是一种设计选择：先检测，再由人工介入。只对某一位特定买家出现的骗局，模拟访问观察不到。