保护支付页面的 Reflectiz 替代方案（2026 年）
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
Reflectiz 与 SecurityMetrics 同属外部监测类别。另寻方案的买家还会发现页面内代理（Feroot、c/side）、CDN 模块（Cloudflare Client-Side Security，前身为 Page Shield，以及 Akamai Client-Side Protection & Compliance）和 Proteside 的方式：在每一次会话中运行并核对支付本身。决定从您的结账接受什么开始。
团队为什么会考察其他方案
结账不只接受银行卡
UPI、PromptPay、PayNow 和 Boleto 遭受的攻击是调包收款方。模拟访问看到的是页面在那一分钟的样子；它看不到每一位买家看到并复制了什么。
拦截必须在会话中发生
当响应取决于有人从控制台触发域名拦截时，团队想知道在告警和行动之间，购买会发生什么。
一次安装，既保护又证明
中小型企业更喜欢一行代码既拦截又生成审计报告，而不是在同一页面上使用两家厂商。
候选清单
| 方案 | 工作原理 | 适合 | 对比 |
|---|---|---|---|
| Proteside | 支付页面上的一个脚本，把每个二维码、收款密钥、Boleto 缴款编号、钱包地址和银行卡字段与您的服务器发出的内容逐一核对，并在确认前拦截调包。 | 通过 UPI、PromptPay、PayNow 或 Pix 等即时支付网络、银行卡、Boleto 或稳定币收款，并希望一次安装同时获得保护和 PCI DSS 证据的商家。 | Reflectiz 与 Proteside 对比 |
| SecurityMetrics Shopping Cart Monitor | 按间隔从外部扫描支付页面，模拟结账过程，对新脚本和变化发出告警；该公司自己把产品描述为检测工具，并表示它不是为预防而设计的。 | 已在使用 SecurityMetrics PCI 门户（问卷、ASV 扫描）、希望在同一处获得要求 6.4.3 和 11.6.1 证据的商家。 | SecurityMetrics 与 Proteside 对比 |
| Feroot PaymentGuard e DXSecure | 盘点支付页面上的脚本，记录授权理由和完整性，并对内容和标头的变化发出告警；运行时策略执行被描述为可选项。 | 以银行卡为主、需要在网站和移动应用上统一治理脚本并向评估机构提交报告的企业。 | Feroot 与 Proteside 对比 |
| c/side Script Security | 页面上的一段代码在真实会话中监测第三方脚本，保留每个脚本加载内容的历史记录，并结合 CSP 与自有规则进行拦截，无需反向代理，也无需更改 DNS。 | 希望详细了解每个第三方脚本行为、并配有合规仪表板和聊天工具告警的团队。 | c/side 与 Proteside 对比 |
| Cloudflare Client-Side Security (antes Page Shield) | Cloudflare 从代理层向一部分页面添加仅报告模式的 CSP 标头，并根据浏览器回传的报告建立清单；拦截通过高级层级中的允许规则实现。 | 已在 Cloudflare 后面、希望无需安装任何东西即可监测脚本的站点。 | Cloudflare Page Shield 与 Proteside 对比 |
| Akamai Client-Side Protection & Compliance (antes Page Integrity Manager) | Akamai 边缘在页面顶部注入检测脚本（或放置在源站），分析脚本行为，并允许您在控制台中一键限制恶意脚本。 | 在 Akamai 上运行、希望在同一控制台中管理网络威胁情报和脚本清单的大型企业。 | Akamai Client-Side Protection 与 Proteside 对比 |
先选类别，再选厂商
在把一个名字换成另一个之前，先确定类别。Reflectiz 等外部监测在不触碰站点的情况下提供清单和证据，Reflectiz 自己也说明了取舍：访问是模拟的，拦截由人触发。页面内代理和 CDN 模块监测真实浏览器，对脚本处理得很好。就其公开文档而言，这三个类别都不核对屏幕上的二维码、账户 ID 或 Boleto 缴款编号是否就是商家发出的那一个。
这项核对是 Proteside 的类别：付款时刻的完整性。它包含脚本清单以及 6.4.3 和 11.6.1 的证据，因此离开外部监测的团队保留了报告，并得到了监测从未看过的那部分。
各方案详解
Proteside
Proteside 记录每个支付页面上的合法内容（每笔收款的明细、表单字段、已授权的脚本），并在付款人的浏览器中持续核验显示了什么、复制了什么、数据流向何处。一旦发现不一致，它会在付款确认前阻止该操作，并记录这次尝试。
脚本清单和变更历史构成 PCI DSS 要求 6.4.3 和 11.6.1 的证据。安装只需在任何电商平台上加一行代码，平台和支付服务商则只需一次集成，并配有管理后台、API 和告警。
适合选择 Proteside 的情况: 当您的结账除了银行卡还通过即时支付网络、Boleto 或稳定币收款，当您需要在真实会话中拦截收款方调包，或者当您希望在不更改 CDN 的前提下同时获得保护和 PCI DSS 证据时，选择 Proteside。
SecurityMetrics Shopping Cart Monitor
SecurityMetrics 是一家 PCI 评估公司（QSA、ASV），Shopping Cart Monitor 嵌入其门户：带理由的脚本清单、内容和标头变化检测、告警，以及可导出给评估机构的日志，站点上无需安装任何东西。
公开资料坦率地说明了局限：厂商表示该工具是为检测而设计的，基于按间隔采集的快照工作。对于需要在客户仍停留在页面上时就拦截骗局的团队，这种方式可作为真实会话拦截的补充。
适合选择 SecurityMetrics 的情况: 您的 PCI DSS 评估已通过 SecurityMetrics 进行，并希望支付页面证据集成在同一门户中。
Feroot PaymentGuard e DXSecure
Feroot 的产品以合规为中心：PaymentGuard 通过脚本清单、授权理由、完整性检查和提交给 QSA 的证据报告覆盖要求 6.4.3 和 11.6.1。公开文档提到与告警和运维工具的集成，以及在网站之外对 iOS 和 Android 应用的覆盖。
对于银行卡之外的收款方式，需要留意的是范围：公开资料谈的是脚本和银行卡数据，没有提到二维码、收款密钥、Boleto（巴西银行付款单）或加密货币钱包。对这些支付方式而言，收款方调包不在该工具描述的核对范围之内。
适合选择 Feroot 的情况: 您的首要任务是跨网站和移动应用的脚本治理与 PCI DSS 证据，且结账以银行卡收款为主。
c/side Script Security
c/side 将自己定义为客户端安全平台。公开资料描述了带有每个脚本内容历史的清单、供应商关系图、告警、面向要求 6.4.3 和 11.6.1 的仪表板，以及接收 CSP 报告的端点。
其关于加密货币的公开页面提到复制到剪贴板的钱包地址被调包，这与 Proteside 解决的问题已很接近。Pix、Boleto（巴西银行付款单）以及 UPI 或 PromptPay 等即时支付网络的二维码，未见于我们查阅的公开文档。
适合选择 c/side 的情况: 您希望了解每个第三方脚本的行为细节，并且在银行卡之外，加密货币地址调包已是您的主要顾虑。
Cloudflare Client-Side Security (antes Page Shield)
该功能在 2026 年 3 月之前称为 Page Shield，现称 Client-Side Security，面向通过 Cloudflare 代理的域名提供。文档描述了对脚本、连接和 Cookie 的监测、恶意脚本和代码变化的检测，以及可拦截允许列表之外一切内容的内容安全规则。
文档自身解释了这一机制：仅报告模式的标头只随一部分响应发出，因此新脚本可能需要一段时间才会出现。要求 6.4.3 和 11.6.1 在高级层级中覆盖。Pix、Boleto（巴西银行付款单）和即时支付网络未见于资料。
适合选择 Cloudflare Page Shield 的情况: 您的站点已在 Cloudflare 后面，银行卡是主要收款方式，且抽样式的脚本监测能让您的评估机构满意。
Akamai Client-Side Protection & Compliance (antes Page Integrity Manager)
Client-Side Protection & Compliance（前身为 Page Integrity Manager）盘点脚本，应用授权理由和规则，监测要求 11.6.1 所需的标头，并对未授权脚本、支付数据外泄和篡改发出告警。公开文档表示，无论站点托管在何处，检测均可工作，配置在 Akamai 控制台中完成。
脚本注入可设置为页面浏览量的一个百分比，缓解措施被描述为一键应用的限制。要获得完整覆盖，注入必须在每一次页面浏览时运行。资料涉及脚本和银行卡数据；未涉及二维码、收款密钥或 Boleto 缴款编号。
适合选择 Akamai Client-Side Protection 的情况: 您的业务已在 Akamai 上运行，安全团队负责操作控制台，并且人工审批的缓解方式符合您的流程。
如何评估一个替代方案
- 1您的页面显示哪些支付方式？如果有 UPI、PromptPay、Pix 或 Boleto 码，或钱包地址，工具除了脚本还必须核对这些数据。
- 2工具是观察每一位买家，还是按计划访问站点？定向骗局只出现在受害者的会话中。
- 3谁触发拦截？会话内自动触发，还是告警之后由人在控制台中操作？
- 4您能在支付页面上添加脚本吗？如果答案是否定的，外部监测仍是唯一可行的类别。
- 5您的流量经过厂商的 CDN 吗？边缘模块只适用于已在该平台上的站点。
- 6您的下一次 PCI DSS 评估是什么时候？报告必须可直接交给 QSA，包含清单、审批和变更历史。
常见问题
Reflectiz 最好的替代方案是什么？
取决于您为什么要更换。如果目标是观察真实会话并在无人工步骤的情况下拦截脚本，Feroot 和 c/side 在页面上做到这一点，Cloudflare 和 Akamai 在边缘做到这一点。如果结账接受 UPI、PromptPay、PayNow、Boleto 或加密货币，支付核对只出现在 Proteside 的公开文档中。
Reflectiz 的替代方案需要覆盖什么？
至少包括 Reflectiz 已经提供的：脚本清单与审批、标头告警和面向 QSA 的证据导出。要更进一步，加上对真实会话的观察、自动拦截，以及针对即时支付网络的收款方核对。
Reflectiz 的竞争对手有哪些？
同属外部监测类别的有 SecurityMetrics。页面内代理中有 Feroot、c/side、Jscrambler、Source Defense 和 HUMAN Security。CDN 模块中有 Cloudflare、Akamai、Imperva 和 F5。Proteside 在这些页面上与它们逐一对比。
Proteside 能替代 Reflectiz 吗？
取决于范围。对于支付页面，Proteside 覆盖脚本清单和要求 6.4.3 与 11.6.1，并加上每一次会话中的支付核对。隐私、攻击性测试以及结账之外整个站点的清单不在 Proteside 之内；在这些情况下，两款工具可以共存。