如何监控结账页面改动：监控什么，多久一次

监控结账页面的改动，就是在还来得及采取行动时，知道付款页面上有什么东西开始以商店未授权的方式运行。这包括服务器上的文件、页面加载的脚本、安全响应头，以及最重要的：购物者屏幕上显示的内容。每一层都需要不同的方法，而没有哪种方法能同时看到四层。

为什么要监控付款页面，而不只是整个网站

结账页面是唯一能让攻击当场变现的页面。复制银行卡或替换 Pix（巴西中央银行推出的即时支付系统）二维码的代码只需要在那里起作用，因此在网站的其他地方通常处于关闭状态。2026 年 9 月，遭到这类代码攻击的巴西商店最先看到的是一个商业症状：Pix 弃单增多，早于任何技术警报。

监控付款页面也是一项硬性要求。自 2025 年 3 月 31 日起，PCI DSS 的 11.6.1 要求有一种机制，能发现页面内容和安全响应头的未授权改动，并至少每周检查一次，或按企业自身风险分析确定的频率检查。

监控什么：四个层面

1. 服务器上的文件

平台、主题和插件的文件。在计划发布之外出现的改动，是最典型的入侵信号。

这一层看不到的：来自外部地址、只存在于浏览器中的代码。

2. 页面加载的脚本

付款页面调用的所有内容的清单：自有文件、分析工具、在线客服、广告像素、支付服务商的脚本。这正是 PCI DSS 的 6.4.3 要求的清单，每一项都要有负责人、理由和完整性保证。

这一层看不到的：一个已获授权的脚本在不改名的情况下改变了行为，或者顾客浏览器里的扩展。

3. 安全响应头

服务器随页面一起发给浏览器的指令，比如规定脚本可以从哪里加载、数据可以发往哪里的策略。如果有人放宽了这项策略，门就开了，而没有任何文件发生变化。

这一层看不到的：利用已放行服务的攻击。2026 年 6 月，研究人员描述了一段窃取银行卡数据的代码，它把一个知名支付服务当作跳板，正是为了绕过信任该服务的策略。

4. 顾客屏幕上显示的内容

Pix 二维码、Pix Copia e Cola（顾客复制后粘贴到银行应用里的文本付款码）的文本、boleto（巴西银行付款单）的 linha digitável（boleto 上的付款编号）、钱包地址、接收信用卡和借记卡的表单，以及这个表单把数据发往哪里。诈骗就发生在这里，也只有在这里才会完整显现。

这一层需要的：把屏幕上的内容与商店签发的内容进行比对，而不只是记录发生了变化。

多久检查一次

不存在统一的频率。实用的做法是每一层各定一个：

• 服务器上的文件： 每次发布时检查，并每天检查；发布之外的改动立即报警。
• 脚本和响应头： 持续监控，并至少每周人工审查一次，这是 11.6.1 的最低要求。
• 顾客屏幕： 付款页面每次加载时都要核对。周二上午 10:00 被替换的二维码，10:01 就已经收到钱了。

各种方法及其能看到的内容

• 服务器文件监控。 适合发现改动商店代码的入侵。对在浏览器中拼装的内容视而不见。
• 机器人外部扫描。 机器人定期打开结账页面，记录页面加载的内容。有助于建立清单，但只能看到机器人自己的会话，而恶意代码可能对看起来像自动程序的访问者表现得不一样。
• 浏览器的安全策略报告。 当有内容试图从不该加载的地方加载时，顾客的浏览器会发出报告。它显示的是被拦截的尝试，而不是经由已放行地址通过的内容。
• 页面内的监控脚本。 在真实顾客的浏览器中运行，能看到页面打开后实际加载和改动了什么。
• 支付数据核对。 比上一种更进一步：不仅看到二维码变了，还会与商店签发的二维码进行比对，不一致就拦截。

前三种方法告诉你“有东西变了”。只有最后一种能告诉你“顾客马上就要把钱付给错误的人”。

如何设置有人会处理的警报

1. 定义什么是已授权的。 没有预期脚本和目标地址的清单，所有警报都是噪音。
2. 区分紧急与例行。 付款页面出现新脚本、二维码不一致，属于紧急。分析工具的版本更新属于例行，可在当周审查。
3. 把紧急警报发给能处理的人。 发到有人值班的渠道，而不是一个邮箱。
4. 把技术信号和商业信号结合起来。 Pix 待付款率、结账放弃率，以及“已付款却没有订单”的投诉，与文件警报同样重要。
5. 保存证据。 日期、页面、改了什么、谁批准的。这是 PCI DSS 审核员要的，也有助于向顾客解释事件。

快速检查清单

• 付款页面的脚本清单，注明负责人和理由。
• 发布之外的文件改动警报。
• 启用报告功能的内容安全策略。
• 在真实顾客的浏览器中监控，而不只依靠机器人。
• 把二维码、Copia e Cola、linha digitável 和银行卡表单与商店签发的内容进行比对。
• 每日查看 Pix 待付款率的仪表板。
• 记录每一项获批的改动和每一条处理过的警报。

要了解这种监控所防范的攻击，请阅读Magecart 是什么，网店如何防范。相关要求参见PCI DSS 合规。

Proteside 的作用

Proteside 在购物者的浏览器中覆盖第二层和第四层：维护付款页面的脚本清单，并在每笔订单中核对二维码、Copia e Cola、linha digitável 和银行卡表单是否为商店签发的那一份。如果不是，就在确认前拦截替换，通知商店，并把这一情况记录为 PCI DSS 证据。参见运作方式。