c/side 与 Proteside：监测脚本，还是核对支付？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
c/side 在所有真实会话中监测每一个第三方脚本，保留每个脚本交付内容的历史记录，并拦截已批准列表之外的一切。Proteside 同样盘点并拦截脚本，然后核对支付本身：二维码、即时支付 ID、Boleto 缴款编号、钱包地址和银行卡字段，与商家发出的内容比对。
并排对比
- 自我描述
- 用公司自己的话说，是一个客户端安全平台。Script Security 覆盖页面上的脚本；Fingerprint 覆盖设备识别以及机器人和 AI 代理检测。
- 总部
- 美国，全远程团队。成立于 2024 年。
- 如何接入站点
- 页面头部的一个脚本标签。官网表示无需反向代理，无需更改 DNS，站点流量也不经过 c/side。
- 在支付页面上核对什么
- 100% 真实访客会话中的第三方脚本，不抽样：清单、每次页面加载时各脚本交付内容的历史、供应商依赖图，以及按供应商设置的权限。
- PCI DSS
- 要求 6.4.3 和 11.6.1，报告被描述为可直接用于审计并获得 QSA 机构 VikingCloud 认可。公开资料未提及 PCI SSC 参与资格。
c/side Script Security
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| c/side | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 公开文档中有描述 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）1 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 公开文档中有描述 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 公开文档中有描述 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1稳定币与加密货币钱包地址，包括复制时: c/side 的公开加密货币页面把实时更改收款地址和替换剪贴板中已复制钱包地址列为它通过脚本监测应对的威胁。资料没有描述将显示的地址与商家发出的地址比对，因此标注为部分。
c/side 的突出之处
每一次真实会话，不抽样
官网表示覆盖 100% 的真实访客会话，并将其与周期性扫描和模拟爬取相对照。
每个脚本交付内容的历史
清单按每次页面加载保存每个第三方脚本交付的内容，让事后调查变化更容易。
源自 Cloudflare Page Shield
据“关于”页面所述，创始人曾是 Page Shield 的产品经理，并担任 W3C 反欺诈社区组的联合主席。
关注加密货币
专门的加密货币页面涉及钱包抽取器、实时更改收款地址和金额的脚本，以及剪贴板中已复制钱包地址被替换的情况。
Proteside 核对而 c/side 的公开资料未提及的内容
班加罗尔的一家家具店为一笔 42,000 卢比的订单显示 UPI 二维码。客户用银行应用扫码，看到金额，确认付款，订单却始终没有到达。一个被攻陷的脚本已经用另一个收款方的 UPI ID 和相同的金额重绘了二维码。没有卡号被窃取；钱只是去了别人那里，而商店是在客户询问发货进度时才发现的。
如果那个脚本在已批准列表之外，c/side 会看到它，这一点很重要。它的公开文档没有描述的是对支付数据本身的核对：屏幕上的二维码、ID 或地址是否就是您的服务器发出的那一个。对于 UPI、PromptPay、PayNow、DuitNow、FPS 和巴西的 Boleto（巴西银行付款单），c/side 的资料没有提到核对。对于加密货币钱包，它提到了剪贴板地址被调包，但没有提到与商家生成的地址比对。Proteside 记录发出的内容（二维码、ID、Boleto 缴款编号、USDT 地址、金额），并在每一次会话中与买家看到和复制的内容比对。一旦不一致，确认即被拦截，这次尝试会变成一条告警和一份证据记录。
同一行代码还覆盖银行卡表单和第三方脚本，并提供要求 6.4.3 和 11.6.1 所要求的清单、授权和变更历史。已在使用 c/side 的团队可以保留脚本可见性，并在不启动第二个部署项目的情况下加上支付核对。
各自如何接入您的业务
c/side
- 页面头部的一个脚本标签，适用于任何平台。
- 据官网所述，无需反向代理，无需更改 DNS；流量继续直达您的服务器。
- 向 Slack、Teams、邮件和 webhook 发送告警，并可接入反欺诈和 SIEM 工具。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或支付服务商模板中的一次集成。
- 无需代理，无需更改 DNS 或 CDN；核对在买家的浏览器中、在每一次会话里进行。
- 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 c/side 的情况
- 银行卡是您唯一的收款方式，首要任务是借助每次页面加载的历史记录调查每个第三方脚本的行为。
- 您希望由同一家脚本安全厂商提供设备识别以及机器人和 AI 代理检测。
- 您的安全团队已在使用 CSP 策略，并希望在清单旁边有一个接收浏览器报告的端点。
适合选择 Proteside 的情况
- 您接受 UPI、PromptPay、PayNow、DuitNow、FPS、Pix、Boleto 或稳定币，需要核对的是收款方，而不只是脚本。
- 您需要在每一次会话中、在确认前拦截被调包的二维码、ID、Boleto 缴款编号或钱包地址。
- 您希望一次安装就获得保护以及要求 6.4.3 和 11.6.1 的证据，报告可由 QSA 直接采用。
两者并用
依赖 c/side 获取第三方脚本细节的团队，可以保留那个仪表板，并在支付页面上加上 Proteside 来核对支付本身。两个标签相互独立；Proteside 不会改动合法的付款，也不会干扰另一款工具的清单。
常见问题
c/side 覆盖 Pix、Boleto 或二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。c/side 的资料涉及第三方脚本、银行卡数据、PCI DSS 合规和隐私，其加密货币页面涉及钱包和已复制的地址。
c/side 和 Proteside 可以一起使用吗？
可以。它们是支付页面上两个相互独立的脚本标签。c/side 继续监测脚本，Proteside 则把屏幕上的支付信息与您的服务器发出的内容比对，并在确认前拦截调包。
c/side 能防范加密货币钱包地址调包吗？
其公开的加密货币页面把实时更改地址和剪贴板替换列为通过脚本监测应对的威胁。将显示的地址与商家发出的地址比对，未见于资料；Proteside 会做这项比对，并在不一致时拦截。
一条 CSP 策略足以满足要求 6.4.3 和 11.6.1 吗？
c/side 自己的常见问题表示，CSP 控制脚本的来源，但看不到其内容，因此单靠它不能满足 PCI DSS。c/side 和 Proteside 都在这个基础上加入了清单、授权和变更历史。
两者都监测每一次真实会话。那区别在哪里？
在于各自在会话中看什么。c/side 描述的是第三方脚本的行为。Proteside 还会看屏幕上和剪贴板中的支付数据：二维码、收款方 ID、Boleto 缴款编号、钱包地址和金额，与发出的内容比对。