Feroot 与 Proteside：脚本治理还是支付核对？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
Feroot 盘点并治理支付页面上的脚本以满足 PCI DSS，覆盖网站和移动应用。Proteside 同样做这份清单，并更进一步：在买家的屏幕上核对所显示的二维码、收款密钥、Boleto 缴款编号或钱包地址是否就是商家发出的那一个，并在确认前拦截调包。
并排对比
- 自我描述
- 面向 PCI DSS、HIPAA 和隐私法规的自动化合规平台；PaymentGuard 负责支付页面。
- 总部
- 加拿大多伦多。成立于 2017 年。
- 如何接入站点
- 支付页面上的脚本，评估频率可配置；DXSecure 被描述为无代理，并在浏览器内监测。
- 在支付页面上核对什么
- 脚本（包括动态加载和嵌套的脚本）、基于哈希的完整性、页面内容和 HTTP 标头；iOS 和 Android 应用。
- PCI DSS
- 要求 6.4.3 和 11.6.1，附提交给 QSA 的证据报告。据其官网所述，是 PCI SSC 的准参与组织（Associate Participating Organization）。
Feroot PaymentGuard e DXSecure
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| Feroot | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 公开文档中有描述 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 公开文档中有描述 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）1 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1监测真实买家会话: 官网既把 DXSecure 描述为无代理部署，又描述为在用户浏览器中监测；公开资料没有详细说明两者如何结合。
Feroot 的突出之处
移动应用在覆盖范围内
公开资料在网站之外还包括 iOS 和 Android 应用，这在该类别中并不常见。
隐私与医疗合规在同一仪表板
该平台还覆盖 HIPAA 和隐私法规，适合有多重监管义务的团队。
部署前的诊断工具
一个 Chrome 扩展和一个网页扫描器可在部署之前展示风险暴露情况。
运维集成
可向聊天、事件管理和可观测性工具发送告警，并提供 API。
Proteside 核对而 Feroot 的资料未提及的内容
设想一家接受 UPI 的班加罗尔商店。客户进入结账页面，看到二维码，打开银行应用付款。如果一个被攻陷的插件或一个浏览器扩展把二维码换成了金额相同的另一个，商店只有在客户投诉“钱付了、订单却没到”时才会发现。没有银行卡数据被窃取；被调包的是收款方。一家接受 Pix 的巴西商店会遇到同样的场景。
脚本清单是银行卡问题的正确答案，Feroot 也做得很用心。但对于 UPI、PromptPay、PayNow、Pix、Boleto（巴西银行付款单）和加密货币钱包，Feroot 的公开文档没有描述对屏幕显示内容的核对。Proteside 记录您的服务器发出的内容（二维码、密钥、Boleto 缴款编号、地址、金额），并在每一次会话中与买家看到和复制的内容比对。一旦不一致，确认即被拦截，这次尝试会变成一条告警和一份证据。
同一次安装还覆盖银行卡表单和第三方脚本，并提供要求 6.4.3 和 11.6.1 所要求的清单和历史记录。一行代码，两件事一起做。
各自如何接入您的业务
Feroot
- 支付页面上的脚本，或通过支付处理商一次性分发到多个页面。
- 评估频率可配置，从每小时到每周。
- PaymentGuard 中的运行时策略执行被描述为可选项。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或服务商模板中的一次集成。
- 在每一次会话中持续核对，不抽样，评估之间没有空档。
- 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 Feroot 的情况
- 银行卡是唯一的收款方式，首要任务是脚本治理并向评估机构提交报告。
- 除网站外，您还需要覆盖移动应用。
- HIPAA 或隐私法规属于同一项合规义务。
适合选择 Proteside 的情况
- 您通过 UPI、PromptPay、PayNow、Pix、Boleto、稳定币或其他即时支付网络收款。
- 您需要在真实会话中拦截收款方调包，而不是等待周期性评估。
- 您希望一次安装就获得保护以及要求 6.4.3 和 11.6.1 的证据，无需部署项目。
两者并用
把移动应用纳入 Feroot 覆盖范围的企业，可以保留这部分覆盖，并在网页支付页面上加上 Proteside 来核对支付本身。两个脚本可以共存。
常见问题
Feroot 覆盖 Pix、Boleto 或二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。Feroot 的资料描述的是脚本、银行卡数据、页面内容和标头。
Feroot 和 Proteside 可以一起使用吗？
可以。它们是支付页面上两个相互独立的脚本。Proteside 不会改动合法的付款，也不会干扰另一款工具的清单。
两者中哪一个满足 PCI DSS 要求 6.4.3 和 11.6.1？
两者都描述了清单、授权、变更检测和提交给 QSA 的报告。区别在于各自还核对什么：Proteside 把支付本身也包括在内。
Proteside 能替代反欺诈吗？
不能。反欺诈评估的是买家是否可信。Proteside 确保的是页面和支付信息没有被调包。这是不同的防护层。
如何试用 Proteside？
注册 14 天免费试用，在支付页面上加一行代码，几分钟内管理后台就会显示脚本、支付方式和被拦截的尝试。