Imperva Client-Side Protection 与 Proteside：WAF 层的脚本策略，还是对支付本身的核对？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
Imperva Client-Side Protection 面向已在 Imperva Cloud Application Security 上、希望在现有控制台中无需代码治理支付页面脚本的企业。Proteside 面向接受银行卡、即时支付、Boleto 或加密货币、需要把屏幕上的每个二维码、账户和钱包地址与自己发出的内容核对的商家。
并排对比
- 自我描述
- 据数据表所述，是 Imperva Web Application & API Protection 的一个组件，防止通过页面脚本窃取数据。
- 总部
- Imperva：美国，公开来源中有多个地址。自 2023 年 12 月起属于 Thales 集团（法国）。
- 如何接入站点
- 在 Imperva Cloud Application Security 内一键激活，无需更改代码；浏览器执行在服务器端设置的内容安全策略。
- 在支付页面上核对什么
- 页面上的 JavaScript 服务（持续清单、来源国家、证书状态、在代码中的位置）、表单数据和安全标头。
- PCI DSS
- 要求 6.4.3 和 11.6.1，配有解释每项要求并列出行动项的 PCI 仪表板，以及支付页面变化的每周摘要。
Imperva Client-Side Protection
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| Imperva Client-Side Protection | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 公开文档中有描述 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 公开文档中有描述 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 公开文档中有描述 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 厂商自述不提供此功能1 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1无需更改 CDN、DNS 或代理即可运行: 数据表把 Client-Side Protection 作为 Imperva Cloud Application Security 技术栈的一部分呈现，一键激活，无需代码。公开文档没有描述该平台之外的安装路径；站点需要通过它提供服务。
Imperva Client-Side Protection 的突出之处
默认拦截，直到获得授权
数据表描述了一种模型：任何新服务或任何变化在复核并授权之前保持拦截状态。有严格变更控制的团队开箱即得清晰的安全态势。
浏览器内的 Instant Block
产品页面描述了 Instant Block，它使用位于页面和服务器之间的浏览器组件（service worker）立即切断某个服务，无需等待下一次策略更新。
基础设施即代码
据数据表所述，完整支持 Terraform。对 Imperva WAF 配置做版本管理的团队可以用同样的方式处理脚本策略。
每个脚本决策都有上下文
域名风险评分、AI 撰写的脚本功能说明（AI Explain），以及来源国家、证书状态和代码位置等清单细节。
Proteside 核对而 Imperva 的公开资料未提及的内容
新加坡的一家零售商为一笔 1,250 新加坡元的订单显示 PayNow 二维码。客户用银行应用扫码，看到金额，确认付款。客户笔记本电脑上的一个浏览器扩展已经把二维码重绘为指向另一个 UEN、金额相同的二维码。页面上没有加载任何新脚本。没有银行卡数据离开浏览器。服务清单保持干净，而钱已经转走了。
Imperva 把它的设计目标做得很好：知道页面上运行着哪些服务，拦截未知的服务，并把 PCI DSS 证据整理妥当。对于 PayNow、UPI、PromptPay、DuitNow、FPS、Pix、巴西 Boleto（巴西银行付款单）和加密货币钱包地址，Imperva 的公开文档没有描述对买家实际所见内容的核对。Proteside 记录您的服务器为每笔收款发出的内容，并在每一次会话中与渲染和复制的内容比对。如果两者不同，确认在发生之前就被阻止，这次尝试会被记录为告警和证据。
同一个脚本保留脚本清单、保护银行卡表单，并保存要求 6.4.3 和 11.6.1 所要求的历史记录。安装只需在支付页面上加一行代码，适用于任何平台，无论前面有没有 WAF。
各自如何接入您的业务
Imperva Client-Side Protection
- 在 Imperva Cloud Application Security 内一键激活；页面上无需更改代码。
- 从 Discovery 模式开始，盘点服务并对新服务和数据传输发出告警；随后策略拦截尚未授权的一切。
- 通过邮件、API 和 SIEM 发送告警；也可通过 Terraform 配置。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或支付服务商模板中的一次集成。
- 每一次结账会话都会核对：二维码、账户标识、Boleto 缴款编号、钱包地址和银行卡字段，与服务器发出的内容比对。
- 在确认前拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。可与任何 CDN 或 WAF 并行。
何时选择哪一个
适合选择 Imperva Client-Side Protection 的情况
- 您的站点已在 Imperva Cloud Application Security 上运行，安全团队希望在已经操作的控制台中管理脚本策略。
- 您的内部规则是任何新内容在有人批准之前一律拦截，且页面上的收款方式是银行卡。
- 安全配置保存在 Terraform 中，脚本策略需要遵循同样的工作流。
适合选择 Proteside 的情况
- 页面接受 UPI、PayNow、PromptPay 或 DuitNow 等即时支付、巴西 Boleto 或加密货币，您需要核对显示的收款方。
- 站点在其他 CDN、自有 CDN 上或没有 CDN，您不想为了保护结账而改变流量的交付方式。
- 您希望一次安装、几分钟内、无需项目就获得保护以及要求 6.4.3 和 11.6.1 的证据。
两者并用
已在 Imperva Cloud Application Security 上的企业可以保留 Imperva 的脚本策略，并在支付页面上加上 Proteside 来核对支付本身。Proteside 会作为又一个服务出现在 Imperva 的清单中：授权一次，两者就在同一页面上运行。
常见问题
Imperva Client-Side Protection 覆盖 Pix、Boleto 或二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。Imperva 的资料描述的是 JavaScript 服务、表单中输入的数据和安全标头；Pix、Boleto（巴西银行付款单）和支付二维码未被提及。
Imperva Client-Side Protection 和 Proteside 可以一起使用吗？
可以。Proteside 是支付页面上的一个脚本，会作为待授权的服务出现在 Imperva 的清单中。之后，Imperva 继续治理脚本，Proteside 核对支付。两者都不会改动合法的付款。
我需要在 Imperva 的 WAF 上才能使用 Client-Side Protection 吗？
公开文档描述的是在 Imperva Cloud Application Security 内激活，没有描述其他安装路径。Proteside 用一行代码安装在任何站点上，适用于任何 CDN 或 WAF，包括 Imperva 的。
Imperva 的“授权前拦截”模型会妨碍结账吗？
Imperva 的资料描述了一个初始的 Discovery 模式，只盘点和告警，之后策略才开始拦截未授权的内容。Proteside 走的是另一条路：已知脚本获得授权，支付内容在每一次会话中核对，没有新服务会被默认扣住。
如何在不触碰 Imperva 的情况下试用 Proteside？
注册 14 天免费试用，在支付页面上加一行代码，并在 Imperva 的清单中授权该脚本。几分钟内，Proteside 管理后台就会显示页面的脚本、支付方式和任何被拦截的尝试。