SecurityMetrics 与 Proteside：从外部扫描页面，还是核对每一笔付款？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
SecurityMetrics Shopping Cart Monitor 按间隔从外部扫描您的支付页面，并把要求 6.4.3 和 11.6.1 的证据归档到您填写 SAQ 的 PCI 门户中。Proteside 在页面内、在每一次买家会话中运行，核对所显示的二维码、账户信息或钱包地址是否与您发出的一致，并在确认前拦截调包。
并排对比
- 自我描述
- 面向要求 6.4.3 和 11.6.1 的支付页面监测（Shopping Cart Monitor），来自一家同时作为 QSA、ASV 和 PFI 运营的公司；Shopping Cart Inspect 是其人工主导的取证检查。
- 总部
- 美国犹他州奥勒姆。成立于 2000 年。
- 如何接入站点
- 站点上不放代码：一个外部系统按间隔模拟结账，扫描可手动触发或按自动计划运行，取决于配置。2.0 版本于 2025 年 3 月发布。
- 在支付页面上核对什么
- 带理由的静态和动态脚本清单、内容和标头变化、全天候告警，以及可导出给评估机构的日志。
- PCI DSS
- 要求 6.4.3 和 11.6.1，与 SecurityMetrics PCI 门户（SAQ 问卷和 ASV 扫描）集成。
SecurityMetrics Shopping Cart Monitor
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| SecurityMetrics | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）1 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 厂商自述不提供此功能2 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 厂商自述不提供此功能3 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1表单中输入的银行卡信息: 公开资料描述的是基于对结账页面模拟访问的脚本和变化检测；没有描述在买家输入银行卡信息时在其浏览器内的任何动作。
- 2在买家浏览器中拦截未授权脚本: SecurityMetrics 写道，Shopping Cart Monitor 是为检测而非预防设计的，并把 CSP 和脚本拦截列为产品范围之外。
- 3监测真实买家会话: 该工具被描述为无代理：一个外部系统按间隔模拟结账。按其自身描述，它不跟随每一位真实买家的会话。
SecurityMetrics 的突出之处
厂商本身就是评估机构
SecurityMetrics 以 QSA、ASV 和 PFI 的身份运营。这款监测工具来自一家以审计商家、运行漏洞扫描和调查银行卡数据泄露为业的公司。
证据与问卷放在一起
Shopping Cart Monitor 的日志与 SAQ 和 ASV 扫描位于同一门户，对已在那里接受评估的商家来说，文书工作集中在一处。
可按需取证检查
当怀疑遭到入侵时，Shopping Cart Inspect 增加了对购物车的专家审查，很少有监测工具会把这项服务与产品搭配提供。
无需安装
无代理的方式适合无法在支付页面上添加代码的商家，包括运行在受限平台上的商店。
Proteside 核对而 SecurityMetrics 的资料未提及的内容
班加罗尔的一家家具店为一笔 48,000 卢比的订单显示 UPI 二维码。买家用银行应用扫码，几秒钟内完成付款。一个被攻陷的评论组件把二维码换成了金额相同、收款方不同的二维码，但只针对从某个广告活动进入的买家。钱没了，订单始终没有结清，商店两天后才听说。凌晨 3 点访问过页面的外部扫描看到的是一个完全正常的二维码，因为调包在那次访问中根本没有运行。
SecurityMetrics 对自己提供什么说得很清楚：带理由的脚本清单、内容和标头变化检测、告警，以及可导出给评估机构的日志，全部按间隔从外部采集。对于 UPI、PromptPay、PayNow、DuitNow、FPS、巴西的 Pix 和 Boleto（巴西银行付款单）以及稳定币钱包，公开文档没有描述核对买家实际看到的内容。Proteside 记录您的服务器发出的内容（二维码载荷、账户标识、钱包地址、金额），并在每一次会话中与显示和复制的内容比对。如果两者不同，确认即被拦截，这次尝试会变成一条告警和一份证据。
银行卡表单字段和第三方脚本由同一次安装覆盖，并附有要求 6.4.3 和 11.6.1 所要求的清单和变更历史。一行代码生成评估机构所需的证据并保护支付本身，包括在两次扫描之间到来的那位买家。
各自如何接入您的业务
SecurityMetrics
- 在 SecurityMetrics PCI 门户中登记您的支付页面；站点上不放代码。
- 外部扫描模拟结账，根据您持有的配置手动触发或按自动计划运行。
- 全天候告警、每个脚本的理由和可导出的日志，与 SAQ 和 ASV 扫描位于同一门户。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或支付服务商模板中的一次集成。
- 在每一次真实会话中核对，从当天第一位买家到最后一位，访问之间没有空档。
- 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 SecurityMetrics 的情况
- 您的 PCI DSS 评估已通过 SecurityMetrics 进行，并希望 6.4.3 和 11.6.1 的证据位于同一门户中。
- 您无法在支付页面上添加任何代码，并且可以接受“检测加人工复核”。
- 除监测工具本身之外，您还希望有一支取证团队随时调查疑似购物车入侵。
适合选择 Proteside 的情况
- 您接受 UPI、PromptPay、PayNow、DuitNow、FPS、Pix、Boleto 或稳定币，需要核对买家看到的内容。
- 收款方调包或银行卡复制必须在发生的那次会话中被拦截，而不是在下一次扫描后才报告。
- 您希望一次安装就获得保护以及 6.4.3 和 11.6.1 的证据，不依赖任何评估机构的门户。
两者并用
在 SecurityMetrics 填写 SAQ 并运行 ASV 扫描的商家，可以保留 Shopping Cart Monitor 作为外部证据，并在页面上加上 Proteside 来核对每一笔付款并在真实会话中拦截调包。外部监测继续从外部观察页面，Proteside 则不触碰合法的付款。
常见问题
SecurityMetrics 覆盖 Pix、Boleto 或二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。Shopping Cart Monitor 的资料描述的是支付页面上的脚本、内容和标头变化，重点是银行卡数据。
SecurityMetrics 和 Proteside 可以一起使用吗？
可以。Shopping Cart Monitor 从外部观察页面，不需要代码；Proteside 是页面本身上的一个脚本。两者互不干扰，因此商家可以把证据保留在 SecurityMetrics 门户中，同时由 Proteside 在每一次会话中拦截调包。
SecurityMetrics 所说的“为检测而非预防设计”是什么意思？
这是该公司对 Shopping Cart Monitor 的原话：它识别新脚本和变化并通知商家；在买家还停留在页面上时阻止某个脚本，不在该产品的设计目标之内。在真实会话中拦截，正是 Proteside 补上的部分。
按间隔扫描能满足要求 6.4.3 和 11.6.1 吗？
根据其公开文档，SecurityMetrics 提供带理由的清单、变化检测和评估机构所需的日志，这正是两项要求所要求的。区别在于两次扫描之间：Proteside 跟随每一位买家，因此针对单次会话的攻击也会显现出来。
Proteside 生成的证据符合 QSA 的预期吗？
Proteside 把脚本清单、授权以及页面及其标头的变更历史导出为提交给 QSA 的报告。它不替代评估本身，评估仍由您选择的评估机构负责，包括 SecurityMetrics。