Source Defense 与 Proteside：拦截脚本，还是核对支付？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
Source Defense 阻止第三方脚本读取支付页面上的银行卡数据，实时拦截，并让收单机构通过已有的 SDK 推送这项保护。Proteside 同样盘点脚本，然后核对所显示的二维码、账户、Boleto 缴款编号或钱包地址是否与卖家发出的一致，并在确认前拦截调包。
并排对比
- 自我描述
- 面向网站的客户端安全，公司自称该类别的开创者；Protect 负责预防，Detect 负责监测，Acquirer Protect 通过收单机构和支付服务商分发保护。
- 总部
- 以色列罗什艾因和美国康涅狄格州斯坦福德。成立于 2014 年。
- 如何接入站点
- 站点上的两行代码，第三方脚本默认视为不可信；官网表示 24 小时内即可上线，每月约需两小时管理。
- 在支付页面上核对什么
- 第三方和第四方脚本、这些脚本在页面上的行为，以及它们对银行卡表单中输入数据的访问。
- PCI DSS
- Acquirer Protect 和 QSA 合作伙伴资源中引用了要求 6.4.3，并提供合规报告。根据委员会的公开名单，是 PCI SSC 的主要参与组织（Principal Participating Organization）。
Source Defense Protect e Detect
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| Source Defense | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 公开文档中有描述 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 公开文档中有描述 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 公开文档中有描述 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开信息中未提及1 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1PCI DSS 要求 11.6.1 的证据: 公开产品页面引用了要求 6.4.3（针对 Acquirer Protect 和 QSA 合作伙伴资源），并描述了 PCI DSS 合规报告。涵盖页面及其标头未授权更改的要求 11.6.1，在 2026 年 10 月查阅的资料中没有以名称出现。因此标注为“公开信息中未提及”，而不是“不提供”。
Source Defense 的突出之处
通过收单机构和服务商分发
Acquirer Protect 通过收单机构、支付服务商或平台已经提供的 SDK，把保护带给整个商户组合，无需逐店安装。
PCI SSC 的最高级别参与
Source Defense 出现在委员会的公开名单中，身份是主要参与组织，这是最高级别的参与。
安装后运维轻量
官网把 Protect 描述为每月约需两小时管理，策略从默认不可信开始，并随时间调优。
公开的规模
据公司官网所述，经过十年专注于客户端的工程研发，已保护超过 1,000 个品牌和每月 12 亿次页面浏览。
Proteside 核对而 Source Defense 的资料未提及的内容
班加罗尔的一家电子产品商店为一台价值 84,000 卢比的笔记本电脑显示 UPI 二维码。买家用银行应用扫码付款。注入页面的一个脚本已经把二维码换成了指向另一个 UPI ID、金额相同的二维码。没有银行卡数据离开页面；钱去了错误的账户，而商店是在订单始终无法对账时才发现的。
Source Defense 回答的是银行卡问题：第三方脚本默认不可信，禁止读取表单，Protect 实时拦截。对于 UPI、PromptPay、PayNow、巴西 Boleto（巴西银行付款单）和加密货币钱包，公开产品页面没有描述对买家所见内容的核对。Proteside 记录您的服务器发出的内容（二维码、账户标识、Boleto 缴款编号、钱包地址、金额），并在每一次会话中与显示和复制的内容比对。一旦不一致，确认即被拦截，这次尝试会被记录为告警和证据。
脚本清单和银行卡表单保护在同一次安装中提供，并附有要求 6.4.3 和 11.6.1 所要求的变更历史和可直接交给 QSA 的报告。一行代码监测脚本并核对支付。
各自如何接入您的业务
Source Defense
- 站点上的两行代码；资料表示 24 小时内即可上线。
- 第三方脚本默认视为不可信，策略由您的团队随时间调优。
- Protect 实时拦截；Detect 只监测和告警，数据可通过 API、告警和控制台获取。收单机构和服务商通过已有的 SDK 分发。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或支付服务商模板中的一次集成。
- 每笔收款在服务器端记录，并在每一次会话中核对，不抽样。
- 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 Source Defense 的情况
- 您是收单机构、支付服务商或平台，希望通过已有的 SDK 把脚本保护推送给整个商户组合。
- 银行卡是唯一的收款方式，首要任务是用很少的日常运维让第三方脚本远离表单。
- 您的安全团队希望先从只监测和告警（Detect）开始，通过 API 消费数据，再开启拦截。
适合选择 Proteside 的情况
- 您的结账接受 UPI、PromptPay、PayNow、DuitNow、FPS、巴西 Boleto 或加密货币。
- 您需要在买家自己的会话中、在确认前拦截收款方调包。
- 您希望一次安装、不更改 CDN 就获得要求 6.4.3 和 11.6.1 的证据，包括标头。
两者并用
收单机构通过 SDK 分发 Source Defense 的商家，可以保留那份银行卡表单保护，并在支付页面上加上 Proteside 来核对即时支付、Boleto 和钱包地址。两个脚本相互独立；Proteside 不会触碰另一款工具的策略。
常见问题
Source Defense 覆盖 UPI、PromptPay、PayNow、Boleto 或支付二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。产品页面描述的是第三方脚本、银行卡表单中输入的数据和合规报告。
Source Defense 和 Proteside 可以一起使用吗？
可以。它们是支付页面上两个相互独立的脚本。Proteside 核对支付数据和脚本，不会改动合法付款，也不会改动另一款工具的策略。
Protect 和 Detect 有什么区别？
根据 Source Defense 官网，Protect 实时拦截脚本对数据的未授权访问，而 Detect 只监测和告警，不拦截。Proteside 默认在每一次会话中拦截并记录尝试。
我是收单机构或支付服务商。该向商家分发哪一个？
两者都描述了通过服务商分发。Acquirer Protect 使用收单机构已有的 SDK，重点是银行卡数据。Proteside 作为一次性集成放入平台或服务商的模板，并同时核对 UPI、PromptPay、PayNow、Boleto 和加密货币。
Source Defense 和 Proteside 满足 PCI DSS 要求 11.6.1 吗？
Proteside 生成要求 6.4.3 和 11.6.1 的证据，包括标头监测和 QSA 报告。Source Defense 的公开页面引用了 6.4.3；11.6.1 未见于查阅的资料。