Cloudflare Page Shield vs cside: PCI 6.4.3 & 11.6.1

TL;DR: cside vs Cloudflare Client-Side Security

• O Cloudflare Client-Side Security te dá relatórios CSP e um inventário básico de scripts se você já está roteado pelo Cloudflare. Ele amostra o tráfego em vez de observar cada sessão, e não preserva payloads para forense.
• O cside roda em qualquer CDN, em 100% das sessões reais de usuários sem amostragem. Cada script é baixado para a própria infraestrutura do cside para análise no lado servidor, e o código de ataque bruto é preservado como evidência QSA. Lacunas de amostragem importam mais em payloads condicionais: código servido apenas a uma geo, uma classe de dispositivo ou usuários logados pode ficar na maioria não observada por semanas.
• Só Cloudflare e precisa do inventário básico: já está lá. Precisa de deploy independente de CDN, cobertura completa de sessão e evidência de grau forense: cside.

O que mudou: o Page Shield é agora a "Client-Side Security"

Em 2026 a Cloudflare mudou a marca do Page Shield para Client-Side Security, e as alterações são mais do que cosméticas:

• O complemento pago (anteriormente o Page Shield add-on) é agora o Client-Side Security Advanced, e a Cloudflare disponibilizou-o a clientes em self-serve, em vez de apenas através de vendas Enterprise.
• A threat intelligence baseada em domínios é agora gratuita para todos os clientes no nível base da Client-Side Security.
• A Cloudflare adicionou deteção de scripts maliciosos por machine learning ao nível Advanced, que analisa o código JavaScript propriamente dito, e não apenas o domínio de origem.
• As "policies do Page Shield" chamam-se agora content security rules.

Estas são melhorias reais, e a comparação abaixo reflete-as. A Cloudflare inspeciona agora o conteúdo dos scripts, mas continua a inspecionar uma cópia obtida e amostrada, não aquilo que é executado nos navegadores dos seus utilizadores. É aí que a cside vai mais longe.

O que é a Cloudflare Client-Side Security (anteriormente Page Shield)?

A Cloudflare Client-Side Security concorre exclusivamente com a solução de segurança no lado do cliente e o PCI Shield da cside. Outros serviços da cside como a deteção de VPN, a deteção de agentes de IA e o Privacy Watch não estão no seu âmbito.

A Client-Side Security é a ferramenta da Cloudflare para monitorizar o JavaScript de terceiros, as ligações e os cookies que correm nos navegadores dos seus visitantes. Constrói um inventário de scripts, alerta-o quando estes mudam ou parecem maliciosos, e permite-lhe impor uma allowlist através de content security rules (CSP). No nível Advanced acrescenta análise por machine learning do código dos scripts e deteção de alterações ao código.

É boa ideia comprar uma solução de segurança no lado do cliente a um fornecedor de firewall?

Os grandes fornecedores de segurança por vezes tentam lançar um produto secundário à pressa. Fazem-no porque sabem que os seus compradores já estão comprometidos com a plataforma. A escolha fácil é acrescentar o módulo do próprio fornecedor. No entanto, muitas equipas reparam que esses produtos secundários não receberam a atenção de que precisavam e, muitas vezes, não cumprem totalmente o requisito. O navegador é uma superfície de ataque diferente de um pacote de rede numa firewall, e merece uma ferramenta concebida para isso.

A Cloudflare acrescentou de facto capacidades reais desde 2024: análise de código por ML e mais monitorização. Mas o produto continua a comportar-se como uma funcionalidade aparafusada a uma firewall, e não como uma ferramenta concebida para o navegador: tem de encaminhar o seu domínio através da Cloudflare para a usar, a deteção mais profunda fica reservada ao complemento pago Advanced, e o fluxo de trabalho do dia a dia empurra o trabalho de segurança e de compliance de volta para si.

Como funciona a Cloudflare Client-Side Security

A deteção da Cloudflare assenta num cabeçalho Content Security Policy em modo report-only que ela adiciona a apenas uma pequena amostra das respostas, na prática na ordem de 1% do tráfego. Nada acontece até que um desses relatórios amostrados regresse. Só então a Cloudflare descarrega o script fora de banda e, no nível Advanced, o faz passar pelo seu pipeline de classificação por machine learning e LLM.

É nesse passo de descarregamento que o modelo se desmorona. A Cloudflare vai buscar o script a partir das suas próprias gamas de IP, com cabeçalhos de pedido diferentes dos do navegador de um visitante real, por isso a cópia que classifica frequentemente não é o payload que um utilizador real recebeu:

• Normalmente não é o payload do utilizador. Um script que varia consoante o cookie, a sessão, o referrer, a geografia ou a hora do dia serve ao fetcher da Cloudflare algo diferente daquilo que uma vítima visada recebe. Um atacante só tem de devolver uma versão limpa à infraestrutura conhecida da Cloudflare para continuar a fazer skimming em sessões reais sem ser detetado.
• Muitas vezes nem sequer consegue ir buscar o script. Muitos scripts são servidos a partir de URLs de utilização única ou ligados à sessão, ou ficam atrás de cabeçalhos que o fetcher da Cloudflare não replica. Quando o fetch falha, não há nada para o pipeline de LLM analisar.
• A amostragem deixa pontos cegos enormes. Como apenas uma pequena fração das respostas transporta o cabeçalho report-only, páginas de baixo tráfego e payloads raros e direcionados podem demorar muito tempo a aparecer, ou nunca aparecer. Para o ver por si próprio, encontre um site que o use, abra a consola de programador do seu navegador e atualize a página várias vezes.
• O histórico é efémero. A própria documentação da Cloudflare diz que elimina a informação sobre um recurso previamente reportado ao fim de 30 dias sem um novo relatório, e o seu classificador só corre em scripts até 300 KB.

Por baixo, a aplicação ainda se apoia em CSP, que confia na origem, e não no conteúdo de cada recurso. Como explicamos em Why CSP Doesn't Work:

O CSP funciona num modelo de allow-list, que permite recursos de domínios de confiança mas não consegue bloquear scripts ou recursos individuais provenientes desses domínios.

Essa lacuna foi como funcionou o maior ataque no lado do cliente de 2024, o Polyfill: o domínio era de confiança, o payload era malicioso.

Por fim, adotar a Cloudflare Client-Side Security exige que seja já cliente da Cloudflare.

Como é operá-la na prática

A cobertura numa página de funcionalidades é uma coisa; operar o produto é outra. O Page Shield mostra-lhe uma lista de scripts, mas não lhe dá um verdadeiro espaço de trabalho para os gerir. Para produzir o inventário e as justificações por escrito que o PCI DSS 6.4.3 exige, exporta um CSV e controla aprovações, responsáveis e justificações à mão. A própria avaliação QSA da Cloudflare diz aos clientes para exportarem o relatório de scripts e documentarem eles próprios a justificação de negócio e técnica. Para um controlo que é suposto evidenciar de forma contínua, isso torna-se uma folha de cálculo que mantém para sempre.

Junte as lacunas de deteção e o fluxo de trabalho e o retrato é pouco lisonjeiro: uma amostra de ~1% do tráfego, um fetch out-of-band que frequentemente não é o payload do utilizador ou que nem sequer consegue ser obtido, uma memória de 30 dias e uma lista que reconcilia numa folha de cálculo. Pode parecer cobertura numa checklist enquanto raramente apanha o ataque real, ou produz a prova, no momento em que isso conta.

Como a cside vai mais longe

Tanto a cside como a Cloudflare analisam agora o código dos scripts. A diferença está naquilo que analisamos e com que grau de completude.

O motor da cside na página corre em cada sessão real de utilizador e regista como os scripts se comportam à medida que correm no navegador: as alterações que fazem ao DOM, as chamadas de rede que disparam e os payloads que servem aos visitantes reais. A Cloudflare classifica uma cópia que foi buscar separadamente, a partir dos IPs do seu próprio datacenter, numa base amostrada. Assim, quando um CDN de confiança começa a servir um skimmer a 1 em cada 1000 utilizadores depois das 17h, a cside vê-o nas sessões em que ele dispara; uma cópia obtida e amostrada muitas vezes nem sequer o contém.

A parte resistente à evasão é o registo na página, não a transferência: o script first-party da cside reporta a partir de sessões reais de utilizadores, por isso um payload servido apenas a uma geografia, a uma classe de dispositivos ou a utilizadores autenticados fica na mesma registado, associado ao hash de conteúdo do script que realmente foi executado.

Também guardamos um histórico completo de cada versão de script servida aos seus utilizadores e arquivamos o payload propriamente dito. Quando um auditor ou um responsável pela resposta a incidentes pergunta o que aconteceu, tem o código real do ataque e uma cronologia completa, não uma pontuação. A retenção é escalonada por plano, por isso verifique a janela de que o seu auditor precisa.

Em matéria de compliance, ambos os produtos cumprem agora o PCI DSS 6.4.3 (autorizar, inventariar e justificar cada script da página de pagamento) e 11.6.1 (detetar e alertar sobre alterações não autorizadas a scripts e a cabeçalhos com impacto na segurança). A Cloudflare dá-lhe monitorização e uma exportação em CSV, e deixa-lhe a si as justificações por escrito e a prova de auditoria, e apenas no nível pago Advanced. A cside disponibiliza um painel específico de PCI, validado de forma independente pela empresa QSA VikingCloud, com justificação de scripts com um clique e assistida por IA, de forma a que o registo de auditoria seja gerado por si.

A cside inclui também um endpoint gratuito de relatórios CSP em todos os planos, incluindo o nível gratuito. Obtém tudo o que o Page Shield oferece em monitorização de CSP, mais proteção ao vivo em sessão e ao nível do payload por cima disso, e não tem de mover o seu domínio para um CDN específico para o conseguir.

Experimente o cside antes de comprar. O cside tem um plano gratuito, então você pode se cadastrar, implantar e explorar a plataforma por conta própria, sem ligações de vendas ou processo de compra. E nossa equipe de suporte está a uma mensagem de distância sempre que precisar de ajuda.

Crie uma conta ou marque uma demonstração para começar.

Alternativas à Cloudflare Page Shield: como a cside se compara

Se está à procura de uma alternativa à Cloudflare Page Shield (agora chamada Cloudflare Client-Side Security), a cside é a opção independente do CDN construída especificamente para o navegador. A deteção mais profunda da Cloudflare amostra cerca de 1% do tráfego, classifica uma cópia que vai buscar fora de banda em vez daquilo que o utilizador recebeu, elimina o histórico de recursos ao fim de 30 dias, ignora scripts com mais de 300 KB e exige encaminhar o seu domínio através da Cloudflare. A cside corre em qualquer stack, observa 100% das sessões de utilizador reais sem amostragem, arquiva o payload propriamente dito para fins forenses e disponibiliza um painel PCI DSS validado por um QSA. Escolha a Cloudflare Client-Side Security se já está totalmente comprometido com a Cloudflare e quer um inventário básico; escolha a cside para uma cobertura completa de sessões, prova ao nível do payload e sem dependência de um CDN.

Preços da Cloudflare Page Shield face à cside

O nível base da Cloudflare Client-Side Security é gratuito, mas a deteção por machine learning e a cobertura que a própria documentação da Cloudflare associa ao PCI DSS 6.4.3 e 11.6.1 ficam por trás do módulo pago Client-Side Security Advanced, e tudo isso exige encaminhar o seu domínio através da Cloudflare. A cside inclui um endpoint gratuito de relatórios CSP em todos os planos, acrescenta por cima análise ao vivo em sessão e ao nível do payload, e funciona em qualquer CDN, por isso não tem de migrar o seu edge para obter cobertura no lado do cliente. Consulte a tabela comparativa acima para o detalhe nível a nível.

Recursos relacionados

• PCI DSS 6.4.3 & 11.6.1 script inventory and tamper detection
• Full client-side security platform
• PCI DSS compliance software: 2026 vendor comparison
• How to comply with PCI 6.4.3 and PCI 11.6.1
• What is client-side security
• Magecart attacks explained: how web skimming works
• cside pricing plans