Cómo elegir una herramienta PCI DSS 6.4.3 y 11.6.1

Las herramientas para PCI DSS 6.4.3 y 11.6.1 se diferencian en cómo ven su página de pago (un navegador real fuera de su sitio, un script dentro de la página, un proxy o una Política de Seguridad de Contenido), en si bloquean o solo detectan, en qué evidencia conservan y, sobre todo, en si pueden llegar a las páginas de pago que están detrás de un inicio de sesión. Haga las mismas nueve preguntas a todos los proveedores, compruebe las respuestas por escrito y pida a su evaluador que confirme qué aceptará. Más abajo, una tabla recoge lo que dicen diez herramientas en sus propias páginas.

La pregunta que separa las herramientas: ¿qué hay detrás de su inicio de sesión?

El requisito 11.6.1 trata de las cabeceras HTTP y del contenido de las páginas de pago tal como las recibe el navegador del consumidor. Muchos formularios de pago no aparecen en una dirección pública: surgen cuando el cliente inicia sesión o en un paso intermedio del proceso de compra. Una herramienta que solo carga direcciones públicas nunca evalúa esas páginas, y son las que más importan.

PCI Monitor se creó para este caso. Usted inicia sesión y recorre el proceso de compra una vez en una ventana de grabación; cada prueba programada reproduce después ese recorrido en un navegador real y registra los scripts de cada paso. Sigue cinco métodos de inicio de sesión (usuario y contraseña, una dirección de correo como usuario, un código de un solo uso por correo, un código de un solo uso por mensaje de texto y una aplicación de autenticación), un monitor puede guardar varios inicios de sesión y las credenciales se almacenan cifradas. Puede ver cómo funciona en la página Monitorización autenticada.

Elija la herramienta que elija, haga primero esta pregunta, por escrito: ¿cómo llega a una página de pago que exige iniciar sesión o aparece a mitad de la compra, y cómo gestiona un segundo paso de inicio de sesión?

Nueve preguntas para cualquier proveedor

¿Qué evalúa? ¿Lo que recibe el navegador de un consumidor (la redacción del requisito) o solo su código fuente o una única petición?
¿Cómo ve la página? Un navegador externo, una etiqueta script dentro de su página, una CDN o un proxy, un service worker o los informes de infracciones de una Política de Seguridad de Contenido ven y pasan por alto cosas distintas.
¿Llega a las páginas tras un inicio de sesión y a los pasos intermedios? Véase más arriba.
¿Con qué frecuencia se ejecuta de verdad? Al menos cada siete días, o la frecuencia de su análisis de riesgos específico (evidencia del 11.6.1).
¿Qué evidencia conserva? Resultados fechados de cada ejecución, la decisión sobre cada script, quién decidió y cuándo, exportables para su evaluador.
¿A quién avisa y qué ocurre después? El requisito trata de avisar a personas: pregunte cómo llega un hallazgo a una persona concreta y cómo se cierra.
¿Solo detecta o también bloquea? Los requisitos piden inventario, autorización, integridad y alertas. Bloquear es una capacidad distinta, y suele implicar algo que se ejecuta en la sesión real de sus páginas.
¿Qué debe cambiar usted? Añadir una etiqueta, cambiar cabeceras o redactar justificaciones para cada script consume su tiempo.
¿Qué aceptará su evaluador? Pregunte pronto y tome la afirmación de un proveedor sobre su aprobación como lo que es: una afirmación del proveedor.

Lo que dice cada proveedor en su propia página

Comprobado el 23 de octubre de 2026 leyendo la página de cada empresa, no opiniones ni otras comparaciones. La primera fila es PCI Monitor, que publica esta guía. Las demás van en orden alfabético y se describen solo con las palabras del proveedor o una paráfrasis cercana. La última columna indica si la página que leímos menciona las páginas tras un inicio de sesión.

Herramienta	Lo que dice su página	Páginas tras un inicio de sesión
PCI Monitor	Carga las páginas de pago en un navegador real con la periodicidad programada, compara scripts y cabeceras con su línea base aprobada, avisa a las personas y conserva los resultados de las ejecuciones, las decisiones y un registro de auditoría. Detecta e informa; no bloquea.	Sí. Graba su inicio de sesión y su proceso de compra una vez y lo reproduce en cada prueba; cinco métodos de inicio de sesión; varios inicios de sesión por monitor. Detalles.
Akamai Client-Side Protection & Compliance	Comunicado del 3 de octubre de 2023: un producto "CDN-agnostic" que "detects malicious script behavior in real time", mantiene un inventario de scripts con justificaciones escritas y ofrece un panel PCI DSS v4.0 con alertas que incluyen cambios no autorizados en las cabeceras HTTP.	No se menciona en esta página.
cside PCI Shield	Dos métodos: un análisis que ejecuta "full browser containers" dos veces al día (solo monitoreo) y un script que se carga "inline in the live user session" y puede bloquear. El script debe añadirse "as the first script in the head". Informe PDF semanal por defecto.	Menciona "the user flow leading to the payment page"; la página no dice si ese flujo puede incluir un inicio de sesión.
Cloudflare client-side security	Página de documentación: visibilidad de los scripts, conexiones y cookies que cargan los visitantes; la detección de cambios de código figura en el nivel Advanced. La página no hace ninguna afirmación sobre PCI DSS 6.4.3 ni 11.6.1.	No se menciona en esta página.
DataStealth PCI Tamper Detection	Su ficha como participante del PCI SSC dice que "meets PCI DSS v4.0 requirements 6.4.3 and 11.6.1 by detecting and preventing unauthorized changes to payment page content". Es una afirmación de la empresa, no un aval del PCI SSC.	No se menciona en esta página.
Feroot PaymentGuard AI	"Continuously inventories and monitors the behavior of every script", ejecutándose en el navegador; nombra el 6.4.3 y el 11.6.1; frecuencia de comprobación "from hourly through weekly"; el despliegue que nombra es una etiqueta script.	No se menciona en esta página.
Imperva Client-Side Protection	Usa "HTTP Content Security Policy response headers"; "Instant Block" usa un service worker "acting as a proxy between web browsers and web servers"; dice estar diseñado para ayudar a cumplir el 6.4.3 y el 11.6.1, con resúmenes semanales de cambios en las páginas de pago.	No se menciona en esta página.
Jscrambler	Página de glosario sobre el 6.4.3 que nombra sus productos Code Integrity, Webpage Integrity e Iframe Integrity; la página no describe lo que hacen.	No se menciona en esta página.
Reflectiz PCI Module	"Agentless" y "entirely remotely"; "You only need to provide payment page URLs"; nombra el 6.4.3 y el 11.6.1; monitoriza "continuously", con flujos de aprobación de scripts y exportación de evidencia.	No se menciona en esta página.
Source Defense	Protect "acts as a sandbox for the JavaScript running on your website" y se despliega con "a small code snippet"; Detect ofrece "real-time visibility" con alertas. La página de inicio no menciona el 11.6.1.	No se menciona en esta página.
TamperDetect	Dice que "monitors your payment pages externally", con "Real-Browser Monitoring" y "Out-of-Band Monitoring", y que "Automated reporting satisfies requirements 11.6.1 and 6.4.3 out of the box". La página no dice si bloquea ni con qué frecuencia comprueba.	Incluye "Dynamic & Gated Content" entre sus funciones; la página no lo explica ni dice si incluye páginas tras un inicio de sesión.

Cómo leer la tabla

"No se menciona en esta página" significa exactamente eso. Una empresa puede admitir inicios de sesión en otros documentos, en una demostración o bajo petición, y todos los productos cambian. Use la última columna como la pregunta que debe hacer a cada proveedor, y pida la respuesta por escrito.

Esta guía la publican los creadores de PCI Monitor, que es una de las herramientas descritas; léala con eso presente. Solo se leyeron las páginas indicadas; las herramientas que no figuran todavía no se han leído, y eso no dice nada sobre ellas. Si una fila es incorrecta o está desactualizada, o desea que se añada una herramienta o que se refleje una declaración suya, contáctenos y comprobaremos la página y lo corregiremos.

Ninguna herramienta hace que una empresa cumpla. El cumplimiento de PCI DSS depende de todo su programa y lo confirma su evaluador.

Puntos clave

Haga las mismas nueve preguntas a todos los proveedores y consiga las respuestas por escrito.
La pregunta que separa las herramientas es si llegan a las páginas de pago tras un inicio de sesión o a mitad de la compra.
Ninguna de las otras nueve páginas leídas para esta guía describe inicios de sesión: la de cside menciona "the user flow leading to the payment page" y la de TamperDetect incluye "Dynamic & Gated Content" sin explicarlo. Pregunte directamente a cada proveedor.
Detectar y bloquear son capacidades distintas; los requisitos piden inventario, autorización, integridad y alertas.
Su evaluador decide qué es suficiente; confírmelo pronto.

Preguntas frecuentes

¿Qué herramienta es la mejor para PCI DSS 6.4.3 y 11.6.1?

Depende de cómo estén construidas y entregadas sus páginas de pago. Las páginas tras un inicio de sesión, los formularios de pago de terceros, la evidencia que debe producir y si desea bloquear o solo detectar cambian la respuesta. Use las nueve preguntas anteriores y consulte a su evaluador qué acepta.

¿Necesito una herramienta que bloquee scripts?

Los requisitos piden un inventario de scripts, una forma de autorizarlos, garantía de integridad y alertas ante cambios. Algunas herramientas también bloquean; otras solo detectan e informan. PCI Monitor solo detecta e informa, por lo que funciona junto con controles como una Política de Seguridad de Contenido.

¿Debe una herramienta de monitoreo cubrir las páginas tras un inicio de sesión?

Si una página de pago forma parte de su flujo de pago, está dentro del alcance sea cual sea la forma de llegar a ella. Pregunte al proveedor cómo se alcanza la página tras el inicio de sesión y cómo gestiona la herramienta un segundo paso de inicio de sesión.

¿Cómo se elaboró la tabla de proveedores?

Leyendo la página de cada empresa el 23 de octubre de 2026 y anotando solo lo que afirma. No se usaron opiniones, clasificaciones ni otras comparaciones. Quien publica esta guía fabrica una de las herramientas de la lista, por lo que la declaración y la vía de corrección figuran bajo la tabla.

Referencias

Última revisión: 23 de octubre de 2026

Cómo elegir una herramienta de monitoreo para PCI DSS 6.4.3 y 11.6.1