Specoria
Menü
EN Ücretsiz test

İçgörülerAjan ticareti

AP2 FIDO Alliance'a, x402 Linux Foundation'a geçti: ödeme protokollerinin devri mağazalar için ne anlama geliyor

Google AP2'yi FIDO Alliance'a devretti, x402 Linux Foundation'a geçti. Yetki kayıtları ve HTTP 402 ödemeleri nedir, mağazalar şimdi neyi izlemeli?

Yazan 7 dk okuma
Kesme kağıt kolajda alçıdan bir el mühürlü bir zarf tutuyor; yanında boş bir fiş ve kağıt bir alışveriş torbası var, masada tek bir mor kağıt şerit uzanıyor.
Alışveriş yapanın onayı, ajan kasaya yürümeden önce mühürlenir. İllüstrasyon: Specoria · yapay zekâ ile üretildi

Yapay zekâ ajanları için kurulan ödeme protokollerinden ikisi bu bahar sahip değiştirdi. Nisan'da Coinbase'in x402 protokolü Linux Foundation bünyesindeki yeni bir vakfa geçti; Google da Agent Payments Protocol'ü (AP2) geçiş anahtarlarının (passkey) arkasındaki sektör kuruluşu FIDO Alliance'a devretti. İki değişiklik de hiçbir mağazanın ödeme sayfasına yeni bir düğme eklemedi. Değişen, kuralları kimin yazdığı.

Mağaza sahibi için asıl sorular duyurulardan daha sade: bu iki protokol gerçekte ne yapıyor, ikisinden biri bugün sizden bir şey istiyor mu ve ödeme sağlayıcınıza ne sormalısınız? Bu yazıda bu soruları birincil kaynakların söyledikleriyle sınırlı kalarak yanıtlıyoruz. Kısaca: daha çok erken ve çoğu mağaza için şu anki doğru adım entegrasyon değil, izlemek ve sormak.

Ne oldu

  • 2 Nisan 2026: x402 Linux Foundation'a geçti. Linux Foundation, protokolü yaratan Coinbase'in katkısıyla x402 Foundation'ı kurduğunu duyurdu. Linux Foundation yeni vakfı standardın tarafsız evi olarak tanımlıyor. İlk destek veren şirketler arasında Adyen, Amazon Web Services, American Express, Cloudflare, Coinbase, Fiserv, Google, Mastercard, Microsoft, Shopify, Stripe ve Visa var.
  • 28 Nisan 2026: AP2 FIDO Alliance'a geçti. Google, ilk kez Eylül 2025'te tanıttığı AP2'yi, protokol platformdan bağımsız ve topluluk yönetiminde kalsın diye FIDO Alliance'a bağışladığını duyurdu. Aynı gün AP2'nin 0.2 sürümünü yayımladı. Bu sürüm "Human Not Present" (insan yokken) ödemeleri ekliyor: ajan, kişinin önceden onayladığı talimatlara dayanarak alışverişi kendi başına tamamlayabiliyor. Google'ın örneği, sınırlı sayıdaki biletleri satışa çıktıkları anda almak.

FIDO Alliance da aynı gün ilgili çalışmaları duyurdu. Açılışta CVS Health, Google ve OpenAI üyelerinin başkanlık ettiği bir Agentic Authentication Technical Working Group kurdu; ajanın başlattığı alışverişe yönelik belirtimleri ise başkanlığını Mastercard ve Visa üyelerinin yaptığı Payments Technical Working Group içinde geliştiriyor. AP2'nin yanında Mastercard da Google ile birlikte geliştirilen ve AP2 ile çalışacak biçimde tasarlanan Verifiable Intent çerçevesini katkı olarak verdi.

Sade dille AP2: kişinin neye izin verdiğinin imzalı kaydı

Kesme kağıt kolajda kağıttan bir tarayıcı penceresi taş bir kemerin yanında duruyor; kemer aralığında küçük mor bir kağıt jeton var ve masada sade bir koli bulunuyor.
Ödeme, sıradan bir web isteğinin içinden geçer; tıpkı eski bir taş kapıdan geçen bir jeton gibi. İllüstrasyon: Specoria · yapay zekâ ile üretildi

Kartlı ödemeler basit bir varsayım üzerine kuruldu: güvenilir bir sitede bir insan "satın al" düğmesine basıyor. Ödemeyi bir ajan yaptığında bu varsayım bozuluyor. AP2 belgeleri ardından gelen üç soruyu sıralıyor: kişi bu alışveriş için ajana gerçekten yetki verdi mi, istek kişinin istediğini yansıtıyor mu ve bir şey ters giderse sorumlu kim?

AP2'nin yanıtı mandate, yani yetki kaydı: fark edilmeden değiştirilemeyen, dijital olarak imzalanmış bir kayıt. İki türü var:

  • Checkout mandate (ödeme adımı yetkisi). Ajan ile satıcı arasında anlaşılan ürünleri ve alışveriş ayrıntılarını kaydediyor ve satıcıyla paylaşılıyor. İçinde satıcının imzaladığı bir ödeme adımı kaydı bulunuyor.
  • Payment mandate (ödeme yetkisi). Belirli bir kartla ya da başka bir ödeme yöntemiyle yapılacak ödemeyi onaylıyor ve ödeme tarafıyla paylaşılıyor: kimlik bilgisi sağlayıcısı, kart ağları ve satıcının ödeme kuruluşu.

Her yetki kaydı açık ya da kapalı olabiliyor. Açık kayıt, sepet oluşmadan önce kişinin sınırlarını tutuyor: hangi satıcılar, hangi ürünler, hangi bütçe. Kapalı kayıt ise kesinleşmiş tek bir ödeme adımını ve tek bir tutarı onaylıyor. "Human Not Present" alışverişleri açık kayıtlar mümkün kılıyor; kişinin son sepeti onayladığı bildik durum ise kapalı kayıtlarla karşılanıyor.

Satıcı bunu neden önemsemeli? AP2'nin SSS sayfasına göre bir itirazda kart ağı, kullanıcının imzaladığı ödeme adımı yetkisini itirazın ayrıntılarıyla karşılaştırarak sorumluluğun kimde olduğuna karar vermeye yardımcı olabiliyor. Mağaza için doğrudan değeri olan kısım bu: alışverişçinin neyi onayladığının kanıtı, siparişe bağlı olarak. İmzalı yetki kayıtlarının canlı bir gösterimini Ajan mağazayı doğrularken yazımızda ele almıştık.

Sade dille x402: web isteğinin içinde ödeme

Web'in durum kodları tanımlanırken bir numara ödemeler için ayrılmıştı. MDN, HTTP 402 "Payment Required" kodunu ileride kullanılmak üzere ayrılmış, standart dışı bir kod olarak tanımlıyor; nasıl kullanılacağına dair standart bir uzlaşı da yok.

x402 bu koda bir iş veriyor. İstemci sunucudan bir şey istiyor. İstek ödemesiz gelirse sunucu 402 ile yanıt veriyor. İstemci ödüyor ve isteği yeniden gönderiyor, sunucu da kaynağı veriyor. Bu sırada ne hesap ne form ne de API anahtarı gerekiyor.

x402 sitesi, ana kullanım alanının stablecoin ödemeleri olduğunu söylüyor ve kullanım alanları arasında API erişimini, ücretli içeriği ve ajan ticaretini sayıyor. Proje hem kripto hem geleneksel tüm ağları desteklemeyi hedeflediğini, site de geleneksel ödeme yöntemlerine genişletilebildiğini söylüyor. x402 ayrıca protokol ücreti almadığını, yalnızca kullanılan ödeme ağının ücretlerinin ödendiğini belirtiyor.

Bizim okumamız: x402, kargosu, iadesi ve kayıtlı kartıyla fiziksel ürünlerden oluşan bir sepetten çok, bir veri çağrısı ya da bir makale gibi dijital bir şey için istek başına ödemeye uyuyor. Çalışmalar sürdükçe bu değişebilir, ama protokol bugün burada duruyor.

AP2 ve x402 farklı sorunları çözüyor

İkisi aynı haber döneminde geldiği için kolayca karıştırılıyor. Oysa farklı katmanlarda duruyorlar.

  • AP2 yetki ve kanıtla ilgili. Kimin neye izin verdiğini tarif ediyor ve her ödeme yöntemiyle çalışacak biçimde tasarlanmış. Belgelerinde hem kart hem x402 örnekleri var.
  • x402 paranın hareketiyle ilgili. Ödemeyi sıradan bir web isteğinin içinde taşıyor.
  • UCP ikisinin üstünde duruyor. AP2'nin SSS sayfası Universal Commerce Protocol'ü alışverişin genelini yöneten katman, AP2'yi ise onaylayan ve imzalayan ödeme katmanı olarak tarif ediyor. Google'ın AI Mode ve Gemini yüzeyleri için SSS, satıcılara UCP'yi kullanmalarını, özerk alışverişleri desteklemeyi planlıyorlarsa AP2 eklentisini eklemelerini söylüyor.

Çoğu mağaza için şu an ne anlama geliyor

Muhtemelen henüz entegre edilecek bir şey yok. AP2'nin SSS sayfası bir SDK ile bir MCP sunucusunun ödeme hizmeti sağlayıcılarıyla birlikte geliştirildiğini söylüyor; projenin GitHub sayfası da bir paketin ileride yayımlanacağını belirtiyor. Belirtim çalışması artık FIDO'nun çalışma gruplarında sürüyor; yani bundan sonraki değişiklikler bir standart süreciyle gelecek. Bizim beklentimiz, çoğu mağazanın AP2 ile kendisi geliştirerek değil, ödeme altyapısı ya da ödeme kuruluşu üzerinden karşılaşması.

İnsanın olmadığı siparişlere hazırlıklı olun. "Human Not Present", kimse oturumu izlemezken sipariş verilebilmesi demek. Dolandırıcılık kurallarınız yazma hızı ya da yakın zamanlı giriş gibi insan işaretlerine dayanıyorsa bu siparişlere farklı davranabilir. Bu tarafı Ajan siparişleri dolandırıcılık filtrenize ulaştı yazımızda ele almıştık.

Türkiye henüz haritada yok. AP2 sitesinde Türkiye'ye özgü bir program ya da ortak yok. Ağırlıklı olarak Türkiye'de satan mağazalar için bu, bir proje değil, izlenecek bir konu.

Tarafsız ev iyi haber, ama yavaş. Bir standart kuruluşunun sahip olduğu protokolün, tek bir şirket strateji değiştirdi diye değişme olasılığı daha düşük; çalışma gruplarında kart ağları, platformlar ve yapay zekâ şirketleri var. Bedeli hız: standart süreçleri zaman alıyor.

Ödeme kuruluşunuza sorabileceğiniz sorular

  1. AP2 yetki kayıtlarını ya da Verifiable Intent'i kabul etmeyi planlıyor musunuz; kayıt işlemle birlikte saklanacak mı?
  2. Bir ajan siparişine itiraz gelirse bu kayıt kanıt olarak kullanılabilecek mi ve kim saklayacak?
  3. Ajanın başlattığı ödemeler raporlarımızda işaretlenecek mi, onları ayrı görebilecek miyiz?
  4. x402'yi ya da stablecoin ile ödemeyi destekliyor musunuz; hangi ülke ve para birimlerinde?
  5. İnsanın olmadığı bir ödeme, bizim pazarlarımızda 3-D Secure ve güçlü müşteri doğrulamasıyla birlikte nasıl işleyecek?

Sonuç

Nisan'daki devirler AP2'yi ve x402'yi tek tek şirketlerden tarafsız standart kuruluşlarına taşıdı. AP2, alışverişçinin neye izin verdiğini kaydeden imzalı yetki kayıtları getiriyor; bunlar satıcılar için işe yarar bir kanıta dönüşebilir. x402 ise eski ve kullanılmayan bir HTTP durum kodunu bir web isteğinin içinde ödeme yapmanın yoluna çeviriyor; bugün çoğunlukla stablecoin ile. İkisi de erken. Çoğu mağaza için şimdiki iş, doğru soruları sormak ve temeli sağlam tutmak: ajan, bir yetki kaydına ancak fiyatını, stoğunu ve ödeme adımını okuyabildiği bir ürün için dayanarak hareket edebilir.

Specoria bu temeli ölçüyor: ajanın doğrulayabileceği ürün verisinden, gerçek bir tarayıcı ajanının ödeme adımınıza ulaşıp ulaşamadığına kadar. Ücretsiz hazırlık testiyle başlayabilirsiniz.

Kaynaklar