# Meta, Stripe y Shopify presentan Personal Agent Protocol (PAP)

> Meta, Sierra, Stripe y Shopify presentan Personal Agent Protocol. El estándar abierto sustituye el raspado web y las cookies por tokens de acceso OAuth y DPoP.

- URL: https://roobrief.com/es/posts/personal-agent-protocol
- Language: es
- Published: 2026-10-28T02:30:00.000Z
- Tags: ai, dev
- Source: https://personalagentprotocol.org

**Frente a la fragilidad del raspado web y el intercambio inseguro de contraseñas, el estándar abierto Personal Agent Protocol permite a los agentes conectarse con comercios mediante OAuth y tokens de acceso firmados con DPoP.**

El 6 de octubre de 2026, Meta y Sierra (empresa especializada en IA conversacional) presentaron en el Sierra Summit de San Francisco el **Personal Agent Protocol** (PAP, nombre en clave Poppy). Entre los socios iniciales figuran Stripe, Shopify, Walmart, Genesys y Rocket, con el borrador completo de la especificación publicado como código abierto en GitHub.

## Por qué abrir una puerta oficial en vez de raspar y bloquear

Cuando los agentes autónomos de compra intentan navegar o tramitar un pedido en nombre del usuario, suelen toparse con un muro. La mayoría de los asistentes personales operan simulando sesiones de navegador estándar, raspando el contenido de las páginas web o manejando contraseñas y cookies de sesión directas. Este mecanismo tan frágil dispara continuamente las alertas de los cortafuegos de aplicaciones web (WAF) y expone al sistema a graves riesgos de secuestro de cuentas y filtración de credenciales.

La tensión escaló cuando Amazon bloqueó en el perímetro de su red a Muse (el asistente de compras de Meta) y a Comet (el agente de Perplexity), llevando la disputa a los tribunales federales por raspado no autorizado y desvío de cookies de sesión. PAP nació precisamente para sustituir esa dinámica de confrontación por una entrada oficial y autorizada para los agentes.

## Cómo funcionan la autenticación DPoP y poppy.json

PAP no compite con el Model Context Protocol (**MCP**, un estándar que permite a la IA usar herramientas externas); al contrario, actúa como una capa de identidad y autorización que envuelve herramientas de API y puntos de conexión de MCP. Los comercios y sitios web participantes publican un manifiesto legible por máquinas en la ruta `/.well-known/poppy.json`. Este documento declara el servidor de autorización OAuth del comercio junto con los canales de interacción disponibles, tales como definiciones de OpenAPI, puntos de conexión para servidores MCP y pasarelas de agentes conversacionales.

La autenticación se apoya en el estándar RFC 9449 Demonstrating Proof-of-Possession (**DPoP**). En vez de almacenar las contraseñas principales de los usuarios, el agente genera un par de claves criptográficas asimétricas y firma tokens de acceso de sesión efímeros para cada petición. Los permisos quedan acotados de forma estricta: `poppy:read` autoriza consultas al catálogo de productos y búsquedas en preguntas frecuentes, mientras que `poppy:write` permite añadir artículos al carrito, tramitar pedidos y modificar reservas. Las operaciones de escritura de alto riesgo, como ejecutar transacciones de pago, exigen la confirmación explícita de una persona antes de completarse.

## La coalición del comercio agéntico y el muro de Amazon

El protocolo gana tracción inmediata gracias al alcance de comerciantes en Shopify y a la infraestructura de cobros de Stripe. Al integrarse con Link de Stripe, los agentes pueden cerrar compras mediante tokens de acceso de pago de un solo uso sin llegar a tocar los números reales de las tarjetas de crédito. La incorporación de Walmart y Genesys extiende además este estándar a cobros minoristas de gran volumen y a flujos de atención al cliente en el entorno corporativo.

Aun así, la fragmentación de plataformas sigue siendo un escollo considerable. Amazon mantiene un cierre estricto en su perímetro frente a compradores automatizados. Al mismo tiempo, Visa impulsa por su cuenta el protocolo TAP (Trusted Agent Protocol), basado en firmas de mensajes HTTP bajo RFC 9421, lo que abre una disputa en la industria por el control de la identidad y la gobernanza de pagos en el comercio agéntico.

## Qué vigilar a continuación

- **Adopción de poppy.json en Shopify y en comercios independientes**: Si Shopify activa los manifiestos de PAP por defecto en sus tiendas alojadas, las compras mediante agentes llegarán con rapidez a millones de marcas independientes.
- **La defensa de Amazon y la interoperabilidad con Visa TAP**: Que Amazon abra una pasarela oficial o mantenga el bloqueo perimetral, y que la red financiera de Visa tienda puentes con PAP, determinará si el comercio agéntico avanza hacia un estándar unificado o se fragmenta.

## Fuentes

- [Personal Agent Protocol Official Site](https://personalagentprotocol.org)
- [Personal Agent Protocol GitHub](https://github.com/personal-agent-protocol/personal-agent-protocol)
- [Sierra Blog](https://sierra.ai/blog/personal-agent-protocol)
- [Reuters Amazon AI Agent Block Report](https://www.reuters.com/technology/amazon-blocks-meta-muse-ai-agent-2026-10-20/)