# Meta, Stripe et Shopify dévoilent le Personal Agent Protocol

> Meta, Sierra, Stripe et Shopify ont présenté le Personal Agent Protocol. Ce standard ouvert remplace le scraping fragile par OAuth et des jetons signés DPoP.

- URL: https://roobrief.com/fr/posts/personal-agent-protocol
- Language: fr
- Published: 2026-10-28T02:30:00.000Z
- Tags: ai, dev
- Source: https://personalagentprotocol.org

**Plutôt que de s'en remettre au scraping fragile et au partage de mots de passe, les agents personnels d'IA peuvent désormais interagir avec les marchands grâce au Personal Agent Protocol, un standard ouvert fondé sur OAuth et des jetons signés avec DPoP.**

Le 6 oct. 2026, Meta et Sierra, une entreprise spécialisée dans l'IA conversationnelle, ont présenté le **Personal Agent Protocol** (PAP, nom de code Poppy) lors du Sierra Summit à San Francisco. Ce protocole ouvert vise à encadrer les agents d'IA (des programmes qui accomplissent seuls des tâches en plusieurs étapes pour l'utilisateur). Stripe, Shopify, Walmart, Genesys et Rocket figurent parmi les premiers partenaires de lancement, et l'ébauche complète des spécifications a été publiée en open source sur GitHub.

## Pourquoi ouvrir un accès officiel plutôt que scraper et bloquer

Lorsque des agents d'achat autonomes tentent de parcourir des catalogues ou de finaliser des commandes pour le compte des consommateurs, ils se heurtent régulièrement à un mur. La plupart des agents actuels imitent des sessions de navigation grand public, récupèrent les données brutes des pages web (scraping) ou manipulent directement les identifiants et les cookies de session des utilisateurs. Cette méthode précaire déclenche immanquablement les pare-feu applicatifs (WAF) et engendre d'importants risques d'usurpation de compte et de fuite de données d'identification.

La situation s'est envenimée quand Amazon a bloqué à la périphérie de son réseau Muse, l'assistant d'achat de Meta, ainsi que l'agent Comet de Perplexity, avant de porter le différend devant les tribunaux fédéraux américains au sujet du scraping et de la transmission non autorisée de cookies de session. Le PAP a été conçu pour substituer un point d'accès autorisé à cette relation conflictuelle.

## Comment fonctionnent l'authentification DPoP et poppy.json

Le PAP ne cherche pas à concurrencer le Model Context Protocol (**MCP**, une norme qui permet à l'IA d'utiliser des outils externes) : il s'agit d'une couche d'identité et d'autorisation qui vient encadrer les outils API et les serveurs MCP. Les sites marchands participants hébergent un manifeste lisible par machine à l'adresse `/.well-known/poppy.json`. Ce fichier déclare le serveur d'autorisation OAuth du commerçant ainsi que les canaux d'interaction disponibles, comme des définitions OpenAPI, des points de terminaison de serveurs MCP ou des passerelles d'agents conversationnels.

L'authentification repose sur la norme RFC 9449 Demonstrating Proof-of-Possession (**DPoP**). Au lieu de stocker le mot de passe maître de l'utilisateur, l'agent génère une paire de clés cryptographiques asymétriques et signe des jetons de session à courte durée de vie pour chaque requête. Les permissions sont strictement délimitées : le périmètre `poppy:read` autorise la consultation du catalogue de produits et la recherche dans la documentation, tandis que `poppy:write` permet l'ajout au panier, la passation de commande et la modification de réservations. Les opérations d'écriture à haut risque, comme le règlement financier, exigent une confirmation humaine explicite (human-in-the-loop) avant d'être exécutées.

## Une coalition pour le commerce agentique face au mur d'Amazon

Le protocole acquiert immédiatement un poids stratégique grâce au réseau de marchands de Shopify et à l'infrastructure de paiement de Stripe. Grâce à l'intégration avec Link de Stripe, les agents peuvent conclure des achats au moyen de jetons de paiement à usage unique, sans jamais manipuler de numéro de carte bancaire en clair. La participation de Walmart et de Genesys étend par ailleurs ce standard aux volumes massifs de la grande distribution et aux parcours de service client en entreprise.

La fragmentation des plateformes constitue cependant un défi de taille. Amazon maintient une politique de fermeture stricte à son périmètre face aux acheteurs automatisés. En parallèle, Visa fait avancer son propre protocole, le Trusted Agent Protocol (TAP), fondé sur la signature de messages HTTP (RFC 9421). Une rivalité sectorielle s'ouvre ainsi sur la gouvernance de l'identité et des transactions financières dans le commerce piloté par l'IA.

## À suivre

- **L'adoption de poppy.json par Shopify et les marchands** : si Shopify active par défaut les manifestes PAP sur ses boutiques hébergées, les achats pilotés par des agents s'étendront rapidement à des millions de marques indépendantes.
- **La défense d'Amazon et l'interopérabilité avec Visa TAP** : l'ouverture d'une passerelle officielle par Amazon ou le maintien d'un filtrage strict, ainsi qu'une convergence éventuelle entre le réseau bancaire de Visa et le PAP, détermineront si le commerce agentique s'unifie ou se fragmente.

## Sources

- [Personal Agent Protocol Official Site](https://personalagentprotocol.org)
- [Personal Agent Protocol GitHub](https://github.com/personal-agent-protocol/personal-agent-protocol)
- [Sierra Blog](https://sierra.ai/blog/personal-agent-protocol)
- [Reuters Amazon AI Agent Block Report](https://www.reuters.com/technology/amazon-blocks-meta-muse-ai-agent-2026-10-20/)