ACP, UCP og AP2 sammenlignet: protokollerne for agentic commerce i oktober 2026, og hvilken jeres webshop har brug for

Tre åbne protokoller beskriver nu, hvordan en AI-agent køber i en webshop. Agentic Commerce Protocol (ACP) kommer fra OpenAI og Stripe. Universal Commerce Protocol (UCP) kommer fra Google og Shopify. Agent Payments Protocol (AP2), som Google startede og i april overdrog til FIDO Alliance, er slet ikke en checkoutprotokol: Den definerer et signeret bevis for, at en bruger har autoriseret en betaling, og den er designet til at sidde inde i UCP. Alle tre er udgivet under Apache 2.0.

Pr. 22. oktober 2026 står de meget forskelligt. ACP er mærket som beta, den seneste udgivelse er 2026-04-17, og der er ikke committet noget siden 17. juli. ChatGPT, protokollens vigtigste aftager, gik i marts bort fra selvstændig checkout og bruger nu primært ACP til at modtage produktdata. UCP udgav i august en bagudinkompatibel version, 2026-08-25, mens Googles egne tjenester stadig kører 2026-04-08, og Googles checkout er i early access og kun i USA. AP2 er på v0.2, og intet Google-produkt dokumenterer, at det bruger den.

Denne artikel er til CTO'er og ledende udviklere hos webshops og handelsplatforme, der skal beslutte, hvad de vil implementere. Vil I vide, hvad hver AI-platform kræver af en webshop som forretning, så start med vores overblik over agentic commerce.

Side om side

ACP: Agentic Commerce Protocol

Styring og versioner

Specifikationens repository siger, at ACP vedligeholdes af OpenAI og Stripe, og mærker den som beta. Dens styringsdokument gør de to til Founding Maintainers (stiftende vedligeholdere): De udpeger pladserne i styregruppen (op til syv) og beholder en vetoret, der skal bruges »som sidste udvej«. Meta kom med som tredje ledende vedligeholder og medlem af styregruppen den 24. april 2026. Stripes dokumentation kalder ACP »skabt af Stripe, OpenAI og Meta«, men repositoryets notice-fil krediterer kun OpenAI og Stripe. En neutral fond nævnes kun som en mulig vej fremover.

Der er fem daterede udgivelser: 2025-09-29 (checkout og delegeret betaling), 2025-12-12 (bagudinkompatible ændringer på baggrund af erfaringerne med adapterne til URBN og Etsy), 2026-01-16 (en 3DS-udbyder, som forhandleren vælger), 2026-01-30 (forhandling af capabilities, udvidelser og et bagudinkompatibelt framework for payment handlers) og 2026-04-17 (kurv, feed, ordrer, delegeret autentificering, discovery og MCP), som udfasede 2026-01-30. Der er ikke udgivet noget i de seks måneder siden. Mappen unreleased/ indeholder mindre ændringer dateret frem til 17. juli, for eksempel et ID for feedopdateringer og en valgfri produkt-URL på varer i checkouten.

Hvad en forhandler implementerer i 2026-04-17

Checkout-API'et hostes af forhandleren og kaldes af agenten:

• POST /checkout_sessions opretter en session, POST /checkout_sessions/{checkout_session_id} opdaterer den (en POST, ikke en PUT), GET på samme sti henter den, og .../complete og .../cancel afslutter den.
• Forespørgsler har en API-nøgle som bearer token og en påkrævet API-Version-header. Siden 2026-04-17 er en Idempotency-Key obligatorisk på alle POST-forespørgsler med definerede fejl: 400 idempotency_key_required, 409 idempotency_in_flight og 422 idempotency_conflict.
• Forespørgslen, der opretter sessionen, indeholder et capabilities-objekt. Agenten angiver, hvad den understøtter, og sælgeren returnerer fællesmængden, så en uforenelighed viser sig før betalingen.
• Forhandleren sender ordrehændelser med POST til en modtager, som OpenAI hoster på /agentic_checkout/webhooks/order_events, signeret med HMAC-SHA256 i en Merchant-Signature-header. Statusserne går fra created til delivered eller canceled, og adjustments[] bærer refunderinger, returneringer, indsigelser og chargebacks.

Udgivelsen 2026-04-17 tilføjede også en statisk, offentlig /.well-known/acp.json, hvis felt transports angiver, om webshoppen taler rest, mcp eller begge. Den tilføjede en MCP-binding over Streamable HTTP med fem værktøjer (create_checkout_session, get_checkout_session, update_checkout_session, complete_checkout_session, cancel_checkout_session), autentificeret i serverkonfigurationen i stedet for pr. forespørgsel. Og den tilføjede et Feed API, som agenten hoster, og som forhandleren pusher til (POST /feeds, PATCH /feeds/{id}/products), en kurv med én sælger og uden betalingsdata (POST /carts, PUT /carts/{id}) og delegeret 3DS2-autentificering (POST /delegate_authentication). Der er ingen abonnementer: RFC'en om udvidelser opfører subscription som »Understøttelse af tilbagevendende fakturering (fremtidig)«.

Sådan fungerer betaling i ACP

ACP's oprindelige svar er delegeret betaling. PSP'en eller card vaulten implementerer POST /agentic_commerce/delegate_payment, som omdanner et kort (den eneste type betalingsoplysning) til et token, som forhandlerens PSP kun må bruge inden for en ramme: reason (kun one_time), max_amount, currency, checkout_session_id, merchant_id og expires_at. Med RFC'ens ord: »Betalinger, afregning og compliance forbliver på forhandlerens egen betalingsinfrastruktur.« Worldpay dokumenterer sin egen udgave af kaldet, og PayPal understøtter ACP via delegerede tokens i Braintree.

Siden 2026-01-30 angives accepterede metoder som handlers under capabilities.payment.handlers. Ændringsloggens eksempel på betalingsdata:

{ "handler_id": "card_tokenized", "instrument": { "type": "card", "credential": { "type": "spt", "token": "spt_123" } } }

Værdien spt er Stripes Shared Payment Token, der er tilgængeligt »i USA, Canada og udvalgte europæiske lande«. En sælger på Stripe opkræver det med payment_method_data[shared_payment_granted_token] på en preview-version af API'et; en sælger hos en anden betalingsprocessor kan én gang omsætte tokenet til kortnetværkets betalingsoplysninger. Vores artikel om agentic payments gennemgår, hvem der bærer risikoen.

Hvad OpenAI's skift i marts ændrede

Den 24. marts 2026 skrev OpenAI, at »den første version af Instant Checkout ikke gav den grad af fleksibilitet, vi stræber efter at tilbyde«, lod forhandlere bruge deres egne checkouts og sagde, at selskabet ville »udvide ACP til at være det forbindende lag mellem forhandlere og brugere gennem hele produktsøgningen«. Target, Sephora, Nordstrom, Lowe's, Best Buy, The Home Depot og Wayfair havde integreret ACP til produktsøgning, og Shopify-kataloger kommer ind via Shopify Catalog. Hvad det betyder for en udvikler:

• Feedet er den del, der er live. OpenAI's side for forhandlere siger, at køb »gennemføres på websites eller i apps, som forhandleren ejer«, og at shopping er live for brugere i USA. Onboarding af feeds er for godkendte partnere fra en venteliste: en daglig fuld fil over SFTP med ni obligatoriske felter, API-opdateringer i løbet af dagen og kampagner kun via API. Standarduploaden »er i øjeblikket rettet mod USA«.
• Checkout kræver sin egen adgang. Feedspecifikationen siger, at checkout »kræver en integration, der aktiveres særskilt«. For ChatGPT-apps er den generelt tilgængelige vej ekstern checkout på udviklerens eget domæne. Betalingsvinduet i chatten er en privat beta, der er »begrænset til udvalgte markedspladser«, og som giver et betalingstoken til appens MCP-server i et complete_checkout-værktøjskald.
• OpenAI's sider halter efter specifikationen. Selskabets checkoutreference viser stadig API-Version 2025-09-12 og en provider-enum med stripe, adyen og braintree. Byg efter repositoryet, og bekræft med OpenAI, hvilken version selskabet accepterer.

PSP-sider, der stadig præsenterer Instant Checkout som live, er forældede.

UCP: Universal Commerce Protocol

Styring og versioner

Google lancerede UCP den 11. januar 2026, udviklet sammen med Shopify, Etsy, Wayfair, Target og Walmart. Styringsreglerne giver Google og Shopify hver én fast stemme i Governing Council, som Stripe kom med i den 28. april 2026, og fastslår, at »Google har fuldmagtsstemmen for alle ledige pladser indtil dec. 2028«. Den 24. april voksede Shopping Tech Council til 16 pladser med Amazon, Meta, Microsoft, Salesforce og Stripe, så Meta og Stripe sidder nu både i ACP's styregruppe og i UCP's council.

Repositoryet har fire udgivelser. 2026-04-08 tilføjede capabilities for kurv og katalog, signering af forespørgsler og svar samt Get Order. 2026-08-25 er bagudinkompatibel: signing_keys[] blev erstattet af et JWK Set i keys[], betalingsudvidelser flyttede fra dev.ucp.shopping.* til dev.ucp.common.payment.*, fælles skemaer flyttede og fik nye $id-URL'er, og PAN og netværkstokens blev separate typer betalingsoplysninger. Den tilføjede også leverandøruafhængig 3DS2, opdelte betalinger, betalingsbetingelser og interoperabilitet med Web Bot Auth.

Her er fælden. Googles profilguide dækker kun 2026-04-08 og 2026-01-23, Googles egen agentprofil på ucp.goog angiver "version": "2026-04-08", og Salesforce B2C Commerce 26.9 leverer de samme to versioner. Shopifys Checkout MCP linker derimod til 2026-08-25. Bygger I efter den seneste udgivelse, bygger I en version, Google ikke dokumenterer. Specifikationens svar er et supported_versions-objekt, der knytter hver ældre version til sin egen profil-URI.

Discovery, transporter og autentificering

Hver virksomhed publicerer en profil på /.well-known/ucp med ucp.version, ucp.services og ucp.payment_handlers, og Google kræver, at den er offentlig og uden autentificering. Agentens platform publicerer også en, og hver forespørgsel bærer dens URI i en UCP-Agent-header over HTTPS med mindst TLS 1.3. Autentificering er virksomhedens valg: ingen, X-API-Key, OAuth 2.0, mutual TLS eller HTTP Message Signatures efter RFC 9421. Google sender et bearer token, og Googles FAQ tilbyder også mTLS. En Idempotency-Key er kun et »SHOULD«; en server, der accepterer en, gemmer den i mindst 24 timer og svarer 409, når den genbruges med et andet indhold i forespørgslen.

REST er kernetransporten sammen med MCP, en A2A-udvidelse og en indlejret tilstand, der nås via en continue_url. Ordrer er en GET /orders/{id} plus en webhook fra virksomhed til platform, signeret efter RFC 9421. Kurvstierne er de samme som i ACP. Checkoutoperationerne ligner hinanden, men de kan ikke bruges i hinandens sted:

Én checkoutkerne kan betjene begge. Én rutetabel kan ikke.

Sådan fungerer betaling i UCP

UCP flytter ikke penge. En payment handler er en specifikation, der er skrevet af en udbyder af betalingsmidler, for eksempel com.google.pay for Google Pay eller dev.shopify.shop_pay for Shop Pay. Virksomheden angiver de handlers, den accepterer, platformen kører én af dem, og ved complete modtager virksomheden et uigennemsigtigt token, som den opkræver betalingen med via sin egen PSP.

På Googles tjenester er Google Pay den eneste handler, PAN_ONLY er den eneste autentificeringsmetode, der bruges, og jeres PSP »skal kunne behandle vores tokens«. Stripe publicerer com.stripe.payments til kort og Apple Pay: »Agenten sender et shared payment token (SPT) i Complete Checkout-forespørgslen, og sælgeren opkræver det.« Google Pay forbliver på sin egen handler. PayPal tager Google Pay-handleren via Braintree eller via sit Orders v2 API.

Hvad Google kræver, før I bliver kaldt

Googles guide til native checkout kræver REST-checkout-API'et og beholder selv betalingstrinnet: Kunden indtaster følsomme oplysninger »kun med Googles brugerflade«. Serviceniveauerne er mindst 95 % tilgængelighed på hvert endpoint med p50- og p95-latens på 1 og 4 sekunder for create, 1 og 5 for update og 6 og 10 for complete. Efter en ordre pusher I statusopdateringer til en webhook hos Google med et partner-ID og en nøgle, som udstedes ved onboarding. I Merchant Center skal hvert produkt have native_commerce(checkout_eligibility) sat til true (den »er som standard FALSE«), en returpolitik og en supportkontakt er obligatoriske, og abonnementer, afbetaling, personaliserede, brugte og renoverede varer, forudbestillinger og aldersbegrænsede varer er undtaget.

Den lettere mulighed er siden 2026-04-08 kurvoverførsel (cart transfer): I implementerer kun oprettelse af kurve, Google overdrager kurven til jeres website, og der kræves hverken payment handler eller ordre-webhook.

Adgangen er den reelle begrænsning. Checkout er »tilgængelig for udvalgte forhandlere« via en interesseformular til early access, hvor I forpligter jer til at gå i gang inden for 30 dage og accepterer, at adgangen »kan blive fjernet«, hvis I ikke gør fremskridt. Betingelserne for UCP Checkout gælder »kun for USA«. Merchant Center-hubben skal efter planen komme til Australien og Canada »tidligt næste år«; Google oplyser ingen checkoutdato for andre lande.

UCP uden for Google

Microsoft Merchant Center har siden 21. april 2026 taget imod UCP-klare feeds i USA. Copilot Checkout kræver et UCP-kompatibelt feed, tager imod engelsksprogede forhandlere, der sælger til amerikanske købere i dollars, med én PSP hver, og indstillingen for webshoppen er mærket »Kun som pilot til udvalgte kunder«. Shopify eksponerer UCP over MCP på https://{shop}/api/ucp/mcp og har fjernet sine ældre værktøjer til katalog og kurv. En capability til booking af overnatning blev merget som udkast den 24. september 2026 og indgår ikke i nogen udgivelse.

AP2: Agent Payments Protocol

AP2 er ikke en tredje måde at gennemføre checkout på. Dens specifikation siger, at den »fungerer som en sikkerhedsfunktion inden for en handelsprotokol« og er »udtrykkeligt designet til at være kompatibel med Universal Commerce Protocol (UCP)«. Version 0.1.0 kom den 16. september 2025 og v0.2 den 28. april 2026, samme dag som Google overdrog AP2 til FIDO Alliance. FIDOs meddelelse nævner en Agentic Authentication-arbejdsgruppe og en Payments-arbejdsgruppe, der ledes af medlemmer fra Mastercard og Visa, og siger, at bidragene »vil blive gennemgået og videreudviklet«. FIDO har ikke publiceret nogen AP2-specifikation. GitHub-repositoryet tager nu kun imod eksempler og SDK-ændringer, og det seneste commit var den 29. april.

Version 0.2 definerer et Checkout Mandate (hvad der købes) og et Payment Mandate (betalingen med begrænsninger som payment.amount_range, payment.budget og payment.allowed_payees). Hvert af dem er en SD-JWT i en lukket og en åben form (for eksempel mandate.payment.1 og mandate.payment.open.1). I tilstanden Human Present godkender brugeren de lukkede mandater. I tilstanden Human Not Present godkender brugeren åbne mandater, der fastsætter begrænsninger og bærer agentens offentlige nøgle i en cnf-claim, og agenten sammensætter selv de lukkede inden for de grænser. Vejledninger om Intent Mandates og Cart Mandates beskriver v0.1; de begreber er væk i v0.2.

Inde i UCP er AP2 udvidelsen dev.ucp.common.payment.ap2_mandate (dev.ucp.shopping.ap2_mandate før 2026-08-25). Når den er forhandlet på plads, signerer virksomheden sine checkoutsvar, platformen fremlægger et checkout_mandate og et payment_mandate ved complete, og sessionen er »Security Locked«: Ingen af parterne må falde tilbage til en almindelig checkout.

Ingen beder om det endnu. Googles FAQ kalder AP2 »særligt nyttig i fremtidige scenarier med autonome transaktioner udført af AI-agenter«. Googles egen agentprofil angiver Google Pay som sin eneste payment handler og erklærer ingen AP2-capability, og profilen for 2026-08-25 har heller ingen AP2-post. Intet Google-produkt dokumenterer brug af AP2, så der er intet for en forhandler at bygge, før en platform vælger det i forhandlingen af capabilities.

Naboprotokollerne

MCP

ACP og UCP kan begge køre over MCP, hvis nuværende specifikation, 2026-07-28, fjerner sessioner og headeren Mcp-Session-Id, dropper initialize-handshaket, kræver server/discover og lader en klient sende en forespørgsel igen under et nyt ID, når dens stream bryder. ACP's binding linker stadig til transporten fra 2025-11-25. Et ID for en checkout-session er præcis den slags handle, udstedt af serveren, som den nye specifikation forventer, og en complete, der går tabt midt i en stream, kommer tilbage som en ny forespørgsel: Behandl idempotensnøgler som obligatoriske i begge protokoller.

WebMCP

WebMCP er en foreslået webstandard til at eksponere en sides egne funktioner for browseragenter. Shopify tilbyder UCP-checkout både som Checkout MCP og som Checkout WebMCP med det samme checkoutobjekt og anbefaler Checkout MCP. Vores guide til WebMCP gennemgår, hvor standarden står.

x402 og MPP

x402 og Machine Payments Protocol, udviklet af Tempo og Stripe, opkræver betaling fra en agent pr. HTTP-forespørgsel for et API, data eller indhold. De er ikke checkoutprotokoller til webshops. Se vores artikel om x402.

Visa Trusted Agent Protocol og Mastercard Agent Pay

De står ved siden af ACP og UCP i stedet for at erstatte dem. Visas Trusted Agent Protocol giver en agent »en standardiseret, kryptografisk metode« til at bevise sin identitet og autorisation over for forhandlere, og Mastercard Agent Pay er et tokeniseringsprogram til agentic commerce. Mastercards guide til forhandlere placerer UCP og ACP på sit højeste parathedsniveau, bemærker, at »early adopters integrerer i øjeblikket«, og råder forhandlere til at begynde med de to enklere niveauer. Vores artikel om agentic payments gennemgår begge programmer.

Personal Agent Protocol

Sierra siger, at selskabet annoncerede Personal Agent Protocol (»Poppy«) sammen med Meta den 6. oktober 2026 og publicerede et udkast den 9. oktober. En virksomhed publicerer én fil på /.well-known/poppy.json; protokollen bruger OAuth, JWT'er, HTTPS, OpenAPI og MCP til at lade en personlig agent identificere sig og få kundens tilladelse til enhver type opgave, og Sierra kalder den et supplement til UCP. Protokollens website viser version 0.2 og siger: »Det er et udkast«. Vi har ikke fundet noget indlæg om den i Metas eget newsroom.

Hvilken har I brug for?

På Shopify

Intet at bygge. Shopifys agentic storefronts er »aktive som standard for kvalificerede webshops«. ChatGPT modtager jeres katalog via Shopify Catalog og sender kunderne til jeres webshop. Googles direkte checkout er slået til som standard for webshops, der er baseret i og sælger til USA, og Copilot tilmeldte automatisk Shopify-forhandlere. Jeres beslutninger handler om produktdata og om, hvorvidt direkte checkout skal forblive slået til, vel vidende at brugerdefinerede pixels (custom pixels) ikke udløses i Googles checkout.

På Salesforce, commercetools eller en anden platform

Salesforce B2C Commerce 26.9 leverer UCP 2026-01-23 og 2026-04-08: /.well-known/ucp med et supported_versions-map og endpoints til checkout-sessioner bag et SLAS-token. Salesforce angiver UCP-checkout i Google som generelt tilgængelig i oktober 2026. En session er en headless visning af en kurv, og Salesforces guide til teknisk audit advarer om, at SFRA- og SiteGenesis-controllere og »andre SCAPI-ressourcer, I bruger i dag, ikke kører i dette forløb«, så logik, der er knyttet til dem, skal kopieres eller kobles over på UCP-hooks til checkout-sessioner. Feedet skal være rettet mod en-US, og Salesforce »springer ikke Googles venteliste over«. Til ChatGPT er Salesforce en af de leveringsveje, OpenAI nævner for ACP-feeds.

På commercetools eller en anden platform: Spørg leverandøren, hvilke UCP-versioner og capabilities den leverer, hvilke af jeres hooks der kører i en agentcheckout, og om den sender feeds til OpenAI.

På jeres egen software

1. Feeds først. Google Merchant Center og, når OpenAI optager jer, OpenAI's produktfeed. ACP's kommercielle brug i ChatGPT i dag er præcis dette.
2. UCP til Google, hvis I sælger i USA, og Google optager jer. Byg efter 2026-04-08: profilen med com.google.pay, checkoutoperationerne inden for Googles mål for latens, en PSP, der behandler Google Pay-tokens, ordre-webhooken og feedattributten. Eller start med kurvoverførsel alene.
3. ACP-checkout kun med en grund, for eksempel en ChatGPT-app, der er optaget i betaen for betalingsvinduet. Byg efter repositoryets 2026-04-17.
4. AP2: intet endnu.
5. Én checkoutkerne. Begge protokoller vil have en session, der kan oprettes, opdateres, gennemføres og annulleres via et API og sikkert forsøges igen. Byg den én gang over jeres logik for ordrer, moms og betaling, med tynde adaptere til ACP og UCP øverst og MCP, hvor agenter har brug for det.

Ingen af protokollerne giver i dag en abonnementsforretning en native agentcheckout.

Kun salg uden for USA

Ingen af de tre giver jer en agentcheckout i dag. Shopping i ChatGPT og OpenAI's standardupload af feeds gælder USA; Googles betingelser for UCP Checkout gælder kun USA; Copilot Checkout betjener amerikanske købere i dollars. Googles næste annoncerede skridt er Merchant Center-hubben i Australien og Canada »tidligt næste år«, uden dato for Storbritannien eller EU.

Hold jeres Merchant Center-feed komplet, og bygger I alligevel checkouten om, så byg den API-drevne kerne, der er beskrevet ovenfor, så en adapter er en lille opgave, når jeres marked åbner. Sælger I til USA fra udlandet? Tjek, hvor hvert program kræver, at forhandleren er hjemmehørende; Shopifys direkte checkout i Google kræver for eksempel en amerikansk webshop.

Hvor I kan få hjælp

Vi bygger protokollaget for webshops, der ikke kører Shopify: en /.well-known/ucp-profil og endpoints til checkout-sessioner oven på jeres eksisterende logik for ordrer, moms og betaling, ordre-webhooks til Google, produktfeeds til Google Merchant Center og OpenAI og MCP-servere, der eksponerer den samme checkout for agenter. Vores service til udvikling af AI-agenter og MCP-integration er der, hvor det arbejde begynder.

Skriv til office@c9group.dev med jeres platform, jeres betalingsudbyder og de lande, I sælger i, så fortæller vi jer, hvilken protokol der gælder, og hvad det vil kræve at implementere den. Googles og OpenAI's programbetingelser er kontrakter: Vi er ingeniører, ikke jurister, så få en rådgiver til at læse dem, før I skriver under.