x402 e pagamenti tra macchine nel 2026: far pagare gli agenti IA a ogni richiesta, e quanto c'è di reale

HTTP ha un codice di stato per questo fin dagli albori del web. L'RFC 9110 lo dice ancora oggi con chiarezza: «Il codice di stato 402 (Payment Required) è riservato a uso futuro». Nel 2026 due protocolli cercano di far arrivare quel futuro. x402, avviato da Coinbase e oggi gestito da un progetto della Linux Foundation, risponde a una richiesta con un prezzo e accetta un pagamento firmato in stablecoin al nuovo tentativo. Il Machine Payments Protocol (MPP), di Stripe e Tempo, fa lo stesso attraverso gli header di autenticazione di HTTP e trasporta sia carte sia stablecoin. AWS e Cloudflare vendono ormai entrambe le idee sull'edge, così un editore può far pagare i crawler IA senza toccare il proprio origin.

La proposta attira chiunque venda dati, un'API o contenuti che gli agenti IA leggono: far pagare a ogni chiamata, regolare in pochi secondi, senza account e senza fatture. I numeri che stanno dietro la proposta sono un'altra faccenda. Una misurazione indipendente di x402 su Base ha rilevato che la maggior parte dei regolamenti registrati sono pagamenti a se stessi o denaro che si muove dentro un unico gruppo di wallet, e una società di analisi della blockchain ha stimato il volume che somiglia ad acquisti di agenti in circa USD 5.000-11.000 al mese nel 2026.

Questo articolo è per titolari e sviluppatori di API, servizi di dati e siti di contenuti che devono decidere se far pagare adesso gli agenti. Spiega come funzionano i protocolli, cosa offre ciascun fornitore al 22 ottobre 2026, cosa si svilupperebbe, cosa mostrano davvero i volumi e quali questioni normative comporta il possesso di stablecoin.

Come funziona x402

La specifica è alla versione 2, datata 9 dicembre 2025, in un repository passato da Coinbase alla x402 Foundation. Definisce tre ruoli: un resource server che vuole essere pagato, un client (spesso un agente) che paga e un facilitator che «gestisce la verifica dei pagamenti e il regolamento sulla blockchain».

Una richiesta a pagamento si svolge così:

1. Il client chiede la risorsa e riceve 402 Payment Required. Un header PAYMENT-REQUIRED porta un oggetto codificato in Base64 che elenca uno o più modi accettabili di pagare, ciascuno con uno scheme, una network in forma CAIP-2 (eip155:8453 è Base), un amount nelle unità più piccole del token, un asset, un indirizzo payTo e un maxTimeoutSeconds.
2. Il client firma un pagamento e ripete la richiesta con un header PAYMENT-SIGNATURE. Sulle blockchain EVM è una firma EIP-712 su un'autorizzazione di trasferimento EIP-3009, con una finestra temporale e un nonce di 32 byte contro i replay.
3. Il server fa verificare la firma al facilitator (POST /verify, che «NON DEVE registrare lo stato del pagamento»), esegue il proprio handler, poi fa regolare il pagamento al facilitator (POST /settle).
4. Il server risponde con la risorsa e un header PAYMENT-RESPONSE che contiene l'hash della transazione.

È il flusso «authorization» predefinito: «il pagamento viene verificato prima che la risorsa venga eseguita e regolato dopo». Altri due flussi sono definiti: uno che regola prima e uno che prende un deposito e regola l'importo finale dopo. Se un regolamento è stato trasmesso ma non confermato, il facilitator può restituire settlement_pending con l'hash, e il server deve riconciliare prima che qualcuno riprovi.

Due dettagli mettono in difficoltà. La versione 1, che mostrano la maggior parte dei vecchi tutorial, usava X-PAYMENT e X-PAYMENT-RESPONSE e nomi di rete come base-sepolia; la versione 2 ha rinominato gli header ed è passata a CAIP-2. Inoltre gli stessi messaggi sono definiti anche sopra MCP e sopra il protocollo Agent-to-Agent (A2A): su MCP, uno strumento a pagamento restituisce un risultato con isError: true e il pagamento viaggia in _meta["x402/payment"].

I quattro schemi di pagamento

Sulle blockchain EVM in linea di principio funziona qualsiasi token ERC-20, tramite EIP-3009 (il metodo di USDC) o Permit2. In pratica gli SDK di riferimento fissano i prezzi in dollari e associano "$0.01" a una stablecoin in dollari per ogni rete: USDC su Base e sulla maggior parte delle blockchain EVM, diverse stablecoin su Solana, USDT su TON. Il client di riferimento accetta solo gli asset che riconosce e limita ogni pagamento a USD 1 per impostazione predefinita. Non esiste un'impostazione predefinita in euro.

I facilitator: chi sposta il denaro

Il facilitator è «facoltativo ma raccomandato». Controlla le firme e invia il trasferimento onchain, e la documentazione dice che «non detiene fondi né agisce da custode»: il denaro arriva nel vostro wallet payTo.

• Il facilitator pubblico x402.org è solo per le testnet. Il quickstart per i venditori è esplicito: «Non riutilizzate https://x402.org/facilitator per le route di mainnet».
• Il facilitator CDP ospitato di Coinbase non addebita nulla per le prime 1.000 transazioni onchain al mese, poi USD 0,001 ciascuna, con la verifica sempre gratuita. Esegue su ogni pagamento i controlli OFAC e Know Your Transaction, richiede una chiave API CDP e supporta Base, Polygon, Arbitrum, Monad, World e Solana. Non elenca auth-capture. Il regolamento in batch distribuisce il costo: «una transazione onchain può elaborare migliaia di pagamenti».
• La fondazione elenca altri facilitator in produzione, tra cui Fireblocks, Polygon, PayAI, Corbits, Stellar e Celo, e dice che l'elenco «non è un catalogo esaustivo».
• Potete fare da facilitator a voi stessi, pagando il gas e, su Solana, sviluppando il rilevamento dei regolamenti duplicati che altrimenti fornirebbe un facilitator.

La x402 Foundation è diventata operativa il 14 luglio 2026 con 40 membri. Tra i membri premier ci sono Adyen, AWS, American Express, Cloudflare, Coinbase, Google, Mastercard, Shopify, Stripe e Visa; il suo comitato direttivo tecnico ha membri di Coinbase, Cloudflare e Stripe. Essere membri significa sostenere la governance, non aver messo in produzione qualcosa. Il comunicato di lancio parla di «supporto per tipi di pagamento che vanno dalle carte tradizionali alle stablecoin», ma la specifica oggi non ha alcun binding per le carte.

Il Machine Payments Protocol di Stripe e Tempo

Stripe e Tempo hanno lanciato MPP il 18 marzo 2026, il giorno in cui è entrata in funzione la mainnet di Tempo. Usa il framework di autenticazione di HTTP: un 402 con una sfida WWW-Authenticate: Payment, una credenziale in Authorization: Payment e un header Payment-Receipt in caso di esito positivo. I suoi intent sono charge (un singolo pagamento), session (pagamento in streaming su un canale) e subscription, e i suoi metodi di pagamento in produzione sono le stablecoin di Tempo e i metodi con carta di Stripe. Visa ha pubblicato lo stesso giorno una specifica per le carte e un SDK per MPP. Il documento IETF alla base è una Internet-Draft individuale che «non ha alcuna posizione formale nel processo di standardizzazione dell'IETF».

Su Stripe, MPP accetta carte (tramite Shared Payment Tokens) e stablecoin, e Stripe accetta anche pagamenti in stablecoin x402 su Base, regolati tramite il facilitator di Coinbase su un indirizzo di deposito Stripe. In entrambi i casi il risultato arriva sul vostro saldo Stripe come PaymentIntent, e le stablecoin inviate a un indirizzo di deposito vengono convertite: «Stripe esegue automaticamente l'offramp di questi pagamenti e li regola sul vostro saldo Stripe». Le condizioni:

• L'accettazione di stablecoin è «disponibile per le aziende in tutti gli stati degli Stati Uniti, tranne New York». Altrove si scrive un'email a Stripe per chiedere l'accesso, che viene valutato; l'Unione europea, Hong Kong, il Messico e la Svizzera sono in anteprima privata.
• I minimi sono USD 0,50 per un pagamento con carta e 0,01 USDC per un pagamento in stablecoin. Le sessioni MPP possono addebitare per passi «anche di soli 0,000001 USDC» ma regolano in centesimi interi, e un resto inferiore al centesimo va perso.
• I pagamenti in stablecoin su Stripe non prevedono alcun supporto per le contestazioni, i rimborsi tornano come stablecoin al wallet di origine e una singola transazione è limitata a USD 10.000.
• Le API sono versioni preview (2026-07-29.preview per MPP, 2026-05-27.preview per l'indirizzo di deposito x402).

Visa Intelligent Commerce Connect, annunciato l'8 aprile 2026 come fase pilota, elenca MPP tra i protocolli per agenti che gli esercenti possono accettare tramite di esso. Non elenca x402.

Far pagare sull'edge: AWS e Cloudflare

Se i vostri contenuti o la vostra API stanno già dietro una CDN, può essere l'edge a incassare.

AWS WAF AI traffic monetization (annunciato il 15 giugno 2026) restituisce a bot e agenti «una risposta HTTP 402 Payment Required leggibile dalle macchine, che usa il protocollo aperto x402», e regola tramite il facilitator di Coinbase in un wallet USDC che indicate voi, su Base o su Solana. La funzione non ha costi aggiuntivi, ma si applicano le normali tariffe di WAF e Bot Control, e funziona solo con CloudFront. Potete fissare prezzi diversi per i crawler di ricerca verificati, gli agenti non verificati e i crawler di addestramento, e fare prove prima di andare online. Regola solo quando il vostro origin restituisce un 2xx, e non addebita nulla per i 4xx o i 5xx. La documentazione è franca sui costi: un minimo di USD 0,001 per richiesta, «diversi secondi di latenza aggiuntiva» sulle richieste a pagamento, un rilevamento dei bot che è «probabilistico», e un avviso: una regola Monetize non limitata ai bot «bloccherà di fatto l'accesso ai client non automatizzati». «AWS non è parte né rientra nel flusso di fondi», e accettate i termini di Coinbase. Il regolamento tramite Stripe e il supporto a MPP erano «in arrivo» al momento dell'annuncio.

Cloudflare pay per crawl è un modello diverso. È in beta chiusa, il vostro dominio deve stare su Cloudflare, fissate un unico prezzo per tutti i crawler a cui fate pagare e Cloudflare «agisce come Merchant of Record». I crawler si identificano con Web Bot Auth e pagano con fattura Stripe, non da un wallet. Non toccate mai le stablecoin.

Cloudflare Workers può mettere un proxy x402 o MPP davanti a qualsiasi backend HTTP, con prezzi per pattern di route, e può addebitare solo le richieste con un punteggio bot basso, in modo che le persone navighino gratis. L'Agents SDK ha paidTool, che trasforma uno strumento MCP in uno strumento a pagamento. Tenete presente che gli esempi di Cloudflare usano il facilitator x402.org, orientato alle testnet, e i nomi di rete della versione 1; per la produzione sostituite un facilitator di produzione e gli identificatori CAIP-2.

Quanto c'è di reale

I numeri in evidenza sono grandi e non concordano tra loro. La home page di x402.org mostra 75,41 milioni di transazioni e USD 24,24 milioni negli ultimi 30 giorni, senza data, fonte o metodo sulla pagina. Coinbase dice che il suo facilitator ha elaborato «più di 100 milioni di transazioni e 28 milioni di dollari di volume di pagamenti solo su Base e Solana», senza indicare il periodo. Sono conteggi di regolamenti, ed è questo il problema.

Uno studio di misurazione di ricercatori della City University of Hong Kong, della Chinese University of Hong Kong e della Zhejiang University (un preprint, pubblicato il 14 luglio 2026) ha esaminato 280 giorni di x402 su Base, dal 17 settembre 2025 al 23 giugno 2026: 136.708.672 regolamenti per un valore di USD 44,1 milioni. Di questi, «il 21,20% è fittizio e il 63,78% è regolamento interno all'interno di un gruppo collegato». Il valore che «raggiunge dimostrabilmente un servizio identificabile» era di USD 187.861,35. Dei 624 destinatari che avessero mai ricevuto un pagamento, 249 hanno guadagnato almeno USD 10, il ricavo mediano nell'intero periodo era di USD 3,96 e solo 474 dei 910 host pubblicizzati restituivano ancora una sfida di pagamento attiva. La conclusione degli autori: «Il numero di regolamenti misura la producibilità, non l'adozione».

TRM Labs, che vende servizi di monitoraggio della blockchain, ha contato USD 52,7 milioni su 198,9 milioni di regolamenti su Base, Solana e Polygon da maggio 2025. Circa la metà è sparita dopo aver tolto i pagamenti a se stessi, i flussi in blocco e i venditori con pochi acquirenti. Degli USD 25,62 milioni rimasti, ha stimato che tra lo 0,6% e il 7,5% «sembra agentico», e che il volume mosso dagli agenti sia rimasto a circa USD 5.000-11.000 al mese per tutto il 2026. La sua lettura per i venditori è utile: «attirare traffico di agenti richiede un design diverso. Serve che sia leggibile dalle macchine e abbia un prezzo per chiamata su un endpoint che un acquirente possa scoprire senza che un essere umano veda mai la pagina».

Niente di tutto questo dice che l'idea sia sbagliata. Dice che a ottobre 2026 un endpoint che fa pagare gli agenti a ogni chiamata deve aspettarsi ricavi dell'ordine di un esperimento, e non deve basare i piani sui numeri in evidenza.

Chi detiene il denaro e quali norme si applicano

Con x402 il pagamento va direttamente nel vostro wallet. Significa che la vostra azienda detiene le chiavi, porta USDC nei propri libri e lo converte nella propria valuta, a meno che un fornitore come Stripe non lo converta per voi. Il controllo del facilitator (i controlli OFAC e KYT di Coinbase) è qualcosa che fa il facilitator; la specifica x402 non ne definisce nessuno. I rimborsi spetta a voi organizzarli: exact «non definisce alcun rimborso», e i pagamenti in stablecoin di Stripe non hanno contestazioni.

Due regimi riguardano chi si trova nel flusso di fondi.

• Stati Uniti: il GENIUS Act. La Public Law 119-27, approvata il 18 luglio 2025, entra in vigore 18 mesi dopo la promulgazione o 120 giorni dopo i regolamenti definitivi, a seconda di quale evento si verifichi per primo. La proposta di regolamento del Tesoro del 18 agosto 2026 dice che la data di entrata in vigore «dovrebbe essere il 18 gennaio 2027». Da quella data un prestatore di servizi per asset digitali non può rendere disponibile negli Stati Uniti la stablecoin di un emittente estero, a meno che l'emittente non possa rispettare gli ordini legittimi. Dal 18 luglio 2028 un prestatore di servizi per asset digitali non può offrire o vendere una stablecoin di pagamento a una persona negli Stati Uniti, a meno che non sia stata emessa da un emittente autorizzato. La legge definisce un prestatore di servizi per asset digitali in base ad attività come scambiare, trasferire o detenere asset digitali per conto di altri, svolte «a fronte di un compenso o di un profitto».
• Unione europea: MiCA. Il periodo transitorio per i prestatori di servizi per le cripto-attività è terminato il 1° luglio 2026. La dichiarazione dell'ESMA: «qualsiasi soggetto che presti servizi per le cripto-attività a clienti dell'UE senza un'autorizzazione MiCA violerà il diritto dell'UE e deve cessare di offrire tali servizi», e le imprese di paesi terzi non possono servire clienti dell'UE, «anche ... in un contesto business-to-business». Le stablecoin in dollari sono token di moneta elettronica ai sensi del regolamento MiCA. Il consiglio dell'ESMA agli utenti è di verificare che un prestatore figuri nel suo registro provvisorio.

Quello che nessuna di queste fonti chiarisce è la posizione di un'azienda che riceve stablecoin soltanto come pagamento per la propria API o per i propri contenuti. Le restrizioni del GENIUS Act sono scritte per i prestatori di servizi per asset digitali, e il regolamento MiCA per i prestatori di servizi per le cripto-attività; se il vostro assetto vi renda l'uno o l'altro, o dipenda da fornitori che devono esserlo, è una domanda per un legale in ciascuna giurisdizione in cui operate. Noi siamo ingegneri, non avvocati, e sviluppiamo in base alla risposta che vi darà il vostro consulente. In pratica, chiedete a ogni fornitore della vostra catena se ha un'autorizzazione dove si trovano i vostri clienti.

Quattro modi per realizzarlo

Dal meno codice al più:

1. Lasciare che sia la CDN a incassare. AWS WAF su CloudFront: una configurazione di monetizzazione con il vostro wallet e i prezzi, regole Monetize limitate alle etichette dei bot, prima la modalità di prova, nessuna modifica all'origin. Cloudflare pay per crawl: se siete nella beta, un prezzo e le impostazioni di pagamento, con Cloudflare come merchant of record.
2. Lasciare che sia un prestatore di servizi di pagamento a incassare. Stripe MPP: un profilo Stripe, la libreria mppx, una chiamata charge nel vostro handler e un indirizzo di deposito Tempo. Carta e stablecoin, regolati in valuta a corso legale sul vostro saldo Stripe. Oppure x402 su Stripe con un account CDP e un indirizzo di deposito su Base, solo stablecoin.
3. Far girare x402 sul vostro server con il middleware dell'SDK per il vostro framework (Express, Hono, Next.js, Fastify; esistono SDK per Python e Go), un facilitator ospitato e una configurazione di route con schema, prezzo, rete, payTo e descrizione.
4. Fare da facilitator a voi stessi, se vi serve il pieno controllo o una rete che nessuno serve.

Qualunque strada scegliate, alcune decisioni restano vostre: quale schema si adatta al lavoro (exact per prezzi fissi, upto per lavoro a consumo, il regolamento in batch quando le chiamate valgono meno del gas), chi vede il paywall (un 402 mostrato a un utente di un browser è un vicolo cieco), come riconciliate settlement_pending, i nuovi tentativi idempotenti se i client inviano un identificatore di pagamento, i rimborsi, la custodia del wallet di ricezione e come contabilizzate gli incassi in USDC. Anche gli agenti devono essere in grado di pagare: un client x402 ha bisogno di un wallet con la stablecoin giusta sulla rete giusta, un client MPP di un wallet Link o Tempo, un crawler di pay per crawl di un'identità Web Bot Auth e di un rapporto di fatturazione con Stripe. Non potete dare per scontato che un dato agente abbia una qualsiasi di queste cose.

Conviene far pagare gli agenti adesso?

• Vendete un'API o dati che gli agenti già chiamano: un esperimento costa poco. Mettete uno o due endpoint dietro MPP o x402 accanto alle vostre chiavi e ai vostri piani esistenti, fissate i prezzi sopra le soglie minime (USD 0,001 su AWS, 0,01 USDC su Stripe) e misurate chi paga. Tenete i piani a pagamento esistenti: per ora il canale dei pagamenti degli agenti sarà piccolo.
• Pubblicate contenuti che i crawler IA già leggono: le opzioni sull'edge esistono per questo. AWS WAF se siete su CloudFront e vi sta bene detenere USDC; Cloudflare pay per crawl se siete su Cloudflare, volete il regolamento con carta e riuscite a entrare nella beta. Nessuna delle due è ancora un piano di ricavi; entrambe vi danno un prezzo e un registro di chi ha rifiutato di pagarlo.
• Volete che gli agenti comprino merci dal vostro negozio: è un altro problema. I circuiti di carte, gli Shared Payment Tokens di Stripe e i protocolli di checkout di Google e OpenAI coprono gli agenti che acquistano dagli esercenti, e ne parliamo nel nostro articolo sui pagamenti agentici.

Cosa potrebbe cambiare

• L'avvio del GENIUS Act il 18 gennaio 2027 (prima, se i regolamenti definitivi arrivassero per primi), e la restrizione del 2028 che lo segue.
• AWS che aggiunge il regolamento tramite Stripe e MPP, annunciato come in arrivo.
• La maturazione di auth-capture, che darebbe a x402 dei rimborsi al di fuori delle bozze.
• L'Internet-Draft di MPP che si muove, o no, verso un gruppo di lavoro dell'IETF.
• Visa Intelligent Commerce Connect che si estende oltre i suoi partner pilota, portando a più esercenti i pagamenti di agenti finanziati con carta tramite MPP.

Dove trovare aiuto

Sviluppiamo il lato server dell'accesso a pagamento per le macchine: misurazione e prezzi per endpoint, sfide x402 o MPP davanti alle API e agli strumenti MCP esistenti, riconciliazione dei regolamenti nei sistemi che il vostro reparto finanziario usa già e l'identificazione dei bot che decide chi vede un prezzo. Il nostro servizio di sviluppo di agenti IA e integrazione MCP è il punto di partenza per questo lavoro.

Se state valutando se far pagare gli agenti per la vostra API o i vostri contenuti, e tramite quale fornitore, scrivete a office@c9group.dev.