ACP、UCP、AP2を比較：2026年10月のエージェンティックコマースのプロトコルと、ストアに必要なのはどれか

AIエージェントがストアから購入する方法を定めるオープンなプロトコルは、現在3つあります。Agentic Commerce Protocol（ACP）はOpenAIとStripeによるもの、Universal Commerce Protocol（UCP）はGoogleとShopifyによるものです。Agent Payments Protocol（AP2）はGoogleが始め、4月にFIDO Allianceに寄贈したもので、そもそもチェックアウトのプロトコルではありません。ユーザーが支払いを承認したことの署名付きの証明を定めるもので、UCPの中に組み込まれるように設計されています。3つともApache 2.0ライセンスです。

2026年10月22日時点で、3つの状況は大きく異なります。ACPはベータ版と表示され、最新リリースは2026-04-17で、7月17日以降はコミットがありません。主な利用者であるChatGPTは3月に単独のチェックアウト機能から離れ、現在は主に商品データを受け取るためにACPを使っています。UCPは8月に互換性のない変更を含むバージョン2026-08-25を公開しましたが、Google自身のサービスではまだ2026-04-08が動いており、そのチェックアウトは米国のみの早期アクセスです。AP2はv0.2の段階で、AP2の利用を記載しているGoogle製品はありません。

この記事は、何を実装するかを決めようとしているストアやコマースプラットフォームのCTOとリード開発者に向けたものです。各AIプラットフォームがビジネスとしてのストアに何を求めているかについては、まず当社のエージェンティックコマースの概要をお読みください。

3つを並べて比較

ACP：Agentic Commerce Protocol

ガバナンスとバージョン

仕様のリポジトリによれば、ACPはOpenAIとStripeがメンテナンスしており、ベータ版と表示されています。ガバナンス文書は両社を創設メンテナーと定めています。両社は運営委員会の席（最大7席）を任命し、「最終手段として」使う拒否権を保持します。Metaは2026年4月24日、3社目のリードメンテナー兼委員会メンバーとして加わりました。StripeのドキュメントはACPを「Stripe、OpenAI、Metaが作成した」としていますが、リポジトリのNOTICEファイルにはOpenAIとStripeしか記載されていません。中立的な財団への移行は、将来の道筋として示されているにすぎません。

日付の付いたリリースは5つあります。2025-09-29（チェックアウトと委任型決済）、2025-12-12（URBNとEtsyのアダプターから得た知見に基づく互換性のない変更）、2026-01-16（販売事業者が選ぶ3DSプロバイダー）、2026-01-30（ケイパビリティのネゴシエーション、拡張機能、互換性のない支払いハンドラーのフレームワーク）、そして2026-04-17（カート、フィード、注文、委任型認証、ディスカバリー、MCP）で、この最後のリリースで2026-01-30は非推奨になりました。それから6か月、新しいリリースはありません。unreleased/フォルダーには、フィード更新のIDやチェックアウト項目の任意の商品URLなど、7月17日までの日付の小さな変更が入っています。

2026-04-17で販売事業者が実装するもの

チェックアウトAPIは販売事業者がホストし、エージェントが呼び出します。

• POST /checkout_sessionsでセッションを作成し、POST /checkout_sessions/{checkout_session_id}で更新し（PUTではなくPOST）、同じパスへのGETで取得し、.../completeと.../cancelで終了します。
• リクエストにはBearer APIキーと、必須のAPI-Versionヘッダーを付けます。2026-04-17以降、すべてのPOSTでIdempotency-Keyが必須になり、エラーも定義されています。400 idempotency_key_required、409 idempotency_in_flight、422 idempotency_conflictです。
• 作成リクエストにはcapabilitiesオブジェクトが含まれます。エージェントが対応する機能を宣言し、販売事業者がその共通部分を返すので、互換性のなさは支払いの前に判明します。
• 販売事業者は、OpenAIが/agentic_checkout/webhooks/order_eventsでホストする受信先に注文イベントをPOSTし、Merchant-SignatureヘッダーにHMAC-SHA256で署名します。ステータスはcreatedからdeliveredまたはcanceledまで進み、adjustments[]には返金、返品、ディスピュート、チャージバックが入ります。

2026-04-17のリリースでは、静的で公開の/.well-known/acp.jsonも追加されました。そのtransportsフィールドで、ストアがrest、mcp、またはその両方に対応しているかを示します。Streamable HTTP上のMCPバインディングも追加され、5つのツール（create_checkout_session、get_checkout_session、update_checkout_session、complete_checkout_session、cancel_checkout_session）を備え、認証はリクエストごとではなくサーバーの設定で行います。さらに、エージェントがホストして販売事業者がプッシュするFeed API（POST /feeds、PATCH /feeds/{id}/products）、支払いデータを持たない単一販売事業者のカート（POST /carts、PUT /carts/{id}）、委任型の3DS2認証（POST /delegate_authentication）が加わりました。サブスクリプションはありません。拡張機能のRFCはsubscriptionを「定期課金のサポート（将来）」として挙げています。

ACPでの決済の仕組み

ACPの当初の答えは委任型決済です。PSPまたはカード情報の保管庫（カードボールト）がPOST /agentic_commerce/delegate_paymentを実装し、カード（唯一のクレデンシャルの種類）を、販売事業者のPSPが許可された範囲内でのみ使えるトークンに変えます。その範囲を決めるのはreason（one_timeのみ）、max_amount、currency、checkout_session_id、merchant_id、expires_atです。RFCの表現では、「支払い、精算、コンプライアンスは引き続き販売事業者のレール上で行われる」とされています。WorldpayはこのAPI呼び出しの独自版を文書化しており、PayPalはBraintreeの委任トークンを通じてACPに対応しています。

2026-01-30以降、受け付ける支払い方法はcapabilities.payment.handlersの下にハンドラーとして宣言します。変更履歴に載っている支払いデータの例は次のとおりです。

{ "handler_id": "card_tokenized", "instrument": { "type": "card", "credential": { "type": "spt", "token": "spt_123" } } }

sptはStripeのShared Payment Tokenで、「米国、カナダ、一部の欧州諸国で」利用できます。Stripeを使う販売事業者は、プレビュー版のAPIバージョンでpayment_method_data[shared_payment_granted_token]を使って請求します。Stripe以外のプロセッサーを使う販売事業者は、1回に限りネットワークのクレデンシャルに変換できます。誰がリスクを負うかは、当社のエージェント決済の記事で解説しています。

OpenAIの3月の方針転換で変わったこと

2026年3月24日、OpenAIは「Instant Checkoutの初期バージョンは、当社が目指す水準の柔軟性を提供できていなかった」と書き、販売事業者が自社のチェックアウトを使えるようにしたうえで、「ACPを拡張し、商品の発見の全過程で販売事業者とユーザーをつなぐ層にする」と述べました。Target、Sephora、Nordstrom、Lowe's、Best Buy、The Home Depot、Wayfairが商品の発見のためにACPを連携済みで、ShopifyのカタログはShopify Catalog経由で届きます。開発者にとっての意味は次のとおりです。

• 稼働しているのはフィードです。OpenAIの販売事業者向けページによれば、購入は「販売事業者が所有するウェブサイトまたはアプリで完了する」もので、ショッピングは米国のユーザー向けに提供されています。フィードのオンボーディングは、ウェイトリストを経て承認されたパートナーが対象です。SFTPで毎日送る全件ファイル（9つの必須フィールド）、日中のAPIによる更新、そしてAPIでのみ送るプロモーションです。標準のアップロードは「現在は米国を対象としている」とされています。
• チェックアウトは別の関門です。フィードの仕様には、チェックアウトには「別途有効化される連携が必要」とあります。ChatGPTアプリの場合、一般提供されている経路は、開発者自身のドメインでの外部チェックアウトです。チャット内の支払いシートは「一部のマーケットプレイスに限定された」プライベートベータ版で、complete_checkoutのツール呼び出しで支払いトークンをアプリのMCPサーバーに渡します。
• OpenAIのページは仕様に追いついていません。チェックアウトのリファレンスには、いまだにAPI-Versionの2025-09-12と、stripe、adyen、braintreeからなるproviderのenumが載っています。リポジトリに合わせて構築し、どのバージョンを受け付けるかをOpenAIに確認してください。

Instant Checkoutを現役のサービスとして紹介しているPSPのページは、情報が古くなっています。

UCP：Universal Commerce Protocol

ガバナンスとバージョン

Googleは2026年1月11日、Shopify、Etsy、Wayfair、Target、Walmartと共同開発したUCPを公開しました。ガバナンスの規則は、GoogleとShopifyにGoverning Councilでの常任の議決権を1票ずつ与えています。このGoverning Councilには2026年4月28日にStripeが加わりました。規則にはまた、「Googleは2028年12月まで、すべての空席の代理議決権を持つ」とあります。4月24日にはShopping Tech Councilが16席に拡大してAmazon、Meta、Microsoft、Salesforce、Stripeが加わったため、MetaとStripeは現在、ACPの委員会とUCPの評議会の両方に席を持っています。

リポジトリには4つのリリースがあります。2026-04-08では、カートとカタログのケイパビリティ、リクエストとレスポンスの署名、Get Orderが追加されました。2026-08-25には互換性のない変更があります。signing_keys[]はkeys[]内のJWK Setに置き換えられ、支払いの拡張はdev.ucp.shopping.*からdev.ucp.common.payment.*に移り、共有スキーマは場所が変わって$idのURLも変わり、PANとネットワークトークンは別々のクレデンシャルの種類になりました。ベンダーに依存しない3DS2、スプリットペイメント（split payments）、支払条件、Web Bot Authとの相互運用性も追加されています。

ここに落とし穴があります。Googleのプロファイルガイドが扱っているのは2026-04-08と2026-01-23だけで、ucp.googにあるGoogle自身のエージェントのプロファイルは"version": "2026-04-08"と宣言しており、Salesforce B2C Commerce 26.9も同じ2つのバージョンを提供しています。一方、ShopifyのCheckout MCPは2026-08-25にリンクしています。最新のリリースに合わせて構築すると、Googleが文書化していないバージョンを作ることになります。仕様が用意している答えはsupported_versionsオブジェクトで、古いバージョンごとにそれぞれのプロファイルのURIを対応づけます。

ディスカバリー、トランスポート、認証

すべての販売事業者は、ucp.version、ucp.services、ucp.payment_handlersを含むプロファイルを/.well-known/ucpで公開し、Googleはこれを認証なしで誰でも見られる状態にすることを求めています。エージェント側のプラットフォームもプロファイルを公開し、すべてのリクエストは、最低でもTLS 1.3のHTTPS上で、そのURIをUCP-Agentヘッダーに入れて送られます。認証方式は販売事業者が選びます。認証なし、X-API-Key、OAuth 2.0、相互TLS、RFC 9421のHTTP Message Signaturesのいずれかです。GoogleはBearerトークンを送り、FAQではmTLSも選べるとしています。Idempotency-Keyは「SHOULD」（推奨）にすぎません。これを受け付けるサーバーは少なくとも24時間保持し、異なるリクエストボディで再利用された場合は409を返します。

中心となるトランスポートはRESTで、ほかにMCP、A2A拡張、continue_urlから入る埋め込みモードがあります。注文は、GET /orders/{id}と、RFC 9421に従って署名される販売事業者からプラットフォームへのWebhookで扱います。カートのパスはACPと同じです。チェックアウトの操作は似ていますが、互換性はありません。

1つのチェックアウトの中核部分で両方に対応することはできますが、1つのルーティングテーブルではできません。

UCPでの決済の仕組み

UCPはお金を動かしません。支払いハンドラーは、Google Pay向けのcom.google.payやShop Pay向けのdev.shopify.shop_payのように、クレデンシャル提供者が書いた仕様です。販売事業者は受け付けるハンドラーを列挙し、プラットフォームがそのうち1つを実行します。completeの時点で、販売事業者は中身の見えないトークンを受け取り、自社のPSPを通じて請求します。

Googleのサービスでは、ハンドラーはGoogle Payだけで、使われる認証方式はPAN_ONLYだけです。そして御社のPSPは「当社のトークンを処理できなければならない」とされています。StripeはカードとApple Pay向けにcom.stripe.paymentsを公開しており、「エージェントはComplete Checkoutリクエストでshared payment token（SPT）を送り、販売事業者がそれに請求する」と説明しています。Google Payは独自のハンドラーのままです。PayPalは、BraintreeまたはOrders v2 APIを通じてGoogle Payのハンドラーを受け付けます。

Googleが御社を呼び出す前に求めること

GoogleのネイティブチェックアウトのガイドはRESTのチェックアウトAPIを求め、支払いの手順はGoogleの側に残します。買い物客が機密情報を入力するのは「GoogleのUIでのみ」です。サービスレベルは、各エンドポイントで95%以上の可用性と、p50とp95のレイテンシで作成が1秒と4秒、更新が1秒と5秒、完了が6秒と10秒です。注文の後は、オンボーディング時に発行されるパートナーIDとキーを使って、GoogleのWebhookにステータスの更新をプッシュします。Merchant Centerでは、各商品でnative_commerce(checkout_eligibility)をtrueに設定する必要があり（「デフォルトではFALSE」）、返品ポリシーとサポートの連絡先が必須で、サブスクリプション、分割払い、パーソナライズ商品、中古品と整備済み品、予約注文、年齢制限のある商品は対象外です。

2026-04-08以降は、より軽い選択肢としてカート転送があります。実装するのはカートの作成だけで、Googleがカートを御社のサイトに引き渡すので、支払いハンドラーも注文のWebhookも必要ありません。

本当の制約は参加資格です。チェックアウトは早期アクセスの参加希望フォームを通じて「一部の販売事業者が利用できる」もので、フォームでは30日以内に着手することを約束し、進捗がなければアクセスが「取り消される場合がある」ことを受け入れます。UCP Checkoutの規約は「米国にのみ」適用されます。Merchant Centerのハブはオーストラリアとカナダで「来年初め」に続く予定で、それ以外の国についてGoogleはチェックアウトの日付を示していません。

Google以外でのUCP

Microsoft Merchant Centerは2026年4月21日から米国でUCP対応フィードを受け付けています。Copilot CheckoutにはUCPに準拠したフィードが必要で、対象は米国の購入者にドル建てで販売する英語の販売事業者、PSPは販売事業者ごとに1社です。ストアの設定には「一部の顧客に限ったパイロットのみ」と記されています。Shopifyは https://{shop}/api/ucp/mcp でMCP経由でUCPを公開しており、以前のカタログとカートのツールは廃止しました。宿泊予約のケイパビリティは2026年9月24日にドラフトとしてマージされましたが、どのリリースにも含まれていません。

AP2：Agent Payments Protocol

AP2は、チェックアウトの3つ目の方法ではありません。仕様には、AP2は「コマースプロトコルの中でセキュリティ機能として動作する」もので、「Universal Commerce Protocol（UCP）と互換性を持つよう明示的に設計されている」とあります。バージョン0.1.0は2025年9月16日に、v0.2は2026年4月28日に公開されました。この日、GoogleはAP2をFIDO Allianceに寄贈しました。FIDOの発表は、Agentic Authenticationワーキンググループと、MastercardとVisaのメンバーが議長を務めるPaymentsワーキンググループを挙げ、寄贈された内容は「レビューされ、さらに発展させられる」としています。FIDOはAP2の仕様を公開していません。GitHubのリポジトリは現在、サンプルとSDKの変更しか受け付けておらず、最後のコミットは4月29日でした。

バージョン0.2は、Checkout Mandate（何を購入するか）とPayment Mandate（支払い。payment.amount_range、payment.budget、payment.allowed_payeesなどの制約を伴う）を定めています。どちらもSD-JWTで、クローズドな形式とオープンな形式があります（たとえばmandate.payment.1とmandate.payment.open.1）。Human Presentモードでは、ユーザーがクローズドなマンデートを承認します。Human Not Presentモードでは、ユーザーは制約を定めるオープンなマンデートを承認し、そこにはcnfクレームでエージェントの公開鍵が含まれます。エージェントはその範囲内でクローズドなマンデートを組み立てます。Intent MandateやCart Mandateを扱うチュートリアルはv0.1の説明であり、これらの用語はv0.2ではなくなっています。

UCPの中では、AP2は拡張dev.ucp.common.payment.ap2_mandateです（2026-08-25より前はdev.ucp.shopping.ap2_mandate）。ネゴシエーションが成立すると、販売事業者はチェックアウトのレスポンスに署名し、プラットフォームはcompleteでcheckout_mandateとpayment_mandateを提示し、セッションは「Security Locked」の状態になります。どちらの側も、通常のチェックアウトに戻ることはできません。

今のところ、AP2を求めているところはありません。GoogleのFAQはAP2を「自律的なAIエージェントによる取引を伴う将来のシナリオで特に有用」としています。Google自身のエージェントのプロファイルは、支払いハンドラーとしてGoogle Payだけを挙げてAP2のケイパビリティは宣言しておらず、その2026-08-25のプロファイルにもAP2の項目はありません。AP2の利用を記載しているGoogle製品はないので、プラットフォームがAP2をネゴシエートしてくるまで、販売事業者が構築するものはありません。

隣接するプロトコル

MCP

ACPもUCPもMCP上で動かせます。MCPの現行仕様である2026-07-28は、セッションとMcp-Session-Idヘッダーを廃止し、initializeハンドシェイクをなくし、server/discoverを必須とし、ストリームが切れたときにはクライアントが新しいIDでリクエストを出し直すようにしています。ACPのバインディングは、いまだに2025-11-25のトランスポートにリンクしています。チェックアウトセッションのIDは、まさに新しい仕様が想定する、サーバーが発行するハンドルです。そしてストリームの途中で失われたcompleteは、新しいリクエストとして戻ってきます。どちらのプロトコルでも、冪等キーは必須として扱ってください。

WebMCP

WebMCPは、ページ自身の機能をブラウザのエージェントに公開するためのWeb標準の提案です。ShopifyはUCPのチェックアウトを、同じチェックアウトオブジェクトでCheckout MCPとしてもCheckout WebMCPとしても提供しており、Checkout MCPを推奨しています。WebMCPの現状は、当社のWebMCPガイドで解説しています。

x402とMPP

x402と、TempoとStripeが設計したMachine Payments Protocolは、API、データ、コンテンツに対してHTTPリクエストごとにエージェントに課金するものです。ストアのチェックアウトのプロトコルではありません。当社のx402の記事をご覧ください。

Visa Trusted Agent ProtocolとMastercard Agent Pay

これらはACPやUCPに取って代わるものではなく、その横に並ぶものです。VisaのTrusted Agent Protocolは、エージェントが加盟店に対して自らの身元と権限を証明するための「標準化された暗号学的な方法」を提供し、Mastercard Agent Payはエージェンティックコマース向けのトークン化プログラムです。Mastercardの加盟店向けガイドは、UCPとACPを最も高い準備レベルに位置づけ、「アーリーアダプターが現在連携を進めている」と記したうえで、より簡単な2つのレベルから始めるよう加盟店に勧めています。両プログラムについては、当社のエージェント決済の記事で解説しています。

Personal Agent Protocol

Sierraは、2026年10月6日にMetaとともにPersonal Agent Protocol（「Poppy」）を発表したと述べており、10月9日にドラフトを公開しました。企業は/.well-known/poppy.jsonにファイルを1つ公開します。このプロトコルはOAuth、JWT、HTTPS、OpenAPI、MCPを使い、パーソナルエージェントが自らを名乗って、あらゆる種類のタスクについて顧客の許可を得られるようにするもので、SierraはUCPを補完するものだとしています。プロトコルのサイトはバージョン0.2を示し、「これはドラフトである」と書いています。Meta自身のニュースルームには、これに関する投稿は見当たりませんでした。

どれが必要か

Shopifyの場合

構築するものはありません。Shopifyのエージェンティックストアフロントは「対象となるストアではデフォルトで有効」です。ChatGPTはShopify Catalog経由で御社のカタログを受け取り、買い物客を御社のストアに送ります。Googleのダイレクトチェックアウトは、米国を拠点とし米国に販売するストアではデフォルトで有効で、CopilotはShopifyの販売事業者を自動的に登録しました。御社が判断するのは、商品データと、ダイレクトチェックアウトを有効のままにするかどうかです。その際は、Googleのダイレクトチェックアウトではカスタムピクセルが発火しないことを踏まえてください。

Salesforce、commercetools、その他のプラットフォームの場合

Salesforce B2C Commerce 26.9は、UCPの2026-01-23と2026-04-08を提供しています。supported_versionsのマップを含む/.well-known/ucpと、SLASトークンで保護されたチェックアウトセッションのエンドポイントです。Salesforceは、Google上のUCPチェックアウトを2026年10月に一般提供としています。セッションはバスケットのヘッドレスなビューであり、Salesforceの監査ガイドは、SFRAとSiteGenesisのコントローラー、そして「現在使っているほかのSCAPIリソースは、このフローでは実行されない」と警告しています。そのため、それらに紐づくロジックは、UCPのチェックアウトセッションのフックにコピーするか橋渡しする必要があります。フィードはen-USを対象にしなければならず、Salesforceは「Googleのウェイトリストを飛ばすわけではない」としています。ChatGPTについては、Salesforceは、OpenAIがACPフィードの配信経路として挙げているものの1つです。

commercetoolsやその他のプラットフォームを使っている場合は、ベンダーに次の点を確認してください。どのUCPのバージョンとケイパビリティを提供しているか、御社のフックのうちどれがエージェントのチェックアウトで実行されるか、そしてOpenAIにフィードを送っているかです。

自社ソフトウェアの場合

1. まずフィード。Google Merchant Centerと、OpenAIに受け入れられたらOpenAIの商品フィードです。現在ChatGPTでACPが商用に使われているのは、まさにこの部分です。
2. 米国で販売していてGoogleに受け入れられたら、Google向けにUCP。2026-04-08に合わせて構築します。com.google.payを含むプロファイル、Googleのレイテンシ目標を満たすチェックアウトの操作、Google Payのトークンを処理できるPSP、注文のWebhook、フィードの属性です。あるいは、カート転送だけから始めます。
3. ACPのチェックアウトは理由がある場合のみ。たとえば、ChatGPTアプリが支払いシートのベータ版に受け入れられた場合です。リポジトリの2026-04-17に合わせて構築します。
4. AP2は、まだ何もしなくてよい。
5. チェックアウトの中核は1つに。どちらのプロトコルも、APIで作成、更新、完了、キャンセルができ、安全に再試行できるセッションを求めます。これを御社の注文、税、決済のロジックの上に一度だけ構築し、その上に薄いACPとUCPのアダプターを載せ、エージェントが必要とするところではMCPを使います。

現時点では、どちらのプロトコルも、サブスクリプション事業にエージェント向けのネイティブチェックアウトを提供していません。

米国外でのみ販売している場合

現時点では、3つのどれもエージェントによるチェックアウトを提供してくれません。ChatGPTのショッピングとOpenAIの標準のフィードアップロードは米国向け、GoogleのUCP Checkoutの規約は米国のみ、Copilot Checkoutは米国の購入者にドル建てで提供されます。Googleが発表している次の段階は、「来年初め」のオーストラリアとカナダでのMerchant Centerのハブで、英国とEUについては日付がありません。

Merchant Centerのフィードを完全な状態に保ち、どのみちチェックアウトを作り直すのであれば、前述のAPI駆動の中核部分を構築してください。そうすれば、御社の市場が開放されたときに、アダプターの作成は小さな作業で済みます。海外から米国に販売していますか。各プログラムが販売事業者の所在地をどこに求めているかを確認してください。たとえば、ShopifyのGoogleダイレクトチェックアウトには米国のストアが必要です。

ご相談先

当社は、Shopifyを使っていないストアのためにプロトコル層を構築しています。御社の既存の注文、税、決済のロジックの上に載せる/.well-known/ucpプロファイルとチェックアウトセッションのエンドポイント、Googleへの注文のWebhook、Google Merchant CenterとOpenAI向けの商品フィード、そして同じチェックアウトをエージェントに公開するMCPサーバーです。こうした作業はAIエージェント開発とMCPサーバー構築サービスから始まります。

お使いのプラットフォーム、決済事業者、販売先の国を添えて、office@c9group.devまでご連絡ください。どのプロトコルが当てはまり、実装に何が必要かをお伝えします。GoogleとOpenAIのプログラムの規約は契約です。当社はエンジニアであって弁護士ではないため、署名の前に専門家に読んでもらってください。