ACP, UCP en AP2 vergeleken: de protocollen voor agentic commerce in oktober 2026, en welk protocol uw webwinkel nodig heeft

Drie open protocollen beschrijven nu hoe een AI-agent bij een webwinkel koopt. Het Agentic Commerce Protocol (ACP) komt van OpenAI en Stripe. Het Universal Commerce Protocol (UCP) komt van Google en Shopify. Het Agent Payments Protocol (AP2), dat Google begon en in april aan de FIDO Alliance schonk, is helemaal geen checkoutprotocol: het definieert een ondertekend bewijs dat een gebruiker een betaling heeft geautoriseerd, en is ontworpen om binnen UCP te werken. Alle drie vallen onder de licentie Apache 2.0.

Op 22 oktober 2026 staan ze er heel verschillend voor. ACP draagt het label bèta, de laatste release is 2026-04-17, en sinds 17 juli is er niets meer aan toegevoegd. ChatGPT, de belangrijkste gebruiker, stapte in maart af van een eigen checkout en gebruikt ACP nu vooral om productgegevens te ontvangen. UCP publiceerde in augustus een versie met breaking changes, 2026-08-25, terwijl de eigen diensten van Google nog op 2026-04-08 draaien en de checkout van Google in early access is, alleen in de VS. AP2 staat op v0.2, en geen enkel product van Google documenteert dat het AP2 gebruikt.

Dit artikel is bedoeld voor CTO's en lead developers van webwinkels en commerceplatforms die moeten bepalen wat ze implementeren. Wat elk AI-platform zakelijk van een webwinkel vraagt, leest u in ons overzicht van agentic commerce.

Naast elkaar

ACP: het Agentic Commerce Protocol

Governance en versies

De specificatierepository zegt dat ACP wordt onderhouden door OpenAI en Stripe, en geeft het protocol het label bèta. Het governancedocument maakt van die twee de Founding Maintainers: zij benoemen de zetels van het stuurcomité (maximaal zeven) en houden een veto dat ze “als laatste redmiddel” kunnen gebruiken. Meta trad op 24 april 2026 toe als derde lead maintainer en lid van het comité. De documentatie van Stripe noemt ACP “gemaakt door Stripe, OpenAI en Meta”, maar het notice-bestand van de repository noemt alleen OpenAI en Stripe. Een neutrale stichting wordt alleen genoemd als mogelijke stap in de toekomst.

Er zijn vijf releases met een datum: 2025-09-29 (checkout en gedelegeerde betaling), 2025-12-12 (breaking changes op basis van de ervaringen met de adapters van URBN en Etsy), 2026-01-16 (een 3DS-provider naar keuze van de handelaar), 2026-01-30 (onderhandeling over capabilities, extensies en een framework voor payment handlers met breaking changes) en 2026-04-17 (winkelwagen, feed, bestellingen, gedelegeerde authenticatie, discovery en MCP), waarmee 2026-01-30 als verouderd werd gemarkeerd. In de zes maanden daarna is er niets meer uitgebracht. De map unreleased/ bevat kleinere wijzigingen met data tot 17 juli, zoals een ID voor feedupdates en een optionele product-URL bij artikelen in de checkout.

Wat een handelaar implementeert in 2026-04-17

De checkout-API wordt gehost door de handelaar en aangeroepen door de agent:

• POST /checkout_sessions maakt een sessie aan, POST /checkout_sessions/{checkout_session_id} werkt die bij (een POST, geen PUT), GET op dat pad haalt die op, en .../complete en .../cancel beëindigen die.
• Verzoeken bevatten een bearer-API-sleutel en een verplichte header API-Version. Sinds 2026-04-17 is een Idempotency-Key verplicht bij elke POST, met vastgelegde foutcodes: 400 idempotency_key_required, 409 idempotency_in_flight en 422 idempotency_conflict.
• Het aanmaakverzoek bevat een object capabilities. De agent geeft aan wat hij ondersteunt en de verkoper geeft de overlap terug, zodat een incompatibiliteit al vóór de betaling aan het licht komt.
• De handelaar stuurt orderevents met POST naar een ontvanger die OpenAI host op /agentic_checkout/webhooks/order_events, ondertekend met HMAC-SHA256 in een header Merchant-Signature. De statussen lopen van created tot delivered of canceled, en adjustments[] bevat terugbetalingen, retouren, betwistingen en chargebacks.

De release 2026-04-17 voegde ook een statisch, openbaar /.well-known/acp.json toe, waarvan het veld transports aangeeft of de webwinkel rest, mcp of beide spreekt. Er kwam een MCP-binding over Streamable HTTP bij, met vijf tools (create_checkout_session, get_checkout_session, update_checkout_session, complete_checkout_session, cancel_checkout_session), geauthenticeerd in de serverconfiguratie in plaats van per verzoek. En er kwamen een Feed API bij die de agent host en waar de handelaar naartoe pusht (POST /feeds, PATCH /feeds/{id}/products), een winkelwagen voor één verkoper zonder betaalgegevens (POST /carts, PUT /carts/{id}), en gedelegeerde 3DS2-authenticatie (POST /delegate_authentication). Abonnementen zijn er niet: de RFC over extensies noemt subscription als “ondersteuning voor terugkerende facturering (toekomst)”.

Hoe betaling werkt in ACP

Het oorspronkelijke antwoord van ACP is gedelegeerde betaling. De PSP of de kaartkluis implementeert POST /agentic_commerce/delegate_payment, dat een kaart (het enige type betaalgegevens) omzet in een token dat de PSP van de handelaar alleen binnen een limiet mag gebruiken: reason (alleen one_time), max_amount, currency, checkout_session_id, merchant_id en expires_at. In de woorden van de RFC: “Betalingen, afwikkeling en compliance blijven op de infrastructuur van de handelaar.” Worldpay documenteert een eigen versie van de aanroep, en PayPal ondersteunt ACP via gedelegeerde tokens in Braintree.

Sinds 2026-01-30 worden geaccepteerde betaalmethoden gedeclareerd als handlers onder capabilities.payment.handlers. Het voorbeeld van betaalgegevens in de changelog:

{ "handler_id": "card_tokenized", "instrument": { "type": "card", "credential": { "type": "spt", "token": "spt_123" } } }

De spt is het Shared Payment Token van Stripe, beschikbaar “in de VS, Canada en geselecteerde Europese landen”. Een verkoper op Stripe int het met payment_method_data[shared_payment_granted_token] op een preview-versie van de API; een verkoper bij een andere betaalverwerker kan het één keer omzetten in betaalgegevens van het kaartnetwerk. Ons artikel over agentic payments behandelt wie het risico draagt.

Wat de stap van OpenAI in maart veranderde

Op 24 maart 2026 schreef OpenAI: “de eerste versie van Instant Checkout bood niet de mate van flexibiliteit die wij willen bieden”. Het liet handelaren hun eigen checkouts gebruiken en zei dat het “ACP uitbreidt tot de verbindende laag tussen handelaren en gebruikers, in het hele traject van de vindbaarheid van producten.” Target, Sephora, Nordstrom, Lowe's, Best Buy, The Home Depot en Wayfair hadden ACP voor vindbaarheid geïntegreerd, en catalogi van Shopify komen binnen via Shopify Catalog. Wat dat betekent voor een ontwikkelaar:

• De feed is het deel dat live is. De pagina voor handelaren van OpenAI zegt dat aankopen “worden afgerond op websites of apps van de handelaar zelf” en dat winkelen live is voor gebruikers in de VS. Onboarding van feeds staat open voor goedgekeurde partners van een wachtlijst: dagelijks een volledig bestand via SFTP met negen verplichte velden, API-updates in de loop van de dag, promoties alleen via de API. De standaardupload “richt zich momenteel op de VS”.
• De checkout vraagt een aparte toelating. De feedspecificatie zegt dat de checkout “een apart ingeschakelde integratie vereist”. Voor ChatGPT-apps is de algemeen beschikbare route een externe checkout op het eigen domein van de ontwikkelaar. Het betaalscherm in de chat is een besloten bèta, “beperkt tot geselecteerde marketplaces”, die een betaaltoken doorgeeft aan de MCP-server van de app in een toolaanroep complete_checkout.
• De pagina's van OpenAI lopen achter op de specificatie. De checkoutreferentie toont nog API-Version 2025-09-12 en een enum provider met stripe, adyen en braintree. Bouw volgens de repository en vraag OpenAI welke versie het accepteert.

Pagina's van PSP's die Instant Checkout nog als live presenteren, zijn verouderd.

UCP: het Universal Commerce Protocol

Governance en versies

Google lanceerde UCP op 11 januari 2026, samen ontwikkeld met Shopify, Etsy, Wayfair, Target en Walmart. De governanceregels geven Google en Shopify elk één permanente stem in de Governing Council, waar Stripe op 28 april 2026 bij kwam, en stellen: “Google heeft tot dec. 2028 de volmachtstem voor alle vacante zetels”. Op 24 april groeide de Shopping Tech Council tot 16 zetels, met Amazon, Meta, Microsoft, Salesforce en Stripe erbij, zodat Meta en Stripe nu zowel in het comité van ACP als in de council van UCP zitten.

De repository telt vier releases. 2026-04-08 voegde capabilities voor winkelwagen en catalogus toe, ondertekening van verzoeken en antwoorden, en Get Order. 2026-08-25 bevat breaking changes: signing_keys[] maakte plaats voor een JWK Set in keys[], payment-extensies verhuisden van dev.ucp.shopping.* naar dev.ucp.common.payment.*, gedeelde schema's verhuisden en kregen andere $id-URL's, en PAN-tokens en netwerktokens werden aparte typen betaalgegevens. De release voegde ook leverancieronafhankelijke 3DS2 toe, gesplitste betalingen, betalingsvoorwaarden en interoperabiliteit met Web Bot Auth.

Hier zit de valkuil. De profielhandleiding van Google behandelt alleen 2026-04-08 en 2026-01-23, het eigen agentprofiel van Google op ucp.goog declareert "version": "2026-04-08", en Salesforce B2C Commerce 26.9 bedient dezelfde twee versies. Het Checkout MCP van Shopify linkt intussen naar 2026-08-25. Bouwt u naar de nieuwste release, dan bouwt u een versie die Google niet documenteert. Het antwoord van de specificatie is een object supported_versions dat elke oudere versie aan een eigen profiel-URI koppelt.

Discovery, transportlagen en authenticatie

Elk bedrijf publiceert een profiel op /.well-known/ucp met ucp.version, ucp.services en ucp.payment_handlers, en Google eist dat het openbaar is en zonder authenticatie bereikbaar. Het platform van de agent publiceert er ook een, en elk verzoek draagt de URI daarvan in een header UCP-Agent, over HTTPS met minimaal TLS 1.3. Authenticatie is de keuze van het bedrijf: geen, X-API-Key, OAuth 2.0, mutual TLS of HTTP Message Signatures volgens RFC 9421. Google stuurt een bearer token, en de FAQ van Google biedt ook mTLS aan. Een Idempotency-Key is alleen een “SHOULD”; een server die er een accepteert, bewaart die minstens 24 uur en antwoordt met 409 wanneer de sleutel opnieuw wordt gebruikt met een andere body.

REST is het kerntransport, naast MCP, een A2A-extensie en een ingebedde modus die via een continue_url wordt bereikt. Bestellingen zijn een GET /orders/{id} plus een webhook van bedrijf naar platform, ondertekend volgens RFC 9421. De paden voor de winkelwagen zijn dezelfde als die van ACP. De checkoutoperaties lijken op elkaar, maar zijn niet uitwisselbaar:

Eén checkoutkern kan beide bedienen. Eén routetabel niet.

Hoe betaling werkt in UCP

UCP verplaatst geen geld. Een payment handler is een specificatie die een aanbieder van betaalgegevens schrijft, zoals com.google.pay voor Google Pay of dev.shopify.shop_pay voor Shop Pay. Het bedrijf somt de handlers op die het accepteert, het platform voert er een uit, en bij complete ontvangt het bedrijf een ondoorzichtig token dat het via zijn eigen PSP int.

Op de diensten van Google is Google Pay de enige handler, is PAN_ONLY de enige authenticatiemethode die wordt gebruikt, en moet uw PSP “onze tokens kunnen verwerken”. Stripe publiceert com.stripe.payments voor kaarten en Apple Pay: “De agent stuurt een shared payment token (SPT) mee in het verzoek Complete Checkout, en de verkoper int het.” Google Pay blijft op zijn eigen handler. PayPal ondersteunt de handler van Google Pay via Braintree of via zijn Orders v2-API.

Wat Google eist voordat het u aanroept

De handleiding voor native checkout van Google vraagt om de REST-API voor de checkout en houdt de betaalstap in eigen hand: de shopper voert gevoelige gegevens “alleen in de interface van Google” in. De serviceniveaus zijn minstens 95% beschikbaarheid per endpoint, met een p50- en p95-latentie van 1 en 4 seconden voor aanmaken, 1 en 5 voor bijwerken, en 6 en 10 voor afronden. Na een bestelling pusht u statusupdates naar een webhook van Google, met een partner-ID en een sleutel die u bij de onboarding krijgt. In Merchant Center moet bij elk product native_commerce(checkout_eligibility) op true staan (het attribuut “staat standaard op FALSE”), zijn een retourbeleid en een contactpunt voor support verplicht, en zijn abonnementen, betaling in termijnen, gepersonaliseerde, gebruikte en refurbished artikelen, voorbestellingen en producten met een leeftijdsgrens uitgesloten.

De lichtere optie, sinds 2026-04-08, is winkelwagenoverdracht (cart transfer): u implementeert alleen het aanmaken van een winkelwagen, Google geeft de winkelwagen door aan uw site, en er is geen payment handler of orderwebhook nodig.

Toegang is de echte beperking. De checkout is “beschikbaar voor geselecteerde handelaren” via een interesseformulier voor early access, waarop u zich verplicht binnen 30 dagen te beginnen en accepteert dat de toegang “kan worden ingetrokken” als u geen voortgang boekt. De voorwaarden voor UCP Checkout gelden “alleen voor de Verenigde Staten”. De Merchant Center-hub volgt in Australië en Canada “begin volgend jaar”; Google noemt voor geen enkel ander land een datum voor de checkout.

UCP buiten Google

Microsoft Merchant Center accepteert sinds 21 april 2026 UCP-geschikte feeds in de VS. Copilot Checkout vereist een feed die aan UCP voldoet, staat open voor Engelstalige handelaren die in dollars aan Amerikaanse kopers verkopen, met elk één PSP, en de instelling voor de webwinkel is gemarkeerd als “alleen een pilot, voor geselecteerde klanten”. Shopify biedt UCP aan via MCP op https://{shop}/api/ucp/mcp en heeft zijn oudere tools voor catalogus en winkelwagen verwijderd. Een capability voor het boeken van accommodaties werd op 24 september 2026 als draft samengevoegd en zit in geen enkele release.

AP2: het Agent Payments Protocol

AP2 is geen derde manier om af te rekenen. De specificatie zegt dat het “werkt als beveiligingsfunctie binnen een commerceprotocol” en “uitdrukkelijk is ontworpen om compatibel te zijn met het Universal Commerce Protocol (UCP)”. Versie 0.1.0 verscheen op 16 september 2025 en v0.2 op 28 april 2026, de dag waarop Google AP2 schonk aan de FIDO Alliance. De aankondiging van FIDO noemt een werkgroep Agentic Authentication en een werkgroep Payments, voorgezeten door leden van Mastercard en Visa, en zegt dat de bijdragen “zullen worden beoordeeld en verder ontwikkeld”. FIDO heeft geen AP2-specificatie gepubliceerd. De GitHub-repository neemt nu alleen nog voorbeelden en SDK-wijzigingen aan, en de laatste commit was op 29 april.

Versie 0.2 definieert een Checkout Mandate (wat er wordt gekocht) en een Payment Mandate (de betaling, met beperkingen zoals payment.amount_range, payment.budget en payment.allowed_payees). Elk mandaat is een SD-JWT in een gesloten en een open vorm (bijvoorbeeld mandate.payment.1 en mandate.payment.open.1). In de modus Human Present keurt de gebruiker de gesloten mandaten goed. In de modus Human Not Present keurt de gebruiker open mandaten goed die de beperkingen vastleggen; die bevatten de publieke sleutel van de agent in een claim cnf, en de agent stelt binnen die grenzen de gesloten mandaten samen. Tutorials over Intent Mandates en Cart Mandates beschrijven v0.1; die termen zijn uit v0.2 verdwenen.

Binnen UCP is AP2 de extensie dev.ucp.common.payment.ap2_mandate (dev.ucp.shopping.ap2_mandate vóór 2026-08-25). Zodra die is onderhandeld, ondertekent het bedrijf zijn checkoutantwoorden, presenteert het platform bij complete een checkout_mandate en een payment_mandate, en is de sessie “Security Locked”: geen van beide partijen mag terugvallen op een gewone checkout.

Niemand vraagt er nog om. De FAQ van Google noemt AP2 “vooral nuttig voor toekomstige scenario's met transacties door autonome AI-agents”. Het eigen agentprofiel van Google noemt Google Pay als enige payment handler en declareert geen AP2-capability, en ook het profiel voor 2026-08-25 heeft geen vermelding voor AP2. Geen enkel product van Google documenteert het gebruik van AP2, dus er valt voor een handelaar niets te bouwen totdat een platform erover onderhandelt.

De naburige protocollen

MCP

ACP en UCP kunnen allebei over MCP draaien. De huidige specificatie van MCP, 2026-07-28, schrapt sessies en de header Mcp-Session-Id, laat de handshake initialize vallen, maakt server/discover verplicht, en laat een client een verzoek onder een nieuwe ID opnieuw versturen wanneer de stream wegvalt. De binding van ACP linkt nog naar het transport van 2025-11-25. Een ID voor een checkoutsessie is precies het door de server aangemaakte handvat dat de nieuwe specificatie verwacht, en een complete die halverwege de stream verloren gaat, komt terug als nieuw verzoek: behandel idempotentiesleutels in beide protocollen als verplicht.

WebMCP

WebMCP is een voorgestelde webstandaard waarmee een pagina haar eigen functies beschikbaar maakt voor browseragents. Shopify biedt de UCP-checkout op twee manieren aan, als Checkout MCP en als Checkout WebMCP, met hetzelfde checkoutobject, en raadt Checkout MCP aan. Onze gids over WebMCP behandelt de stand van zaken.

x402 en MPP

x402 en het Machine Payments Protocol, ontworpen door Tempo en Stripe, laten een agent per HTTP-verzoek betalen voor een API, data of content. Het zijn geen checkoutprotocollen voor webwinkels. Zie ons artikel over x402.

Visa Trusted Agent Protocol en Mastercard Agent Pay

Deze staan naast ACP en UCP en vervangen ze niet. Het Trusted Agent Protocol van Visa geeft een agent “een gestandaardiseerde, cryptografische methode” om zijn identiteit en autorisatie aan handelaren te bewijzen, en Mastercard Agent Pay is een tokenisatieprogramma voor agentic commerce. De handleiding voor handelaren van Mastercard plaatst UCP en ACP op het hoogste niveau van gereedheid, merkt op: “early adopters zijn op dit moment aan het integreren”, en raadt handelaren aan met de twee eenvoudigere niveaus te beginnen. Ons artikel over agentic payments behandelt beide programma's.

Personal Agent Protocol

Volgens Sierra kondigde het bedrijf het Personal Agent Protocol (“Poppy”) op 6 oktober 2026 samen met Meta aan, en op 9 oktober publiceerde het een draft. Een bedrijf publiceert één bestand op /.well-known/poppy.json; het protocol gebruikt OAuth, JWT's, HTTPS, OpenAPI en MCP, zodat een persoonlijke agent zich kan identificeren en voor elk soort taak de toestemming van de klant kan krijgen, en Sierra noemt het een aanvulling op UCP. De site van het protocol toont versie 0.2 en zegt: “Het is een draft”. In de eigen newsroom van Meta vonden wij er geen bericht over.

Welk protocol heeft u nodig?

Op Shopify

Er valt niets te bouwen. De agentic storefronts van Shopify zijn “standaard actief voor webwinkels die in aanmerking komen”. ChatGPT ontvangt uw catalogus via Shopify Catalog en stuurt shoppers naar uw webwinkel. De directe checkout van Google staat standaard aan voor webwinkels die in de VS zijn gevestigd en aan de VS verkopen, en Copilot schreef handelaren op Shopify automatisch in. Uw beslissingen gaan over productgegevens en over de vraag of u de directe checkout aan laat staan, in de wetenschap dat aangepaste pixels in die van Google niet worden uitgevoerd.

Op Salesforce, commercetools of een ander platform

Salesforce B2C Commerce 26.9 bedient UCP 2026-01-23 en 2026-04-08: /.well-known/ucp met een map supported_versions, en de endpoints voor checkoutsessies achter een SLAS-token. Salesforce vermeldt UCP-checkout op Google als algemeen beschikbaar in oktober 2026. Een sessie is een headless weergave van een winkelmand (basket), en de auditgids van Salesforce waarschuwt dat controllers van SFRA en SiteGenesis en “andere SCAPI-resources die u vandaag gebruikt, in deze flow niet draaien”, zodat logica die daaraan hangt moet worden gekopieerd of overgebracht naar de hooks voor UCP-checkoutsessies. De feed moet zich richten op en-US, en Salesforce “slaat de wachtlijst van Google niet over”. Voor ChatGPT is Salesforce een van de aanleverroutes die OpenAI noemt voor ACP-feeds.

Op commercetools of een ander platform vraagt u de leverancier welke UCP-versies en capabilities het platform bedient, welke van uw hooks in een checkout door een agent draaien, en of het feeds naar OpenAI stuurt.

Op eigen software

1. Eerst de feeds. Google Merchant Center en, zodra OpenAI u toelaat, de productfeed van OpenAI. Het commerciële gebruik van ACP in ChatGPT is vandaag precies dit.
2. UCP voor Google, als u in de VS verkoopt en Google u toelaat. Bouw naar 2026-04-08: het profiel met com.google.pay, de checkoutoperaties binnen de latentiedoelen van Google, een PSP die tokens van Google Pay verwerkt, de orderwebhook en het feedattribuut. Of begin alleen met winkelwagenoverdracht.
3. ACP-checkout alleen met een reden, zoals een ChatGPT-app die is toegelaten tot de bèta van het betaalscherm. Bouw naar 2026-04-17 uit de repository.
4. AP2: nog niets.
5. Eén checkoutkern. Beide protocollen willen een sessie die via een API kan worden aangemaakt, bijgewerkt, afgerond en geannuleerd, en die veilig opnieuw kan worden geprobeerd. Bouw die één keer boven op uw order-, belasting- en betaallogica, met dunne adapters voor ACP en UCP erbovenop en MCP waar agents dat nodig hebben.

Geen van beide protocollen geeft een abonnementsbedrijf vandaag een native checkout voor agents.

Alleen verkopen buiten de VS

Geen van de drie geeft u vandaag een checkout voor agents. Winkelen in ChatGPT en de standaardupload van feeds bij OpenAI zijn beperkt tot de VS; de voorwaarden voor UCP Checkout van Google gelden alleen voor de VS; Copilot Checkout bedient Amerikaanse kopers in dollars. De volgende aangekondigde stap van Google is de Merchant Center-hub in Australië en Canada “begin volgend jaar”, zonder datum voor het Verenigd Koninkrijk of de EU.

Houd uw Merchant Center-feed volledig, en bouwt u uw checkout toch opnieuw, bouw dan de hierboven beschreven kern die via een API wordt aangestuurd, zodat een adapter een klein karwei is wanneer uw markt opengaat. Verkoopt u vanuit het buitenland aan de VS? Controleer waar elk programma de handelaar gevestigd wil hebben; de directe checkout van Google via Shopify vereist bijvoorbeeld een Amerikaanse webwinkel.

Waar u hulp krijgt

Wij bouwen de protocollaag voor webwinkels die niet op Shopify draaien: een profiel op /.well-known/ucp en endpoints voor checkoutsessies boven op uw bestaande order-, belasting- en betaallogica, orderwebhooks naar Google, productfeeds voor Google Merchant Center en OpenAI, en MCP-servers die dezelfde checkout aan agents aanbieden. Onze dienst voor de ontwikkeling van AI-agents en MCP-integratie is waar dat werk begint.

Schrijf naar office@c9group.dev met uw platform, uw betaalprovider en de landen waarin u verkoopt, en wij vertellen u welk protocol van toepassing is en wat de implementatie zou vragen. De programmavoorwaarden van Google en OpenAI zijn contracten: wij zijn engineers, geen juristen, dus laat een adviseur ze lezen voordat u tekent.