Płatności agentowe w październiku 2026: jak Visa, Mastercard, Stripe i PayPal pozwalają płacić agentom AI i kto ponosi ryzyko

Płatność agentowa to płatność kartą, której agent AI dokonuje w imieniu człowieka. Człowiek wydaje polecenie, agent wybiera i płaci, a sprzedawca jak zwykle obciąża kartę przez własnego agenta rozliczeniowego (acquirera). Reguły Visa mają na to nazwę od wydania z października 2025: „Agentic Transaction”, czyli transakcja agentowa. Programy dla takich płatności prowadzą Mastercard, American Express, Stripe, PayPal i Adyen.

Na 22 października 2026 infrastruktura wyprzedza ruch. Organizacje kartowe opublikowały tokeny, podpisy i reguły, ale większość dotychczasowych transakcji na żywo przeprowadzono w ramach pilotaży lub kontrolowanych testów, elementy oferty Stripe działają na wersjach zapoznawczych (preview) API, a firma zajmująca się zapobieganiem nadużyciom naliczyła do września na całym świecie zaledwie „setki” zrealizowanych transakcji zainicjowanych przez agentów. Bliska jest jedna zmiana z konkretną datą: dla sporów przetwarzanych 24 października 2026 lub później, czyli za dwa dni, Visa rozszerza mechanizm Compelling Evidence 3.0, a jedna z jego klauzul dotyczy agentów.

Ten artykuł jest przeznaczony dla osób odpowiedzialnych za płatności, CTO i założycieli firm, które sprzedają przez własny checkout, a także dla platform i PSP. Jeśli chcesz wiedzieć, które platformy AI co sprzedają, zacznij od naszego przewodnika po agentic commerce. Agenci płacący za każde zapytanie do API i za treści to osobny temat, który opisujemy w artykule o x402 i płatnościach maszynowych.

Jak płaci agent

We wszystkich programach powtarzają się, pod różnymi nazwami, cztery mechanizmy.

Tokeny wydawane dla agentów

Agent nie przechowuje numeru karty. Reguły Visa wymagają, by dostawca agenta, który korzysta z zapisanych danych karty (stored credential), „uzyskał token bezpośrednio od Visa lub od podmiotu Agentic Payment Enabler”. Dostawca przekazuje token sprzedawcy i „nie uczestniczy w autoryzacji ani rozliczaniu transakcji, ani w rozrachunku środków”.

Mastercard Agent Pay to „Remote Commerce Tokenization Program”, czyli program tokenizacji dla płatności zdalnych. Integratorzy rejestrują się w Mastercard, większość jako Token Requestors, i używają tokenów agentowych (Agentic Tokens) w jednej z dwóch postaci: danych Digital Secure Remote Payment (DSRP) albo kodu Dynamic Token Verification Code (DTVC) w przypadku sprzedawców, którzy nie obsługują jeszcze DSRP.

Delegowane dane płatnicze

Delegowane dane płatnicze to zgoda na obciążenie, udzielona jednemu sprzedawcy, z limitami. Shared Payment Token (SPT) od Stripe to „ograniczone zakresem uprawnienie do użycia metody płatności klienta”, które agent przyznaje profilowi sprzedawcy w Stripe, „każde z limitami użycia i ważności”. Droga PayPala do ChatGPT wykorzystuje „delegowane tokeny płatnicze przez Braintree”. Protokoły, które przenoszą takie dane płatnicze, porównujemy w artykule o ACP, UCP i AP2.

Podpisy agentów weryfikowane przez sprzedawcę

Tokeny mówią, jak agent płaci; podpisy mówią, który agent stoi u drzwi. Trusted Agent Protocol (TAP) organizacji Visa, udostępniony 14 października 2025 razem z Cloudflare, opiera się na HTTP Message Signatures (RFC 9421). Przenosi intencję agenta, rozpoznanie konsumenta (czy kupujący ma już konto u sprzedawcy) i opcjonalnie dane płatnicze. Strona Visa dla deweloperów ujmuje zadanie sprzedawcy w jednym zdaniu: „Podstawowym zadaniem sprzedawcy jest zweryfikowanie tego podpisu”. Referencyjne proxy Visa parsuje nagłówki Signature-Input i Signature, pobiera klucz według keyId z rejestru agentów i weryfikuje Ed25519 lub RSA-PSS-SHA256. Przykład z tego repozytorium:

Signature-Input: sig2=("@authority" "@path"); created=1697123456; keyId="primary-ed25519"; alg="ed25519"

Przewodnik dla sprzedawców organizacji Mastercard korzysta z tej samej podstawy, z wartością tag równą Agent-pay-auth, agent-browser-auth lub agent-payer-auth i nagłówkiem Signature-Agent wskazującym na https://agentpay-key-directory.mastercard.com/. Cloudflare wymienia kontrole, które brzeg sieci (edge) wykonuje dla obu programów: klucz według keyid, okno czasowe created i expires, świeży nonce, tag (agent-browser-auth do przeglądania, agent-payer-auth do płacenia), a na końcu sam podpis. Natomiast Web Bot Auth jest projektem grupy roboczej IETF, w rewizji 00 z 1 września 2026, a nie RFC.

Intencja

Czwarty element to zapis tego, o co prosił człowiek. Reguły Visa wymagają, by dostawca podał, kiedy wygasa polecenie posiadacza karty, uzyskał potwierdzenie, „że odpowiada on za działania podjęte przez dostawcę płatności agentowych (Agentic Payment Provider)”, zweryfikował tożsamość posiadacza karty, a następnie „stosował wyłącznie kryteria określone przez posiadacza karty”. Mastercard podaje, że dane o intencji zakupu dają sprzedawcy „ścieżkę audytu, którą można wykorzystać, aby pomóc uniknąć potencjalnych sporów z posiadaczami kart lub je rozstrzygnąć”.

American Express opublikował 13 października 2026 swój framework Intent Intelligence. API Create Intent zapisuje limity klienta, takie jak sprzedawca i maksymalny budżet, i zwraca Intent ID oraz Proof of Intent Token, którego „można użyć do uzyskania bezpiecznych cyfrowych danych płatniczych, z których agent korzysta w checkoucie zamiast rzeczywistego numeru karty klienta”. To, jak AP2 wyraża tę samą ideę w postaci mandatów, opisujemy w naszym porównaniu protokołów.

Visa: Intelligent Commerce, TAP i reguły

Gdzie to działa

Strona Visa Intelligent Commerce podaje, że produkt „jest obecnie w trakcie wdrażania”. TAP jest dostępny na GitHubie i w Visa Developer Center od 14 października 2025.

Visa Intelligent Commerce Connect, zapowiedziany 8 kwietnia 2026, pozwala sprzedawcom przyjmować płatności od agentów korzystających z TAP, ACP, UCP i MPP (protokołu Stripe i Tempo, w którym płaci się za każde zapytanie), kartami Visa i innych organizacji, „w zależności od dostępności”. Jest „obecnie w pilotażu z wybranymi partnerami”, a Visa nie podaje daty ogólnej dostępności.

W Europie Visa poinformowała 2 lipca 2026, że prowadzi transakcje agentów na żywo z ponad 30 wydawcami kart u sprzedawców, wśród których są lastminute.com i Frasers. Sprzedawcy dołączyli przez TAP i Agent Directory organizacji Visa, a każdą transakcję zabezpieczono za pomocą Visa Payment Passkeys. Prezes lastminute.com stwierdził, że to „dopiero początek”.

Co mówią reguły

Wydanie Visa Core Rules z 18 kwietnia 2026 było najnowszym publicznym wydaniem, jakie znaleźliśmy 22 października 2026. Jego reguły dotyczące agentów, w większości opublikowane po raz pierwszy w październiku 2025, sprowadzają się do tego:

• Definicje. Transakcja agentowa to transakcja e-commerce „przeprowadzona przez dostawcę płatności agentowych w imieniu posiadacza karty”, na polecenie posiadacza karty, bez bezpośredniej interakcji między posiadaczem karty a sprzedawcą, i sfinalizowana przez sprzedawcę u jego własnego agenta rozliczeniowego. Dostawca nie jest sprzedawcą, a „w przypadku transakcji agentowej dostawcę płatności agentowych uważa się za posiadacza karty”.
• Dostawca musi przystąpić do Visa Intelligent Commerce, używać tokenów Visa dla zapisanych danych kart, nigdy nie przeprowadzać transakcji z fizyczną obecnością karty (card-present) i nigdy nie łączyć kilku zakupów w jedną transakcję (zakazane od 18 października 2025). Musi uzyskać zgodę i zweryfikować tożsamość, przekazać sprzedawcy imię i nazwisko posiadacza karty, adres rozliczeniowy i adres dostawy oraz e-mail, zaakceptować w imieniu posiadacza karty warunki zwrotów i anulowania obowiązujące u sprzedawcy i udostępniać potwierdzenie zamówienia przez co najmniej 120 dni. Visa może go zdyskwalifikować.
• Posiadacz karty „odpowiada za wszelkie działania podjęte przez dostawcę płatności agentowych w ramach transakcji agentowej tak, jakby to posiadacz karty zainicjował transakcję”.
• Sprzedawca „nie może wymagać od posiadacza karty zrzeczenia się prawa do zakwestionowania transakcji, w tym transakcji agentowej, u wydawcy”.
• Wydawca karty nie może odrzucać transakcji agentów „w sposób systematyczny lub hurtowy”, chyba że istnieje bezpośrednie zagrożenie oszustwem lub zachodzi inny wyjątek, i musi zapłacić za „transakcję agentową przetworzoną zgodnie z instrukcjami płatniczymi posiadacza karty”.

Compelling Evidence 3.0 od 24 października 2026

CE3.0 to mechanizm obrony Visa przed friendly fraud (bezpodstawnymi sporami zgłaszanymi przez samych posiadaczy kart) w ramach Dispute Condition 10.4 (Other Fraud, Card-Absent Environment): wcześniejsze, niekwestionowane transakcje tego samego klienta dają agentowi rozliczeniowemu prawo do ochrony przed odpowiedzialnością. Dla sporów przetwarzanych 24 października 2026 lub później, czyli za dwa dni, Visa rozszerza go, „aby jeszcze bardziej ograniczyć friendly fraud”.

Wcześniejsze transakcje nie muszą już mieć „tych samych danych płatniczych (Payment Credential)”. Nowy warunek brzmi: „ta sama karta lub powiązane z nią dane płatnicze (na przykład token) zostały użyte u jednego lub kilku sprzedawców w 2 wcześniejszych transakcjach”, niezgłoszonych jako oszustwo i przetworzonych ponad 120 i nie więcej niż 365 dni przed sporem. Nadal muszą się zgadzać identyfikator lub odcisk urządzenia (device ID lub fingerprint) albo adres IP, a do tego co najmniej jeden inny element, przy czym identyfikator urządzenia i odcisk urządzenia liczą się teraz jako jeden.

Klauzula dotycząca agentów znajduje się na tej liście: identyfikator logowania klienta (customer login ID) „obejmuje identyfikatory logowania u dostawcy płatności agentowych oraz w witrynie lub aplikacji e-commerce sprzedawcy”, podawane otwartym tekstem. Trzy zastrzeżenia:

• To mechanizm opcjonalny. Reguły mówią: „Agent rozliczeniowy może przedłożyć Compelling Evidence”.
• To nie jest reguła dla agentów. To ogólna zmiana dotycząca friendly fraud z jedną klauzulą o agentach.
• Identyfikator logowania agenta jest na razie poza zasięgiem. Agent przekazuje sprzedawcy imię i nazwisko posiadacza karty, adresy i e-mail, ale nie własny identyfikator logowania, a nie znaleźliśmy żadnego źródła Visa, które mówiłoby, jak sprzedawca miałby go uzyskać.

Stripe automatycznie uzupełnia dowody CE3.0, jeśli spór się kwalifikuje. 22 października jego strona wciąż opisywała stare kryteria.

Mastercard Agent Pay

Agent Pay Acceptance Framework organizacji Mastercard z 14 października 2025 „zaczyna się od rejestracji i weryfikacji agentów AI, zanim zostaną dopuszczeni do transakcji w sieci Mastercard”. Sprzedawcy weryfikują agentów za pomocą Web Bot Auth w CDN, co według Mastercard nie wymaga nowego kodu, a agent przesyła DTVC w istniejącym formularzu checkoutu jako „token agentowy sformatowany pod standardowe pola płatności kartą”.

Przewodnik dla sprzedawców Mastercard radzi: „Stosuj limity zapytań zamiast całkowitego blokowania botów”, i podaje, że backend „opcjonalnie weryfikuje hash, ale przetwarza checkout istniejącymi ścieżkami”. W kwestii ryzyka mówi wprost: „Do transakcji agentowych mają zastosowanie standardowe procesy wykrywania oszustw, prawa do chargebacku i procedury rozstrzygania sporów”. Jego strona o poziomie 2 dodaje: nigdy nie wymagaj od konsumentów zrzeczenia się prawa do sporów i zwracaj pieniądze na pierwotną, tokenizowaną metodę płatności. Przewodnik nie ma daty, a jego części dotyczące poszczególnych organizacji kartowych są opatrzone zastrzeżeniem „Może ulec zmianie”.

Gdzie to działa:

• Stany Zjednoczone. Mastercard poinformował 10 września 2025, że wszyscy posiadacze kart w USA zostaną objęci usługą „do sezonu świątecznego”. Nie znaleźliśmy źródła, które potwierdzałoby, że tak się stało.
• Europa. Płatność agenta w Santanderze z 2 marca 2026 odbyła się „w kontrolowanym środowisku” i „na tym etapie nie stanowi komercyjnego wdrożenia”.
• Ameryka Łacińska. Wszystkie transakcje ogłoszone 24 marca 2026 zostały „przeprowadzone w kontrolowanych środowiskach”, choć tokeny agentowe obsługuje prawie 100% wydawców kart w regionie.

American Express

ACE Developer Kit od Amex, zapowiedziany 14 kwietnia 2026, jest przeznaczony dla „wybranych deweloperów”, a dwie z jego pięciu usług, Agent Registration i Cart Context, są „wciąż w fazie rozwoju”, jak podaje strona Amex o agentic commerce.

Ochrona Agent Purchase Protection jest obiecana „w przyszłości”. Miałaby obejmować „obciążenia związane z błędem agenta AI”, gdy zakup „odbiega od intencji zakupowej uwierzytelnionej przez posiadacza karty (Card Member)”, dla amerykańskich kart kredytowych, przy agentach zarejestrowanych w Amex i zintegrowanych z zestawem, i „dopiero po tym, jak posiadacz karty zainicjuje u sprzedawcy zwrot (o ile to możliwe)”. Subiektywna intencja („najlepszy”, „naprawdę ładny”) może się nie kwalifikować, a „pełne warunki zostaną udostępnione w przyszłości”.

Stripe, PayPal, Adyen, Checkout.com i Worldpay

Stripe

Agentic Commerce Suite od Stripe, uruchomiony 11 grudnia 2025, oraz tokeny SPT są dostępne w USA, Kanadzie i 32 europejskich krajach i terytoriach, w wersjach zapoznawczych API, takich jak 2026-09-30.preview.

• Checkout zarządzany przez Stripe. Stripe udostępnia Twój katalog agentom, prowadzi checkout z podatkami i wysyłką, obciąża SPT i wysyła checkout.session.completed. Ty nadal dostarczasz regulamin, politykę prywatności i zasady zwrotów, kod podatkowy dla każdego produktu podlegającego opodatkowaniu („niepełna konfiguracja może powodować niepowodzenie checkoutów”), katalog CSV z aktualnymi stanami magazynowymi, realizację zamówień po otrzymaniu webhooka i prośbę o połączenie do każdego agenta. Opcjonalny hook zatwierdzania zamówień ma cztery sekundy: „Jeśli Twój hook nie odpowie w tym czasie, Stripe odrzuci płatność”.
• Twój checkout UCP, płatność przez Stripe. Zadeklaruj com.stripe.payments w swoim profilu UCP, pobierz SPT z zapytania /checkout-sessions/{id}/complete i obciąż go, przekazując w payment_method_data[shared_payment_granted_token] w obiekcie PaymentIntent.
• Inny procesor. SPT Resolve API zwraca dane płatnicze sieci kartowej jeden raz dla każdego tokena. Jeśli Stripe nie ma w aktach Twojego PCI Attestation of Compliance, szyfruje je „kluczem publicznym, do którego odpowiadającego mu klucza prywatnego nie masz dostępu”, na przykład kluczem Twojego procesora, a płatność rejestrujesz przez POST /v1/payment_records/report_payment.

3 marca 2026 Stripe rozszerzył SPT na tokeny Mastercard Agent Pay i Visa Intelligent Commerce oraz na Klarnę i Affirm: „Każdy sprzedawca, który już przetwarza płatności przez Stripe, automatycznie obsługuje te nowe metody płatności w transakcjach agentowych”. Zwroty przebiegają dotychczasową ścieżką.

PayPal

PayPal zapowiedział Agent Ready 28 października 2025 dla obecnych sprzedawców, „bez dodatkowego nakładu technicznego”, z wdrożeniem na początku 2026 roku. W styczniu 2026 usługa działała w Copilocie i Perplexity, a ChatGPT, Gemini i AI Mode miały być „wkrótce dostępne”. Dokumentacja PayPala opisuje teraz ACP dla ChatGPT przez delegowane tokeny Braintree oraz UCP dla Google AI Mode i Gemini przez handler Google Pay, za pośrednictwem Braintree lub API Orders v2 PayPala. Ścieżka UCP przez Braintree wymaga Google Pay i „rejestracji sprzedawcy UCP w Google”. Dostęp nie jest samoobsługowy: sprzedawcy „muszą wypełnić ten formularz”, aby o niego poprosić.

Adyen, Checkout.com i Worldpay

Adyen Agentic, zapowiedziany 16 czerwca 2026, jest „w ograniczonej dostępności dla dużych sprzedawców (enterprise) działających w USA”. Checkout.com (25 listopada 2025) i Worldpay (29 października 2025) zapowiedziały obsługę ACP dla Instant Checkout w ChatGPT, a Worldpay ogłosił prace nad UCP z Google 28 stycznia 2026. OpenAI wycofało się od tego czasu z Instant Checkout, aby sprzedawcy mogli „korzystać z ich własnych checkoutów”, więc czytaj te komunikaty o ACP, pamiętając o ich datach.

Kto ponosi ryzyko

Zestawione obok siebie źródła zostawiają ryzyko mniej więcej tam, gdzie było przed pojawieniem się agentów.

Nie ma osobnej przyczyny sporu dla agentów: rozdział o sporach w wydaniu reguł Visa z kwietnia 2026 wspomina o agentach tylko w dwóch wierszach CE3.0 dotyczących identyfikatora logowania, więc zakupy agentów kwestionuje się na zwykłych zasadach. „To zrobił mój agent” nie jest samo w sobie zgłoszeniem oszustwa w rozumieniu reguł Visa, bo posiadacz karty odpowiada za agenta. Nie oznacza to, że sprzedawca jest bezpieczny: posiadacz karty zachowuje prawo do sporu, a sprzedawca nie może prosić o zrzeczenie się go.

Żadna znaleziona przez nas reguła organizacji kartowych nie przenosi odpowiedzialności na platformę agenta. Checkout.com napisał w grudniu 2025, że przy jasnych dowodach delegowania „odpowiedzialność może przesunąć się w górę łańcucha”, co jest opinią PSP. Badanie Forrestera wykazało, że konsumenci oczekują, iż za błędy agenta odpowie platforma AI, co jest oczekiwaniem, a nie regułą.

Prawo: UE, Wielka Brytania i USA

Unia Europejska

Według noty Rady z 2 października 2026 w sprawie rozporządzenia w sprawie usług płatniczych (PSR), negocjowanego razem z dyrektywą PSD3, osiągnięto 27 listopada 2025 wstępne porozumienie, które Coreper potwierdził 22 kwietnia 2026. Rozporządzenie nie zostało przyjęte: karta procedury Parlamentu pokazuje status „Oczekiwanie na stanowisko Rady w pierwszym czytaniu”, a posiedzenie plenarne wskazano na 14 grudnia 2026. Uzgodniony tekst ma być stosowany 21 miesięcy po wejściu w życie, czyli w praktyce nie wcześniej niż w 2028 roku.

Jego art. 85 wymaga silnego uwierzytelniania klienta przy zdalnych zleceniach płatniczych, powiązanego „z określoną kwotą i określonym odbiorcą”, oraz przy „zlecaniu utworzenia lub wymiany stokenizowanego instrumentu płatniczego za pośrednictwem kanału zdalnego”. Transakcje inicjowane przez sprzedawcę wymagają go przy ustanawianiu upoważnienia (mandatu), a nie przy każdej kolejnej płatności. Teksty nie wspominają o agentach AI: „sztuczna inteligencja” pojawia się raz, w motywie dotyczącym monitorowania oszustw, a każdy „agent” to agent instytucji płatniczej. To, jak art. 85 traktuje agenta AI dysponującego tokenem, jest kwestią interpretacji.

Wielka Brytania

Konsultacje brytyjskiego ministerstwa skarbu (HM Treasury) zakończyły się 6 października 2026. Dokument mówi, że obecne przepisy „powstały przed rozwojem AI i mogą nie w pełni umożliwiać korzystanie z agentowej AI”, i pyta, czy reguły dotyczące uwierzytelniania, zgody i odpowiedzialności za nieautoryzowane płatności wymagają aktualizacji pod kątem płatności agentowych. Do 22 października nie znaleźliśmy opublikowanej odpowiedzi. 19 października Jessica Rusu z FCA, brytyjskiego nadzoru finansowego, powiedziała, że FCA opracuje „zaufane ramy dla finansów agentowych”, nie podając żadnej daty.

Stany Zjednoczone

Nie znaleźliśmy wytycznych CFPB (amerykańskiego Biura Ochrony Finansowej Konsumentów). Opracowanie ze stycznia 2026 organizacji Consumer Bankers Association, zrzeszającej banki, podaje, że regulatorzy „nie wydali konkretnych wytycznych”, i określa jako „w najlepszym razie niejasne”, czy upoważnienie agenta oznacza „rzeczywiste, dorozumiane lub pozorne upoważnienie do korzystania” z karty kredytowej w rozumieniu Regulation Z.

Ile dzieje się naprawdę

• Merchant Risk Council. Raport MRC z 2026 roku, współfinansowany przez Visa Acceptance Solutions i Verifi, objął w listopadzie i grudniu 2025 ankietą 1 278 specjalistów po stronie sprzedawców z 37 krajów. Spośród nich 19% stwierdziło, że jest przygotowanych do przyjmowania płatności od agentów AI, a 15% nie ma takich planów. Wśród członków samego MRC planów nie ma 46%.
• PYMNTS. Raport przygotowany na zlecenie Visa Acceptance Solutions wykazał, że 23% sprzedawców w USA, Brazylii i ZEA potrafi jednoznacznie rozpoznać ruch i zakupy generowane przez AI.
• Accertify. Ta firma zajmująca się zapobieganiem nadużyciom naliczyła według stanu na wrzesień 2026 „setki zrealizowanych transakcji zainicjowanych przez agentów na całym świecie”, czyli „znacznie poniżej 1%” transakcji, wartość „mierzoną w punktach bazowych”.
• Konsumenci. W badaniu Forrestera z kwietnia 2026, przeprowadzonym wśród dorosłych internautów w USA, Wielkiej Brytanii i Kanadzie, trzy czwarte badanych stwierdziło, że nie czułoby się komfortowo, pozwalając agentowi płacić samodzielnie, nawet przy limitach wydatków.

„Przygotowani do przyjmowania” to gotowość deklarowana przez samych respondentów, a nie wolumen. Visa współfinansowała przy tym jedno z badań sprzedawców, a drugie zleciła.

Co powinien zrobić teraz sprzedawca z własnym checkoutem

Nic z tego nie ma terminu: nie znaleźliśmy daty Visa ani Mastercard, do której sprzedawca musiałby wdrożyć TAP, Agent Pay lub Web Bot Auth. Chodzi o to, by nie tracić zamówień, które przynoszą agenci, i zachować dowody, żeby ich bronić.

1. Przestań blokować agentów, których chcesz wpuścić. Przejrzyj CAPTCHA i ogólne reguły blokowania botów na stronach produktów i checkoutu. Cloudflare domyślnie blokuje boty sklasyfikowane jako Agent na stronach wyświetlających reklamy w domenach dodanych od 15 września 2026; sprawdź, co robi Twój brzeg sieci.
2. Przyjmuj tokeny agentów w zwykłym procesie. DTVC trafia do pól karty, które już masz. Zapytaj swojego agenta rozliczeniowego lub PSP, czy tokeny agentowe i identyfikatory agentów już docierają w Twoich autoryzacjach.
3. Zdecyduj, gdzie są weryfikowane podpisy. Brzeg sieci Akamai weryfikuje podpisy Web Bot Auth, a Akamai zapowiedział wspólnie z organizacją Visa obsługę TAP. Cloudflare zapowiedział w październiku 2025 zarządzane reguły (managed rules) dla TAP i Agent Pay; nie znaleźliśmy żadnej już udostępnionej, więc zapytaj swojego dostawcę. Jeśli masz własny brzeg sieci, referencyjne proxy Visa pokazuje, co trzeba zbudować.
4. Wybierz ścieżkę protokołu dopiero wtedy, gdy zaprosi Cię program. Stripe do płatności za Twoim checkoutem UCP; PayPal i Braintree dla ACP lub UCP, na wniosek; albo SPT Resolve do Twojego własnego procesora, po wcześniejszym złożeniu w Stripe Twojego PCI Attestation of Compliance.
5. Zostaw zwroty i spory bez zmian. Zwracaj pieniądze za zamówienia od agentów na pierwotną metodę płatności i upewnij się, że nic w Twoim regulaminie nie wymaga od posiadacza karty zrzeczenia się prawa do sporu.
6. Zapisuj to, czego wymagałby CE3.0. Dla każdego zamówienia: adres IP, identyfikator lub odcisk urządzenia, identyfikator logowania klienta, adres dostawy, opis towaru oraz wynik weryfikacji podpisu agenta i dane o intencji, jeśli je otrzymałeś. CE3.0 jest opcjonalny, ale dowodów, których nigdy nie zachowałeś, nie da się przedłożyć.
7. Poinformuj zespoły antyfraudowe i obsługi klienta. Agent przekazuje z każdym zamówieniem imię i nazwisko posiadacza karty, adresy i e-mail.

Warto obserwować: wydanie reguł Visa z października 2026, wyjście Intelligent Commerce Connect z pilotażu, pełne warunki ochrony Amex, zarządzane reguły Cloudflare, grudniowe posiedzenie plenarne w UE i odpowiedź HM Treasury.

Gdzie szukać pomocy

Budujemy stronę sprzedawcy w płatnościach agentowych dla checkoutów, które nie działają na platformie hostowanej: weryfikację podpisów agentów na brzegu sieci lub w aplikacji, integracje płatności SPT i UCP ze Stripe lub PayPalem, zapisywanie danych każdego zamówienia, które zachowuje dowody CE3.0, oraz reguły dla botów, które przepuszczają zarejestrowanych agentów. Ta praca zaczyna się od naszej usługi tworzenia agentów AI i integracji z serwerami MCP. Jesteśmy inżynierami, nie prawnikami: w sprawie regulaminu, zasad obsługi sporów i tego, co będzie dla Ciebie oznaczać PSR, zasięgnij porady prawnika specjalizującego się w płatnościach na każdym rynku, na którym sprzedajesz, a my zbudujemy rozwiązanie zgodnie z jego odpowiedzią.

Napisz na office@c9group.dev, na jakim stosie technologicznym działa Twój checkout, z jakiego PSP i agenta rozliczeniowego korzystasz, jakiego CDN używasz i w jakich krajach sprzedajesz, a powiemy Ci, które z tych programów obejmują Cię już dziś i czego wymagałoby ich przyjęcie.