x402 och maskinbetalningar 2026: ta betalt av AI-agenter per förfrågan, och hur mycket av det som är på riktigt

HTTP har haft en statuskod för det här sedan webbens första tid. RFC 9110 säger det fortfarande rakt ut: ”Statuskoden 402 (Payment Required) är reserverad för framtida användning.” År 2026 försöker två protokoll få den framtiden att komma. x402, som Coinbase startade och som nu drivs av ett projekt inom Linux Foundation, svarar på en förfrågan med ett pris och tar emot en signerad stablecoin-betalning vid nästa försök. Machine Payments Protocol (MPP), från Stripe och Tempo, gör samma sak via HTTP:s autentiseringsheaders och hanterar både kort och stablecoins. AWS och Cloudflare säljer nu båda idéerna på edge, så att en utgivare kan ta betalt av AI-crawlers utan att röra sin origin.

Erbjudandet är lockande för den som säljer data, ett API eller innehåll som AI-agenter läser: ta betalt per anrop, slutreglera på sekunder, inga konton och inga fakturor. Siffrorna bakom erbjudandet är en annan sak. En oberoende mätning av x402 på Base visade att de flesta registrerade slutregleringar är betalningar till sig själv eller pengar som flyttas inom ett enda kluster av plånböcker, och ett analysföretag för blockkedjor bedömde att volymen som ser ut att komma från agenter som köper låg på ungefär USD 5 000 till 11 000 i månaden under 2026.

Den här artikeln är för ägare och utvecklare av API:er, datatjänster och innehållssajter som ska avgöra om de ska ta betalt av agenter nu. Den går igenom hur protokollen fungerar, vad varje leverantör erbjuder den 22 oktober 2026, vad du skulle behöva bygga, vad volymerna egentligen visar och de regelfrågor som följer med att hålla stablecoins.

Så fungerar x402

Specifikationen är i version 2, daterad den 9 december 2025, i ett repository som flyttade från Coinbase till x402 Foundation. Den definierar tre roller: en resursserver som vill ha betalt, en klient (ofta en agent) som betalar och en facilitator som ”hanterar verifiering av betalningar och slutreglering på blockkedjan”.

En betald förfrågan går till så här:

1. Klienten ber om resursen och får 402 Payment Required. En PAYMENT-REQUIRED-header bär ett Base64-kodat objekt som listar ett eller flera godtagbara sätt att betala, vart och ett med ett scheme, ett network på CAIP-2-form (eip155:8453 är Base), ett amount i tokenens minsta enheter, en asset, en payTo-adress och ett maxTimeoutSeconds.
2. Klienten signerar en betalning och upprepar förfrågan med en PAYMENT-SIGNATURE-header. På EVM-kedjor är det en EIP-712-signatur över ett överföringsmedgivande enligt EIP-3009, med ett tidsfönster och en nonce på 32 byte som skydd mot replay.
3. Servern låter facilitatorn verifiera signaturen (POST /verify, som ”MUST NOT commit payment state”), kör sin hanterare och låter därefter facilitatorn slutreglera (POST /settle).
4. Servern svarar med resursen och en PAYMENT-RESPONSE-header som innehåller transaktionshashen.

Det är standardflödet ”authorization”: ”betalningen verifieras innan resursen körs och slutregleras efteråt”. Två andra flöden är definierade, ett som slutreglerar först och ett som tar en deposition och slutreglerar slutbeloppet efteråt. Om en slutreglering har skickats ut men inte bekräftats kan facilitatorn returnera settlement_pending med hashen, och servern bör stämma av innan någon försöker igen.

Två detaljer får folk att snubbla. Version 1, som de flesta äldre handledningar visar, använde X-PAYMENT och X-PAYMENT-RESPONSE samt nätverksnamn som base-sepolia; version 2 döpte om headers och gick över till CAIP-2. Och samma meddelanden är definierade över MCP och protokollet Agent-to-Agent (A2A): över MCP returnerar ett betalt verktyg ett resultat med isError: true och betalningen färdas i _meta["x402/payment"].

De fyra betalningsschemana

På EVM-kedjor fungerar i princip vilken ERC-20-token som helst, via EIP-3009 (USDC:s metod) eller Permit2. I praktiken prissätter referens-SDK:erna i dollar och mappar "$0.01" till en dollarstablecoin per nätverk: USDC på Base och de flesta EVM-kedjor, flera stablecoins på Solana, USDT på TON. Referensklienten godtar bara tillgångar som den känner igen och begränsar varje betalning till USD 1 som standard. Det finns ingen standard i euro.

Facilitators: vem som flyttar pengarna

Facilitatorn är ”valfri men rekommenderad”. Den kontrollerar signaturer och skickar in överföringen på blockkedjan, och dokumentationen säger att den ”inte håller medel eller agerar som förvaltare”: pengarna landar i din payTo-plånbok.

• Den publika facilitatorn x402.org är bara till för testnät. Snabbstarten för säljare är tydlig: ”Återanvänd inte https://x402.org/facilitator för mainnet-rutter.”
• Coinbases hostade CDP-facilitator tar ingenting för de första 1 000 onchain-transaktionerna i månaden, därefter USD 0,001 styck, och verifiering är alltid gratis. Den kör OFAC- och Know Your Transaction-kontroller på varje betalning, kräver en CDP-API-nyckel och stöder Base, Polygon, Arbitrum, Monad, World och Solana. Den listar inte auth-capture. Batch settlement fördelar avgiften: ”en onchain-transaktion kan bearbeta tusentals betalningar”.
• Stiftelsen listar andra facilitators i produktion, bland dem Fireblocks, Polygon, PayAI, Corbits, Stellar och Celo, och säger att listan är ”inte en uttömmande katalog”.
• Du kan vara din egen facilitator, betala gas och, på Solana, bygga den upptäckt av dubbla slutregleringar som en facilitator annars tillhandahåller.

x402 Foundation började verka den 14 juli 2026 med 40 medlemmar. Bland premiummedlemmarna finns Adyen, AWS, American Express, Cloudflare, Coinbase, Google, Mastercard, Shopify, Stripe och Visa; dess tekniska styrgrupp har medlemmar från Coinbase, Cloudflare och Stripe. Medlemskap är ett stöd för styrningen, inte en driftsättning. Pressmeddelandet vid lanseringen nämner ”stöd för betalningstyper från traditionella kort till stablecoins”, men specifikationen har ingen kortbindning i dag.

Stripes Machine Payments Protocol och Tempo

Stripe och Tempo lanserade MPP den 18 mars 2026, samma dag som Tempos mainnet gick i drift. Det använder HTTP:s ramverk för autentisering: en 402 med en WWW-Authenticate: Payment-utmaning, en inloggningsuppgift i Authorization: Payment och en Payment-Receipt-header när det lyckas. Dess intents är charge (en betalning), session (strömmande betalning över en kanal) och subscription, och dess betalningsmetoder i produktion är Tempos stablecoins och Stripes kortmetoder. Visa publicerade en kortspecifikation och en SDK för MPP samma dag. IETF-dokumentet bakom det är ett enskilt Internet-Draft som ”inte har någon formell ställning i IETF:s standardprocess”.

Hos Stripe tar MPP emot kort (via Shared Payment Tokens) och stablecoins, och Stripe tar också emot x402-betalningar i stablecoins på Base, slutreglerade via Coinbases facilitator till en insättningsadress hos Stripe. Oavsett väg landar resultatet i ditt Stripe-saldo som en PaymentIntent, och stablecoins som skickas till en insättningsadress växlas: ”Stripe gör automatiskt en offramp av de här betalningarna och slutreglerar dem till ditt Stripe-saldo.” Villkoren:

• Mottagning av stablecoins är ”tillgänglig för företag i alla delstater i USA utom New York”. På andra håll mejlar du Stripe för att begära åtkomst, vilket prövas; EU, Hongkong, Mexiko och Schweiz är i privat förhandsversion.
• Miniminivåerna är USD 0,50 för en kortbetalning och 0,01 USDC för en betalning i stablecoins. MPP-sessioner kan debitera i steg ”så små som 0,000001 USDC” men slutregleras i hela cent, och en rest under ett cent går förlorad.
• Betalningar i stablecoins hos Stripe har inget stöd för tvister, återbetalningar går tillbaka som stablecoins till den ursprungliga plånboken, och en enskild transaktion är begränsad till USD 10 000.
• API:erna är förhandsversioner (2026-07-29.preview för MPP, 2026-05-27.preview för x402-insättningsadressen).

Visas Intelligent Commerce Connect, som aviserades den 8 april 2026 som pilot, listar MPP bland de agentprotokoll som handlare kan ta emot genom det. Det listar inte x402.

Ta betalt på edge: AWS och Cloudflare

Om ditt innehåll eller ditt API redan ligger bakom ett CDN kan edge sköta betalningen.

AWS WAF AI traffic monetization (aviserades den 15 juni 2026) returnerar ”ett maskinläsbart HTTP 402 Payment Required-svar med det öppna protokollet x402” till botar och agenter, och slutreglerar via Coinbases facilitator till en USDC-plånbok som du anger på Base eller Solana. Funktionen har ingen extra avgift, men vanliga avgifter för WAF och Bot Control gäller, och den fungerar bara med CloudFront. Du kan prissätta verifierade sökcrawlers annorlunda än overifierade agenter och crawlers för träning, och testa innan du går live. Den slutreglerar bara när din origin returnerar en 2xx och debiterar inte för 4xx eller 5xx. Dokumentationen är öppen om kostnaderna: ett minimum på USD 0,001 per förfrågan, ”flera sekunders extra latens” för betalda förfrågningar, botdetektering som är ”probabilistisk”, och en varning att en Monetize-regel som inte är begränsad till botar ”i praktiken blockerar åtkomsten för icke-automatiserade klienter”. ”AWS är inte part i, och finns inte i, penningflödet”, och du godkänner Coinbases villkor. Slutreglering via Stripe och stöd för MPP var ”kommer snart” vid aviseringen.

Cloudflare pay per crawl är en annan modell. Det är i sluten beta, din domän måste ligga hos Cloudflare, du sätter ett pris för alla crawlers du tar betalt av, och Cloudflare ”agerar som merchant of record”. Crawlers identifierar sig med Web Bot Auth och betalar mot Stripe-faktura, inte från en plånbok. Du rör aldrig stablecoins.

Cloudflare Workers kan lägga en x402- eller MPP-proxy framför vilken HTTP-backend som helst, prissatt per ruttmönster, och kan ta betalt bara för förfrågningar med låg botpoäng så att människor surfar gratis. Agents SDK har paidTool, som gör ett MCP-verktyg till ett betalt. Observera att Cloudflares exempel använder facilitatorn x402.org, som är inriktad på testnät, och nätverksnamn från version 1; för produktion byter du till en facilitator för produktion och CAIP-2-identifierare.

Hur mycket är på riktigt

Rubriksiffrorna är stora och stämmer inte med varandra. Startsidan x402.org visar 75,41 miljoner transaktioner och USD 24,24 miljoner under de senaste 30 dagarna, utan datum, källa eller metod på sidan. Coinbase säger att dess facilitator har bearbetat ”mer än 100 miljoner transaktioner och 28 miljoner dollar i betalningsvolym enbart på Base och Solana”, utan angiven period. Det är räkningar av slutregleringar, och det är problemet.

En mätstudie av forskare vid City University of Hong Kong, The Chinese University of Hong Kong och Zhejiang University (en preprint, publicerad den 14 juli 2026) undersökte 280 dagar av x402 på Base, från 17 september 2025 till 23 juni 2026: 136 708 672 slutregleringar värda USD 44,1 miljoner. Av dessa är ”21,20 % fiktiva och 63,78 % intern slutreglering inom ett länkat kluster”. Värdet som ”påvisbart når en namngivbar tjänst” var USD 187 861,35. Av 624 mottagare som någonsin fick betalt tjänade 249 minst USD 10, medianintäkten under hela livstiden var USD 3,96, och bara 474 av 910 annonserade värdar returnerade fortfarande en fungerande betalningsutmaning. Författarnas slutsats: ”Antalet slutregleringar mäter hur lätt de går att tillverka, inte hur mycket de används.”

TRM Labs, som säljer övervakning av blockkedjor, räknade USD 52,7 miljoner fördelat på 198,9 miljoner slutregleringar på Base, Solana och Polygon sedan maj 2025. Ungefär hälften föll bort när betalningar till sig själv, bulkflöden och säljare med få köpare togs bort. Av de USD 25,62 miljoner som återstod bedömde företaget att mellan 0,6 % och 7,5 % ”förefaller vara agentiska”, och att volymen som agenter flyttade låg kvar på ungefär USD 5 000 till 11 000 i månaden under 2026. Dess slutsats för säljare är användbar: ”att attrahera agenttrafik kräver en annan design. Den måste vara maskinläsbar och ha prissättning per anrop på en endpoint som en köpare kan hitta utan att en människa någonsin ser sidan.”

Inget av detta säger att idén är fel. Det säger att en endpoint som tar betalt av agenter per anrop i oktober 2026 bör räkna med intäkter i experimentets storleksordning, och inte planera efter rubrikantalen.

Vem som håller pengarna, och vilka regler som gäller

Med x402 går betalningen direkt till din plånbok. Det betyder att ditt företag håller nycklarna, har USDC i sin bokföring och växlar det till sin egen valuta, om inte en leverantör som Stripe växlar åt dig. Facilitatorns granskning (Coinbases OFAC- och KYT-kontroller) är något facilitatorn gör; x402-specifikationen definierar ingen. Återbetalningar ordnar du själv: exact ”definierar ingen återbetalning”, och Stripes betalningar i stablecoins har inga tvister.

Två regelverk är relevanta för den som befinner sig i penningflödet.

• USA: GENIUS Act. Public Law 119-27, godkänd den 18 juli 2025, träder i kraft 18 månader efter att lagen antogs eller 120 dagar efter slutliga föreskrifter, beroende på vilket som inträffar först. Finansdepartementets (Treasury) förslag till föreskrift av den 18 augusti 2026 säger att ikraftträdandet ”förväntas ske den 18 januari 2027”. Från det datumet får en leverantör av tjänster för digitala tillgångar inte tillhandahålla en utländsk utgivares stablecoin i USA om inte utgivaren kan följa lagliga order. Från och med den 18 juli 2028 får en leverantör av tjänster för digitala tillgångar inte erbjuda eller sälja en betalningsstablecoin till en person i USA om den inte har getts ut av en tillåten utgivare. Lagen definierar en leverantör av tjänster för digitala tillgångar utifrån verksamhet som att växla, överföra eller hålla digitala tillgångar åt andra, utförd ”mot ersättning eller i vinstsyfte”.
• Europeiska unionen: MiCA. Övergångsperioden för leverantörer av kryptotillgångstjänster tog slut den 1 juli 2026. ESMA:s uttalande: ”varje enhet som tillhandahåller kryptotillgångstjänster till kunder i EU utan MiCA-tillstånd bryter mot EU-rätten och måste upphöra med att erbjuda sådana tjänster”, och företag utanför EU får inte betjäna kunder i EU, ”även ... i en business-to-business-kontext”. Stablecoins i USD är e-pengatoken enligt MiCA. ESMA:s råd till användare är att kontrollera att en leverantör finns i dess interimsregister.

Det ingen av dessa källor avgör är ställningen för ett företag som bara tar emot stablecoins som betalning för sitt eget API eller innehåll. GENIUS Acts begränsningar är skrivna för leverantörer av tjänster för digitala tillgångar, och MiCA för leverantörer av kryptotillgångstjänster; om ditt upplägg gör dig till någon av dem, eller gör dig beroende av leverantörer som måste vara det, är en fråga för en jurist i varje jurisdiktion där du verkar. Vi är ingenjörer, inte jurister, och vi bygger efter det svar din rådgivare ger. I praktiken: fråga varje leverantör i din kedja om den har tillstånd där dina kunder finns.

Fyra sätt att bygga det

Från minst kod till mest:

1. Låt CDN:et ta betalt. AWS WAF på CloudFront: en monetiseringskonfiguration med din plånbok och dina priser, Monetize-regler avgränsade till botetiketter, testläge först, inga ändringar i origin. Cloudflare pay per crawl: om du är med i betan, ett pris och inställningar för utbetalning, med Cloudflare som merchant of record.
2. Låt en betaltjänstleverantör ta betalt. Stripe MPP: en Stripe-profil, biblioteket mppx, ett charge-anrop i din hanterare och en insättningsadress hos Tempo. Kort och stablecoins, slutreglerade i fiat till ditt Stripe-saldo. Eller x402 hos Stripe med ett CDP-konto och en insättningsadress på Base, bara stablecoins.
3. Kör x402 på din egen server med SDK-middleware för ditt ramverk (Express, Hono, Next.js, Fastify; det finns SDK:er för Python och Go), en hostad facilitator och en ruttkonfiguration med scheme, pris, nätverk, payTo och beskrivning.
4. Var din egen facilitator, om du behöver full kontroll eller ett nätverk som ingen annan betjänar.

Vilken väg du än väljer ligger vissa beslut kvar hos dig: vilket scheme som passar arbetet (exact för fasta priser, upto för mätt arbete, batch settlement när anropen är värda mindre än gasen), vem som ser betalväggen (en 402 som visas för en webbläsaranvändare är en återvändsgränd), hur du stämmer av settlement_pending, idempotenta omförsök om klienter skickar en betalningsidentifierare, återbetalningar, förvaringen av mottagarplånboken och hur du bokför USDC-inbetalningar. Agenterna måste också kunna betala: en x402-klient behöver en plånbok med rätt stablecoin på rätt nätverk, en MPP-klient en Link- eller Tempo-plånbok, en crawler för pay per crawl en identitet i Web Bot Auth och en faktureringsrelation hos Stripe. Du kan inte förutsätta att en given agent har något av detta.

Ska du ta betalt av agenter nu?

• Du säljer ett API eller data som agenter redan anropar: ett experiment är billigt. Lägg en eller två endpoints bakom MPP eller x402 vid sidan av dina befintliga nycklar och planer, sätt priset över golven (USD 0,001 hos AWS, 0,01 USDC hos Stripe) och mät vem som betalar. Behåll de betalda planer du har: kanalen för agentbetalningar blir liten tills vidare.
• Du publicerar innehåll som AI-crawlers redan läser: edge-alternativen finns för det här. AWS WAF om du ligger på CloudFront och är bekväm med att hålla USDC; Cloudflare pay per crawl om du ligger på Cloudflare, vill ha kortavräkning och kan komma med i betan. Ingen av dem är en intäktsplan än; båda ger dig ett pris och en logg över vem som vägrade betala det.
• Du vill att agenter ska köpa varor från din butik: det är inte det här problemet. Kortnätverk, Stripes Shared Payment Tokens samt Googles och OpenAI:s kassaprotokoll täcker agenter som köper av handlare, och vi går igenom dem i vår artikel om agentiska betalningar.

Vad som kan ändras

• GENIUS Acts start den 18 januari 2027 (tidigare om slutliga föreskrifter kommer först), och begränsningen 2028 efter det.
• AWS lägger till slutreglering via Stripe och MPP, aviserat som kommer snart.
• auth-capture mognar, vilket skulle ge x402 återbetalningar utanför utkast.
• MPP:s Internet-Draft rör sig, eller inte, mot en arbetsgrupp inom IETF.
• Visas Intelligent Commerce Connect vidgas bortom sina pilotpartner, vilket skulle ge fler handlare kortfinansierade agentbetalningar via MPP.

Var du får hjälp

Vi bygger serversidan av betald maskinåtkomst: mätning och prissättning per endpoint, x402- eller MPP-utmaningar framför befintliga API:er och MCP-verktyg, avstämning av slutregleringar mot de system som din ekonomiavdelning redan använder, och den botidentifiering som avgör vem som ser ett pris. Vår tjänst för utveckling av AI-agenter och MCP-integration är där det arbetet börjar.

Om du väger om du ska ta betalt av agenter för ditt API eller ditt innehåll, och via vilken leverantör, skriv till office@c9group.dev.