Ekim 2026'da Ajan Tabanlı Ödemeler: Visa, Mastercard, Stripe ve PayPal Yapay Zeka Ajanlarının Ödeme Yapmasını Nasıl Sağlıyor ve Riski Kim Taşıyor

Ajan tabanlı ödeme, bir yapay zeka ajanının bir kişi adına yaptığı kartlı ödemedir. Talimatı kişi veriyor, ajan seçiyor ve ödüyor, satıcı da kartı her zamanki gibi kendi üye işyeri bankası (acquirer) üzerinden tahsil ediyor. Visa'nın kural kitabında Ekim 2025 baskısından bu yana bunun bir adı var: “Agentic Transaction” (ajan tabanlı işlem). Mastercard, American Express, Stripe, PayPal ve Adyen'in hepsi bunun için programlar yürütüyor.

22 Ekim 2026 itibarıyla altyapı trafiğin önünde gidiyor. Kart ağları token'ları, imzaları ve kuralları yayımladı; ancak şimdiye kadarki canlı işlemlerin çoğu pilot ya da kontrollü test niteliğindeydi, Stripe'ın bileşenleri önizleme (preview) API sürümlerinde çalışıyor ve bir dolandırıcılık önleme şirketi eylüle kadar dünya genelinde ajan tarafından başlatılmış, tamamlanmış yalnızca “yüzlerce” işlem saydı. Tarihi belli bir değişiklik yakın: Visa, 24 Ekim 2026'da veya sonrasında işlenen itirazlar için, yani iki gün sonra, Compelling Evidence 3.0 savunma yolunu genişletiyor ve değişiklikte ajanlarla ilgili bir madde de var.

Bu yazı, kendi ödeme adımına sahip satıcıların ödeme yöneticileri, CTO'ları ve kurucuları ile platformlar ve ödeme hizmeti sağlayıcıları (PSP) için. Hangi yapay zeka platformunun ne sattığını öğrenmek için ajan tabanlı ticaret rehberimizle başlayın. Ajanların API'ler ve içerik için istek başına ödeme yapması ayrı bir konu; bunu x402 ve makine ödemeleri yazımızda ele alıyoruz.

Bir Ajan Nasıl Ödeme Yapıyor

Programlarda farklı adlar altında dört mekanizma tekrar tekrar karşımıza çıkıyor.

Ajanlar İçin Üretilen Token'lar

Kart numarası ajanda bulunmuyor. Visa'nın kuralları, kayıtlı bir ödeme bilgisi (stored credential) kullanan bir ajan sağlayıcısının “bir Token'ı doğrudan Visa'dan veya bir Agentic Payment Enabler'dan alması” gerektiğini söylüyor. Sağlayıcı token'ı satıcıya veriyor ve “İşlemlerin Provizyonuna veya Takasına ya da fonların Mutabakatına dahil olmaz.”

Mastercard Agent Pay, “bir Uzaktan Ticaret Tokenizasyon Programı”. Entegratörler Mastercard'a kaydoluyor (çoğu Token Requestor olarak) ve Agentic Token'ları iki biçimden birinde kullanıyor: Digital Secure Remote Payment (DSRP) verisi ya da henüz DSRP'yi desteklemeyen satıcılar için Dynamic Token Verification Code (DTVC).

Devredilmiş Ödeme Bilgileri

Devredilmiş ödeme bilgisi, tek bir satıcıya sınırlarla birlikte verilen bir tahsilat iznidir. Stripe'ın Shared Payment Token (SPT) ürünü “müşterinin ödeme yöntemini kullanmak için kapsamı sınırlandırılmış bir izin”; ajan bu izni satıcının Stripe profiline veriyor, “her biri kullanım ve süre sınırlarıyla”. PayPal'ın ChatGPT'ye giden yolu “Braintree üzerinden devredilmiş ödeme token'larını” kullanıyor. Bu ödeme bilgilerini taşıyan protokolleri ACP, UCP ve AP2 yazımızda karşılaştırıyoruz.

Satıcının Doğruladığı Ajan İmzaları

Token'lar ajanın nasıl ödediğini söylüyor; imzalar ise kapıdaki ajanın hangisi olduğunu. Visa'nın 14 Ekim 2025'te Cloudflare ile birlikte yayımladığı Trusted Agent Protocol (TAP), HTTP Message Signatures (RFC 9421) üzerine kurulu. Ajanın niyetini, tüketici tanıma bilgisini (alışverişçinin satıcıda zaten bir hesabı olup olmadığını) ve isteğe bağlı olarak ödeme verisini taşıyor. Visa'nın geliştirici sayfası satıcının işini tek satırda anlatıyor: “Bir satıcının birincil görevi bu imzayı doğrulamaktır.” Visa'nın referans proxy'si Signature-Input ve Signature header'larını ayrıştırıyor, anahtarı bir ajan kayıt defterinden keyId ile alıyor ve Ed25519 ya da RSA-PSS-SHA256 doğrulaması yapıyor. Verdiği örnek:

Signature-Input: sig2=("@authority" "@path"); created=1697123456; keyId="primary-ed25519"; alg="ed25519"

Mastercard'ın satıcı rehberi aynı temeli kullanıyor; tag değeri Agent-pay-auth, agent-browser-auth veya agent-payer-auth oluyor ve bir Signature-Agent header'ı https://agentpay-key-directory.mastercard.com/ adresini gösteriyor. Cloudflare her ikisi için edge katmanında yapılan kontrolleri sıralıyor: keyid ile anahtar, created ve expires aralığı, daha önce kullanılmamış bir nonce, etiket (gezinmek için agent-browser-auth, ödemek için agent-payer-auth) ve son olarak imza. Web Bot Auth'un kendisi ise bir RFC değil, bir IETF çalışma grubu taslağı: 1 Eylül 2026 tarihli 00 numaralı revizyon.

Niyet

Dördüncü parça, kişinin ne istediğinin kaydı. Visa'nın kuralları sağlayıcının, kart hamilinin talimatının ne zaman sona erdiğini belirtmesini, kart hamilinden “Agentic Payment Provider tarafından gerçekleştirilen işlemlerden kendilerinin sorumlu olduğuna” dair onay almasını, kart hamilinin kimliğini doğrulamasını ve ardından “Yalnızca Kart Hamilinin belirlediği kriterleri kullanmasını” şart koşuyor. Mastercard, satın alma niyeti verisinin satıcıya “olası kart hamili itirazlarını önlemeye ve/veya çözmeye yardımcı olmak için kullanılabilecek bir denetim izi” sağladığını söylüyor.

American Express, Intent Intelligence çerçevesini 13 Ekim 2026'da yayımladı. Bir Create Intent API'si müşterinin satıcı ve azami bütçe gibi sınırlarını kaydediyor ve bir Intent ID ile bir Proof of Intent Token döndürüyor; bu token “ajanın ödeme adımında müşterinin gerçek Kart Numarası yerine kullandığı güvenli bir dijital ödeme bilgisini elde etmek için kullanılabilir.” AP2'nin aynı fikri yetki belgeleri (mandates) olarak nasıl ifade ettiğini protokol karşılaştırmamızda anlatıyoruz.

Visa: Intelligent Commerce, TAP ve Kurallar

Nerede Yayında

Visa'nın Intelligent Commerce sayfası ürünün “şu anda kullanıma sunulma sürecinde” olduğunu söylüyor. TAP, 14 Ekim 2025'ten beri GitHub'da ve Visa Developer Center'da.

8 Nisan 2026'da duyurulan Visa Intelligent Commerce Connect, satıcıların TAP, ACP, UCP ve MPP (Stripe ile Tempo'nun istek başına ödeme protokolü) kullanan ajanlardan ödeme kabul etmesini sağlıyor; Visa kartları ve Visa dışı kartlar için “Kullanılabilirliğe bağlı olarak”. Ürün “Şu anda seçili iş ortaklarıyla pilot aşamasında” ve Visa genel kullanıma açılış için bir tarih vermiyor.

Avrupa'da Visa, 2 Temmuz 2026'da lastminute.com ve Frasers'ın da aralarında bulunduğu satıcılarda 30'dan fazla kartı çıkaran bankayla (issuer) canlı ajan işlemleri yürüttüğünü söyledi. Satıcılar TAP ve Visa'nın Agent Directory'si üzerinden katıldı ve her işlem Visa Payment Passkeys ile güvence altına alındı. lastminute.com'un CEO'su durumu “Daha yolun başındayız” sözleriyle özetledi.

Kurallar Ne Diyor

18 Nisan 2026 tarihli Visa Core Rules baskısı, 22 Ekim 2026'da bulabildiğimiz en son herkese açık baskıydı. Çoğu ilk kez Ekim 2025'te yayımlanan ajanlarla ilgili kuralları özetle şöyle:

• Tanımlar. Agentic Transaction, kart hamilinin talimatıyla, kart hamili ile satıcı arasında doğrudan etkileşim olmadan “bir Agentic Payment Provider tarafından bir Kart Hamili adına gerçekleştirilen” ve satıcının kendi üye işyeri bankasıyla tamamladığı bir e-ticaret işlemi. Sağlayıcı satıcı sayılmıyor ve “bir Agentic Transaction için Agentic Payment Provider, Kart Hamili olarak kabul edilir.”
• Sağlayıcı, Visa Intelligent Commerce'e kaydolmalı, kayıtlı ödeme bilgileri için Visa token'ları kullanmalı, asla kart mevcut (card-present) işlem yapmamalı ve satın almaları asla tek bir işlemde birleştirmemeli (18 Ekim 2025'ten beri yasak). Onay almalı ve kimliği doğrulamalı, satıcıya kart hamilinin adını, fatura ve teslimat adresini ve e-postasını iletmeli, satıcının para iadesi ve iptal koşullarını kart hamili adına kabul etmeli ve sipariş onayını en az 120 gün erişilebilir tutmalı. Visa sağlayıcıyı diskalifiye edebilir.
• Kart hamili, “bir Agentic Transaction kapsamında bir Agentic Payment Provider tarafından gerçekleştirilen her türlü işlemden, İşlemi Kart Hamili başlatmış gibi sorumludur.”
• Satıcı, “bir Kart Hamilinden, bir Agentic Transaction dahil olmak üzere bir İşleme Kartı Çıkaran Banka nezdinde itiraz etme hakkından feragat etmesini talep etmemelidir.”
• Kartı çıkaran banka, acil bir dolandırıcılık tehdidi olmadıkça ya da başka bir istisna geçerli olmadıkça ajan işlemlerini “sistematik veya toptan bir şekilde” reddetmemeli ve “Bir Kart Hamilinin ödeme talimatlarına uygun olarak işlenen bir Agentic Transaction” için ödeme yapmalı.

24 Ekim 2026'dan İtibaren Compelling Evidence 3.0

CE3.0, Visa'nın 10.4 numaralı İtiraz Koşulu (Other Fraud, Card-Absent Environment; kartın fiziksel olarak bulunmadığı ortamda diğer dolandırıcılık) kapsamında dostane dolandırıcılığa (friendly fraud) karşı sunduğu savunma: aynı müşterinin daha önceki, itiraz edilmemiş işlemleri üye işyeri bankasının sorumluluk korumasından yararlanmasını sağlıyor. Visa, 24 Ekim 2026'da veya sonrasında işlenen itirazlar için, yani iki gün sonra, bu korumayı “dostane dolandırıcılığı daha da azaltmak için” genişletiyor.

Önceki işlemlerde artık “Aynı Ödeme Bilgisi” aranmıyor. Yeni koşul şu: “Aynı Kart veya o Kartla ilişkili bir Ödeme Bilgisi (örneğin: bir Token) önceki 2 İşlemde bir veya daha fazla Satıcıda kullanılmıştır”; bu işlemler dolandırıcılık olarak bildirilmemiş olmalı ve itirazdan 120 günden fazla, en fazla 365 gün önce işlenmiş olmalı. İşlemlerin yine cihaz kimliği veya parmak izi ya da IP adresi ile birlikte en az bir başka unsurda eşleşmesi gerekiyor; cihaz kimliği ve parmak izi artık tek unsur sayılıyor.

Ajanlarla ilgili madde bu listede: müşterinin oturum açma kimliği (login ID) artık açık metin olarak “bir Agentic Payment Provider'a ve Satıcının e-ticaret sitesine veya uygulamasına ait oturum açma kimliklerini de kapsıyor”. Üç uyarı:

• İsteğe bağlı. Kurallar şöyle diyor: “Bir Üye İşyeri Bankası Compelling Evidence sunabilir”.
• Bir ajan kuralı değil. Tek bir ajan maddesi içeren, dostane dolandırıcılığa ilişkin genel bir değişiklik.
• Ajanın oturum açma kimliğine şimdilik ulaşılamıyor. Ajan satıcıya kendi oturum açma kimliğini değil, kart hamilinin adını, adreslerini ve e-postasını iletiyor; bir satıcının bu kimliği nasıl elde edeceğine dair hiçbir Visa kaynağı bulamadık.

Stripe, itirazın uygun olduğu durumlarda CE3.0 kanıtlarını otomatik olarak dolduruyor. 22 Ekim'de sayfası hâlâ eski kriterleri anlatıyordu.

Mastercard Agent Pay

Mastercard'ın 14 Ekim 2025 tarihli Agent Pay Acceptance Framework'ü “yapay zeka ajanlarının Mastercard ağında işlem yapmalarına izin verilmeden önce kaydedilip doğrulanmasıyla başlıyor.” Satıcılar ajanları CDN'de Web Bot Auth ile doğruluyor (Mastercard'a göre bu yeni kod gerektirmiyor); ajan da DTVC'yi mevcut ödeme formunda “standart kart ödeme alanlarına göre biçimlendirilmiş bir ajan token'ı” olarak gönderiyor.

Mastercard'ın satıcı rehberi “Topyekûn bot engelleme yerine hız sınırlaması kullanın” diye öneriyor ve arka ucun “hash'i isteğe bağlı olarak doğruladığını, ancak ödeme adımını mevcut akışlar üzerinden işlediğini” söylüyor. Risk konusunda açık sözlü: “Standart dolandırıcılık tespiti, ters ibraz (chargeback) hakları ve itiraz çözüm süreçleri ajan tabanlı işlemler için de geçerlidir.” Seviye 2 sayfası şunları ekliyor: tüketicilerden asla itiraz haklarından feragat etmelerini istemeyin ve para iadesini orijinal token'lı ödeme yöntemine yapın. Rehberde tarih yok ve kart şemasına özgü bölümleri “Değişikliğe tabi”.

Nerede yayında:

• Amerika Birleşik Devletleri. Mastercard 10 Eylül 2025'te tüm ABD'li kart hamillerinin “yılbaşı alışveriş sezonuna kadar” etkinleştirileceğini söyledi. Bunun gerçekleştiğini doğrulayan bir kaynak bulamadık.
• Avrupa. Santander'in 2 Mart 2026'daki ajan ödemesi “kontrollü bir ortamda” yapıldı ve “bu aşamada ticari bir kullanıma sunma anlamına gelmiyor.”
• Latin Amerika. 24 Mart 2026'da bildirilen işlemlerin tamamı “kontrollü ortamlarda gerçekleştirildi”; buna karşın bölgedeki kart çıkaran bankaların neredeyse %100'ü ajan token'ları için etkinleştirilmiş durumda.

American Express

Amex'in 14 Nisan 2026'da duyurulan ACE Developer Kit'i “seçili geliştiriciler” için; ajan tabanlı ticaret sayfasına göre beş hizmetinden ikisi, Agent Registration ve Cart Context, “hâlâ geliştirme aşamasında”.

Agent Purchase Protection ise “Gelecekte” sunulacak diye vaat ediliyor. Satın alma “Kart Üyesinin doğruladığı satın alma niyetinden saptığında” “yapay zeka ajanı hatasıyla ilgili harcamaları” kapsaması öngörülüyor: ABD kredi kartları için, Amex'e kayıtlı ve kitle entegre edilmiş ajanlar aracılığıyla ve “ancak Kart Üyesi satıcı nezdinde bir iade başlattıktan sonra (mümkün olduğunda)”. Öznel niyet (“en iyisi”, “gerçekten güzel”) kapsama girmeyebilir ve “Tüm şartlar ve koşullar ileride paylaşılacak.”

Stripe, PayPal, Adyen, Checkout.com ve Worldpay

Stripe

Stripe'ın 11 Aralık 2025'te kullanıma sunulan Agentic Commerce Suite'i ve SPT'leri ABD'de, Kanada'da ve 32 Avrupa ülkesi ve bölgesinde, 2026-09-30.preview gibi önizleme API sürümlerinde kullanılabiliyor.

• Stripe tarafından yönetilen ödeme adımı. Stripe kataloğunuzu ajanlarla paylaşıyor, vergi ve kargo dahil ödeme adımını yürütüyor, SPT'yi tahsil ediyor ve checkout.session.completed gönderiyor. Yine de sizin sağlamanız gerekenler şunlar: şartlar, gizlilik ve iade politikaları, vergiye tabi her ürün için bir vergi kodu (“eksik yapılandırma ödeme adımlarının başarısız olmasına yol açabilir”), güncel stokla birlikte bir CSV kataloğu, webhook geldiğinde siparişin karşılanması ve her ajana bir bağlantı isteği. İsteğe bağlı bir sipariş onay hook'una dört saniye süre tanınıyor: “Hook'unuz bu süre içinde yanıt vermezse Stripe ödemeyi reddeder.”
• Kendi UCP ödeme adımınız, ödeme için Stripe. UCP profilinizde com.stripe.payments işleyicisini bildirin, SPT'yi /checkout-sessions/{id}/complete isteğinden alın ve bir PaymentIntent üzerinde payment_method_data[shared_payment_granted_token] alanına geçirerek tahsil edin.
• Başka bir ödeme işlemcisi. SPT Resolve API'si her token için kart ağı ödeme bilgilerini (network credentials) bir kez döndürüyor. PCI Uyum Beyanınız (Attestation of Compliance) Stripe'ta kayıtlı değilse Stripe bu bilgileri “özel anahtarına sizin erişemeyeceğiniz bir açık anahtarla” şifreliyor (örneğin ödeme işlemcinizin açık anahtarıyla) ve ödemeyi POST /v1/payment_records/report_payment ile kaydediyorsunuz.

Stripe 3 Mart 2026'da SPT'leri Mastercard Agent Pay ve Visa Intelligent Commerce token'larına, Klarna'ya ve Affirm'e genişletti: “Stripe ile zaten ödeme işleyen her satıcı, ajan tabanlı işlemler için bu yeni ödeme yöntemlerini otomatik olarak destekler.” Para iadeleri mevcut akışı kullanıyor.

PayPal

PayPal, mevcut satıcılar için “ek bir teknik çaba gerektirmeden” çalışacak Agent Ready'yi 28 Ekim 2025'te duyurdu; hizmetin 2026'nın başında sunulacağı belirtiliyordu. Ocak 2026'da hizmet Copilot ve Perplexity'de yayındaydı; ChatGPT, Gemini ve AI Mode ise “çok yakında” olarak gösteriliyordu. Belgeleri artık ChatGPT için Braintree devredilmiş token'larıyla ACP'yi, Google AI Mode ve Gemini için ise Braintree ya da PayPal'ın Orders v2 API'si aracılığıyla bir Google Pay işleyicisi üzerinden UCP'yi anlatıyor. Braintree UCP yolu, Google Pay'i ve “Google'da UCP satıcı kaydını” gerektiriyor. Erişim self servis değil: satıcıların erişim talep etmek için “bu formu doldurması gerekiyor”.

Adyen, Checkout.com ve Worldpay

16 Haziran 2026'da duyurulan Adyen Agentic “ABD'de faaliyet gösteren kurumsal satıcılar için sınırlı erişimde.” Checkout.com (25 Kasım 2025) ve Worldpay (29 Ekim 2025) ChatGPT'nin Instant Checkout'u için ACP desteğini duyurdu; Worldpay ayrıca 28 Ocak 2026'da Google ile UCP çalışmasını duyurdu. OpenAI o zamandan beri satıcıların “kendi ödeme deneyimlerini kullanabilmeleri” için Instant Checkout'tan geri adım attı; bu yüzden o ACP duyurularını tarihlerini göz önünde bulundurarak okuyun.

Riski Kim Taşıyor

Kaynaklar yan yana konduğunda risk aşağı yukarı ajanlardan önce durduğu yerde kalıyor.

Ajanlara özgü bir itiraz nedeni yok: Nisan 2026 Visa Kuralları'nın itiraz bölümü ajanlardan yalnızca CE3.0 kapsamındaki oturum açma kimliğiyle ilgili iki satırda söz ediyor; dolayısıyla ajan satın almalarına olağan koşullar altında itiraz ediliyor. “Bunu ajanım yaptı” demek, Visa'nın kurallarına göre tek başına bir dolandırıcılık iddiası değil, çünkü ajandan kart hamili sorumlu. Bu, satıcıyı güvende kılmıyor: kart hamili itiraz hakkını koruyor ve satıcı bu haktan feragat edilmesini isteyemez.

Bulduğumuz hiçbir kart ağı kuralı sorumluluğu ajan platformuna aktarmıyor. Checkout.com Aralık 2025'te yazdığı yazıda, yetki devrine dair açık kanıt olduğunda “sorumluluğun zincirin yukarısına kayabileceğini” belirtti; bu bir PSP'nin görüşü. Bir Forrester anketi, tüketicilerin bir ajanın hatalarından yapay zeka platformunun sorumlu olmasını beklediğini ortaya koydu; bu bir beklenti, kural değil.

Hukuk: AB, Birleşik Krallık ve ABD

Avrupa Birliği

PSD3 ile birlikte müzakere edilen Ödeme Hizmetleri Tüzüğü (Payment Services Regulation, PSR), 2 Ekim 2026 tarihli bir Konsey notuna göre 27 Kasım 2025'te geçici anlaşmaya vardı ve bu anlaşma 22 Nisan 2026'da Coreper tarafından onaylandı. Tüzük henüz kabul edilmedi: Parlamento'nun usul dosyası “Konsey'in birinci okuma tutumu bekleniyor” durumunu gösteriyor ve 14 Aralık 2026 için bir genel kurul oturumu öngörülüyor. Üzerinde anlaşılan metin yürürlüğe girmesinden 21 ay sonra uygulanacak; yani pratikte 2028'den önce değil.

Tüzüğün 85. maddesi, uzaktan verilen ödeme emirleri için “belirli bir tutara ve belirli bir alıcıya” bağlı güçlü müşteri kimlik doğrulaması (strong customer authentication) şart koşuyor; aynı şart “uzaktan bir kanal aracılığıyla token'laştırılmış bir ödeme aracının oluşturulması veya değiştirilmesi talimatı” için de geçerli. Satıcı tarafından başlatılan işlemlerde bu doğrulama sonraki her ödemede değil, talimat (mandate) oluşturulurken gerekiyor. Metinler yapay zeka ajanlarından hiç söz etmiyor: “yapay zeka” ifadesi yalnızca bir kez, dolandırıcılık izlemeye ilişkin bir gerekçe paragrafında geçiyor ve metindeki her “temsilci” (agent) bir ödeme kuruluşunun temsilcisini kastediyor. Token taşıyan bir yapay zeka ajanının 85. madde kapsamında nasıl değerlendirileceği bir yorum meselesi.

Birleşik Krallık

HM Treasury'nin (Birleşik Krallık Hazine Bakanlığı) görüş toplama belgesi 6 Ekim 2026'da kapandı. Belge, mevcut düzenlemelerin “yapay zekanın gelişiminden önce tasarlandığını ve ajan tabanlı yapay zekanın kullanımını tam olarak kolaylaştırmayabileceğini” söylüyor ve kimlik doğrulama, onay ve yetkisiz ödemelere ilişkin sorumluluk kurallarının ajan tabanlı ödemeler için güncellenmesi gerekip gerekmediğini soruyor. 22 Ekim itibarıyla yayımlanmış bir yanıt bulamadık. 19 Ekim'de Birleşik Krallık Finansal Davranış Otoritesi'nden (FCA) Jessica Rusu, FCA'nın “ajan tabanlı finans için güvenilir bir çerçeve” geliştireceğini söyledi; bir tarih vermedi.

Amerika Birleşik Devletleri

CFPB'nin (ABD Tüketici Finansal Koruma Bürosu) bu konuda herhangi bir yönergesini bulamadık. Bir banka sektörü kuruluşu olan Consumer Bankers Association'ın Ocak 2026 tarihli bir raporu, düzenleyicilerin “özel bir yönerge yayımlamadığını” söylüyor ve bir ajana yetki vermenin Regulation Z kapsamında bir kredi kartını kullanmak için “fiili, zımni veya görünüşteki yetki” sayılıp sayılmadığını “en iyi ihtimalle belirsiz” olarak niteliyor.

Gerçekte Ne Kadarı Yaşanıyor

• Merchant Risk Council. Visa Acceptance Solutions ve Verifi'nin ortak sponsorluğundaki MRC'nin 2026 raporu, Kasım ve Aralık 2025'te 37 ülkeden 1.278 satıcı profesyoneliyle anket yaptı. Katılımcıların %19'u ajan tabanlı yapay zeka ödemelerini kabul etmeye hazır olduklarını, %15'i ise hiçbir planları olmadığını söyledi. MRC'nin kendi üyeleri arasında hiçbir planı olmayanların oranı %46.
• PYMNTS. Visa Acceptance Solutions'ın sipariş ettiği bir rapor, ABD, Brezilya ve BAE'deki satıcıların %23'ünün yapay zeka kaynaklı trafiği ve satın almaları net bir şekilde ayırt edebildiğini ortaya koydu.
• Accertify. Dolandırıcılık önleme şirketi, Eylül 2026 itibarıyla “dünya genelinde ajan tarafından başlatılmış, tamamlanmış yüzlerce işlem” saydı; bu, işlemlerin “%1'inin çok altında” ve “baz puan cinsinden ölçülüyor”.
• Tüketiciler. Forrester'ın ABD, Birleşik Krallık ve Kanada'daki çevrimiçi yetişkinlerle yaptığı Nisan 2026 anketinde katılımcıların dörtte üçü, harcama sınırları olsa bile bir ajanın kendi başına ödeme yapmasından rahatsızlık duyacaklarını söyledi.

“Kabul etmeye hazır” olmak hacim değil, kendi beyanına dayanan bir hazırlık düzeyi. Ayrıca satıcı anketlerinden birine Visa ortak sponsor oldu, diğerini ise Visa sipariş etti.

Kendi Ödeme Adımı Olan Bir Satıcının Şimdi Yapması Gerekenler

Bunların hiçbirinin bir son tarihi yok: bir satıcının TAP, Agent Pay veya Web Bot Auth'u benimsemesi gereken bir Visa veya Mastercard tarihi bulamadık. Yapılacak iş, ajanların getirdiği siparişleri kaybetmemek ve bu siparişleri savunmak için gereken kanıtları saklamakla ilgili.

1. İstediğiniz ajanları engellemeyi bırakın. Ürün ve ödeme sayfalarındaki CAPTCHA'ları ve topyekûn bot kurallarını gözden geçirin. Cloudflare, 15 Eylül 2026'dan beri eklenen alan adlarında varsayılan olarak, reklam gösteren sayfalarda Agent olarak sınıflandırdığı botları engelliyor; kendi edge katmanınızın ne yaptığını kontrol edin.
2. Ajan token'larını normal akışınızda kabul edin. DTVC zaten sahip olduğunuz kart alanlarında geliyor. Üye işyeri bankanıza veya PSP'nize ajan token'larının ve ajan tanımlayıcılarının provizyon isteklerinize zaten ulaşıp ulaşmadığını sorun.
3. İmzaların nerede doğrulanacağına karar verin. Akamai'nin edge katmanı Web Bot Auth imzalarını doğruluyor ve Akamai, Visa ile birlikte TAP desteğini duyurdu. Cloudflare Ekim 2025'te TAP ve Agent Pay için yönetilen kurallar (managed rules) duyurdu; bunların kullanıma sunulduğunu gösteren bir şey bulamadık, bu yüzden sağlayıcınıza sorun. Kendi edge katmanınızda neyin geliştirilmesi gerektiğini Visa'nın referans proxy'si gösteriyor.
4. Bir protokol yolunu yalnızca bir program sizi çağırdığında seçin. UCP ödeme adımınızın arkasında ödeme için Stripe; talep üzerine ACP veya UCP için PayPal ve Braintree; ya da önce PCI Uyum Beyanınızı Stripe'a ileterek kendi ödeme işlemcinize SPT Resolve.
5. Para iadelerini ve itirazları olduğu gibi sürdürün. Ajan siparişlerinin iadesini orijinal ödeme yöntemine yapın ve şartlarınızda kart hamilinden itiraz haklarından feragat etmesini isteyen hiçbir şey olmadığından emin olun.
6. CE3.0 için gerekecek bilgileri kaydedin. Her sipariş için: IP adresi, cihaz kimliği veya parmak izi, müşteri oturum açma kimliği, teslimat adresi, ürünlerin açıklaması ve aldığınız ajan imzası sonucu ile niyet verileri. CE3.0 isteğe bağlı, ama hiç saklamadığınız bir kanıtı sunamazsınız.
7. Dolandırıcılık ve destek ekiplerini bilgilendirin. Ajan her siparişle birlikte kart hamilinin adını, adreslerini ve e-postasını iletiyor.

İzlemeye değer: Visa'nın Ekim 2026 kural baskısı, Intelligent Commerce Connect'in pilot aşamasından çıkması, Amex'in tam koruma şartları, Cloudflare'in yönetilen kuralları, aralıktaki AB genel kurul oturumu ve HM Treasury'nin yanıtı.

Nereden Destek Alabilirsiniz

Barındırılan bir platform üzerinde çalışmayan ödeme adımları için ajan tabanlı ödemelerin satıcı tarafını geliştiriyoruz: edge katmanında ya da uygulamada ajan imzası doğrulama, Stripe veya PayPal ile SPT ve UCP ödeme entegrasyonları, CE3.0 kanıtlarını saklayan sipariş bazında kayıt ve kayıtlı ajanların geçmesine izin veren bot kuralları. Bu iş yapay zeka ajanı geliştirme ve MCP entegrasyonu hizmetimizle başlıyor. Biz hukukçu değil mühendisiz: şartlarınız, itiraz politikanız ve PSR'nin sizin için ne anlama geleceği konusunda satış yaptığınız her pazarda bir ödeme hukuku avukatıyla çalışın; biz de onların yanıtına göre geliştirelim.

Ödeme adımınızın altyapısını, PSP'nizi ve üye işyeri bankanızı, CDN'inizi ve satış yaptığınız ülkeleri office@c9group.dev adresine yazın; bu programlardan hangilerinin bugün size ulaştığını ve onları kabul etmenin ne gerektireceğini söyleyelim.