Cos'è x402?

x402 è un protocollo open source (licenza Apache 2.0) che allega un pagamento direttamente a una richiesta HTTP, riattivando il codice di stato 402 "Payment Required", riservato dagli architetti del web nel 1991 e rimasto lettera morta per trentacinque anni. Un agente AI chiama un endpoint a pagamento, riceve una risposta 402 con i dettagli del pagamento richiesto, salda l'importo (tipicamente in stablecoin) e ottiene la risorsa nella stessa sequenza di richieste, senza creare un account, senza comprare una API key in anticipo e senza inserire una carta. Nato nel 2025 dal Coinbase Developer Platform insieme a Cloudflare, il protocollo è passato a una governance vendor-neutral: la Linux Foundation ha dichiarato operativa la x402 Foundation il 14 luglio 2026, con circa quaranta organizzazioni fondatrici tra cui Visa, Mastercard, American Express, Stripe, Google, AWS, Shopify, Ripple, Circle e la stessa Coinbase. Il repository di riferimento resta github.com/coinbase/x402, ora un fork di sviluppo della base ufficiale trasferita a x402-foundation.

Leggi anche: Agentic commerce · Transazione commerciale eseguita da un agente AI per un utente: scoperta, autorizzazione, pagamento, prova del mandato.

Come funziona in pratica: i wallet di Cloudflare

Il 4 agosto 2026 Cloudflare ha annunciato Cloudflare Wallets, un'implementazione che rende tangibile il protocollo. Il sistema distingue due tipi di portafoglio: un Account Wallet appartiene a una persona o a un'azienda con un account Cloudflare ed è ciò che detiene davvero i fondi; un Virtual Wallet appartiene a un agente AI autorizzato a spendere entro limiti fissati dal proprietario, con un identificatore leggibile del tipo qualcosa.cloudflare.pay. Il proprietario imposta il tetto di spesa, l'elenco degli esercenti approvati e la soglia sopra la quale serve un'autorizzazione umana esplicita; l'agente esegue poi ogni singola chiamata a un'API a pagamento senza fermarsi a chiedere il permesso ogni volta, entro quel perimetro. È l'esempio concreto di cosa significa "commercio agentico headless": un servizio dietro un endpoint HTTP che si paga da solo, chiamata per chiamata, senza un'interfaccia di checkout.

La differenza netta con l'agentic commerce

x402 non è un sinonimo di agentic commerce: sono due ambiti distinti, che risolvono problemi diversi. L'agentic commerce, e i protocolli di mandato come AP2, Mastercard Agent Pay o il Trusted Agent Protocol di Visa, riguardano un agente che acquista qualcosa per conto di un umano finale, con un checkout tradizionale e una prova crittografica che quell'umano ha autorizzato quello specifico acquisto. x402 riguarda invece un pagamento nativo dell'HTTP tra macchine: un agente che paga un'API o un altro sistema per ottenere un servizio, tipicamente un micropagamento, senza un checkout e senza un mandato firmato per ogni singola transazione, perché il limite di spesa è già stato impostato a monte, sul wallet stesso.

Perché conta per chi decide

x402 introduce un vettore di rischio operativo nuovo per chi adotta agenti AI autonomi con capacità di spesa: la domanda da porsi prima dell'adozione non è se il protocollo prevarrà, ma chi decide il tetto di spesa di ogni Virtual Wallet, come viene auditato ogni pagamento in autonomia e cosa succede se un agente compromesso comincia a drenare il wallet chiamata dopo chiamata. La separazione tra custodia dei fondi (Account Wallet) e capacità di spesa (Virtual Wallet) è la prima difesa, ma resta un controllo che procurement e sicurezza devono saper configurare e monitorare, non un'impostazione da lasciare al default del fornitore.