Depuis 1997, le code 402 Payment Required traîne dans la spécification du protocole HTTP comme un panneau de chantier oublié. Réservé, jamais standardisé : chaque serveur y mettait ce qu'il voulait. Le 15 juillet 2026, Cloudflare a annoncé avec Coinbase une fondation pour porter le protocole x402, et AWS l'a branché sur CloudFront. Un agent logiciel peut désormais régler une ressource au milieu d'une requête, sans créer de compte.
Pour un indépendant, l'idée séduit : vendre une requête, un article ou un rendu à l'unité, sans espace client à construire. Le calcul refroidit vite. À 0,002 $ la requête, 10 000 appels rapportent 20 $, avant frais de réseau et avant la moindre déclaration fiscale. Le protocole fonctionne, la rentabilité reste à démontrer.
Un milliard de refus quotidiens, zéro vente
Le 402 apparaît avec HTTP/1.1 en 1997, sans format de réponse normalisé. Les serveurs l'ont renvoyé sans que personne sache quoi en faire. Cloudflare dit en voir plus d'un milliard par jour sur son réseau, surtout face aux robots et aux crawlers. Le chiffre vient de Cloudflare lui-même, sans audit externe, et il décrit des refus, pas des ventes : pendant trente ans, ce milliard de péages n'a encaissé rien.
Quatre échanges dans une seule requête
Le client réclame une ressource ; le serveur répond 402 et annonce le prix, la monnaie acceptée, le réseau et l'adresse du marchand dans un en-tête PAYMENT-REQUIRED. Le client signe alors un paiement et renvoie sa requête avec un en-tête PAYMENT-SIGNATURE. Un intermédiaire, le facilitateur, vérifie la preuve et règle la transaction en USDC, un jeton indexé sur le dollar, sur Base ou Solana. Le serveur livre enfin la ressource, accompagnée d'un PAYMENT-RESPONSE qui confirme le règlement.
Le contrôle s'exécute en amont du serveur d'origine : chez Cloudflare, dans plus de 330 villes ; chez AWS, via une action « Monetize » de Bot Control, le module anti-robots du pare-feu applicatif. L'origine ne voit jamais une requête impayée. Le paiement tient lieu d'identifiant, ce qui suffit à une machine et laisse un comptable sans rien à classer.
Le paiement tient lieu d'identifiant. Pratique pour une machine, inutilisable pour une comptabilité.
Vendre à l'unité : ce que ça débloque
Un développeur qui expose un générateur de PDF, un jeu de données, un calcul ou un outil MCP, le protocole qui relie les agents à leurs outils, peut le mettre derrière un prix par appel. Il n'a plus de base d'utilisateurs à gérer, ni de mots de passe, ni de paniers à relancer.
Le client occasionnel y gagne : celui qui a besoin de dix appels n'a plus à souscrire un mois d'abonnement. Pour le vendeur, l'effort se déplace vers la définition de l'unité vendue et la qualité du journal de requêtes. Attention toutefois : les agents qui achètent à l'appel sont aussi ceux qui comparent les prix à l'appel.
TVA, remboursements, fraude : trois trous dans la raquette
Le protocole règle l'échange technique, pas la comptabilité. Si un agent paie en stablecoin, qui est le client ? Prenons un auto-entrepreneur de Toulouse qui vend un jeu de données 0,05 $ l'appel : à 20 % de TVA, un acheteur professionnel établi en France doit être facturé avec TVA ; un acheteur d'un autre pays de l'Union relève d'une autre règle. Sans identité d'acheteur, impossible de savoir laquelle s'applique. Ni Cloudflare ni AWS ne répondent à cette question dans leur documentation. Verdict : tant qu'il n'y a pas d'acheteur identifié, un indépendant français ne devrait pas encaisser de ventes x402 en dehors d'un test.
Deux autres problèmes. Une transaction sur la blockchain est définitive : un endpoint qui tombe après paiement se compense par un avoir, jamais par une annulation. Et chaque 402 consomme du calcul même quand personne ne paie, ce qui expose aux sondages massifs, au rejeu d'une signature ou à un paiement valide sur un réseau présenté sur un autre.
La piste la plus utile aux petits acteurs est la proposition de paiement différé de Cloudflare : elle sépare la signature du règlement et permet une facturation groupée en fin de journée, par carte ou virement, sans blockchain. Elle reste une proposition, sans date de livraison.
Cinq décisions avant la première ligne de code
- L'unité facturable : requête, kilo-octet ou minute de calcul. Si elle ne se mesure pas exactement, la facture sera contestée.
- Le plancher de prix : sous le centime, frais et latence mangent la marge ; il faut regrouper les appels.
- L'identité : clé signée, liste blanche ou facturation différée avec un client réel.
- Le journal : identifiant de requête, paiement, ressource, horodatage. Il sert de preuve de livraison et de pièce comptable.
- La protection du 402 : limiter les refus, car chacun coûte du calcul.
Les agents paieront-ils ?
Les sceptiques ont un argument concret : le contenu gratuit ou synthétique abonde, et un agent contourne un péage dès qu'une alternative existe. Cloudflare répond que, avec l'application du paiement en amont des serveurs, les sources gratuites des contenus de valeur se raréfieront. Les deux positions se vérifieront dans les tarifs, pas dans les discours.
Coinbase annonce 169 millions de paiements, 590 000 acheteurs et 100 000 vendeurs la première année. Ces chiffres, publiés par l'entreprise à l'origine du protocole, donnent environ 1 700 paiements par vendeur, de très petits montants pour la plupart. Ils prouvent un usage, pas une activité rentable en dehors de l'écosystème crypto. Deux repères à suivre : la publication d'un tarif pour la Monetization Gateway de Cloudflare, encore en liste d'attente, et la première place de marché affichant des vendeurs non crypto. Tant qu'aucun des deux n'arrive, mieux vaut traiter le 402 comme un test à 20 $ que comme un revenu.
Un protocole de paiement ne dit jamais qui doit payer la TVA.