Mandats AP2 v0.2 : intention de l’utilisateur, achats autonomes et gouvernance FIDO

Ce que c'est

État au 25 octobre 2026. La spécification AP2 publiée se présente comme la v0.2. Vérifier à nouveau cette révision, son cadre d’autorisation et les publications ultérieures de FIDO avant la mise en œuvre. AP2 fournit, au sein d’un protocole de commerce, des preuves de délégation d’autorisation d’achat ; il ne définit ni le catalogue ni l’API de mise à jour du passage en caisse.

La terminologie compte. La spécification v0.1.0 décrivait un Intent Mandate pour l’autorisation en l’absence de l’utilisateur, un Cart Mandate pour un achat approuvé par l’utilisateur et un Payment Mandate transmettant les informations propres au paiement. La v0.2 comporte deux types de mandats : Checkout et Payment. Chacun peut être ouvert, pour exprimer des contraintes, ou fermé, pour autoriser une transaction précise. Ne pas associer d’anciens exemples aux schémas actuels sans conception explicite de la migration.

Pourquoi c'est important

Le Checkout Mandate lie l’approbation aux données de passage en caisse signées par le marchand. Le Payment Mandate autorise le paiement associé. Les différents participants disposent ainsi des preuves correspondant à leurs responsabilités, sans que le récit de l’agent fasse autorité pour débiter un montant.

Le cadre d’autorisation décrit des justificatifs numériques vérifiables reposant sur des jetons JSON signés à divulgation sélective, les SD-JWT VC. Les signatures, la liaison à une clé et l’évaluation des contraintes remplissent des fonctions différentes. Une signature valide ne prouve pas à elle seule que l’achat respecte les limites fixées par l’utilisateur.

La gouvernance exige elle aussi une formulation précise. Le 28 avril 2026, FIDO a annoncé la contribution d’AP2 par Google et la poursuite de son développement au sein de son Payments Technical Working Group, aux côtés de la contribution Verifiable Intent de Mastercard. Cette annonce établit un processus d’élaboration de normes ; elle ne constitue ni une spécification FIDO définitive ni une certification d’implémentation.

Comment l'appliquer

• Séparer les responsabilités. Identifier les rôles Shopping Agent, Credential Provider, Merchant, Merchant Payment Processor et Trusted Surface. AP2 exige que la Trusted Surface ne repose pas sur un agent et que la validation s’exécute dans du code déterministe.
• Gérer l’approbation directe. Dans le flux documenté en présence de l’utilisateur, l’interface de confiance affiche les mandats fermés et recueille le consentement. Le fournisseur de justificatifs vérifie l’autorisation de paiement ; le marchand vérifie l’autorisation de passage en caisse avant de finaliser la transaction.
• Gérer la délégation préalable. Pour un fonctionnement en l’absence de l’utilisateur, celui-ci autorise des mandats ouverts. Ces mandats lient la clé publique de l’agent via cnf ; l’agent les fournit ensuite avec les mandats fermés qu’il a signés. Définir des contraintes de portée restreinte et une échéance adaptée.
• Refuser en cas d’incertitude. Vérifier la chaîne de mandats, préserver les assertions fixées par les mandats ouverts et évaluer chaque contrainte. Le cadre traite les contraintes inconnues comme des échecs. unresolved_constraint peut ramener à une approbation directe de l’utilisateur ; invalid_credential est une erreur de vérification terminale.
• Préserver la traçabilité des preuves. Les exemples de flux renvoient des Checkout Receipts et des Payment Receipts. À titre de pratique opérationnelle, conserver avec la commande les références pertinentes des mandats et des reçus, en contrôlant leur accès, afin de pouvoir reconstituer l’approbation lors d’une enquête.

Pièges

Les diagrammes de flux sont explicitement des exemples non normatifs, pas un test de conformité. La réception d’un mandat signé ne prouve pas la livraison et ne garantit pas le remboursement d’un achat contesté. Définir les responsabilités opérationnelles relatives à la vérification, à la conservation des reçus et aux transactions non résolues avant d’activer les achats sans supervision.