Trusted Agent Protocol (TAP) di Visa
Verificato il 2026-06-18Il Trusted Agent Protocol (TAP) è un quadro di fiducia per il commercio agentico, presentato da Visa il 14 ottobre 2025 e sviluppato in collaborazione con Cloudflare. Permette a un merchant di verificare crittograficamente che un agente IA sia approvato e di distinguerlo da un bot malevolo, prima ancora che il commercio avvenga. TAP non è un protocollo di checkout né di pagamento: è il livello di fiducia che sta sotto. Si appoggia sulle firme di messaggi HTTP (RFC 9421), allineate a Web Bot Auth, e trasporta tre livelli di informazione: l’intenzione dell’agente, il riconoscimento del consumatore e, in opzione, dati di pagamento. Le specifiche iniziali si applicano alla rete Visa.
Fatti chiave
| Autore / promotore | Visa, sviluppato in collaborazione con Cloudflare |
|---|---|
| Annunciato il | 2025-10-14 |
| Licenza | Repository pubblico su GitHub (licenza propria, vedi LICENSE.md nel repository) |
| Governance | Pubblicato da Visa (Visa Developer Center e GitHub); Visa dichiara un lavoro di allineamento con IETF, OpenID Foundation ed EMVCo |
| Ambito | Quadro di fiducia per il commercio agentico: permette ai merchant di verificare crittograficamente gli agenti IA approvati (intenzione dell’agente, riconoscimento del consumatore, dati di pagamento opzionali) e di distinguerli dai bot malevoli al checkout |
| Trasporto | Firme di messaggi HTTP (RFC 9421), allineate a Web Bot Auth; estendibile a protocolli di messaggi non web |
| Pagamento | Gli agenti possono trasportare in opzione dati di pagamento per alimentare il checkout preferito dal merchant; le specifiche iniziali si applicano alla rete Visa |
| Maturità | beta |
Cosa lo distingue
- Presentato da Visa il 14 ottobre 2025, sviluppato in collaborazione con Cloudflare
- Firme crittografiche dell’agente legate al dominio del merchant e all’operazione, con protezioni anti-replay
- Tre livelli di informazione: intenzione dell’agente, riconoscimento del consumatore, dati di pagamento opzionali
- Costruito sulle firme di messaggi HTTP (RFC 9421) e allineato a Web Bot Auth
- Riscontri dei primi partner: Adyen, Ant International, Checkout.com, Coinbase, CyberSource, Elavon, Fiserv, Microsoft, Nuvei, Shopify, Stripe e Worldpay
- Posizionato da Visa come complementare ad ACP, con lavoro di interoperabilità x402 insieme a Coinbase
- Parte di Visa Intelligent Commerce, ampliato al Visa Payments Forum 2026 (10 giu. 2026) con Agent Score, un Agentic Directory e un Large Transaction Model
Come funziona TAP
TAP dà al merchant un modo per rispondere a tre domande prima di accettare un’interazione di agente: questo agente è legittimo e riconosciuto? Agisce per un utente preciso e autenticato? E porta istruzioni valide per questa azione? L’agente presenta una firma crittografica costruita sulle firme di messaggi HTTP (RFC 9421), allineate a Web Bot Auth. La firma include marche temporali, un identificativo di sessione univoco, identificativi di chiave e algoritmo (anti-replay), ed è legata al dominio del merchant e all’operazione specifica, navigazione o pagamento. Tre livelli di informazione l’accompagnano: l’intenzione dell’agente, il riconoscimento del consumatore (account o relazione esistente, con consenso) e, in opzione, dati di pagamento (per esempio Payment Account References per le carte salvate, numeri fedeltà, email).
Specifica e governance
Visa ha presentato TAP il 14 ottobre 2025, sviluppato in collaborazione con Cloudflare, con i primi riscontri di Adyen, Ant International, Checkout.com, Coinbase, CyberSource, Elavon, Fiserv, Microsoft, Nuvei, Shopify, Stripe e Worldpay. La specifica e un’implementazione di esempio completa (registro degli agenti, proxy CDN che verifica le firme RFC 9421, backend e frontend merchant, agente dimostrativo) sono pubbliche su GitHub con licenza propria. Visa dichiara un lavoro di allineamento con IETF, OpenID Foundation ed EMVCo.
Dove si colloca TAP nello stack
TAP non è un protocollo di checkout né di pagamento: è il livello di fiducia che permette a un merchant di distinguere un agente accreditato da un bot malevolo prima che il commercio avvenga. Visa lo posiziona come complementare ad ACP e collabora con Coinbase sull’interoperabilità x402. Sul fronte Mastercard, Agent Pay affronta lo stesso problema di fiducia dal lato dell’emissione e della tokenizzazione.
Limiti e questioni aperte
Le specifiche iniziali si applicano alla rete Visa; una portata su scala di ecosistema dipende dal lavoro di allineamento con gli enti di normazione che Visa dichiara di condurre. Nel repository non sono ancora presenti release taggate, e l’adozione lato merchant oltre ai primi partner nominati non è ancora documentata da fonti primarie.
A chi interessa
I merchant le cui difese anti-bot bloccano agenti di acquisto legittimi, i CDN e i fornitori anti-bot, e le piattaforme di agenti che vogliono vedere i propri agenti riconosciuti anziché filtrati.
Adozione
- Visa: Autore (2025-10-14). fonte
- Cloudflare: Collaborazione di co-sviluppo (2025-10-14). fonte
- Microsoft: Primo partner (riscontri) (2025-10-14). fonte
- Shopify: Primo partner (riscontri) (2025-10-14). fonte
- Stripe: Primo partner (riscontri) (2025-10-14). fonte
- Coinbase: Primo partner; interoperabilità x402 (2025-10-14). fonte
- OpenAI: Partner piattaforma IA (Visa Intelligent Commerce) (2026-06-10). fonte