Cloudflare Wallets : les agents IA ont désormais un portefeuille

Le 4 août, au milieu de son « Agents Week », Cloudflare a lâché une annonce qui ressemble à une note de blog technique et qui est en réalité un pari sur les dix prochaines années du web. Cloudflare Wallets : des portefeuilles en stablecoins destinés non pas à des humains, mais à des logiciels. Votre agent IA aura bientôt un solde, une adresse lisible et le droit de dépenser. Sans vous demander à chaque fois.

Ce qui a été lancé, exactement

Deux objets, pas un seul, et la distinction compte.

• Les Account Wallets appartiennent à un humain ou à une organisation disposant d'un compte Cloudflare. C'est là qu'on dépose des fonds, qu'on retire, et qu'on crée des portefeuilles enfants.
• Les Virtual Wallets sont ceux des agents. Ils s'opèrent via des clés API, avec un plafond de dépense fixé par le propriétaire humain.

S'y ajoute une couche d'identité : cloudflare.pay. Chaque agent obtient une adresse lisible du genre research.example.cloudflare.pay, qui dit au marchand qui est derrière la machine. Cloudflare assume l'analogie avec le DNS — un nom compréhensible posé sur une plomberie qui ne l'est pas.

État réel du déploiement, parce que c'est là que les annonces se dégonflent souvent : les réservations de handles sont ouvertes depuis mardi. Le financement des portefeuilles et l'émission des virtual wallets, eux, arrivent « dans les prochains mois ». On réserve un nom de domaine, en somme, pas encore une carte bancaire.

x402, le code HTTP que personne n'utilisait

Toute la mécanique repose sur x402, un protocole initialement poussé par Coinbase. Son idée est d'une simplicité désarmante : recycler le code de statut HTTP 402 Payment Required, défini dans les spécifications du web depuis les années 90 et resté quasiment lettre morte pendant trente ans.

Concrètement : un agent demande une ressource, le serveur répond 402 avec les conditions de paiement, l'agent attache le paiement à la requête, le serveur sert la donnée. Pas de compte à créer, pas de formulaire, pas de tunnel de paiement. Une requête, un règlement.

Les volumes déjà passés par x402 donnent la mesure du truc : 160,6 millions de transactions pour 41,2 millions de dollars cumulés sur plusieurs chaînes. Faites la division — environ 26 centimes par transaction. On est en plein micropaiement, pas dans le commerce classique. C'est exactement le profil d'usage d'un agent qui interroge une API météo, achète trois pages d'un rapport payant ou paie une requête de scraping.

En toile de fond, un marché des stablecoins qui dépasse 307 milliards de dollars, dominé par l'USDT (183,2 milliards) et l'USDC (72,2 milliards). Ce n'est plus un laboratoire.

Les garde-fous, ou comment éviter que votre bot ne vide le compte

La question que tout le monde se pose en premier : qu'est-ce qui empêche un agent en boucle infinie de brûler 4 000 dollars en API pendant la nuit ? Cloudflare a prévu un jeu de limites, paramétrées côté humain :

• Une allocation hebdomadaire par agent.
• Une taille maximale de transaction.
• Une liste de marchands approuvés — l'agent ne peut payer qu'à des destinataires autorisés.
• Des notifications envoyées à l'administrateur en cas d'activité inhabituelle.
• Un mécanisme par lequel l'agent peut demander une rallonge, qui exige une approbation humaine.

Will Papper, cité dans les comptes rendus du lancement, résume la promesse : les agents peuvent payer sans validation manuelle à chaque transaction. C'est tout l'intérêt, et c'est aussi tout le risque. Un système qui exige une approbation à chaque appel d'API n'est pas un agent autonome, c'est un formulaire déguisé. Un système qui n'en exige jamais est une facture surprise.

Ce que Cloudflare n'a pas dit

L'annonce est remarquablement silencieuse sur les détails qui décideront de son adoption :

• Quelles blockchains ? Non précisé.
• Quels stablecoins ? Non précisé.
• Qui détient les fonds — Cloudflare, un partenaire régulé, l'utilisateur ? Modalités de garde non détaillées.
• Quelle tarification ? Aucune grille publiée.
• Quels clients de lancement ? Aucun nom cité.

Ce flou n'est pas anodin. Héberger des soldes en stablecoins pour des millions de comptes pose des questions de conformité — lutte anti-blanchiment, statut d'émetteur ou de prestataire de services sur actifs numériques, régime MiCA en Europe — qu'une page de blog ne règle pas. Tant que la custody n'est pas clarifiée, un directeur financier européen ne mettra pas 50 000 euros sur un Account Wallet.

Le vrai sujet, c'est l'identité

Matthew Prince, le patron de Cloudflare, a livré la phrase qui éclaire toute la stratégie : « When an agent shows up at your door, you need to know who sent it. » Quand un agent frappe à votre porte, vous devez savoir qui l'envoie.

Cloudflare voit passer une part énorme du trafic mondial. Depuis deux ans, l'entreprise se bat sur le front des crawlers IA qui aspirent les contenus sans rien payer ni s'identifier. Le raisonnement se tient : si les bots deviennent des clients solvables et identifiables, le conflit se transforme en marché.

La pièce manquante était le côté acheteur. Le côté vendeur existait déjà avec la Monetization Gateway annoncée le 1er juillet, qui permet à un site de facturer une requête d'agent en stablecoins via x402. Avec Wallets, Cloudflare tient les deux bouts de la chaîne — celui qui paie et celui qui encaisse — plus l'annuaire au milieu. C'est une position d'infrastructure, pas de produit.

L'entreprise n'est d'ailleurs pas seule : la x402 Foundation rassemble Coinbase, Stripe, Visa et AWS. Quand Visa et Stripe s'assoient à la même table qu'un protocole crypto, ce n'est plus une expérimentation de niche.

Ce que ça change, concrètement

Pour un éditeur de site ou un développeur d'API, la perspective est nette : facturer 0,001 dollar la requête devient techniquement possible sans passer par un abonnement, un compte client ou un contrat. Le micropaiement web, promis depuis 1998 et jamais tenu faute de rails adaptés, trouve un cas d'usage où il fonctionne — parce que le payeur est une machine qui ne râle pas sur l'expérience utilisateur.

Pour les entreprises qui déploient des agents, la vraie difficulté ne sera pas technique. Elle sera comptable et juridique. Qui signe l'engagement de dépense ? Comment un commissaire aux comptes traite-t-il 40 000 micro-transactions en stablecoins par mois ? Que se passe-t-il quand un agent achète un service qui s'avère frauduleux — l'allow-list protège, mais elle suppose qu'on sache à l'avance chez qui on va acheter, ce qui contredit un peu l'idée d'exploration autonome.

La chose à surveiller dans les mois qui viennent : le passage des réservations de handles à des portefeuilles réellement alimentés, et surtout le nom du premier gros client qui acceptera de dire publiquement qu'il laisse ses agents payer seuls.