Le paiement sans mot de passe entre dans une nouvelle phase. Jusqu’ici, l’enjeu principal consistait à remplacer les identifiants faibles par des mécanismes plus robustes, comme les passkeys et la biométrie. En 2026, le sujet s’élargit avec l’essor des assistants d’achat autonomes capables d’exécuter des commandes pour le compte d’un utilisateur, parfois sans interaction humaine immédiate au moment du paiement.
Pour les PME, les e-commerçants et les entreprises en croissance, cette évolution crée à la fois une opportunité commerciale et une exigence de sécurité plus élevée. Il ne suffit plus de vérifier qui se connecte : il faut aussi prouver qu’un agent agit dans un cadre autorisé, limité et contrôlable. C’est précisément ce qui redéfinit aujourd’hui la manière de sécuriser le paiement sans mot de passe.
Pourquoi le commerce agentique change les règles du paiement
Les assistants d’achat autonomes ne sont plus un simple concept. Le FIDO Alliance a annoncé le 28 avril 2026 la création d’un Agentic Authentication Technical Working Group, avec des travaux dédiés à des spécifications pour le commerce initié par des agents. Ce signal est important : l’industrie considère désormais le paiement par agent comme un cas d’usage structurant, qui nécessite des standards propres.
Le changement majeur tient au scénario dit Human Not Present. Dans AP2 v0.2, ce cas d’usage devient explicite : un agent IA peut réaliser un achat de manière indépendante à partir d’instructions préautorisées par l’utilisateur, par exemple pour acquérir rapidement un produit en stock limité. Dans ce cadre, l’absence d’intervention humaine au dernier clic oblige à repenser la chaîne de confiance.
Pour un site e-commerce, cela implique une mutation de l’expérience de paiement. Les parcours conçus pour un client présent devant son écran ne suffisent plus. Les marchands doivent anticiper des transactions où l’initiation, la sélection du produit et le paiement peuvent être orchestrés par un agent, tout en restant conformes aux attentes de sécurité, de traçabilité et d’acceptation bancaire.
L’enjeu central n’est plus seulement l’authentification, mais l’autorisation
Pendant des années, la sécurité des paiements s’est concentrée sur l’authentification de l’utilisateur. Or, le FIDO Alliance souligne que les modèles actuels ont été conçus pour l’interaction humaine directe. Avec les assistants autonomes, la vraie question devient : comment démontrer de façon vérifiable qu’un agent avait bien le droit d’agir, dans un périmètre défini, au moment précis de la transaction ?
Cette nuance est déterminante. Un utilisateur peut être authentifié de manière forte une première fois, puis déléguer certaines actions à un agent. La sécurité ne repose alors plus uniquement sur la preuve d’identité initiale, mais sur le lien cryptographique entre cette identité, les instructions données et l’achat réellement exécuté. Sans ce lien, le système reste exposé à des dérives, des contestations ou des comportements non conformes aux attentes du client.
Pour les entreprises, cette évolution appelle une gouvernance plus mature des permissions de paiement. Il faut définir des règles d’autorisation exploitables techniquement : plafonds, catégories de produits, durée de validité, marchands autorisés, niveau de preuve exigé. En pratique, sécuriser le paiement sans mot de passe dans un contexte agentique revient à gérer des droits d’action, pas seulement des accès.
Les passkeys deviennent la base de confiance des paiements autonomes
Les passkeys occupent désormais une place stratégique dans l’écosystème du paiement. Selon Stripe, dans une ressource mise à jour le 13 juillet 2026, elles remplacent les mots de passe et les OTP dans les parcours de paiement, tout en préparant le terrain à un e-commerce où des agents IA pourront passer commande de manière sécurisée. Le rôle des passkeys dépasse donc l’amélioration UX : elles forment la couche de confiance initiale.
Le FIDO Alliance rappelle également que les passkeys ont prouvé à grande échelle qu’une sécurité forte peut coexister avec une excellente ergonomie. Cet argument compte particulièrement pour les e-commerçants, car la performance d’un tunnel de conversion dépend autant de la fluidité que de la protection contre la fraude. Une authentification robuste, sans friction excessive, reste la meilleure base pour autoriser ensuite des actions déléguées.
Dans les usages 2026 du FIDO Alliance, les paiements sont désormais présentés comme un cas natif des passkeys, notamment pour la transaction authorization. Autrement dit, l’authentification sans mot de passe n’est plus seulement utile pour ouvrir une session : elle devient un élément central pour valider l’intention de payer et limiter les risques associés aux transactions initiées directement ou indirectement par des agents.
Verifiable Intent : relier l’utilisateur, l’instruction et la transaction
Mastercard et Google ont mis en avant le cadre Verifiable Intent comme couche de confiance pour les paiements IA. Selon le FIDO Alliance, cette approche cryptographique open source relie l’identité vérifiée du consommateur, ses instructions données à l’agent et la transaction finale. Une étape biométrique préalable vient ancrer cette preuve dans une authentification forte de type FIDO.
L’intérêt est considérable pour les marchands et les plateformes. En cas de paiement autonome, il devient possible de démontrer que l’agent n’a pas simplement “tenté” un achat, mais qu’il l’a fait dans un cadre d’intention explicitement autorisé. Ce mécanisme répond à un besoin fondamental du commerce agentique : fournir une preuve exploitable par les systèmes de paiement, les partenaires, les dispositifs antifraude et, si nécessaire, les équipes de support.
Mastercard et Google présentent ainsi Verifiable Intent comme une confiance de niveau “passkey-grade”. En clair, le modèle vise à apporter aux transactions autonomes le même niveau de robustesse perçu que l’authentification biométrique sans mot de passe. Pour les entreprises, c’est une piste très concrète pour sécuriser le paiement sans mot de passe sans recréer des frictions incompatibles avec l’automatisation.
La confidentialité minimale devient un critère de conception
La sécurité ne peut pas progresser au détriment de la confidentialité. Dans le cadre de Verifiable Intent, le mécanisme de divulgation sélective est décrit comme une réponse explicite à ce défi. Chaque acteur de la transaction n’accède qu’aux données strictement nécessaires à son rôle, sans qu’un dossier complet soit exposé à une seule partie.
Cette logique est particulièrement pertinente pour les PME et les e-commerçants soumis à une pression réglementaire et réputationnelle croissante. Plus un système centralise d’informations sensibles, plus il augmente sa surface de risque. À l’inverse, un modèle de preuve minimale limite les données circulantes, réduit les conséquences d’un incident et renforce la confiance des utilisateurs dans les parcours d’achat automatisés.
Sur le plan opérationnel, cela signifie qu’un bon dispositif de paiement agentique doit être pensé avec des principes de minimisation dès l’architecture. Il ne s’agit pas seulement de chiffrer les échanges, mais aussi de concevoir des flux où l’identité, l’autorisation et le moyen de paiement sont séparés de manière contrôlée. Cette approche aide à bâtir des systèmes plus résilients et plus faciles à faire évoluer.
Des jetons dédiés aux agents pour ne jamais exposer les credentials
La troisième brique de sécurité émergente concerne les primitives de paiement dédiées aux agents. Le 3 mars 2026, Stripe a présenté les Shared Payment Tokens ou SPTs. Leur objectif est clair : permettre à des agents d’initier des paiements avec l’autorisation du client, sans exposer les identifiants de paiement sous-jacents.
Cette approche répond à une exigence simple mais essentielle : un agent ne devrait jamais manipuler directement les secrets critiques d’un utilisateur. En remplaçant l’accès aux credentials par des jetons spécialisés, limités et révocables, le système réduit la portée d’une compromission potentielle. Le marchand, de son côté, bénéficie d’un cadre plus propre pour intégrer des achats délégués tout en conservant une logique de contrôle.
Stripe indique aussi que les agentic network tokens se comportent comme des network tokens classiques, avec un mappage automatique vers la carte la plus récente lors des demandes d’autorisation. Pour les acteurs du e-commerce, cette abstraction technique est stratégique : elle améliore la continuité opérationnelle, réduit l’exposition des données sensibles et facilite l’orchestration des paiements dans des environnements pilotés par des agents.
La standardisation est vitale pour éviter un marché fragmenté
Le transfert du protocole AP2 de Google au FIDO Alliance, annoncé le 29 avril 2026, illustre une volonté forte de construire un cadre ouvert et interopérable. Google a expliqué ce choix par la nécessité de préserver une approche platform-agnostic et d’accélérer l’adoption dans l’ensemble de l’écosystème des paiements. C’est un point décisif pour les marchands qui veulent investir sans dépendre d’un seul acteur.
Le FIDO Alliance avertit d’ailleurs d’un risque majeur : sans standardisation, le marché pourrait se fragmenter en modèles de “paiement IA” incompatibles, avec des sémantiques, des postures de sécurité et des charges d’intégration différentes. Pour une PME ou une boutique WooCommerce, cette fragmentation signifierait davantage de complexité, plus de coûts de maintenance et moins de visibilité sur la pérennité des choix techniques.
À l’inverse, des standards ouverts créent des bénéfices très concrets. Ils facilitent l’interopérabilité entre navigateurs, systèmes de paiement, fournisseurs de wallets, PSP et plateformes e-commerce. Ils permettent aussi de mieux aligner la sécurité, la conformité et la performance métier. En pratique, adopter des solutions qui s’inscrivent dans cette trajectoire limite les impasses techniques et sécurise les investissements digitaux à moyen terme.
Comment préparer son site e-commerce dès maintenant
Pour les entreprises qui vendent en ligne, la bonne approche consiste à raisonner en trois briques complémentaires. Premièrement, déployer une authentification sans mot de passe fondée sur les passkeys et la biométrie là où elle apporte une valeur immédiate. Deuxièmement, intégrer des mécanismes d’autorisation vérifiable pour l’intention de payer. Troisièmement, privilégier des jetons ou primitives dédiés aux agents afin d’éviter toute exposition des credentials.
Cette préparation n’implique pas forcément une refonte complète à court terme. Elle suppose surtout de faire évoluer l’architecture de paiement, les parcours de compte client et les politiques de délégation. Concrètement, cela peut passer par un audit des points de friction du tunnel de conversion, une revue des API de paiement disponibles, une réflexion sur la traçabilité des consentements et une veille active sur les standards FIDO et les innovations des PSP.
Pour une PME, l’objectif doit rester pragmatique et orienté résultats. Il s’agit d’améliorer simultanément la conversion, la sécurité et la capacité future à accueillir des usages agentiques. Les organisations déjà engagées dans les passkeys rapportent d’ailleurs des gains opérationnels mesurables, comme le montre le Passkey Index 2025 du FIDO Alliance, fondé sur des retours d’acteurs tels qu’Amazon, Google, Microsoft, PayPal, Target et TikTok. Le message est clair : les bases technologiques sont suffisamment mûres pour produire de la valeur dès aujourd’hui.
Sécuriser le paiement sans mot de passe face aux assistants d’achat autonomes ne revient donc pas à ajouter une couche défensive de plus. C’est une transformation du modèle de confiance du paiement en ligne. Le mot de passe disparaît, mais il doit être remplacé par un ensemble cohérent de preuves : identité forte, autorisation vérifiable et jetons de transaction adaptés aux agents.
Pour les entreprises qui veulent bâtir un e-commerce durable, l’enjeu est autant stratégique que technique. Les standards portés en 2026 par le FIDO Alliance, Google, Mastercard et Stripe dessinent déjà la direction du marché. Anticiper maintenant ces nouvelles exigences permet de réduire les risques, d’améliorer l’expérience client et de préparer une croissance digitale plus robuste dans un commerce où l’humain ne sera plus toujours présent au moment de payer.
