Auth for UCP

Sécurisez les serveurs Universal Commerce Protocol (UCP) avec Auth0 pour permettre aux agents d’IA comme Google Gemini d’effectuer la découverte, d’associer des comptes et de finaliser des achats au nom d’acheteurs vérifiés.

La fonctionnalité Auth for UCP est en accès anticipé.

En utilisant cette fonctionnalité, vous acceptez les conditions d’essai gratuit applicables du contrat-cadre d’abonnement (Master Subscription Agreement) d’Okta. Si vous souhaitez participer, veuillez manifester votre intérêt en remplissant le formulaire du programme de partenariat d’accès anticipé limité.

Le Universal Commerce Protocol (UCP) est une norme ouverte qui offre aux agents d’IA une façon uniforme d’interagir avec le catalogue, le panier et le processus de paiement d’un marchand. Si l’UCP définit ce que les agents peuvent acheter et le fonctionnement des flux commerciaux, il ne précise pas qui est l’agent, pour quel acheteur il agit, ni ce qu’il est autorisé à faire. Auth for UCP comble cette lacune en ajoutant une couche d’identité et d’autorisation à votre serveur UCP à l’aide de votre locataire Auth0 existant.

Avec Auth for UCP, vous pouvez :

• Publier vos permissions UCP pour que les agents puissent les découvrir à partir des métadonnées OAuth et OIDC standard de votre locataire.
• Lier le compte d’un acheteur qui utilise une plateforme d’agent à son compte sur votre site grâce à la liaison de comptes OAuth standard.
• Associer les achats à un acheteur vérifié, pour que les agents puissent tirer parti de l’historique des commandes, des points de fidélité et des coupons admissibles plutôt que de traiter le paiement comme anonyme.

C’est au marchand de décider s’il fait confiance à une plateforme d’agent d’IA, et c’est lui qui est responsable de la destination des jetons une fois qu’ils sont émis. N’ajoutez pas de données personnelles aux revendications personnalisées des jetons d’accès UCP.

​

Cas d’utilisation

• Vendre par l’intermédiaire d’assistants IA, un nouveau canal de vente : permettez aux acheteurs de découvrir, de comparer et d’acheter les produits de votre marque directement dans des plateformes d’agents comme Gemini, avec un paiement associé à une identité d’utilisateur vérifiée.
• Personnaliser les achats assistés par un agent : associez l’acheteur qui utilise l’agent à son compte sur votre site, afin que l’agent puisse tirer parti de son historique de commandes, créditer des points de fidélité et appliquer les coupons admissibles, plutôt que de traiter chaque paiement de façon anonyme.
• Contrôler ce que les agents peuvent demander : publiez uniquement les permissions UCP prises en charge par votre serveur et autorisez chaque plateforme d’agents au moyen d’une autorisation client, de sorte que les agents ne puissent demander que les accès que vous avez approuvés.

​

À qui s’adresse ce guide

Auth for UCP s’adresse aux marchands qui développent et exploitent leur propre serveur UCP et qui ont besoin d’une couche d’autorisation conforme aux normes. Si vous utilisez une plateforme de commerce électronique qui prend déjà en charge UCP de façon intégrée, vous n’aurez probablement rien à configurer vous-même.

​

Fonctionnement

Auth0 prend en charge les flux qu’utilisent actuellement les agents UCP. Vous choisissez ceux à activer selon l’expérience utilisateur que vous souhaitez offrir.

Flux	Quand il est utilisé	Comportement d’Auth0
Accès invité	Un acheteur effectue un achat en tant qu’invité, sans qu’aucun compte ne soit créé ni lié.	La plateforme de l’agent utilise l’octroi des identifiants du client auprès de votre serveur de ressources UCP. Auth0 le traite comme toute autre API qui autorise l’accès en communication entre machines (M2M); aucune configuration propre à UCP n’est donc requise.
Liaison de comptes standard	Un acheteur possède déjà un compte chez vous ou en crée un. La plateforme de l’agent affiche un écran de consentement, puis redirige l’acheteur vers votre locataire Auth0.	Flux de code d’autorisation pour les clients publics et confidentiels (PKCE pour les clients publics), au moyen des permissions que vous publiez pour votre serveur UCP.

Pour prendre en charge le paiement en tant qu’invité, autorisez l’application qui représente la plateforme de l’agent à utiliser l’octroi des identifiants du client auprès de votre serveur de ressources UCP. Si vous ne souhaitez pas permettre le paiement en tant qu’invité, n’autorisez pas cet octroi.

Auth0 représente les composantes d’une intégration UCP à l’aide de concepts existants :

Concept UCP	Concept Auth0
La plateforme de l’agent, comme Gemini	Une application interne ou une application tierce, qui peut être publique ou confidentielle
Votre serveur UCP	Une API (serveur de ressources) de type serveur de ressources UCP
Les permissions UCP, comme dev.ucp.shopping.checkout:manage	Les autorisations d’API (permissions)
L’autorisation permettant à la plateforme de l’agent d’appeler votre serveur UCP	Requise pour les applications tierces : une autorisation client entre l’application et l’API

​

Premiers pas

Pour sécuriser votre serveur UCP avec Auth0 :

1. Configurez votre serveur de ressources UCP et publiez les permissions dans les métadonnées de découverte.
2. Configurez la liaison de comptes standard pour le flux de code d’autorisation.

​

Limitations

Auth for UCP en accès anticipé comporte les limites suivantes :

• Une seule API par locataire peut être configurée comme serveur de ressources UCP, et seules les permissions de cette API sont publiées dans les métadonnées de découverte.
• Il est impossible de créer des permissions dev.ucp sur des serveurs autres que UCP.
• Il est impossible d’ajouter des permissions dev.ucp à des serveurs autres que UCP au moyen de la commande api.accessToken.setScope() de l’Action de connexion.
• Les plateformes d’agents envoient scope, mais pas audience; Auth0 utilise donc le public par défaut du locataire pour les flux UCP.
• Auth0 Organizations n’est pas pris en charge.

​

En savoir plus

• Métadonnées de découverte des permissions