Il 4 agosto 2026, Cloudflare ha distribuito portafogli agli agenti IA. Non in senso metaforico — letteralmente: l'agente riceve un conto in stablecoin, e il sito tramite Cloudflare può rispondergli con il codice HTTP 402 Payment Required con un prezzo invece di una pagina. Il codice 402 è rimasto per trent'anni nella specifica HTTP come "riservato per il futuro". Il futuro è arrivato e sta cambiando direttamente l'economia del web scraping.
Cosa è stato annunciato
L'annuncio è stato fatto durante la Agents Week — una settimana tematica di Cloudflare. In un solo giorno sono stati lanciati due prodotti:
- Cloudflare Wallets — un portafoglio programmabile. C'è l'Account Wallet, che è gestito dalla persona proprietaria dell'account: può depositare e prelevare fondi. E ci sono i Virtual Wallets — assegnati a specifici agenti, l'accesso avviene tramite una chiave API, e i limiti sono stabiliti dal proprietario. I guardrail sono elencati direttamente nell'annuncio: budget consentito (allowance), lista dei destinatari autorizzati (allow-list) e importo massimo di una singola transazione.
- cloudflare.pay — un identificativo. L'account riceve un indirizzo web stabile, che funge da identificazione; l'identità può essere delegata a singoli agenti, in modo che la parte ricevente possa vedere chi ha effettivamente autorizzato la richiesta.
Matthew Prince, co-fondatore e CEO di Cloudflare, ha formulato la logica in questo modo: quando un agente bussa alla tua porta, devi sapere chi lo ha mandato — l'azienda fornisce agli agenti un "volto", un collegamento con una persona o un'organizzazione proprietaria, e su questa base è possibile stabilire fiducia, responsabilità e commercio.
Un dettaglio importante, che spesso viene perso nei riassunti: attualmente funziona solo la prenotazione dell'identificativo. Will Pepper, direttore del prodotto, descrive il resto al futuro — il portafoglio "permetterà" di detenere stablecoin, acquistare servizi e ricevere fondi. L'accesso completo, inclusi depositi e prelievi e portafogli virtuali, è promesso nei "prossimi mesi". Quindi, si tratta di una richiesta per un'infrastruttura, non di una fatturazione operativa oggi.
Sotto il cofano: x402 e il codice 402 rinato
I pagamenti avvengono tramite il protocollo x402 — uno standard aperto, chiamato così per il suo codice di stato. Lo schema si integra nell'ordinario HTTP, senza reindirizzamenti a pagine di pagamento:
- Il cliente richiede una risorsa a pagamento.
- Il server restituisce invece del contenuto
402 Payment Requirede un piccolo payload: prezzo, attivo accettato, dove pagare. - Il cliente paga e ripete la richiesta, allegando la conferma del pagamento.
- Il facilitatore verifica il pagamento, il server restituisce la risorsa.
Il protocollo è nato dallo sviluppo di Coinbase, e ora vive sotto l'egida della x402 Foundation all'interno della Linux Foundation. La composizione dei partecipanti spiega perché non si tratta di un ennesimo esperimento blockchain: tra le oltre 25 aziende attorno allo standard ci sono Visa, Mastercard, American Express, Google, Shopify e Stripe. I pagamenti avvengono in stablecoin (USDC), Cloudflare dichiara un settlement sub-secondo e la possibilità per il venditore di ricevere fondi direttamente nel portafoglio o convertirli in fiat.
Questo non è il primo passo, ma il terzo
I portafogli sono l'elemento finale di una costruzione che Cloudflare sta assemblando da oltre un anno:
- Luglio 2025 — pay per crawl. Il proprietario del sito stabilisce un prezzo per la zona; il crawler, che non ha dichiarato l'intenzione di pagare, riceve un 402 con il pricing invece del contenuto. La funzione è ancora in beta chiusa.
- 1 luglio 2026 — Monetization Gateway. Espansione dai crawler a chiunque: è possibile richiedere denaro per qualsiasi risorsa tramite Cloudflare — pagina web, dataset, API o chiamata a uno strumento MCP. La verifica del pagamento avviene all'edge, non all'origine, non è necessario costruire il proprio stack di pagamento. È stata aperta una lista d'attesa.
- 4 agosto 2026 — Wallets e cloudflare.pay. È emersa la seconda parte dell'accordo: chi paga e la sua identità.
Nell'annuncio del Monetization Gateway ci sono esempi di pricing — vale la pena guardarli attentamente, perché sono i primi riferimenti pubblici al prezzo dell'accesso automatico: pochi centesimi per una ricerca web con pagamento per chiamata; $0,001 tariffa base più $0,01 per megabyte sul punto di accesso; $0,99 per una escalation di supporto chiusa con successo — pagamento solo per il risultato.
Perché sta succedendo: i bot sono diventati la maggioranza
Il contesto economico è evidente nelle proprie statistiche di Cloudflare Radar. Nella settimana conclusasi il 10 agosto 2026, i bot hanno generato il 60,6% delle richieste di contenuto HTML contro il 39,4% degli esseri umani. All'inizio di giugno 2026, il rapporto era 57,5% a 42,5% — quindi le macchine non hanno semplicemente superato la metà, la loro quota continua a crescere.
Per il proprietario del sito, questo rappresenta una rottura nel modello: il traffico cresce, ma le impressioni pubblicitarie e i clic no. Da qui il secondo leva, di cui abbiamo parlato separatamente: dal 15 settembre 2026, Cloudflare blocca per impostazione predefinita i crawler di training e agenti sulle pagine con pubblicità per nuovi clienti e nuovi siti (i crawler di ricerca rimangono autorizzati, questa impostazione può essere disattivata). Secondo le misurazioni di luglio, il blocco predefinito copre circa l'8,5% del web di alto livello.
La connessione risulta logica: prima chiudere la porta, poi mettere una cassa accanto.
Cosa significa per lo scraping: il web si divide in due
Una conseguenza chiave, che vale la pena sottolineare. In precedenza, gli stati di accesso erano due — "autorizzato" e "bloccato". Ora sono tre, e il terzo è "paga".
Ma rientra in questo terzo stato non tutto il traffico, ma solo quello che si è dichiarato. Per ricevere un 402 significativo e pagare, l'agente deve avere un'identità: un identificativo, richieste firmate, collegamento al proprietario. Questa è esattamente la linea lungo la quale si muove Web Bot Auth con firme crittografiche dei bot — il web passa dalla domanda "chi sei per IP" alla domanda "prova crittograficamente chi sei".
E il traffico che appare come un normale browser di una persona normale, semplicemente non entra nel funnel di pagamento. Finisce dove è sempre finito: nel contorno anti-bot con fingerprinting, analisi comportamentale e reputazione IP.
Da qui la biforcazione del 2026, e la scelta dovrà essere consapevole:
- Percorso "agente dichiarato". Ottieni un'identità, paghi per il 402 e ottieni un accesso prevedibile e legalmente pulito senza corsa agli armamenti. Il prezzo — denaro per ogni richiesta e piena tracciabilità: la parte ricevente vede chi ti ha mandato e può disattivarti specificamente.
- Percorso "utente normale". Ti muovi come una persona — con un IP residenziale o mobile, con un'impronta del browser onesta, a un ritmo umano. Non esiste un pedaggio a pagamento per te, perché non sei un bot in termini di questo sistema. Il prezzo — qualità dell'infrastruttura: proxy residenziali per una copertura massiccia e mobile dove è necessaria la massima fiducia.
Il terzo percorso — "dichiararsi agente e non pagare" — è proprio quello che viene chiuso.
Calcola l'aritmetica prima di scegliere
I micropagamenti suonano innocui, finché non li moltiplichi per il volume. Prendiamo come riferimento il "pochi centesimi per chiamata" pubblicato da Cloudflare. Anche a 2 centesimi, un milione di pagine costerebbe circa $20.000. A $0,001 tariffa base, la situazione cambia: lo stesso milione di richieste dà circa $1.000 più il costo del traffico. La differenza è di un ordine di grandezza — e dipende completamente dal prezzo che stabilirà la specifica zona.
La conclusione pratica è: il prezzo dell'accesso automatico smette di essere una costante infrastrutturale e diventa una variabile, stabilita da ogni sito separatamente. Non sarà più possibile pianificare il budget per la raccolta dati "in media", ma sarà necessario calcolare per ogni fonte, come si fa per l'acquisto di API.
Un'importante precisazione: queste sono stime basate sugli esempi di pricing pubblicati da Cloudflare, non tariffe. I numeri reali appariranno quando il Monetization Gateway uscirà dalla lista d'attesa e i Wallets dalla modalità "prenota identificativo".
Cosa fare subito
- Controlla le tue fonti per il 402. Aggiungi al monitoraggio dei parser un'elaborazione separata per il codice 402 — attualmente la maggior parte dei pipeline lo classifica come "errore 4xx" e non noterai il momento in cui la fonte è passata a un modello a pagamento.
- Dividi le fonti per modalità di accesso. Crea un elenco: dove già accedi tramite API ufficiale, dove — come browser, dove è probabile un pedaggio a pagamento. I grandi media e i dataset tramite Cloudflare diventano i primi candidati per l'accesso a pagamento.
- Non affrettarti a dichiararti agente. Finché la funzionalità non è attiva, la registrazione dell'identità offre solo tracciabilità senza vantaggio reciproco. Prenotare un identificativo su cloudflare.pay è solo un'assicurazione economica per il futuro, non di più.
- Mantieni l'infrastruttura per il percorso "umano". Qualunque sia la sovrastruttura a pagamento, il contorno anti-bot non scomparirà, e la qualità del pool IP rimane un fattore fondamentale. Se lavori con piattaforme dove non ci sarà mai una tariffa automatica — social media, marketplace, ticketing — non cambia formalmente nulla per te.
- Prevedi una voce "pagamento per accesso" nel budget 2027. Anche se oggi nessuna delle tue fonti richiede denaro, la direzione è stata stabilita da un layer infrastrutturale attraverso il quale passa una parte significativa del web.
Conclusione
Cloudflare ha completato il collegamento mancante: le macchine hanno ora sia un'identità che un modo per pagare. Questo non è "la fine di Internet gratuito" — non esiste ancora una fatturazione operativa in nessuna delle tre parti della costruzione, e il pay per crawl è rimasto in beta chiusa per oltre un anno. Ma la direzione è fissata, e dietro lo standard ci sono Visa, Mastercard, Google e Stripe, non solo appassionati.
Il significato pratico per chi raccoglie dati è semplice. Il web si sta stratificando in due contorni: quello a pagamento e riconoscibile — per gli agenti dichiarati, e quello umano abituale — per tutti gli altri, dove decidono l'impronta del browser, il comportamento e la reputazione IP. La scelta del contorno è ora una decisione strategica con un prezzo, non un dettaglio tecnico. È meglio risolverlo prima che la prima fonte importante ti risponda con il codice 402.