Cloudflare cria carteiras para bots: HTTP 402 desperta e a web se divide em dois

```html

4 de agosto de 2026, a Cloudflare distribuiu carteiras para agentes de IA. Não metaforicamente — literalmente: o agente recebe uma conta em stablecoins, e o site da Cloudflare pode responder a ele com o código HTTP 402 Payment Required com um preço em vez de uma página. O código 402 esteve reservado na especificação HTTP por trinta anos como "reservado para o futuro". O futuro chegou, e ele muda diretamente a economia do web scraping.

O que exatamente foi anunciado

O anúncio foi feito na Agents Week — uma semana temática da Cloudflare. Em um único dia, dois produtos foram lançados:

• Cloudflare Wallets — uma carteira programável. Há a Account Wallet, que é mantida pelo proprietário da conta: ele deposita e retira fundos. E existem as Virtual Wallets — que são fornecidas a agentes específicos, o acesso é feito por meio de uma chave API, e os limites são definidos pelo proprietário. Os guardrails estão claramente listados no anúncio: orçamento permitido (allowance), lista de destinatários permitidos (allow-list) e o valor máximo de uma única transação.
• cloudflare.pay — um identificador. A conta recebe um endereço web estável, funcionando como uma identificação; a identidade pode ser delegada a agentes específicos, para que a parte receptora veja quem exatamente autorizou a solicitação.

Matthew Prince, cofundador e CEO da Cloudflare, formulou a lógica da seguinte maneira: quando um agente bate à sua porta, você deve saber quem o enviou — a empresa dá aos agentes uma "face", uma conexão com a pessoa ou organização proprietária, e a partir disso, confiança, responsabilidade e comércio se tornam possíveis.

Um detalhe importante que muitas vezes se perde nas recontagens: atualmente, apenas a reserva do identificador está funcionando. Will Pepper, diretor de produto, descreve o restante no futuro: armazenar stablecoins, comprar serviços e aceitar fundos, a carteira "permitirá". O acesso completo, incluindo depósitos e retiradas de fundos e carteiras virtuais, foi prometido para os "próximos meses". Ou seja, isso é uma proposta de infraestrutura, e não uma cobrança funcional hoje.

Por trás das câmeras: x402 e o código 402 ressuscitado

Os pagamentos são feitos pelo protocolo x402 — um padrão aberto, nomeado pelo mesmo código de status. O esquema se encaixa no HTTP comum, sem redirecionamento para uma página de pagamento:

1. O cliente solicita um recurso pago.
2. O servidor, em vez de conteúdo, retorna 402 Payment Required e um pequeno payload: preço, ativo aceito, onde pagar.
3. O cliente paga e repete a solicitação, anexando a confirmação do pagamento.
4. O facilitador verifica o pagamento, e o servidor entrega o recurso.

O protocolo surgiu do desenvolvimento da Coinbase e agora vive sob a ala da x402 Foundation, parte da Linux Foundation. A composição dos participantes explica por que isso não é mais um experimento de blockchain: entre as mais de 25 empresas ao redor do padrão estão Visa, Mastercard, American Express, Google, Shopify e Stripe. Os pagamentos são feitos em stablecoins (USDC), e a Cloudflare afirma ter um settlement sub-segundo e a possibilidade de o vendedor receber fundos diretamente na carteira ou converter para fiat.

Este não é o primeiro passo, mas o terceiro

As carteiras são o elemento final de uma estrutura que a Cloudflare vem montando há mais de um ano:

• Julho de 2025 — pay per crawl. O proprietário do site define um preço para a zona; o crawler, que não declarou a intenção de pagar, recebe 402 com a precificação em vez de conteúdo. A função ainda está em beta fechada.
• 1 de julho de 2026 — Monetization Gateway. A extensão dos crawlers para qualquer um: é possível cobrar por qualquer recurso da Cloudflare — página web, conjunto de dados, API ou chamada de ferramenta MCP. A verificação de pagamento ocorre na borda, e não na origem, não é necessário construir sua própria pilha de pagamento. Uma lista de espera foi aberta.
• 4 de agosto de 2026 — Wallets e cloudflare.pay. A segunda parte do negócio surgiu: quem paga e sua identidade.

No anúncio do Monetization Gateway, há exemplos de precificação — que merecem uma análise cuidadosa, pois são os primeiros marcos públicos de preço para acesso automatizado: alguns centavos por pesquisa web com pagamento por chamada; $0,001 de taxa base mais $0,01 por megabyte no endpoint de download; $0,99 por uma escalada de suporte fechada com sucesso — pagamento apenas pelo resultado.

Por que isso está acontecendo: os bots se tornaram a maioria

A base econômica é visível nas próprias estatísticas da Cloudflare Radar. Na semana que terminou em 10 de agosto de 2026, os bots representaram 60,6% das solicitações de conteúdo HTML contra 39,4% de humanos. No início de junho de 2026, a proporção era de 57,5% para 42,5% — ou seja, as máquinas não apenas ultrapassaram a metade, mas a participação continua a crescer.

Para o proprietário do site, isso representa uma ruptura no modelo: o tráfego está crescendo, mas as exibições de anúncios e cliques não. Daí vem o segundo alavanca, sobre o qual escrevemos separadamente: a partir de 15 de setembro de 2026, a Cloudflare bloqueará por padrão crawlers de treinamento e agentes em páginas com anúncios para novos clientes e novos sites (os crawlers de busca permanecem permitidos, essa configuração pode ser desativada). De acordo com medições de julho, o bloqueio padrão cobre cerca de 8,5% da web de topo.

A conexão se torna lógica: primeiro fechar a porta, depois colocar um caixa ao lado.

O que isso significa para o scraping: a web se divide em duas

Uma consequência chave que vale a pena mencionar. Antes, havia dois estados de acesso — "permitido" e "bloqueado". Agora existem três, e o terceiro é "pague".

Mas entra nesse terceiro estado não qualquer tráfego, mas apenas aquele que se declarou. Para receber um 402 significativo e pagar, o agente deve ter uma identidade: um identificador, solicitações assinadas, vinculação ao proprietário. Essa é exatamente a linha pela qual passa Web Bot Auth com assinaturas criptográficas de bots — a web está passando da questão "quem você é pelo IP" para "prove criptograficamente quem você é".

E o tráfego que parece um navegador comum de uma pessoa comum simplesmente não entra no funil de pagamento. Ele vai para onde sempre foi: para o contorno anti-bot com fingerprinting, análise comportamental e reputação de IP.

Daí a bifurcação de 2026, e a escolha terá que ser feita de forma consciente:

1. Caminho do "agente declarado". Você obtém uma identidade, paga pelo 402 e recebe acesso previsível e legalmente limpo sem corrida armamentista. O preço — dinheiro por cada solicitação e total rastreabilidade: a parte receptora vê quem exatamente o enviou e pode desconectar você especificamente.
2. Caminho do "usuário comum". Você navega como uma pessoa — com um IP residencial ou móvel, com uma impressão digital de navegador honesta, em um ritmo humano. Não existe um bloqueio pago para você, porque você não é um bot nos termos deste sistema. O preço — qualidade da infraestrutura: proxies residenciais para cobertura em massa e móveis onde o nível máximo de confiança é necessário.

Um terceiro caminho — "declarar-se agente e não pagar" — é exatamente o que essa construção fecha.

Calcule a aritmética antes de escolher

Micropagamentos parecem inofensivos, até que você os multiplique pelo volume. Vamos pegar a referência publicada pela Cloudflare de "alguns centavos por chamada". Mesmo a 2 centavos, um milhão de páginas — isso dá cerca de $20.000. Com $0,001 de taxa base, a imagem é diferente: o mesmo milhão de solicitações dá cerca de $1.000 mais a taxa de tráfego. A variação é de uma ordem de grandeza — e depende totalmente do preço que cada zona estabelecer.

Conclusão prática: o preço do acesso automatizado deixa de ser uma constante da infraestrutura e se torna uma variável, que cada site define separadamente. Planejar o orçamento de coleta de dados "em média" não será mais possível — será necessário calcular para cada fonte, assim como se faz na compra de APIs.

Uma importante ressalva: estas são estimativas com base nos exemplos de precificação publicados pela Cloudflare, e não tarifas. Números reais aparecerão quando o Monetization Gateway sair da lista de espera e as Wallets saírem do modo "reserve o identificador".

O que fazer agora

1. Verifique suas fontes para 402. Adicione ao monitoramento dos parsers um tratamento separado para o código 402 — atualmente, a maioria dos pipelines o classifica como um erro 4xx e você não notará o momento em que a fonte passou para o modelo pago.
2. Divida as fontes por modo de acesso. Faça uma lista: onde você já acessa através da API oficial, onde — como navegador, onde é provável que haja um bloqueio pago. O primeiro candidato ao acesso pago são grandes mídias e conjuntos de dados da Cloudflare.
3. Não se apresse em se declarar agente. Enquanto a funcionalidade não estiver lançada, registrar uma identidade oferece apenas rastreabilidade sem benefício em troca. Reservar um identificador no cloudflare.pay é um seguro barato para o futuro, não mais.
4. Mantenha a infraestrutura para o caminho "humano". Seja qual for a camada paga, o contorno anti-bot não desaparecerá, e a qualidade do pool de IPs continua a ser um fator básico. Se você trabalha com plataformas onde a tarifa automatizada nunca existirá — redes sociais, marketplaces, tickets — para você, formalmente, nada muda.
5. Inclua uma linha "pagamento de acesso" no orçamento de 2027. Mesmo que hoje nenhuma de suas fontes cobre, a direção foi estabelecida pela camada de infraestrutura, pela qual passa uma parte significativa da web.

Conclusão

A Cloudflare completou o elo que faltava: as máquinas agora têm simultaneamente um documento de identidade e uma forma de pagar. Isso não é o "fim da internet gratuita" — a cobrança funcional ainda não existe em nenhuma das três partes da construção, e o pay per crawl está há mais de um ano em beta fechada. Mas a direção está fixada, e por trás do padrão estão Visa, Mastercard, Google e Stripe, e não entusiastas.

O sentido prático para aqueles que coletam dados é simples. A web se divide em dois contornos: pago e reconhecível — para agentes declarados, e o humano habitual — para todos os outros, onde a impressão digital do navegador, o comportamento e a reputação do IP decidem. A escolha do contorno — agora uma decisão estratégica com preço, e não um detalhe técnico. É melhor resolvê-la antes que a primeira fonte importante responda a você com o código 402.