Commerce agentique en octobre 2026 : Universal Cart, WebMCP et votre boutique

Qu'est-ce que Universal Cart de Google ?

Universal Cart est un panier unique, partagé entre la recherche Google, le Mode IA et l'application Gemini^[1]. L'internaute y enregistre des produits de plusieurs marchands, reçoit des alertes de baisse de prix et de retour en stock, voit les codes promo et les avantages de sa carte, puis paie avec Google Pay ou transfère les articles dans le panier du marchand. Le paiement est « propulsé par l'Universal Commerce Protocol (UCP) », que le billet ne détaille pas.

Deux précisions comptent pour un marchand. D'abord, il reste le vendeur officiel (« seller of record ») et garde la confirmation de commande et le service client. Ensuite, le panier repose sur les « plus de 60 milliards » de fiches produits du Shopping Graph de Google^[1]. Les marchands cités sont de grandes enseignes, dont Nike, Sephora, Target, Walmart et Wayfair, ainsi que de nombreux marchands Shopify. Le billet n'explique pas comment un marchand rejoint le dispositif, et le lancement ne concerne que les États-Unis.

WebMCP : comment un agent utilise-t-il votre site ?

WebMCP est un standard proposé par Google : Chrome a ouvert une phase d'essai (origin trial) à partir de Chrome 149, annoncée le 9 juin 2026^[3]. Le principe : au lieu de deviner à quoi sert un bouton ou un champ, l'agent reçoit de la page des « outils » décrits de façon structurée. Il n'a plus à imiter un humain qui clique ; il appelle une fonction prévue pour lui.

Le 21 octobre, Cloudflare et Commerce.com ont activé WebMCP sur « près de 100 000 domaines »^[2]. Les outils exposés portent des noms explicites, comme search_products ou add_to_cart : l'agent peut chercher un produit avec des critères (prix maximum, taille), consulter les détails, construire le panier et obtenir un lien de paiement. Point essentiel : c'est l'acheteur qui clique pour payer, et ses données de paiement restent entre lui et le marchand. Le marchand peut désactiver WebMCP dans son tableau de bord, et Cloudflare rappelle que le standard reste « expérimental ».

Faut-il laisser les agents IA accéder à sa boutique ?

Le 4 novembre 2026, Cloudflare a ajouté une catégorie « Personal Assistants » à ses statistiques de robots, avec le nombre de requêtes de chaque agent, et des politiques réglables agent par agent : autoriser, bloquer sur les pages avec publicité, ou bloquer^[4]. Lors de la configuration d'un nouveau domaine, Cloudflare demande désormais si vous monétisez vos pages avec de la publicité, et adapte ses recommandations à la réponse.

Pour une boutique, la question est vite tranchée à mes yeux : un agent qui vient chercher un produit pour un acheteur est un client potentiel, pas un pilleur de contenu. Bloquer les agents personnels sur une fiche produit revient à fermer la porte à un acheteur accompagné. La logique est différente pour un site financé par la publicité, d'où l'option intermédiaire de Cloudflare. Les robots d'entraînement, eux, relèvent d'un autre réglage, que je détaille dans mon article sur Cloudflare et les robots IA.

Le tourisme a ouvert la voie avec la réservation d'hôtels dans le Mode IA, fin août aux États-Unis ; j'en ai tiré les leçons pour les hôteliers dans mon article sur l'IA agentique et la réservation. Le schéma est le même pour le commerce : l'IA prend en charge la recherche et le panier, le marchand garde la vente.

Ce que j'en pense

Je vois deux erreurs symétriques chez les e-commerçants. La première consiste à ignorer le sujet parce que « ce n'est pas encore en France ». C'est vrai, et c'est précisément pourquoi il faut s'y mettre : ce que demandent ces agents, ce sont des données produits complètes et exactes, et ce chantier prend des mois. La seconde erreur consiste à investir dans WebMCP comme s'il s'agissait d'un standard acquis. C'est un essai, porté par un navigateur, dont la forme peut encore changer.

Il faut aussi garder la tête froide sur la dépendance. Dans Universal Cart, le client découvre, compare et parfois paie chez Google ; le marchand reste vendeur, mais la relation se joue ailleurs. OpenAI pousse dans la même direction côté publicité, avec des « Sponsored Agents » et des intégrations HubSpot et Shopify annoncées le 16 septembre 2026^[5]. Plus que jamais, votre propre site, votre fichier client et votre marque restent les actifs que personne ne peut vous retirer.

Enfin, un agent qui achète sur un site doit pouvoir lui faire confiance. Le 21 octobre, WordPress a relayé une alerte sur deux vulnérabilités critiques de PHP, en rappelant que les versions antérieures à PHP 8.2 ne reçoivent plus de correctifs de sécurité^[6]. Une boutique sous WooCommerce qui tourne sur un vieux PHP n'est pas prête pour les agents, ni d'ailleurs pour ses clients humains.

Que faire concrètement ?

Le premier point est de loin le plus rentable. Google n'explique pas comment rejoindre Universal Cart, mais le panier s'appuie sur le Shopping Graph : un flux produits exact, avec des prix et des stocks à jour, est la condition minimale que je recommande. C'est aussi ce qui sert déjà vos annonces Shopping et vos fiches gratuites. Pour WebMCP, je conseille d'attendre que votre plateforme (Shopify, PrestaShop, WooCommerce) le propose plutôt que de le développer vous-même.

Sources

1. Google, Suresh Ganapathy, lancement d'Universal Cart (15 octobre 2026)
2. Cloudflare, WebMCP sur les boutiques Commerce.com (21 octobre 2026)
3. Chrome for Developers, origin trial WebMCP (9 juin 2026)
4. Cloudflare, statistiques et politiques d'accès des agents personnels (4 novembre 2026)
5. OpenAI, « Reimagining advertising with AI » (16 septembre 2026, annonce lue via le flux officiel)
6. WordPress.org, alerte sur une mise à jour de sécurité critique de PHP (21 octobre 2026)