Poppy : chaque boutique Shopify publie un fichier pour les agents IA, ce qu'il contient en France

Un agent IA qui fait des courses pour toi doit savoir, en arrivant sur une boutique, à qui il parle et ce qu'il a le droit d'y faire. C'est le rôle de Poppy, un protocole qui vient de passer en version 1.0 et que Shopify a branché d'office sur toutes ses boutiques, françaises comprises. Le fichier réellement servi ne correspond pas tout à fait à l'annonce.

Ce que Sierra et Shopify ont annoncé le 13 novembre

Le 13 novembre 2026, Sierra, la société de Bret Taylor et Clay Bavor, a publié la version 1.0 de Personal Agent Protocol, surnommé Poppy. Le protocole décrit comment l'agent personnel d'un client entre en relation avec une entreprise, par l'agent de cette entreprise, son site ou ses API. Il s'appuie sur des standards existants, dont MCP, OpenAPI et UCP (Universal Commerce Protocol, le protocole d'achat de Shopify), et la connexion passe par OAuth : selon Sierra, le client décide de ce que son agent peut faire et peut retirer cet accès.

Dans la même annonce, Sierra indique que Shopify, présent dans plus de 175 pays, a activé Poppy pour tous ses marchands : chaque boutique publie désormais automatiquement un fichier Poppy, sans aucune intervention de sa part. Muse, l'agent de Meta, « cherche d'abord Poppy » sur chaque site qu'il visite (traduction Le Latent). Plus de 100 entreprises sont partenaires de conception ; parmi celles qui passent en production, Sierra cite la fintech Mercury, l'organisme de crédit Synchrony et Turkish Airlines.

Côté Shopify, un membre de l'équipe a détaillé le fonctionnement le soir même sur le forum des développeurs : les domaines des boutiques servent un fichier à l'adresse /.well-known/poppy.json, qui renvoie l'agent vers le profil UCP de la boutique. Poppy couvre la découverte, l'identité de l'agent et la connexion ; le panier, le paiement et la commande passent par UCP.

Ce que contient le fichier sur des boutiques françaises

Le 14 novembre 2026 vers 15 h (heure de Paris), la rédaction a relevé le fichier poppy.json de quatre marques françaises qui vendent sur Shopify : Respire, Cabaïa, Hast et Jimmy Fairly. Les quatre fichiers sont identiques, au nom et au domaine près, comme celui de Cabaïa. Ils contiennent :

• un numéro de version, « 0.4 », et non 1.0 ;
• un seul droit (ou scope), dev.ucp.shopping.checkout:manage, qui permet à l'agent de préparer un paiement au nom du client connecté, l'acheteur finalisant lui-même l'achat ; le fichier précise que la connexion n'est en général pas nécessaire, la plupart des boutiques acceptant l'achat sans compte ;
• deux indications sur ce droit : il produit des changements « irréversibles » et touche des données personnelles ;
• un agent de boutique de type UCP, qui pointe vers le profil /.well-known/ucp ;
• une rubrique « web » vide.

Ce profil UCP, relevé le même jour sur la boutique Cabaïa et les trois autres, annonce la version du 25 août 2026 d'UCP et un serveur MCP hébergé sur le domaine myshopify.com de chaque marque. Il liste la recherche dans le catalogue, le panier, le paiement, les réductions, la livraison, la commande, le consentement de l'acheteur, la liaison de compte et une fonction pour poser des questions à la boutique.

Source : spécification Personal Agent Protocol et fichiers /.well-known/poppy.json de Respire, Cabaïa, Hast et Jimmy Fairly, relevés le 14 novembre 2026 vers 15 h.

Pourquoi la version 0.4 compte

La spécification se présente comme un brouillon de la version 1.0, qui « part de la 0.4, la version candidate », et ajoute des corrections pouvant casser la compatibilité (traduction Le Latent). Elle fixe une règle stricte : avant 1.0, deux versions ne sont compatibles que si elles ont le même numéro majeur et le même numéro mineur, et un agent ne doit utiliser aucun fichier dont la version n'est pas compatible avec celle qu'il implémente. Un agent qui ne connaît que la 1.0 doit donc ignorer un fichier 0.4.

Ni Sierra ni Shopify ne disent si Muse lit encore la 0.4, ni quand les boutiques passeront à la 1.0. The Next Web relève aussi que la spécification reste étiquetée brouillon et autorise des changements incompatibles.

La même spécification précise le sens de l'indication « irréversible » : au moins une action permise ne peut pas être annulée, comme annuler une commande, envoyer un message ou payer. Ces indications sont des déclarations de l'entreprise, pas l'accord du client. Et sans session de navigateur déclarée, un agent visite le site comme n'importe quel internaute non connecté.

Ce que le commerçant contrôle

Les réglages documentés sont ceux des « vitrines agentiques », dans Canaux de vente > Agentic. Par défaut, l'option qui laisse Shopify tout gérer active tous les canaux d'IA et inscrit automatiquement la boutique aux futurs canaux, selon l'aide de Shopify. En la désactivant, le marchand peut couper l'accès de chaque canal à Shopify Catalog, refuser l'inscription automatique et gérer le paiement direct. Couper l'accès peut prendre jusqu'à 7 jours, et les produits restent trouvables par l'exploration du web. Pour masquer un produit de tous les agents, Shopify renvoie au statut « non répertorié » ou au champ seo.hidden, qui le retire aussi des moteurs de recherche.

Aucune de ces pages ne décrit un réglage pour retirer le fichier poppy.json lui-même. Sur le forum des développeurs, le 13 novembre, Shopify écrit ne pas pouvoir encore confirmer comment les réglages Agentic s'appliquent aux agents arrivés par Poppy. Les commandes passées par un agent personnel apparaissent attribuées à cet agent, mais rien de documenté ne signale qu'elles viennent d'une session Poppy.

Ce que ça change en France

Pour un acheteur, rien pour l'instant. Muse n'est ouvert dans aucun pays de l'Union européenne, et le paiement direct de Meta ne s'affiche qu'aux clients de onze pays : Australie, Brésil, Canada, Corée du Sud, États-Unis, Inde, Japon, Mexique, Nouvelle-Zélande, Royaume-Uni et Singapour, selon la page de Shopify sur la vente avec Meta. Les achats délégués d'OpenAI suivent la même logique : ChatGPT Wallet, qui laisse les dots payer, reste réservé aux États-Unis.

Pour un commerçant, c'est différent. Selon cette même page de Shopify, le paiement direct dans Muse est actif par défaut pour les boutiques éligibles qui vendent dans l'un de ces onze pays, et les commandes y apparaissent sous le canal « Meta AI and Muse ». Une marque française qui livre au Canada ou au Royaume-Uni peut donc être concernée, sur Muse là où il est ouvert comme en Amérique du Nord. Les pixels d'analyse côté navigateur ne se déclenchent pas sur ce paiement, qui se fait chez Meta.

Ce qu'on ne sait pas encore

Plusieurs points restent ouverts au 14 novembre 2026 : si Muse lit les fichiers 0.4 et quand Shopify passera à la 1.0 ; si les réglages Agentic s'appliquent aux agents arrivés par Poppy ; si un marchand peut retirer le fichier ; et quand Muse arrivera en Europe, Meta ne donnant aucune date. Les pages consultées ne disent rien non plus du traitement des données personnelles des clients européens dans ces sessions. Le Latent suit ces évolutions dans le dossier Agents IA et la rubrique Applis.