Shopify active Poppy sur chaque boutique : un fichier pour dire aux agents ce qu’ils ont le droit de faire

Les faits

Le fichier s’appelle poppy.json. Il vit à l’adresse /.well-known/poppy.json. Sierra, l’éditeur d’agents d’entreprise cofondé par Bret Taylor et Clay Bavor, a publié le 13 novembre 2026 la version 1.0 du Personal Agent Protocol, surnommé Poppy. Le protocole dit à un agent personnel comment se présenter à une entreprise, s’identifier, et apprendre ce qu’il a le droit de faire. Shopify l’active pour chaque marchand. Muse, l’agent de Meta, le cherche désormais en premier sur chaque site qu’il visite, affirme Sierra.

Poppy s’appuie sur des standards déjà là : MCP, OpenAPI, et le Universal Commerce Protocol (UCP) de Shopify. L’authentification passe par OAuth : le client se connecte sur la page de l’entreprise et choisit ce que l’agent peut voir. Depuis le premier jet, Sierra dit avoir facilité une adoption par étapes, affiné l’usage de ces standards, et ajouté des extensions, dont une extension commerce coécrite avec Shopify. Un kit d’implémentation, avec un validateur, est en ligne. Sierra situe Shopify dans plus de 175 pays. Chaque boutique, écrit-elle, publie désormais un fichier Poppy sans travail supplémentaire du marchand. L’UCP gère le panier et le paiement ; Poppy gère l’arrivée : l’agent se nomme, et demande ce qui lui est permis. L’extension commerce lui permet d’acheter en invité ou après connexion, et lui impose de demander l’accord du client avant certaines actions. Mercury, Synchrony et Turkish Airlines sont cités comme déjà en production. Soixante entreprises rejoignent les partenaires de conception, pour un total de plus de 100, dont Aviva, Banco Sabadell, Checkout.com, HelloFresh, Intuit, Salesforce, Stripe, Twilio, Wix et Zoom.

Le même jour, un ingénieur Shopify (Wes-Dev-Shopify) a confirmé, sur le forum développeurs, que les domaines Online Store servent ce fichier de découverte, et qu’il pointe vers le profil UCP de la boutique. Le protocole couvre la découverte, l’identité de l’agent et la connexion. Paniers, paiement et commandes restent du côté UCP. Rien, dans la documentation du jour, ne marque une commande comme issue d’une session Poppy : l’admin peut attribuer une commande à un agent, pas au protocole. Les réglages « Agentic » de l’admin (dont le paiement direct) : le même message dit ne pas pouvoir confirmer encore comment ils s’appliquent aux agents arrivés par Poppy. Le site du protocole présente la version 1.0 comme publiée. Le kit d’implémentation, lui, écrit encore que la spécification est un brouillon. Les sources lues ne documentent pas une disponibilité de Muse en France, ni une interface Poppy en français.

L’avis de la rédaction

Le détail qui compte n’est pas la liste des cent partenaires. C’est qu’une TPE française déjà sur Shopify a, depuis vendredi, un fichier à une adresse qu’elle n’a pas choisie. La boutique est devenue adressable par un agent personnel. Que Muse le cherche « en premier » ne dit pas qu’un client français a Muse. Le fichier, lui, est déjà là.

Ce que ça change concrètement. Pour un marchand Shopify, rien à installer demain matin. Le geste utile, c’est d’ouvrir https://votre-domaine/.well-known/poppy.json et de lire ce que la boutique dit d’elle-même. Pour une TPE hors Shopify, le kit existe, mais c’est un chantier de développeur : enquête, conception à valider, puis construction par étapes. Pour un particulier en France, Poppy ne lui donne pas un bouton « envoyer Muse faire les courses ». Ça lui donne, s’il tient une boutique, une porte d’entrée à relire avant qu’un agent d’ailleurs y passe.

Vigilance. OAuth, sur la page de l’entreprise, est le bon chemin : le mot de passe reste chez vous. Le kit décrit aussi une extension où l’agent se connecte avec les identifiants demandés par l’entreprise. C’est l’autre extrême, et ce n’est pas un réglage à laisser « pour voir ». Un agent qui lit des commandes ou un compte client traite des données personnelles : le RGPD s’applique, y compris si le fichier a été publié tout seul. Un agent qui agit reste un système d’IA au sens du règlement ; les obligations de transparence sont dans notre repère sur l’échéance du 2 décembre. Côté coût : le kit suppose Node 22.18 et un agent de code ; ce n’est pas un tarif public, c’est du temps. Côté dépendance : Shopify publie le fichier à votre place ; quitter Shopify, c’est peut-être perdre cette porte, ou la reconstruire. Les sources lues ne disent pas comment refuser Poppy sur une boutique Shopify, ni si les réglages Agentic de l’admin s’y appliquent.

Tester, ou attendre. À tester, si vous avez une boutique Shopify : ouvrir le fichier poppy.json de votre domaine, le relire, et noter ce qu’il expose. À ne pas tester : donner à un agent le mot de passe de la boutique, ou brancher un agent de paiement sur ce fichier. À attendre : une confirmation, dans l’admin Shopify, des réglages qui s’appliquent vraiment aux agents Poppy, et une disponibilité documentée de Muse en France. Aujourd’hui, elle n’est pas dans les sources lues.

Où ça aide réellement

Là où une boutique Shopify francophone a déjà un cadre, et un humain à la fin : traduire une boutique Shopify (fiches, SEO, metafields), construire un circuit de retours e-commerce, comparer des options d’achat avant de commander. Le fichier Poppy ne traduit rien et n’envoie aucun colis. Il dit à un agent qui se présente ce qu’il a le droit de demander. Sans cette liste, relue, l’arrivée d’un agent n’est pas une commodité. C’est une porte ouverte sans notice.