MetaMask Agent Wallet ile x402 kullanarak API'ler için ödeme yapma: 8 ipucu

Bir API, veri akışı veya MCP aracı agent'ınıza 402 Payment Required yanıtı verdiğinde, MetaMask Agent Wallet bu ödemeyi kayıt veya API anahtarı gerekmeden USDC ile yapabilir. Agent, sunucunun teklifini okur, size varlığı, tutarı, ağı ve alıcıyı gösterir ve siz onayladıktan sonra tek seferlik bir ödeme yetkisi imzalar. Özel anahtar cüzdanda kalır. İmza isteği ayrıca cüzdan hizmetinin tehdit taramasından geçer.

Sorumluluk reddi: Bu rehber yalnızca eğitim amaçlıdır. Finansal tavsiye veya yatırım teklifi niteliği taşımaz ve Birleşik Krallık'taki kullanıcılara yönelik değildir. Yapay zekâ agent'ları tarafından yapılan kripto ödemeleri risklidir ve tüm kullanıcılar için uygun değildir.

Bu, Agent Wallet ile x402 üzerinden ödeme yapmaya yönelik operasyonel bir rehberdir. x402'nin ne olduğu, 402 el sıkışmasının nasıl işlediği ve protokolü kimin yönettiği için x402 nedir sayfasına bakın. Kendi uygulamalarına delegasyon tabanlı x402 ödemeleri entegre eden geliştiriciler bunun yerine Smart Accounts Kit x402 rehberleriyle başlamalıdır. Agent Wallet henüz kurulmadıysa hızlı başlangıç bölümünden başlayın.

Agent'lar neden API anahtarı tutmak yerine çağrı başına ödeme yapıyor?

Ücretli bir API genellikle bir hesap ve uzun ömürlü bir API anahtarı demektir. Bir yapay zekâ agent'ı için bu anahtarın agent'ın okuyabileceği bir yerde durması gerekir ve bu da onu hedef haline getirir. Snyk, 5 Şubat 2026'da yayımlanan araştırmasında ClawHub pazaryerindeki 3.984 skill'i taradı ve 283 skill'in (yaklaşık %7,1) API anahtarlarını, parolaları veya kart numaralarını modelin bağlam penceresinden ya da düz metin bellek dosyalarından geçirdiğini tespit etti. Bu verileri bir prompt injection saldırısı oradan geri çekebilir.

x402, kalıcı sırrı ortadan kaldırır. Agent, belirli bir alıcıya kesin bir tutar için verilen ve kısa bir süre geçerli olan imzalı bir yetkiyle istek başına ödeme yapar. Agent Wallet ile bu imza, mm wallet sign-typed-data aracılığıyla cüzdan hizmetinden gelir; yani agent hiçbir zaman özel anahtara veya API anahtarına dokunmaz. Her yetki rastgele bir nonce taşır, bu yüzden iki kez uygulanamaz. x402'nin agent ticaretinde neyi değiştirdiğine, diğer agent'lara hizmet satan agent'lar da dahil olmak üzere daha geniş bir bakış, bir sonraki yazıda yer alacak.

x402 yüzeyi, adım adım

x402 desteği, bir mm alt komutu olarak değil, metamask-agent-wallet skill'inin içinde bir Python yardımcı betiği olarak gelir. Agent, bir istek 402 döndürdüğünde bu betiği çağırır. Normalde sadece sade bir dille istemeniz yeterlidir ("Bu URL'deki premium veriyi getir ve 402 dönerse öde"); adımları agent sizin yerinize çalıştırır.

Tam başvuru kaynağı x402 ödeme rehberinde ve skill'in x402 referansında yer alıyor.

Bu akışı akılda tutarak, Agent Wallet üzerinden x402 ödemeleri yapmak için 9 ipucu burada.

1. Hizmetin istediği ağda USDC bulundurun

Hangi varlıkların ve ağların kabul edileceğine sunucu karar verir. Agent yalnızca sunucunun sunduğu bir seçeneği ödeyebilir.

Agent Wallet yalnızca EVM tekliflerini öder ve bunu mm chains list komutunun listelediği ağlarda yapar. Bakiyeler zincire göre tutulur, bu nedenle Ethereum'daki USDC, Base üzerindeki bir teklifi karşılamaz. Başka bir zincirde USDC'niz varsa agent'tan fonları gereken zincire taşımasını da isteyebilirsiniz. Ödemenin kendisi gassız, offchain bir yetkidir. Hizmetin facilitator'ı bunu onchain olarak mutabakata bağlar; dolayısıyla cüzdanınızda ödeme için ağ ücretlerini karşılayacak yerel token bulundurmanız gerekmez.

2. Ödemeden önce teklifi inceleyin

inspect, 402 yanıtını imzalamadan ve harcama yapmadan okur. Varlığı, okunabilir biçimde tutarı, ağı, payTo alıcısını ve kaynağı döndürür. Skill, agent'a bu ayrıntıları size göstermesini ve pay komutunu çalıştırmadan önce onayınızı beklemesini söyler; pay ise --confirm olmadan çalışmayı reddeder.

Herhangi bir şey imzalanmadan önce birkaç kontrol yapılır. Kaynak URL'si https:// ile başlamalıdır. Betik yönlendirmeleri takip etmez, bu sayede farklı bir host'a yönlendirme, ödemeyi seçmediğiniz bir sunucuya saptıramaz. Tutar, token'ın en küçük biriminde pozitif bir tam sayı olmalı; alıcı ve varlık da geçerli adresler olmalıdır. exact şemasında imzalanan tutar, teklif edilen tutara eşittir. Sunucunun kadar çekebileceği bir üst sınır değildir.

3. Her ödeme için onayı varsayılan olarak açık tutun

Agent Wallet skill'i, agent'a her x402 ödemesinden önce varlığı, tutarı, ağı, alıcıyı ve kaynağı varsayılan olarak sizinle teyit etmesini söyleyebilir. Bu teyit, agent'la olan sohbetinizde gerçekleşir. Cüzdan servisinin yalnızca bir istek işaretlendiğinde veya politikanızın dışında kaldığında devreye soktuğu 2FA'dan ayrıdır.

Bu, bir oturumda bir araştırma raporu, birkaç veri çekimi veya bir hediye kartı satın alan bir agent için uygundur. Birkaç saniyede bir ücretli bir endpoint'i çağıran bir döngü için ise uygun değildir, çünkü her çağrı sizin onayınızı bekler. Birden fazla adımda ücret kesen çok adımlı bir satın alma, her adımda size sorar.

4. Guard Mode'un bir x402 ödemesinde neleri kontrol ettiğini öğrenin

Sunucu cüzdanı modunda her imzalama isteği, imzalamadan önce tehdit taraması yapan cüzdan servisine gider. İşaretlenen bir istek, siz onaylayana kadar AWAITING_MFA durumunda bekler. x402 yetkilendirmelerinin sunucu tarafından belirlenen kısa bir geçerlilik süresi vardır. Guard Mode imzayı 2FA için duraklatırsa ve siz bu süre dolduktan sonra onaylarsanız, yetkilendirme kullanılmadan sona erer. Agent'a pay komutunu yeniden çalıştırmasını söyleyin; bu komut yeni bir 402 alır ve yeni değerleri imzalar. Onaylar, oturum açma yönteminizin gönderdiği yere gelir: Google veya e-posta ile girişte bir e-posta bağlantısı, QR ile girişte ise MetaMask Mobile'daki bildirimler menüsü.

Kayan 24 saatlik çıkış limiti burada farklı çalışır. Çıkış politikası token transferlerini, swap'leri ve para yatırma işlemlerini takip eder; 27 Ekim 2026 itibarıyla Permit2 gibi imzaların çıkış hesaplamasına dahil edilmediğini belirtir. Bir x402 yetkilendirmesi bir imzadır, dolayısıyla 24 saatlik limit x402 harcamaları için güvenilir bir üst sınır değildir. Teyit adımı, agent'ın skill'e uymasına dayanır; kesin üst sınır ise ödemeyi yapan cüzdandaki token bakiyesidir. Riski sınırlamanın bir yolu, yalnızca ücretli API çağrıları için fonlanan ayrı bir cüzdan kullanmaktır. mm wallet create ve mm wallet select birden fazla cüzdanı yönetir.

5. Sunucu birden fazla seçenek sunduğunda birini seçin

Bir 402 yanıtı aynı şemayı desteklenen birden fazla ağda veya varlıkta listelediğinde, script sizin yerinize seçim yapmak yerine "multiple eligible options" hatasıyla durur. Hem Base hem de Monad üzerinde USDC kabul eden bir servis bunu tetikleyebilir. --network (örneğin Base için eip155:8453) veya token kontratıyla birlikte --asset parametresiyle yeniden çalıştırın. Agent'a hangi ağı fonladığınızı söylerseniz, parametreyi ilk denemede iletebilir.

6. Teklifin Agent Wallet'ın imzalayabileceği türden olduğunu kontrol edin

Yardımcı araç, x402 protokolü v1 ve v2 için EVM ağlarında EIP-3009 transferWithAuthorization ile exact şemasını imzalar. Aşağıdakilerle karşılaştığında net bir hata döndürür ve hiçbir şey imzalamaz:

Bir servis aynı varlık için hem Permit2 hem de EIP-3009 sunuyorsa, EIP-3009 seçeneği kullanılır. Sorun giderme sayfası her hatayı listeler.

7. Bir ödemeyi gelişigüzel yeniden çalıştırmayın

Script, geçmiş ödemelerin kaydını tutmaz. EIP-3009 nonce'u, aynı imzalı yetkilendirmenin iki kez gerçekleşmesini engeller; ancak her yeni pay çalıştırması yeni bir ödeme oluşturur. pay "payment not accepted" döndürürse, tekrar denemeden önce settlement çıktısını ve yetkilendirme süresinin dolup dolmadığını kontrol edin. Aynı kaynak için ikinci bir çalıştırma ikinci bir ücret demektir ve x402 kılavuzu çağıranlara tekrarlanan çağrılara karşı önlem almalarını söyler.

8. MCP araçları ve POST endpoint'leri için de ödeme yapın

x402 yalnızca GET istekleriyle sınırlı değildir. --method ve --data parametrelerini verirseniz, yardımcı araç aynı istek gövdesini ödemeyle birlikte yeniden gönderir; böylece ücretli bir POST (örneğin bir yapay zekâ sohbet tamamlama endpoint'i) ücretli bir indirme gibi çalışır.

Ücretli MCP araçları x402 v2'nin MCP transportunu kullanır. Ödenmemiş bir araç çağrısı, ödeme challenge'ını taşıyan bir hata sonucu döndürür. Agent mcp-inspect komutunu çalıştırır, teklifi size gösterir, siz onayladıktan sonra mcp-sign --confirm komutunu çalıştırır ve araç çağrısını imzalı payload ile _meta["x402/payment"] içinde yeniden dener. Script imzalar ama MCP konuşmaz; bu yüzden yeniden denemeyi agent'ın kendi MCP oturumu iletir. Yeniden deneme başka bir challenge ile dönerse ödeme gerçekleşmemiştir ve agent tekrar imzalamak yerine bunu size bildirir.

Agent'lar x402 ile neler satın alır

Bir kullanım alanı ücretli veridir: bir trading agent'ı harekete geçmeden önce sinyalleri veya araştırma verilerini çekebilir, ardından işlemi gerçekleştirmek için swap'lere veya perps'e geçebilir. x402 kabul eden birkaç servis ve 27 Ekim 2026 itibarıyla kendi dokümantasyonlarından alınan ayrıntılar:

Her hizmet kendi teklif formatını belirlediğinden, teklifin Agent Wallet'ın imzalayabileceği bir teklif olduğunu doğrulamak için önce agent'a inspect komutunu çalıştırtın (ipucu 6). Örneğin Nansen'ın x402 uç noktaları POST isteklerini kabul eder ve yalnızca x402 v2'yi destekler. Örnek bir istek: “Nansen'ın Ethereum için Smart Money net akışlarını getir. 402 döndürürse maliyeti göster ve ben onayladıktan sonra öde.” Daha fazla x402 hizmeti keşfetmek için x402scan, x402 ekosistemi için bir gezgindir.

Agent Wallet'ın x402 için yapmadıkları

• x402 harcamasını çıkış limitiyle sınırlamaz. Çıkış politikası, imzaları şimdilik 24 saatlik hesaplamanın dışında tutar.

• Her x402 teklifini imzalamaz. Yalnızca Permit2 kullanan, upto ve EVM dışı teklifler reddedilir.

• Ödemelerin tekrarını önlemez. Henüz bir ödeme defteri yok. pay komutunu yeniden çalıştırmak tekrar ödeme yapar.

• x402 üzerinden satış yapmaz. Yardımcı araç yalnızca alıcı tarafına yöneliktir. Diğer agent'lar için ücretli bir uç nokta barındırmak ayrı bir kurulum gerektirir.

• Bir mm komutu olarak çalışmaz. Skill içindeki bir Python 3 betiğidir. Her zaman JSON çıktısı verir, bu nedenle --toon ve --format geçerli değildir.