Seules 17 des 50 API personnelles des services russes sont ouvertes sans contrat avec une entreprise

Imaginez que vous disiez à un agent : « Commande les courses, paie internet et éteins la lumière. » Dans l'actualité étrangère, cela paraît déjà presque banal. Et qu'en est-il des services russes ? Vika, autrice d'une étude publiée sur Habr, a choisi de ne pas deviner et a vérifié 424 entreprises et produits répartis dans 16 domaines.

Les API sont offertes aux entreprises, pas encore aux acheteurs

Principal constat : les connexions destinées aux entreprises sont nettement plus nombreuses que celles dédiées aux usages personnels. 232 des 424 services disposent d'une API, d'un MCP ou d'un A2A, soit 312 connexions au total. Parmi elles, 233 sont conçues avant tout pour les entreprises et seulement 50 pour des scénarios personnels. On compte 214 API, 97 MCP et un A2A. Parmi les MCP, 34 sont officiels et 63 tiers.

Exemple typique : via l'Ozon Seller API, on peut gérer les produits, les prix et les expéditions. Mais cela n'apporte rien à un agent acheteur, qui ne peut pas passer de commande dans votre compte.

Mise en garde importante : l'échantillon contient beaucoup de solutions professionnelles, il est donc impossible d'extrapoler ces proportions à l'ensemble du marché. L'autrice n'a pas testé le fonctionnement des connexions ; elle s'est appuyée sur la documentation et les descriptions fournies par les auteurs des connecteurs.

La recherche existe, l'achat presque pas

Parmi les 59 connexions avec scénarios personnels, le tableau est le suivant : 53 prennent en charge la recherche, 8 la création ou la confirmation d'une commande, et seulement 5 une opération de paiement. Sur ces cinq, quatre sont des MCP tiers et une est l'API officielle de YooMoney.

VkusVill fournit à l'agent un outil qui trouve des produits et crée un lien vers le panier. C'est quand même à l'humain de finaliser l'achat. Chez Lenta, l'API affiche les magasins, les prix et la disponibilité, mais la passation de commande n'est pas confirmée dans l'ensemble publié. Delovye Linii permet de créer une demande de transport, mais l'annulation ou la modification peuvent être refusées après vérification.

Un résultat physique (commande, transport, commande envoyée à un appareil) est annoncé pour 10 connexions personnelles couvrant 9 services. Cinq d'entre elles sont des MCP tiers. Quatre utilisent des API internes ou l'automatisation du navigateur, par exemple les MCP pour Yandex Eda et Pyatyorochka. C'est un socle fragile : les déclarations des auteurs ne valent pas des engagements du propriétaire du service.

L'accès est souvent fermé avant même la première requête

Un accès officiel autonome, sans contrat d'entreprise ni forfait payant, existe pour 28 connexions sur 312, dont 17 personnelles. Les 284 autres nécessitent des conditions supplémentaires ou leur accès n'est pas clair. 191 exigent un accès entreprise, un espace vendeur ou un rôle de partenaire, et dans 80 cas une validation ou une configuration par un administrateur est nécessaire.

Un seul A2A a été trouvé : chez Albato Copilot, un agent externe peut créer et lancer des automatisations, mais l'adresse et le jeton sont remis par un responsable.

Il y a aussi une bonne nouvelle : l'hypothèse selon laquelle les API seraient en lecture seule ne s'est pas vérifiée. 186 connexions modifient des données numériques, 34 permettent de passer une commande, un transport, une réservation ou d'envoyer une commande à un appareil. Simplement, ces actions sont concentrées dans les outils professionnels. Yandex Disk et Umny Dom proposent des API officielles personnelles, et la commande à un appareil y fonctionne sans achat.

Ce que doivent faire développeurs et product managers

Si vous concevez un agent grand public, ne comptez pas sur un parcours prêt à l'emploi « recherche, panier, paiement ». Pour l'instant, il se construit à partir de pièces : recherche officielle, lien vers le panier et confirmation par un humain. Si vous êtes propriétaire d'un service, la place à prendre est évidente : un accès OAuth personnel sans espace vendeur.

Avant de se connecter, l'autrice conseille de vérifier cinq points :

• un accès personnel est-il possible sans contrat ;
• les droits de lecture et de modification sont-ils séparés ;
• l'opération requiert-elle une confirmation ;
• la commande est-elle protégée contre un double envoi ;
• peut-on vérifier le résultat.

Le registre complet avec les sources a été publié par l'autrice. Il est utile comme carte de ce que l'on peut déjà manipuler, et de ce qu'il vaut mieux attendre des solutions officielles.