sylius-agent-ready — ein Shop, den Agenten benutzen können.

Discovery ist kostenlos, Daten können kosten

Die x402-Middleware beantwortet eine Route mit HTTP 402 und den Zahlungsanforderungen, die ein Agent erfüllen kann. Sie ist standardmäßig aus — ein Bundle zu installieren darf nicht anfangen, Geld zu verlangen.

Wenn sie eingeschaltet wird, gilt eine Grenze, die im Code steht und nicht in der Dokumentation: gegated werden nur Datenrouten. Nie der Storefront, nie der Checkout, und ausdrücklich nie die Discovery-Dokumente. Ein /.well-known/* hinter einer Bezahlschranke macht einen Shop nicht profitabel, sondern unsichtbar.

Ein Agent mit gültigem OAuth-Token kommt ohne Zahlung durch. Beide Wege stehen in derselben 402-Antwort — bekannter Agent zahlt per Vertrag, unbekannter per Request.

Der Kaufabschluss bleibt beim Menschen, wo das Recht es verlangt

Das ACP-Bundle kennt zwei Zustände. Standardmäßig deklariert es den Katalog und verschweigt den Checkout — denn ein Agent, der checkout in den Fähigkeiten liest, wird versuchen, über die API zu kaufen.

Für einen Shop mit altersbeschränktem Sortiment ist das keine Option: der Abschluss muss in einer sichtbaren Browser-Session passieren, in der das Alter geprüft werden kann. Jeder Feed-Eintrag trägt dafür age_restriction, damit ein Agent ein beschränktes Produkt nicht für gewöhnliche Ware hält.

Das ist keine Lücke der Umsetzung. ACP und UCP sehen beide einen Checkout-Session-Handoff genau dafür vor — der Agent bereitet vor, der Mensch schließt ab. Wer ein Sortiment ohne solche Auflagen führt, schaltet den Checkout mit einer Zeile Konfiguration frei.

Siebzehn Pakete, die einander nicht kennen

Ein Paket pro Protokoll heißt: der API-Katalog muss wissen, was die anderen anbieten — ohne sie zu kennen. Das löst ein Fundamentpaket, koh/sylius-agent-contracts. Es liefert selbst keinen einzigen Endpunkt, nur Interfaces, Registries und einen Request-Kontext.

Eine Klasse, die eines dieser Interfaces implementiert, wird containerweit automatisch registriert — auch aus dem eigenen App\-Namespace, ohne jede Verdrahtung. Wer sein Magazin in llms.txt haben will, schreibt fünfundzwanzig Zeilen und ist fertig.

Der Effekt zeigt sich beim Entfernen: ist ein Paket nicht installiert, verschwindet sein Eintrag überall gleichzeitig — aus llms.txt, aus dem API-Katalog, aus den Link-Headern. Es gibt keine Stelle, an der eine Fähigkeit stehenbleibt, die niemand mehr bedient.

Installieren reicht nicht

composer require koh/sylius-agent-ready

Ein Metapaket kann keine Bundles registrieren, keine Routen importieren und keinen Firewall-Eintrag setzen. Drei Schritte bleiben Handarbeit, und der Shop ist nicht agent-ready, bevor alle drei erledigt sind. Der wichtigste davon ist der dritte.

Die Firewall-Ausnahme muss über den Sylius-Firewalls stehen. Sylius' shop_regex ist ein Catch-all und trifft auch /.well-known/… — und diese Firewall ist stateful. Ohne Ausnahme startet jeder Crawler-Zugriff eine Session, und jede Antwort trägt Set-Cookie: nicht cachebar, für Dokumente, deren ganzer Zweck es ist, aus einem geteilten Cache zu kommen. Ein access_control-Eintrag hilft nicht — der greift erst, nachdem eine Firewall bereits gematcht hat.

Und: public/robots.txt löschen. Der Webserver beantwortet sie von der Platte, bevor Symfony überhaupt gefragt wird, und beschattet die dynamische Route lautlos.

Ob alles sitzt, beantwortet ein Kommando, das jeden angekündigten Endpunkt tatsächlich aufruft:

bin/console koh:agent:check

Es findet den Fehler, den kein Unit-Test sieht, weil beide Hälften für sich richtig sind: ein Bundle meldet einen Endpunkt an, llms.txt und der API-Katalog bewerben ihn brav — und die Route wurde nie importiert. Agenten laufen in einen 404, während jedes Dokument korrekt aussieht.