137 x402 ücretli rotaya yapılan iki-fiil testi, çoğunun POST isteğini 404 veya 405 ile reddettiğini ortaya koydu

x402 ödeme duvarlarını denetleyen ve dev.to'da edvyno takma adıyla yazan bir geliştirici, makine ödemeli API rotaları satanların, farkına varmadan potansiyel alıcıların büyük bir bölümünü geri çevirdiğini gösteren ölçümler yayımladı. Yazar, 2026-11-14 tarihinde 78 ana makineye yayılmış 137 ücretli uç noktaya POST istekleri gönderdi. Yalnızca 42'si, bir agent istemcisinin ödeme yapması için gereken ödeme challenge'ı olan HTTP 402 döndürdü. Geri kalan 95'i ise rotayı bozuk ya da var olmayan gibi yanıtladı: 49'u 404, 45'i 405 döndürdü.

Neler ölçüldü

dev.to yazılarına göre yazar, rotaları GET ile gerçek bir 402 challenge döndüren satıcıların bir sayımını tutuyor — toplam 313 tanıtılmış rota. Test için bu URL'lerin her biri, boş bir JSON gövdesi ve ödeme başlığı olmadan, 15 saniyelik zaman aşımı ve bir tarayıcı user-agent'ı ile POST olarak yeniden oynatıldı. Yazarın tanımına göre sağlıklı bir satıcı, iki fiil için de aynı fiyatta, ücretsiz bir baypas olmadan 402 ve bir challenge döndürmelidir.

Dağılım şöyle: 42 istek (%30,7) gerçek bir 402 aldı, 49'u (%35,8) 404, 45'i (%32,8) 405 aldı ve biri 401 aldı. Ana makineye göre gruplandığında, 78 satıcıdan 22'si (%28,2) test edilen her rotada ödenebilir bir 402 döndürdü; diğer 56'sı döndürmedi. 405 kodlu 45 yanıttan 36'sı açık bir method_not_allowed hata gövdesi taşıyordu; yazar bunu, bir proxy ya da güvenlik duvarının isteği yutması olarak değil, uygulama kodunun fiili kasıtlı olarak reddetmesi olarak yorumluyor.

Fiil neden önemli

x402 tarzı akışlarda fiili satıcı değil, istemci seçer. Araç çağrısı döngülerindeki agent'lar sorguyu çoğunlukla bir istek gövdesi olarak ifade eder; bu da POST anlamına gelir. Satıcılar ise ücretli rotaları, ödeme duvarı handler'ın içinde olacak şekilde GET uç noktaları olarak kurmaya eğilimlidir. Framework router'ları daha sonra bir POST isteğine, ödeme middleware'i hiç çalışmadan önce 405 veya 404 ile yanıt verir. 405 en azından rotanın var olduğunu doğrular; 404 ise ölü bir uç noktadan ayırt edilemez, bu yüzden alıcı hatayı kaydeder ve yoluna devam eder. Satıcı tarafında bu, kaybedilmiş bir satış gibi görünmez; çünkü etkileşim hiçbir zaman ödeme mekanizmasına ulaşmaz.

Sorun kendiliğinden düzelmiyor

Yazar bu testi ilk kez 2026-10-30'da çalıştırdı ve on beş gün sonra tekrarladı. 78 ana makinenin tamamı hâlâ ayaktaydı, ama tam olarak bir ana makine davranışını değiştirdi — üstelik yalnızca bir hata biçiminden diğerine: 404, 405 oldu. Bu süre içinde hiçbir ana makine POST üzerinde ödenebilir bir 402 sunmaya başlamadı. Yazarın sonuç önermesi, bunun geçici bir hata değil, bir API'yi GET-only API olarak ele alan bir tasarım varsayımını yansıttığı ve tam da satıcı tarafında bunu görünür kılan bir şey olmadığı için sürdüğü yönünde.

Yazarın kendi sunucusunda da aynı açık vardı

Testi kendi ücretli rotalarına yönelten yazar, her GET'in doğru şekilde ücretlendirirken aynı yollara yapılan her POST'un 405 döndürdüğünü buldu. Sunucu günlükleri önceki 24 saatte 41 böyle red gösteriyordu — 20'si /x402/picks ve /x402/reddit-sentiment yollarında, 21'i alpha-brief üzerinde — her biri, fiyatlandırılmış bir rotaya ulaşmış ve reddedilmiş bir istemciydi. Ödeme panoları yalnızca düzenlenen ve tamamlanan 402'leri sayıyordu; bu yüzden kaybedilen alıcılar hiçbir zaman bir metrik olarak kaydedilmedi.

2026-10-30'da yayımlanan düzeltme, her ücretli GET için eşleşen bir POST rotasıydı: mevcut handler'a ve onun ödeme duvarına bağlı, parametreler JSON gövdesinden ya da olmazsa query string'den alınıyordu. Yaklaşık 93 satır. Sıralama kritik. Ödeme middleware'i yalnızca rota tablosunda bulunan anahtarları fiyatlandırıyorsa, ikiz handler'ı önce bir POST fiyat girdisi eklemeden kaydetmek, ücretsiz ve kimlik doğrulamasız bir uç nokta yaratır — 405 kaybolur, trafik artar ama gelir artmaz. 2026-11-04'ten beri, challenge, sign ve verify adımlarını tamamlama yapmadan yürüyen günlük bir selftest on iki kez çalıştı ve 2026-11-09'da challenge aşamasında bir 503 yakaladı.

Neden önemli

Makine ödemeli web hizmetleri, yalnızca iki tarafın HTTP'in açık bıraktığı kurallarda uzlaşmasıyla çalışabilir ve fiil de bunlardan biri. Bu ölçümler, mevcut x402 satıcılarının çoğunun yalnızca GET tahmin etmeye rastlamış istemcilere sattığını ve geri kalanları sessizce kaybettiğini gösteriyor — alıcılar uç noktayı ölü olarak işaretleyip atlıyor, satıcılarda ise uyarı verecek bir kayıp satış sinyali yok. Kontrol tek bir curl'e mal oluyor: herhangi bir ücretli rotayı POST olarak yeniden oynatın ve iki fiilin de 402 döndürdüğünü doğrulayın. 405 kayıp alıcılar demek; 200 ise yanlışlıkla bedava dağıtım demek, ki bu daha kötü. Yazar tam sayıları ve geçen satıcıların adlarını, test kaydından üretilen herkese açık bir kanıt sayfasında yayımlıyor, başarısız satıcıları yalnızca sayı olarak raporluyor ve aynı test üzerine kurulu ücretli bir denetim ve izleme hizmeti de satıyor.