Navigateurs headless pour agents IA : ce qu’il faut faire tourner soi-même, ce qu’il faut louer, et où vont vos identifiants

Un agent qui lit le web a besoin d’un navigateur, et Chrome headless est la manière coûteuse de lui en fournir un : un gigaoctet de mémoire ou plus par navigateur actif, pour des pixels qu’aucun modèle ne regarde jamais. En novembre 2026, vous pouvez remplacer Chrome par un moteur plus léger que vous exécutez vous-même, ou louer Chrome à l’heure chez quelqu’un d’autre. La première option économise de la mémoire et vous coûte des pages qui ne fonctionnent pas ; la seconde vous épargne le travail de serveur et place les cookies et les identifiants de votre agent sur les machines d’une autre entreprise.

Tous les chiffres ci-dessous viennent de nos tests de Lightpanda, Moli, Obscura, Cloudflare Browser Run (qui inclut Kitesurf), Steel et Browserbase MCP, ainsi que des documents qu’ils citent. Nous avons relu les dépôts GitHub et les pages de tarifs le 13 novembre 2026. Nous n’avons pas fait tourner ces navigateurs nous-mêmes, et la plupart des chiffres de vitesse et de mémoire viennent des éditeurs eux-mêmes.

Pourquoi Chrome est le choix par défaut le plus cher

L’essentiel du web est aujourd’hui construit en JavaScript, si bien qu’un agent ne peut pas se contenter de télécharger le HTML ; il faut bien que quelque chose exécute les scripts et construise la page. Chrome le fait bien, et il calcule aussi la mise en page et dessine chaque page comme si une personne la regardait. Sur le benchmark de crawl de Lightpanda, Chrome headless a culminé à 2 GB sur 100 pages ; dans le crawl de 192 sites de Lexmount, sa médiane était de 773 MiB. Si vous faites tourner cinquante agents à la fois, cette mémoire représente l’essentiel de votre facture de serveurs.

Les nouveaux moteurs gardent ce dont un agent a besoin (JavaScript, la structure de la page, les cookies, les requêtes réseau) et sautent ou reportent le dessin. Tous parlent le Chrome DevTools Protocol (CDP), la même connexion que Puppeteer et Playwright utilisent pour piloter Chrome, si bien qu’un script existant n’a le plus souvent besoin que d’une nouvelle adresse.

Les moteurs que vous pouvez faire tourner vous-même

Moteur	Écrit en	Licence	Étoiles GitHub, 13 nov.	Dernière version	Réglage par défaut à connaître
Lightpanda	Zig	AGPL-3.0, avec CLA	41 990	1.0.4, 13 nov. 2026	Télémétrie d’usage active tant que vous ne définissez pas LIGHTPANDA_DISABLE_TELEMETRY=true
Obscura	Rust	Apache-2.0	34 844	v0.2.6, 31 oct. 2026	Refuse d’écouter au-delà de votre propre machine sans jeton de 32 octets
Moli	Rust	Apache-2.0 ou MIT	23 647	v1.1.24, 12 nov. 2026	Aucune authentification sur son port CDP ; le blocage des réseaux privés est à activer
Kitesurf (dans Browser Run)	Rust compilé en WebAssembly	Apache-2.0	306	Aucune version étiquetée	Pas d’authentification intégrée ; Cloudflare conseille de placer Access ou votre propre connexion devant

Lightpanda est le plus mûr. Il a atteint la version 1.0 le 2 octobre 2026, a la plus grande communauté des quatre et ajoute un serveur MCP natif ainsi qu’un mode agent qui enregistre une session sous forme de script rejouable sans modèle. Son propre benchmark lui donne 123 MB contre 2 GB pour Chrome sur 100 pages, et 5 secondes contre 46. Il n’existe pas de version Windows native, et le binaire Linux exige glibc 2.35 ou plus récent, si bien que les images Alpine échouent.

Moli échange de la vitesse contre des pages qui fonctionnent. Il ne calcule la mise en page que lorsqu’une requête l’exige, par exemple une capture d’écran, ce qui lui permet de couvrir une plus grande part de la plateforme web (iframes, workers, WebSocket, IndexedDB) que les autres. Dans le crawl de Lexmount, il a produit un contenu utile sur 103 des 192 sites, contre 101 pour Chrome, 85 pour Lightpanda et 57 pour Obscura. Il a aussi trois mois, publie une version tous les quelques jours et reste surtout l’œuvre d’un seul développeur.

Obscura se vend sur sa faible consommation de mémoire et sur l’anti-détection. Il annonce environ 30 MB par instance contre 200 MB ou plus pour Chrome, sans mesure indépendante, et propose une version stealth optionnelle qui rend aléatoires les empreintes du navigateur et masque les signes habituels d’automatisation. Son propriétaire est pseudonyme, et robots.txt est ignoré sauf si vous passez --obey-robots. Ses réglages de sécurité par défaut sont les plus soignés des trois.

Kitesurf est le dernier arrivé sur votre propre machine. Cloudflare l’a lancé dans Browser Run le 6 août 2026 et en a publié le code sous Apache-2.0 le 12 novembre, sous le nom cloudflare/kitesurf. Chaque page s’exécute dans un isolat Workers plutôt que dans un processus Chrome. En local, il tourne sous wrangler dev, après une première compilation Bazel du cœur en Rust qui, selon le README, prend un certain temps. Pour le faire tourner sur Cloudflare, il faut un forfait Workers Paid, car il dépend de Dynamic Workers. Cloudflare le qualifie d’expérimental et en plein développement, et demande qu’un mainteneur se porte garant d’un contributeur avant toute pull request.

Compatibilité : tout dépend du benchmark que vous lisez

Les benchmarks des éditeurs se contredisent de manière instructive. Sur la suite Lexbench de 1 308 tâches de Lexmount, Chrome a réussi 99,85 %, Moli 81,88 %, Kitesurf 62,08 %, Lightpanda 53,29 % et Obscura 44,88 %. C’est Lexmount qui a écrit le test, et le chiffre de Moli vient de la version 0.1.1, vieille de nombreuses versions.

Le benchmark de Lightpanda du 19 octobre a mesuré le coût. En crawlant 940 pages sur 25 onglets, Lightpanda a mis 4,5 secondes avec un pic à 109 MB, Obscura 11,5 secondes et 201 MB, et Moli 17,4 secondes et 230 MB. Le test de Cloudflare sur 14 sites a établi que Kitesurf utilisait 4,7 à 7 fois moins de mémoire qu’un Chrome déjà lancé, mais mettait 1,7 à 1,8 fois plus longtemps par page.

Lus ensemble, ils disent la même chose : chaque moteur léger échoue sur une part des vraies pages que Chrome gère, et plus il est léger et rapide, plus cette part tend à être grande. Moli et Kitesurf laissent de côté la vidéo et WebGL, Obscura prévient que la lecture multimédia et les polices peuvent différer, Lightpanda ne dessine rien du tout, si bien que ses captures et ses PDF ne contiennent que du texte, et aucun ne promet de reproduire Chrome au pixel près. Un crawler qui compte le coût par page a des raisons de commencer par Lightpanda ; un agent qui échoue dès qu’une page fonctionne à moitié a des raisons de regarder Moli ; tout ce qui doit se comporter exactement comme le navigateur d’une personne a encore besoin de Chrome.

Louer un navigateur

Les services hébergés font tourner un vrai Chrome, la compatibilité est donc celle de Chrome. Ce qui change, c’est le prix, la durée maximale d’une session et les efforts de chacun pour ressembler à une personne.

Service	Pour commencer	Par heure de navigateur	Navigateurs simultanés	Données de session conservées
Cloudflare Browser Run	Gratuit : 10 minutes par jour ; Workers Paid 5 $/mois avec 10 heures	0,09 $	3 en gratuit ; 10 en Paid, puis 2 $ par navigateur supplémentaire	Supprimées après le rendu ; crawls 14 jours, enregistrements 30
Browserbase	Gratuit : 1 heure ; Developer 20 $ avec 100 heures ; Startup 99 $ avec 500	0,12 $ en Developer, 0,10 $ en Startup	3, 25, 100, plus de 250 en Scale	7 jours en gratuit, 30 jours en payant
Steel Cloud	Launch 0 $ avec 30 $ de crédits valables 90 jours ; Scale 250 $ avec 100 $ par mois	0,10 $ en Launch, 0,08 $ en Scale	10 en Launch, 100 en Scale	7 jours en Launch, 14 en Scale
Lightpanda cloud	Explorer gratuit avec 10 heures ; Builder 19 $ avec 300	0,08 $ en Builder	5 en gratuit, 30 en Builder	Non publié

Pour 1 000 heures de navigateur par mois, les prix catalogue reviennent à environ 94 $ chez Cloudflare (avant tout supplément de simultanéité), 128 $ chez Browserbase Developer ou 149 $ en Startup, environ 100 $ chez Steel Launch ou 230 $ en Scale, et 75 $ chez Lightpanda Builder. Browser Use Cloud fait exception à 0,02 $ l’heure, environ 20 $, mais ses proxys résidentiels à 5 $ par GB sont activés par défaut. Les proxys et la résolution de CAPTCHA sont facturés en plus partout où ils sont proposés.

Le tarif horaire compte moins que les limites qui l’entourent. Cloudflare ferme une session inactive au bout de 60 secondes, 20 minutes au maximum avec keep_alive, et Kitesurf ne peut pas du tout maintenir une longue session connectée. Steel arrête les sessions à 15 minutes en Launch et à 1 heure en Scale. Les sessions gratuites de Browserbase s’arrêtent à 15 minutes. Un agent qui parcourt un long tunnel de commande ou un portail fournisseur se heurtera à ces murs avant de se heurter à la facture.

L’autre différence, ce sont les manières. Browser Run signe chaque requête pour que le site sache qu’elle vient de Cloudflare, et n’offre ni proxys, ni rotation d’IP, ni résolution de CAPTCHA : les sites qui bloquent les bots le bloqueront. Steel et Browserbase vendent des proxys résidentiels et la résolution de CAPTCHA pour les sites qui résistent à l’automatisation, et le risque au regard des conditions d’utilisation de ces sites reste le vôtre, pas le leur.

Où vont vos cookies et vos identifiants

C’est la question que la plupart des équipes sautent. Un navigateur qui détient les identifiants de votre agent est une clé pour chaque compte qu’il contient, et le modèle qui le pilote lit des pages écrites par des inconnus, dont chacune peut contenir des instructions.

• En local, le profil est sur votre disque. Moli n’écrit cookies et cache que si vous passez --profile-dir, --cookie ou --http-cache-dir. Playwright MCP conserve par défaut un profil persistant sur disque (--isolated le garde en mémoire), et son README précise qu’il ne constitue pas une frontière de sécurité. Chrome DevTools MCP expose à l’agent tout le contenu du profil du navigateur et envoie des statistiques d’usage à Google sauf si vous le refusez.
• Les serveurs locaux sont souvent grands ouverts. Le port CDP de Moli et les ports 3000 et 9223 de Steel auto-hébergé n’ont aucune authentification, si bien que tout ce qui peut les atteindre peut piloter le navigateur et interroger les adresses de métadonnées du cloud. La politique de sécurité de Steel prévient que son docker run d’une ligne publie les deux ports sur toutes les interfaces et que Docker contourne les pare-feu de l’hôte comme UFW. Seul Obscura refuse d’écouter hors loopback sans jeton. Gardez-les sur 127.0.0.1 et placez votre propre authentification devant.
• En location, le fournisseur voit tout. Browserbase héberge le navigateur et voit chaque page et chaque valeur de formulaire, et son serveur MCP hébergé reçoit votre clé d’API comme paramètre dans l’URL, où elle peut finir dans des journaux. Steel Cloud stocke les profils sous forme de copies de tout le répertoire de données utilisateur de Chrome, cookies et identifiants enregistrés compris, sur des serveurs aux États-Unis jusqu’à 30 jours sans usage. Cloudflare indique que les pages rendues sont supprimées dès qu’elles sont renvoyées ; les cookies que vous confiez à une session restent sur ses navigateurs tant que la session dure.
• Certains services tiennent les mots de passe à l’écart du modèle. La Credentials API de Steel remplit dans la page les noms d’utilisateur, mots de passe et codes à usage unique enregistrés sans les montrer à l’agent. Human in the Loop de Cloudflare confie la connexion à une personne via Live View, et ses enregistrements masquent tout ce qui est saisi dans les champs de formulaire.

Si l’agent doit agir en votre nom sur des sites où vous êtes connecté, un vrai Chrome auto-hébergé comme easi.run ou BrowserOS neo garde le profil chez vous, mais notre guide pour sécuriser les agents de code s’applique entièrement : un profil par tâche, uniquement les comptes nécessaires, et rien d’accessible depuis l’extérieur de la machine.

Le pilote est un choix distinct

Le navigateur et ce qui lui dit quoi faire sont deux couches séparées. Playwright MCP (version 0.0.85, 9 novembre) donne au modèle un instantané d’accessibilité de chaque page et c’est le serveur par lequel commencer. Chrome DevTools MCP (1.13.0, 11 novembre) ajoute traces de performance, journaux réseau et erreurs de console quand vous devez comprendre pourquoi une page a cassé. Stagehand et Browser Use laissent le modèle décider uniquement des étapes imprévisibles. Tous se connectent en CDP, ils pilotent donc Chrome, Lightpanda, Moli, Obscura ou un navigateur loué, dans les limites de ce que chaque moteur prend en charge. Vous pouvez changer de navigateur plus tard sans réécrire l’agent.

Une configuration raisonnable

1. D’abord Chrome, en local. Construisez l’agent avec Playwright MCP et un Chrome ordinaire doté d’un profil isolé, pour savoir à quoi ressemble un fonctionnement correct.
2. Un moteur léger pour le volume. Dès que vous crawlez ou naviguez à grande échelle, faites passer vos propres pages par Lightpanda ou Moli, gardez un pool Chrome pour celles qui échouent, et comptez les échecs avant de compter les économies.
3. Louez pour les parties délicates. Browser Run pour des lectures bon marché de sites qui acceptent un bot déclaré ; Steel ou Browserbase quand il vous faut de longues sessions connectées, beaucoup de navigateurs à la fois ou des proxys.
4. Figez les versions. Moli publie une version tous les quelques jours et Lightpanda toutes les quelques semaines, Obscura et Steel n’ont pas atteint la 1.0, et Kitesurf n’a aucune version publiée. Installez une version précise plutôt que de passer le dernier installateur directement à un shell.

Le hic : presque chaque chiffre ici a été publié par quelqu’un qui a un produit à vendre. Lexmount a écrit le benchmark que gagne Moli, Lightpanda celui que gagne Lightpanda, et Cloudflare a mesuré Kitesurf. Ces moteurs ont quelques mois et changent chaque semaine, si bien qu’un taux de réussite de septembre peut ne pas dire grand-chose de la version que vous installez. Faites passer un échantillon de vos propres pages cibles par n’importe quel moteur avant d’y envoyer du vrai trafic.

Notre avis : un navigateur headless léger est un coursier à vélo, et Chrome la camionnette. Le coursier est moins cher et plus rapide pour la plupart des petits colis, et certaines livraisons ne rentrent tout simplement pas. Gardez la camionnette pour celles-là, louez-en une quand il vous faut une flotte pour un après-midi, et réfléchissez bien à la camionnette qui détient les clés de vos comptes.