Navigateurs furtifs 2026 : 651 verdicts de benchmark — qui réussit vraiment

```html

La liste des outils stealth pour l'automatisation des navigateurs en 2026 a augmenté pour atteindre des dizaines de noms, et un dépôt sur deux promet "undetected". Il est impossible de vérifier cela à l'œil nu : le même Camoufox se classe au milieu du tableau dans une étude, tandis que dans une autre, il figure parmi les quatre meilleurs. Analysons deux benchmarks indépendants de 2026 avec une méthodologie ouverte, examinons les chiffres réels et — surtout — comprenons quel niveau de détection ils ne mesurent pas du tout.

Ce qui a été mesuré : deux benchmarks, deux arbitres différents

La première étude — le benchmark anti-détection d'Ian Patterson (publié le 18 mai 2026). Sept outils ont été testés sur 31 cibles dans quatre catégories : panneaux de détection JS, points de terminaison TLS, sites vivants sous Cloudflare et d'autres anti-bots, ainsi que des plateformes de contenu à fort trafic avec un "fingerprinting" discret. Résultat — 651 verdicts : 217 cellules avec trois passages indépendants, le tout en 5 heures et 11 minutes une nuit. Les tests se sont déroulés en mode headed depuis une IP résidentielle (Mac Studio, Colombie-Britannique).

Le second — le benchmark stealth du Web Scraping Club (23 juillet 2026) : 15 bibliothèques Python open-source, y compris des patches Playwright, des outils natifs CDP et des builds personnalisés de navigateurs. Le rôle d'arbitre externe a été joué par deviceandbrowserinfo.com avec son analyse JSON et son drapeau isBot ; le score du probe interne a coïncidé avec le verdict externe à 92 % pour 13 outils testés.

La différence clé : le premier benchmark cible des objectifs de production vivants (c'est-à-dire le lien "fingerprint + réputation IP + comportement du site"), tandis que le second cible le fingerprinting JS pur dans des conditions de laboratoire, excluant délibérément le fingerprinting de transport, les timings et la réputation des proxies. D'où la divergence dans les leaders.

Tableau : qui a réussi combien sur des cibles vivantes

Les résultats de Patterson sur 31 cibles (OK — accès obtenu, gated — défi interstitiel, blocked — refus strict sans chance de passer la vérification) :

• nodriver (Chrome système 148) — 28 OK, 3 gated, 0 blocked
• CloakBrowser (Chromium 145) — 26 OK, 3 gated, 2 blocked
• curl_cffi 0.15.0 (impersonate=chrome, HTTP-only) — 26 OK, 3 gated, 2 blocked
• Patchright (channel=chrome, Chrome 148) — 25 OK, 3 gated, 3 blocked
• Camoufox (Firefox 135.0.1-beta.24) — 25 OK, 3 gated, 3 blocked
• vanilla Playwright (Chromium 147) — 24 OK, 2 gated, 5 blocked
• rebrowser-playwright (Chromium 136) — 24 OK, 2 gated, 5 blocked

L'écart entre le leader et le Playwright de base n'est que de cinq cibles. Mais ce qui est intéressant, ce n'est pas l'écart, mais où il se produit. Sur canadianinsider et glassdoor, seul nodriver a réussi (sur glassdoor — via un défi doux), sur google-search, vanilla, Patchright et rebrowser ont échoué, sur stackoverflow — vanilla et rebrowser. Et sur dev.to, l'unique outil bloqué était Camoufox.

Dans le second benchmark avec un arbitre strict, seuls quatre outils sur quinze ont réussi : camoufox, CloakBrowser, RayoBrowse et scrapling. Le même Camoufox, qui a échoué au test en direct sur dev.to, s'est retrouvé parmi les meilleurs en laboratoire pour le fingerprinting JS — car la réputation accumulée de la signature Firefox sur une seule IP n'a pas été prise en compte.

Pourquoi nodriver gagne : ce n'est pas une question de camouflage, mais de protocole

Les patches comme playwright-stealth et rebrowser corrigent les signaux statiques : propriétés du navigateur, canvas, WebGL, géométrie de l'écran. Le problème est que les anti-bots modernes capturent non seulement ces signaux, mais aussi le fait même de contrôler le navigateur via le protocole d'automatisation. Le vecteur classique — appel de Runtime.enable : la plupart des bibliothèques l'appellent lors de l'initialisation, et Cloudflare avec DataDome le détectent.

nodriver contrôle Chrome directement via CDP, sans intermédiaire Playwright : pas de shim dans le control-plane, pas de séquence initiale Runtime.enable, pas de middleware entre le code Python et le processus du navigateur. Il décide lui-même quelles commandes CDP envoyer. D'où l'absence de blocages stricts : réparer les empreintes statiques est inutile si vous êtes visible via le canal de contrôle.

Camoufox suit une autre voie — c'est un fork de Firefox avec des modifications au niveau C, qui remplace l'API de fingerprinting par des valeurs aléatoires convenues. Il est puissant contre le fingerprinting complexe, mais cela se fait au détriment de la vitesse et des ressources, et la signature Firefox est en soi visible par rapport à la domination de Chrome. Patchright est le compromis le plus soigné : remplacement drop-in de Playwright, il corrige les fuites CDP au démarrage et peut faire fonctionner Chrome système 148 sans réécrire le code.

Le niveau que aucun benchmark ne mesure

C'est ici que commence ce qui est le plus important pour la pratique. Les deux études précisent clairement la limite de leur portée, et les formulations sont presque identiques. L'auteur du second benchmark écrit que la réputation des proxies concerne votre IP, et non votre outil, et l'a donc exclue. L'auteur du premier explique la même chose sous un autre angle : le proxy ne modifie que l'IP source, tandis que la poignée de main TLS, l'ordre des trames HTTP/2, les propriétés du navigateur et l'empreinte canvas naissent sur une machine réelle.

Il en découle une conclusion qui mérite d'être notée séparément : l'outil et l'IP couvrent différents niveaux de détection, et l'un ne compense pas l'autre. L'examen des navigateurs stealth de Scrapfly du 10 août 2026 formule la moitié symétrique : un fingerprinting pur sur une IP de centre de données marquée se fait toujours bloquer.

De plus, une combinaison malheureuse fonctionne moins bien que son absence. Patterson décrit cela comme une exigence de cohérence de profil : un serveur Linux derrière un proxy résidentiel annonce toujours un navigateur avec une forme Linux — et c'est cette contradiction que les portes marquent. L'effet inverse est également documenté : dans les tests externes, la rotation des IP a considérablement amélioré les résultats de Camoufox, empêchant la réputation de s'accumuler contre la signature Firefox reconnaissable lors de visites répétées depuis une même adresse.

Le sens pratique est simple. Si vous exécutez des tests depuis une adresse statique, vous mesurez non seulement l'outil, mais aussi l'usure d'une IP spécifique. Les cibles vivantes comme les plateformes protégées par Cloudflare évaluent l'ensemble du lien, donc pour des scénarios avec de nombreuses sessions, il est judicieux de les répartir sur différentes adresses — des proxies résidentiels pour les cibles où la réputation "domestique" de l'adresse est importante, et des centres de données là où la vérification IP est plus douce, mais la vitesse est critique. Comment le niveau de transport lui-même est détecté et pourquoi curl_cffi a même été inclus dans le tableau aux côtés des navigateurs — est expliqué dans l'article sur le contournement du fingerprint TLS/JA4 via curl_cffi.

La viabilité du projet est plus importante que la place dans le tableau

Tout outil stealth open-source finit par "fuir" et nécessite des réparations, et le coût de maintenance à grande échelle augmente rapidement. Par conséquent, l'activité du dépôt est un critère de choix aussi important que le pourcentage de réussite. Données GitHub au 13 août 2026 :

• Camoufox — 11 057 étoiles, dernier push le 12.08.2026 : le projet est vivant et mis à jour.
• Scrapling — 73 705 étoiles, push le 11.08.2026 : le plus populaire de la liste, mais c'est un framework de scraping complet, pas seulement un niveau stealth.
• Patchright — 4 076 étoiles, push le 05.08.2026 : activement maintenu, ce que confirme également le benchmark.
• nodriver — 4 649 étoiles, mais dernier push le 13.05.2026. Le gagnant du test en direct est mis à jour moins fréquemment que les autres.
• zendriver — 1 390 étoiles, push le 09.08.2026. Fork de nodriver, créé pour corriger des bugs critiques et accepter les contributions de la communauté.

À part cela — concernant les outsiders. rebrowser-playwright dans le benchmark était sur Chromium 136, et son dernier commit date de septembre 2024 : le projet est en fait abandonné, d'où les cinq blocages stricts. Avec CloakBrowser, la build pour macOS est restée deux mois sur Chromium 145, tandis que les versions pour Linux et Windows étaient mises à jour — une version obsolète du moteur devient en soi un signal.

Que choisir pour votre scénario

1. Vous avez déjà écrit du code sur Playwright. Prenez Patchright : c'est un remplacement d'importation, pas une réécriture de projet, et c'est le seul des forks patchés que le benchmark qualifie d'activement maintenu. Gardez à l'esprit qu'il n'a pas réussi au test sur google-search.
2. Vous avez besoin d'un maximum sur des cibles strictes sous Cloudflare/DataDome. nodriver ou son fork vivant zendriver — la seule approche qui élimine l'empreinte du protocole d'automatisation. Le prix — uniquement Chrome, une API plus jeune et moins de commodités prêtes à l'emploi.
3. La principale menace est le fingerprinting JS profond. Camoufox avec un remplacement au niveau du moteur. À utiliser obligatoirement avec une rotation d'adresses : sans cela, la signature Firefox accumule rapidement une réputation négative sur une seule IP.
4. Les données sont envoyées par HTTP sans exécution de JS. curl_cffi avec impersonate — 26 des 31 cibles sans navigateur du tout. L'option la moins coûteuse en ressources, si la page ne nécessite pas de rendu.
5. On vous vend "98% de réussite". De tels chiffres (par exemple, ceux annoncés par Scrapfly 98% contre Cloudflare Bot Management et 96% contre DataDome) sont une métrique du fournisseur sur son infrastructure et son pool d'adresses, et non un benchmark reproductible. Il est incorrect de les comparer directement avec des tableaux ouverts.

Et le principe général : testez l'outil sur vos sites cibles, et non selon un tableau récapitulatif d'autrui. L'écart de cinq cibles entre le leader et le Playwright de base signifie que pour une bonne moitié des tâches, la différence ne se manifestera pas du tout — mais sur un glassdoor ou canadianinsider spécifique, le choix fera toute la différence. Quelles systèmes se trouvent sur vos cibles et comment leur logique diffère, il est utile de le comprendre à l'avance : à ce sujet — comparaison des anti-bots 2026 : Cloudflare, DataDome, Akamai, Kasada.

Conclusion

Sur des cibles vivantes en 2026, nodriver est en tête — zéro blocages stricts sur 31 cibles, car il ne laisse aucune trace du protocole d'automatisation. Pour le fingerprinting JS pur en laboratoire, Camoufox, CloakBrowser, RayoBrowse et scrapling sont en tête. Il n'y a pas de contradiction ici : les benchmarks mesurent différents niveaux, et votre choix dépend de quel niveau vous affecte.

Mais aucun de ces outils ne résout complètement la tâche. Le navigateur stealth est responsable de l'apparence de votre machine ; le proxy — de l'origine de votre connexion et de ce que cette adresse a fait auparavant. Les portes détectent à la fois une mauvaise empreinte et une IP sale, et plus encore — la contradiction entre les deux. Assemblez votre combinaison de manière consciente : un outil pour le type de détection, une adresse pour le type de cible, et vérifiez le résultat sur vos propres pages, et non sur un screenshot d'un tableau d'autrui.