Playwright MCP : donner un navigateur à son assistant IA, avec prudence

Playwright est l'outil libre de Microsoft pour automatiser un navigateur, très utilisé pour tester des sites web. Son serveur MCP, sous licence Apache 2.0, met cette capacité à disposition d'un assistant IA : celui-ci peut ouvrir une page, cliquer, saisir du texte, déposer un fichier ou gérer plusieurs onglets.

Comment ça marche

La particularité tient à la manière dont l'assistant « voit » la page. Au lieu d'analyser des captures d'écran, le serveur lui transmet l'arbre d'accessibilité de la page : une description structurée des boutons, champs et liens, la même que celle utilisée par les lecteurs d'écran. Selon le README, cela évite de recourir à un modèle de vision et rend les actions plus prévisibles.

Installation

Il faut Node.js 18 ou plus récent et un client compatible MCP (VS Code, Cursor, Claude Desktop, entre autres). La configuration standard :

{
  "mcpServers": {
    "playwright": {
      "command": "npx",
      "args": ["@playwright/mcp@latest"]
    }
  }
}

Avec Claude Code, une commande suffit :

claude mcp add playwright npx @playwright/mcp@latest

Les réglages utiles

• --headless : le navigateur tourne sans fenêtre. Par défaut, il s'affiche à l'écran.
• --isolated : le profil reste en mémoire et disparaît à la fermeture. Par défaut, au contraire, le profil est persistant : les sessions ouvertes sur vos sites sont conservées d'un lancement à l'autre.
• --storage-state : charge des cookies depuis un fichier dans une session isolée.
• --allowed-origins et --blocked-origins : listes de sites autorisés ou bloqués.
• --caps : active des capacités supplémentaires, comme vision (clics par coordonnées), pdf ou devtools.
• --secrets : masque des valeurs sensibles dans les réponses.

Un troisième mode, par extension de navigateur, connecte l'assistant à vos onglets déjà ouverts et à vos sessions en cours.

Les limites et les avertissements

Le README est explicite : Playwright MCP n'est pas une barrière de sécurité. Les listes de sites autorisés ou bloqués ne le sont pas davantage. Autrement dit, ces options réduisent les erreurs, elles n'empêchent pas un détournement.

Autres points à noter :

• L'outil browser_run_code_unsafe exécute du code JavaScript arbitraire dans le processus du serveur. La documentation le décrit comme équivalent à une exécution de code à distance.
• Un profil persistant ne peut servir qu'à un seul navigateur à la fois. Pour plusieurs clients en parallèle, il faut --isolated ou des dossiers de profil distincts.
• L'image Docker ne prend en charge que Chromium sans fenêtre.
• L'accès aux fichiers est limité par défaut au dossier de travail.

Dernier point, plus inattendu : pour les agents de code, Microsoft recommande plutôt la version en ligne de commande de Playwright, accompagnée de « skills », parce qu'elle consomme moins de tokens. Le serveur MCP est présenté comme adapté aux usages qui demandent un état persistant : exploration d'un site, tests qui se réparent seuls, tâches longues.

Notre lecture

Le risque principal n'est pas technique, il est d'usage. Un assistant qui navigue lit des pages que vous ne contrôlez pas, et une page peut contenir des instructions piégées. S'il utilise en même temps un profil où vous êtes connecté à votre messagerie ou à votre banque, les conséquences peuvent être sérieuses.

Pour une petite entreprise, nous retenons trois règles simples : lancer le serveur avec --isolated, ne jamais le relier à son navigateur personnel pour des tâches sur des sites inconnus, et réserver le mode extension à des sites internes de confiance. Dans ce cadre, l'outil est utile pour tester son propre site, vérifier un parcours d'achat ou remplir des formulaires répétitifs. Cette fiche repose sur la documentation du projet : nous ne l'avons pas testé nous-mêmes.