Test & Avis Expert
Hoppscotch est un client d’API — REST, GraphQL, gRPC, WebSocket, Server-Sent Events — disponible en application web, en application de bureau, en ligne de commande et en version auto-hébergeable. Le dépôt est publié sous licence MIT et comptait 80 311 étoiles à la mi-septembre 2026 ; la version 2026.8.1 a été publiée le 14 septembre 2026.
Comment ça marche
La particularité d’un client d’API exécuté dans un navigateur est qu’il est soumis à la politique CORS : le navigateur refuse par défaut d’émettre une requête vers un domaine qui ne l’autorise pas explicitement. Hoppscotch contourne cette limite par un composant appelé intercepteur, et c’est là que se joue la question de la confidentialité, car quatre modes coexistent et n’envoient pas la requête au même endroit.
Le mode navigateur émet la requête directement depuis l’onglet, sans intermédiaire, mais reste bloqué par CORS. L’extension Chrome ou Firefox et l’agent Hoppscotch, un petit programme installé localement, émettent la requête depuis la machine de l’utilisateur : rien ne transite par un tiers. Le mode proxy, lui, fait passer la requête par un serveur relais — Proxyscotch, projet distinct sous licence MIT — qui voit l’URL, les en-têtes et donc les jetons d’authentification en clair. La documentation prévient d’ailleurs que laisser le jeton du proxy vide « accorde un accès sans restriction à votre serveur proxy ».
L’auto-hébergement de l’édition communautaire passe par Docker et exige une base PostgreSQL en fonctionnement. Trois conteneurs (interface, backend, tableau d’administration) ou une image tout-en-un sont proposés.
Ce que ça ne protège pas
Le mode proxy est le piège principal : utilisé avec le relais public, il expose les identifiants de production de l’utilisateur à un serveur qu’il ne contrôle pas. Il faut vérifier quel intercepteur est actif avant d’envoyer la première requête authentifiée.
Le modèle économique mérite d’être connu. La version 2026.8.1 est décrite par ses auteurs comme un correctif « exclusif à l’offre Enterprise » : le dépôt est sous MIT, mais une partie du travail de publication sert d’abord l’édition payante. La documentation d’installation de l’édition communautaire ne détaille ni la comparaison des éditions ni les conditions de licence associées.
Enfin, un client d’API ne protège rien par lui-même. Les collections contiennent souvent des jetons et des mots de passe, et leur stockage relève entièrement de la façon dont l’instance est configurée.
Face aux alternatives
Bruno répond au même besoin en écartant complètement le problème : c’est une application de bureau, elle n’est pas soumise à CORS, elle n’a donc besoin d’aucun proxy, et elle enregistre les collections en fichiers texte dans le dépôt du projet. Hoppscotch garde l’avantage quand il faut une interface web partagée par une équipe ou une instance auto-hébergée centralisée — au prix de la base PostgreSQL et du travail d’administration qui va avec.
