Spent months fighting VS Code webviews, so I built a universal protocol

À propos de Spent months fighting VS Code webviews, so I built a universal protocol

Derrière le titre provocateur « Spent months fighting VS Code webviews, so I built a universal protocol » se cache OXP (Open eXtension Protocol), une initiative open source visant à résoudre un problème chronique du monde des éditeurs de code : la fragmentation des systèmes d’extensions. Alors que les développeurs d’outils — notamment ceux liés à l’intelligence artificielle, aux workflows DevOps ou à l’assistance contextuelle — doivent aujourd’hui maintenir des versions distinctes de leurs extensions pour VS Code, JetBrains, Neovim et autres, OXP propose un standard unifié. Son principe fondamental : « publier une fois, installer partout ».

Lancé par un développeur frustré par les limites des webviews de VS Code — ces composants web embarqués souvent instables, peu sécurisés et mal documentés —, le projet vise à créer un protocole ouvert, sécurisé et portable pour les extensions d’environnements de développement. OXP définit non seulement un format de bundle (oxp.json), mais aussi un contrat d’interface utilisateur (@oxprotocol/ui), un modèle de permissions déclaratives et un registre basé sur la spécification OCI (Open Container Initiative). À ce jour, le protocole est partiellement compatible avec VS Code, JetBrains, Neovim, et, via l’adaptateur VS Code, avec des forks comme VSCodium, Cursor ou Windsurf. Bien qu’en version initiale (v0.1 stable, v0.2 en préparation), OXP ambitionne de devenir la couche d’abstraction universelle pour les extensions d’IDE, à l’image de ce que représente le Language Server Protocol (LSP) pour les fonctionnalités linguistiques.

Fonctionnalités principales

OXP repose sur une architecture modulaire et orientée sécurité. Son cœur est constitué d’un runtime standardisé et d’un format de bundle unique qui encapsule tout le nécessaire à l’exécution d’une extension : code, ressources, manifeste et métadonnées. Le fichier oxp.json décrit non seulement les capacités requises (comme net.fetch ou fs.read), mais aussi les surfaces d’intégration (panneaux, commandes, vues natives).

La distribution se fait via n’importe quelle URL ou fichier local, avec vérification cryptographique obligatoire (empreinte SHA-256 et signature Ed25519). Une fois installée via le schéma oxp://, l’extension s’exécute dans un sandbox WASI (WebAssembly System Interface), limitant drastiquement les risques d’exécution de code malveillant. L’interface utilisateur est rendue soit via une couche native (si l’hôte IDE supporte oxp:ui/v1), soit via un webview en mode fallback, garantissant une expérience cohérente.

Le CLI OXP, déjà fonctionnel, permet de créer (oxp create), développer (oxp dev avec hot reload), empaqueter (oxp pack), publier (oxp publish) et installer (oxp install) des extensions. Il supporte également la gestion de clés cryptographiques (keygen) et de tokens d’accès sécurisés (token rotate). Pour les entreprises, OXP intègre la possibilité d’héberger des registres privés compatibles OCI, avec support de signatures Sigstore et de policy enforcement. Parmi les fonctionnalités en cours de déploiement figurent des API avancées pour les flux de données (stream/*), les interactions éditeur (editor/*) et l’enregistrement de surfaces personnalisées (surface/register).

Tarification

À la date actuelle, aucune grille tarifaire publique n’est disponible pour OXP. Les sources documentaires, la page officielle (https://oxp.sh/) et le dépôt GitHub décrivent OXP comme un projet open source et une spécification technique, non comme un service SaaS commercial. Il n’existe pas de plans Free, Pro ou Enterprise avec montants associés.

Le registre public, le CLI et la spécification du protocole sont librement accessibles. Pour les entreprises souhaitant déployer des registres privés ou bénéficier d’un support technique dédié, il est probable qu’un modèle de tarification existe en mode enterprise, mais celui-ci n’est pas communiqué publiquement. En l’absence d’information officielle, le coût d’utilisation d’OXP est à considérer comme nul pour les cas open source, tandis que les scénarios commerciaux ou critiques devraient impliquer un contact direct avec les mainteneurs. En résumé : prix non communiqué publiquement.

Cas d'utilisation

OXP s’adresse prioritairement aux équipes confrontées à la multiplication des cibles d’intégration. Voici les scénarios où il brille :

• Développement d’extensions multi-IDE : une seule base de code suffit pour cibler VS Code, JetBrains et Neovim, éliminant le travail redondant.
• Outils d’intelligence artificielle : les assistants de code, les agents contextuels ou les interfaces de prompt engineering bénéficient d’un point d’intégration standardisé, portable et sécurisé.
• Infrastructures d’entreprise : les sociétés avec des exigences strictes en matière de sécurité peuvent héberger des registres privés, signer leurs bundles et auditer chaque extension via des mécanismes cryptographiques.
• Fournisseurs d’IDE alternatifs : les éditeurs souhaitant s’affranchir de l’écosystème Microsoft (et de ses politiques de marketplace) peuvent adopter OXP comme couche d’extension neutre.
• Prototypage rapide : grâce à oxp dev et au hot reload, les équipes peuvent itérer en temps réel sans redémarrer l’IDE.

Notre avis

OXP est une initiative audacieuse et techniquement solide, portée par une vision claire : unifier l’univers fragmenté des extensions d’IDE. Son approche centrée sur la sécurité (sandboxing, permissions explicites, vérification cryptographique) et la portabilité (write once, run anywhere) répond à des besoins réels, notamment dans l’écosystème en pleine expansion des outils d’IA pour développeurs.

Points forts : la réduction drastique de l’effort de maintenance multi-plateforme, l’architecture moderne basée sur WebAssembly et OCI, et la compatibilité annoncée avec les principaux IDE. La possibilité d’utiliser des registres privés en fait également une solution viable pour les entreprises soucieuses de contrôle.

Points faibles : le projet est encore jeune (v0.1), et son adoption dépend de la disponibilité d’adaptateurs conformes dans chaque IDE. Certaines fonctionnalités clés (API editor/*, surfaces natives) sont en cours de finalisation, ce qui limite son utilisation dans des scénarios de production critiques. Enfin, l’absence totale de transparence tarifaire pour les usages commerciaux constitue un frein à l’évaluation stratégique.

En conclusion, OXP mérite une attention sérieuse de la part des équipes tooling, des éditeurs d’extensions et des fournisseurs d’outils IA, surtout si la portabilité et la sécurité sont des priorités. Il ne remplace pas les systèmes natifs existants, mais offre une voie prometteuse vers un avenir moins fragmenté. À surveiller de près au cours des prochains mois — notamment avec la sortie de la v0.2.