OpenCode

Un produit complet que l'on configure

OpenCode se présente comme « The open source AI coding agent ». Écrit en TypeScript et publié sous licence MIT, il fonctionne dans le terminal, dans une application de bureau et en extension d'IDE. Le site revendique plus de 75 fournisseurs de modèles via Models.dev, la base de modèles que la même équipe maintient, modèles locaux compris, ainsi que le chargement automatique des serveurs LSP, des sessions parallèles et des liens de partage de session.

Sur les données, le site affirme : « OpenCode does not store any of your code or context data ». L'éditeur propose la connexion avec un compte GitHub Copilot ou ChatGPT Plus/Pro ; ce que chaque fournisseur autorise reste sa décision, et l'épisode Anthropic ci-dessous montre ce qu'il en coûte de l'oublier.

Le comparatif de Composio (21 août 2026) résume la différence avec Pi en une phrase : « OpenCode gives you configuration control. Pi gives you runtime control. » Il mesure pour OpenCode un surcoût de contexte d'environ 6 900 tokens par requête et reproche à l'interface terminal plus de 1 Go de mémoire. Revers d'un produit riche : un nouvel arrivant est productif le jour même, et chaque requête paie les défauts embarqués.

Anomaly, l'équipe derrière SST

OpenCode est développé par Anomaly, « the team behind the serverless development framework SST » selon Wikipédia. Le dépôt anomalyco/opencode a été créé le 30 avril 2025 ; Dax Raad (@thdxr) en est la figure publique. Wikipédia précise que la version actuelle, en TypeScript, est distincte d'un projet antérieur du même nom écrit en Go et archivé en septembre 2025. Ne pas confondre non plus avec Crush, l'agent en terminal de Charm.

Fin septembre 2026, opencode.ai affiche 208 000 étoiles GitHub, 950 contributeurs, plus de 13 000 commits et « over 16M developers every month ». L'API GitHub renvoie 210 778 étoiles au 29 septembre 2026. Le chiffre de développeurs mensuels est une déclaration de l'éditeur, sans méthodologie publiée.

Contexte partagé : AGENTS.md, CLAUDE.md, skills

La documentation des règles pose la convention : « You can provide custom instructions to opencode by creating an AGENTS.md file. » La commande /init écrit ce fichier. En version 1, OpenCode lit en repli les fichiers de Claude Code : « CLAUDE.md in your project directory (used if no AGENTS.md exists) », ~/.claude/CLAUDE.md en global, et le répertoire ~/.claude/skills/ ; la variable OPENCODE_DISABLE_CLAUDE_CODE_SKILLS désactive ce dernier repli. OpenCode 2 abandonne ces replis : il ne lit que AGENTS.md, dans le projet et dans ~/.config/opencode/AGENTS.md pour les instructions globales, et le champ instructions de la configuration est accepté sans effet. Un CLAUDE.md seul, sans AGENTS.md à côté, est donc ignoré par la V2 ; la marche à suivre pour poser OpenCode sur un dépôt existant détaille ce point.

Un même dépôt, avec son AGENTS.md et ses skills en Markdown, se pilote donc avec Claude Code, Codex, OpenCode, Pi et Goose. Depuis sa version 2.1.277, Claude Code lit lui aussi AGENTS.md lorsqu'aucun CLAUDE.md n'existe dans le dossier courant ni au-dessus, et sa documentation recommande un CLAUDE.md réduit à la ligne @AGENTS.md pour partager un seul fichier entre outils. Faire cohabiter deux ou trois harnais sur un projet vérifie que le contexte versionné porte le travail, et pas l'outil : c'est l'argument central de la série sur les harnais ouverts.

OpenCode 2 : même commande, trois ruptures

OpenCode 2 se lance avec la même commande opencode. L'installeur curl de la V2 remplace le binaire V1 ; une V1 installée par gestionnaire de paquets se désinstalle avant (les paquets V2 sont anomalyco/tap/opencode-v2 pour Homebrew et @opencode/cli sur npm ; les gestionnaires de paquets Windows ne sont pas pris en charge, des binaires autonomes x64 et ARM64 les remplacent). La documentation de migration annonce trois ruptures : l'API des plugins (un export par défaut avec un id et une fonction setup), l'API serveur, désormais consommée par le paquet @opencode/client, et le fichier cli.json. La configuration V1 reste lue et traduite en mémoire ; le champ lsp est conservé mais les serveurs LSP ne sont plus lancés. Depuis la 1.18.24, la V1 lit à son tour les champs de configuration V2 pris en charge, ce qui permet de faire cohabiter les deux lignes sur un même dépôt.

Au 30 septembre 2026, les deux lignes vivent en parallèle : V1 1.18.33 publiée le 28 septembre, V2 2.0.20 publiée sur npm le 29 septembre, sans notes de version, le changelog s'arrêtant à la V1. Le tableau des renommages de configuration et la méthode en cinq étapes sont repris dans migrer vers OpenCode 2.

L'épisode Anthropic (janvier à mars 2026)

OpenCode permettait de se connecter aux abonnements Claude Pro et Max par OAuth. Le 20 février 2026, The Register cite la documentation mise à jour d'Anthropic : « Using OAuth tokens obtained through Claude Free, Pro, or Max accounts in any other product, tool, or service — including the Agent SDK — is not permitted and constitutes a violation of the Consumer Terms of Service. » Selon le même article, la restriction existait depuis au moins février 2024 ; Anthropic présente l'édition de février 2026 comme une clarification.

La pull request n° 18186, intitulée « anthropic legal requests » et signée thdxr, a été fusionnée le 19 mars 2026 : elle retire le plugin d'authentification Anthropic, le prompt système dédié et l'en-tête qui imitait Claude Code. Wikipédia résume : « OpenCode subsequently removed support for using Claude Pro and Max subscription credentials, while continuing to support access to models through other methods and providers. » Leçon pour une DSI : un abonnement grand public détourné est une tolérance commerciale, une clé API d'entreprise ou une passerelle interne est un contrat. Le retrait est effectif depuis la version 1.3.0 ; les modèles Claude restent accessibles par Zen (Fable 5.1, Opus 5.5, Sonnet 5, Haiku 4.5 entre autres), où Anthropic conserve les requêtes 30 jours. La comparaison outil par outil, fournisseurs, fichiers de contexte et intégration GitHub compris, est dans OpenCode face à Claude Code.

Déploiement en entreprise et sécurité

L'offre Enterprise repose sur une licence par siège : configuration centrale, SSO, fournisseurs de modèles désactivables, et aucune facturation des tokens quand l'entreprise branche sa propre passerelle. L'éditeur rappelle qu'il ne stocke pas le code, place le partage de sessions auto-hébergé « on our roadmap » et demande un essai interne avant toute prise de contact. Sans licence, la configuration porte déjà l'option share (manual, auto, disabled) et les listes enabled_providers et disabled_providers, qui suffisent à traduire une politique de fournisseurs. Les réglages, l'intégration GitHub (opencode github install, déclencheurs /opencode et /oc) et les questions de passerelle sont traités dans déployer OpenCode en entreprise.

Le 24 septembre 2026, le projet a publié avec Datadog Security Labs l'avis GHSA-632h-h47v-g4x4 (gravité High, CVSS 7,5, sans CVE) : les installations par npm, pnpm ou Bun à partir de la 1.14.30 exposaient une exécution de code à distance quand opencode serve ou opencode web tournaient sans mot de passe ; les installations par curl, Homebrew, Chocolatey ou Scoop ne sont pas concernées, et le correctif est dans la 1.18.22. Datadog compte plus de 647 000 téléchargements de 82 versions vulnérables du 17 au 23 septembre 2026, soit 38,9 % des téléchargements de la semaine. L'avis recommande de redémarrer les processus et de vider le cache des identifiants du navigateur. Par défaut, serve écoute sur 127.0.0.1:4096 sans mot de passe ; la variable OPENCODE_SERVER_PASSWORD (utilisateur « opencode » par défaut) ajoute une authentification Basic.

Go, Zen et l'économie de l'inférence

Le client est gratuit et s'utilise avec ses propres clés. La monétisation passe par deux offres : Zen, une passerelle vers des modèles testés pour le travail agentique, et Go, un forfait. La page opencode.ai/go indique fin septembre 2026 : Go à 10 dollars par mois, Go Plus à 40 dollars par mois avec des limites plus hautes. Les limites de Go se mesurent sur trois fenêtres : 20 % du quota sur 5 heures, 50 % sur la semaine, 100 % sur le mois, avec un plafond mensuel fixé modèle par modèle (60 dollars pour plusieurs modèles en Go, 180 dollars pour GLM-5.3-Flash en Go Plus, de 15 dollars à illimité selon le modèle). Go ne donne pas accès à Claude et se limite à un abonné par workspace ; Zen facture au coût des fournisseurs, recharge par défaut 20 dollars sous 5 dollars de solde et prélève 4,4 % plus 0,30 dollar par transaction. Le détail des arbitrages est dans Go, Zen : ce que coûte OpenCode.

Dax Raad documente l'équation en public. Le 30 mars 2026, il explique qu'un forfait doit offrir plus que le même montant dépensé au token, ce qui suppose du volume et une négociation avec les fournisseurs d'inférence. Le 11 août 2026 : « today we tracked down and obliterated 7,013 fraudulent accounts », pour une économie estimée à 400 000 dollars par mois. Le 12 septembre 2026 : « we've had two consecutive weeks where OpenCode Go broke even ». Le 28 septembre, il décrit l'équipe Go comme celle qui a « the hardest job », face à une économie impossible et à des clients qui en veulent toujours plus. Deux semaines à l'équilibre sont un jalon, pas une preuve de pérennité ; aucun chiffre de revenu n'est publié.